Wie funktioniert das "Löschen" von Dateien Im "Papierkorb"?

[Munzel2]

Guten Tag!

Vor einiger Zeit las ich in einem Artikel in etwa dies: Wenn der 'Papierkorb' enthaltene Dateien "endgültig" löschen soll, dann löscht er sie nicht richtig, sondern ändert (komplett) nur Dateiname und -Endung, und gibt dann den Speicherplatz frei für Überschreibung/Neu-Nutzung.

Diese Aussage konnte ich bisher bei Recherche im Netz nirgends verifizieren (gelernt hatte ich 'mal, dass lediglich der erste Buchstabe des Dateinamens durch ein $ ersetzt wird - was ja "Löschen" signalisiert, aber Rekonstruktion ermöglicht). Falls dem tatsächlich so wäre wie oben beschrieben, würde ja das Löschen mit/durch den Papierkorb eine Art "sicheres Löschen für den kleinen Mann" bieten - ein einfaches und schnelles Löschen unkritischer, aber trotzdem privater Dateien.

Oder hat mich hier etwas/jemand auf den Holzweg geführt?

[Tante Google]

[Purgatory]

Das endgültige löschen via Papierkorb ist nur das "logische" löschen. Das bedeutet, dass im MFT eine Markierung gesetzt wird die die jeweilige Datei für das Betriebssystem wieder als leeren Speicherplatz zur Verfügung stellt. Physisch ist die Datei aber noch vorhanden und somit auch wiederherstellbar.
Die meißten Datenrettungstools gehen davon aus, dass eine Datei in aufeinanderfolgenden Clustern gespeichert ist. Ist sie das nicht UND der MFT wurde zerstört, ist die Datei, wenn auch physisch noch vorhanden, nicht wiederherstellbar, zumindest nicht für solche Tools die der Anwender am PC benutzten kann. Denn im MFT ist auch eine evtl. Fragmentierung der Datei hinterlegt als auch die jeweiligen Speicherorte. Wirklich verschwunden aber ist eine Datei nur wenn sie "physisch" gelöscht wird. Das bedeutet das überschreiben des freigestellten Speicherplatzes, am besten sogar mehrmals.

[Nanobot]

Nach meiner Erfahrung lassen sich versehentlich gelöschte Dateien, solange die genutzten Blöcke noch nicht überschrieben worden sind, am ehesten mit Hilfe des Programmes "Photorec", welches zum Tool "Testdisk" gehört, wiederherstellen. Die aktuelle Version für verschiedene Betriebssysteme findet man hier: https://www.cgsecurity.org/wiki/TestDisk_herunterladen

Im Gegensatz zu den meisten anderen Rettungstools benötigt photorec weder eine gültige Partitionstabelle, noch eine korrekte FAT oder MFT. Vielmehr durchsucht es die gesamte Partition oder sogar das gesamte physische Laufwerk nach den typischen Headern sehr vieler ( auswählbarer ) Dateitypen und probiert dann selbst, nach Auffinden des ersten Blocks die Folgeblöcke zu finden. Dieser Vorgang ist allerdings sehr zeitintensiv.

Will man solch eine Rekonstruktion verhindern, so müssen die unbelegten Blöcke der Partition mit Zufallsdaten oder 00en überschrieben werden, wobei dies wegen des Wear-Levelings bei SSDs sogar mehrfach geschehen muß. Für diesen Zweck kann ich aus eigener Erfahrung dieses Tool sehr empfehlen: https://privazer.com/de/

C.U. Nanobot

[Munzel2]

Danke für Eure Hinweise!

Ihr habt das nicht explizit bestätigt oder verneint: Kann ich davon ausgehen, dass bei einem "Löschen" via Papierkorb die zu "löschende" Datei weiterhin zumindest Fragmente des ursprünglichen Dateinamens enthält (und daran erkennbar sein könnte)? Und wie ist es mit der ursprünglichen Dateierweiterung? Bleibt die auch bei dem "Löschen" erhalten?

[Purgatory]

Es wird keine Endung geändert. Auch der Dateiname als solches bleibt erhalten. Alles andere wäre viel zu großer Aufwand.
Wie gesagt, im MFT wird die Datei als gelöscht markiert, und ein $ Zeichen vorangestellt. Auffindbar ist die Datei für Windows selbst dann nicht mehr, allerdings mit externen Programmen klar identifizierbar.