Spurensuche – fremde USB-Sticks untersuchen

Ein Datenträger vergisst nicht so schnell, was einmal auf ihm gespeichert war. Auch wenn Dateimanager einen anscheinend leeren Stick anzeigen – mit dem geeigneten Programm finden Sie gelöscht geglaubte Dateien wieder. Ein hervorragendes forensisches Werkzeug ist das Programm Photorec . Das Programm lässt sich zum einen zur Datenrettung nutzen – da es so genau arbeitet, ist es eines der besten frei verfügbaren Werkzeuge auf dem Markt. Zum anderen zeigt Photorec, wie leicht sich fremde Sticks ausspionieren lassen. Wer weiß, was der Kollege auf dem Stick gespeichert und anschließend gelöscht hat, bevor Sie sich ihn ausgeliehen haben?

Mit Truecrypt den USB-Stick verschlüsseln Photorec ist Teil der Programmsammlung Testdisk von Cgsecurity. Um es zu starten, entpacken Sie das Archiv in ein beliebiges Verzeichnis und starten Sie photorec_win.exe. Das Programm ist englischsprachig und arbeitet im Textmodus. In der Übersicht der gefundenen Laufwerke gehen Sie mit den Pfeiltasten auf das gewünschte Laufwerk und drücken Return. Als „Partition table type“ wählen Sie „Intel“ und danach die eigentliche Partition auf dem Laufwerk. Nach der Auswahl des Dateisystems können Sie den freien Platz („Free“) oder das gesamte Laufwerk („Whole“) nach gelöschten Dateien untersuchen. Für die gefundenen Dateien und Datenreste gehen Sie anschließend noch im Datei-Browser auf das gewünschte Zielverzeichnis und drücken danach die C-Taste, um die automatische Wiederherstellung zu starten. Je nach Größe des Datenträgers kann der Suchlauf einige Minuten dauern. Auf einem USB-2.0-Gerät kommt die Suche auf rund ein Gigabyte pro Minute. USB-Laufwerke sicher löschen

Der Test mit Photorec zeigt, wie unsicher das normale Löschen von Dateien und sogar das Formatieren ist. Um Daten wirklich zuverlässig zu löschen, müssen Sie schon schwerere Geschütze auffahren. Von Microsoft gibt es seit einigen Jahren ein vertrauenswürdiges Werkzeug zum sicheren Löschen: Sdelete ist ein Kommandozeilenprogramm und eine sichere Alternative zum Befehl del.Sdelete überschreibt den freien Platz mehrmals mit Zufallswerten und entfernt alle Verweise und temporären Versionen der Datei.

Die besten portablen Tools

Eine Alternative aus den Bordmitteln von Windows XP Professional, Vista und Windows 7 ist das Kommandozeilenprogramm cipher.exe, mit dem Sie den freien Speicherplatz auf dem gesamten Laufwerk sicher ausleeren können. Geben Sie dazu den Befehl cipher /W:Laufwerksbuchstabe: gefolgt von Enter ein. Vorhandene Dateien löscht der Befehl dabei nicht, nur freien Speicherplatz. Eine grafische Oberfläche zum sicheren Löschen bietet das englischsprachige Programm Eraser Portable , das ein Menü für alle Löschfunktionen bietet. Diese Version benötigt keine Installation. Sie können das Programm deshalb auch gleich mit auf einem USB-Stick unterbringen.