Was Löschen tatsächlich bewirkt
Bei einem herkömmlichen Dateisystem wird eine Datei durch Metadaten beschrieben: einen Verzeichniseintrag und einen Datensatz, der auf die Blöcke mit dem Inhalt zeigt. Gewöhnliches Löschen entfernt oder markiert diesen Datensatz und gibt die Blöcke an den freien Speicher zurück. Die Blöcke selbst bleiben unverändert, der Inhalt bleibt also als Datenremanenz erhalten, bis das Dateisystem diesen Platz anderweitig vergibt. Auf einem wenig genutzten Datenträger kann das nie geschehen, auf einem stark genutzten binnen Minuten. „Gelöscht“ beschreibt daher die Sichtbarkeit der Datei, nicht das Vorhandensein ihrer Daten.
Die Stufen des Löschens
Nur die letzte Stufe, das sichere Löschen, vernichtet die Daten im eigentlichen Sinn. Nur sie lässt sich als Vernichtung dokumentieren.
- 1
Papierkorb
Die Datei wird verschoben, nicht gelöscht. Sie bleibt sichtbar und lässt sich wiederherstellen.
- 2
Geleerter Papierkorb
Der Verzeichniseintrag wird entfernt. Der Inhalt bleibt als nicht belegter Speicher erhalten.
- 3
Überschrieben
Neue Daten werden auf einen Teil oder alle ursprünglichen Blöcke geschrieben. Die Wiederherstellung wird lückenhaft und schließlich unmöglich.
- 4
Sicher gelöscht
Der Inhalt wird gezielt vernichtet: durch Überschreiben, durch kryptografisches Löschen des schützenden Schlüssels oder durch einen Sanitize-Befehl des Geräts.
Wiederherstellung und warum sie gelingt
Da der Inhalt seine Metadaten überdauert, durchsuchen Wiederherstellungswerkzeuge den freien Speicher nach erkennbaren Strukturen wie Dateisignaturen, Kopfdaten und bekannten Layouts. Sie setzen Dateien ganz ohne Verzeichnisinformationen neu zusammen. Dieses Verfahren heißt File Carving. Die forensische Praxis stützt sich darauf: gelöschte Dokumente, Nachrichtenfragmente und Bilder sind übliche Funde bei Ermittlungen. Dieselbe Eigenschaft macht einfaches Löschen zu einer unzureichenden Maßnahme, wenn ein Gerät die Organisation verlässt. Das ist ein typischer Weg zum Datendiebstahl.
Wo Kopien die Datei überdauern
Auch eine sicher gelöschte Datei kann an anderer Stelle weiterbestehen, weil moderne Systeme Inhalte automatisch vervielfältigen, oft über Sicherungen und Synchronisierungsdienste. Wirksames Löschen beginnt daher mit einer Bestandsaufnahme: Entscheidend ist, wo die Daten existieren, nicht wie eine einzelne Kopie entfernt wird.
| Kopie | Was bleibt |
|---|---|
| Sicherungen und Snapshots | Kopien vor dem Löschen, oft unter Aufbewahrungsfristen |
| Versionsverlauf | Frühere Versionen, die Dateisysteme, Dokumentenplattformen und Cloud-Speicher vorhalten |
| Synchronisierung | Kopien auf anderen Geräten und in Cloud-Konten, jeweils mit eigenem Löschverhalten |
| Caches und Vorschauen | Miniaturansichten, Autosave-Dateien und Indexeinträge mit extrahiertem Inhalt |
| Druckwarteschlangen und Journale | Druckspooler, Datenbankprotokolle und Dateisystem-Journale mit dem Inhalt |
Die Speichertechnik verändert die Mechanik
Bei Flash-Speicher (SSD, eMMC, Speicherkarten) verteilt der Controller die Daten intern über Wear Leveling und Over-Provisioning. Ein Überschreiben durch das Betriebssystem trifft deshalb nicht unbedingt die physischen Zellen mit den ursprünglichen Daten. Sektorweises Überschreiben ist auf diesen Medien daher unzuverlässig. Anerkannt sind der Sanitize- oder Secure-Erase-Befehl des Geräts sowie das kryptografische Löschen: Das Medium wird von Anfang an verschlüsselt, und beim Vernichten des Schlüssels wird der gesamte Restbestand an Chiffretext in einem Schritt unbrauchbar. Die physische Zerstörung bleibt die letzte Option für Medien, die sich nicht prüfen oder als vertrauenswürdig einstufen lassen.
Löschen als Pflicht
Vorgaben zum Datenschutz verlangen, dass Daten nicht länger als nötig aufbewahrt werden. Die DSGVO räumt Betroffenen unter bestimmten Voraussetzungen ein Recht auf Löschung ein. Aufbewahrungsfristen, nachprüfbare Löschverfahren und die Dokumentation der Datenträgerentsorgung helfen Organisationen, diese Pflichten zu erfüllen. Außerdem dürfen ausgemusterte Notebooks, Laufwerke und Telefone die Organisation nicht mit noch wiederherstellbaren Daten verlassen.
Ein Löschbefehl entfernt nur einen Verweis. Erst eine dokumentierte Vernichtung entfernt die Daten.
Anexet Team