10

Kernpunkte:

  • Tracking
  • Kryptografie
  • IT-Forensik

 

10  Aus dem IT-Labor

10.1        Tracking  – Nutzerverfolgung im Wandel der Zeit

PC-Browser haben eine lange Geschichte hinter sich, spätestens seit Googles Markteintritt hat sich die Entwicklungsgeschwindigkeit der Programme massiv erhöht. Das kommt der Funktionalität und der Sicherheit zugute. Die Aktualisierung der Software findet im Hintergrund ohne Zutun des Nutzers statt. Das ist intransparent; der Nutzer weiß nicht, ob und wann sich sein Browser aktualisiert; andererseits sind so weniger Nutzer mit bekannten Sicherheitslücken im Netz unterwegs.

In anderer Hinsicht ist die Transparenz deutlich gestiegen: Umfangreiche Einstellungen zum Umgang mit Cookies und anderen Webseitendaten bieten alle Browser, Erweiterungen zum Filtern von Webseiteninhalten sind ebenfalls allgemein verfügbar. Dem klassischen Tracking können Nutzer so effektiv begegnen. Doch neue Tracking-Technologien machen es zunehmend schwierig, unbeobachtet von Online-Anbietern im Netz unterwegs zu sein. Spätestens seit den Veröffentlichungen von Edward Snowden ist klar, dass der Anwendungsbereich solcher Technologien weit über das Anzeigen von Werbebildchen hinausgeht und dass auch Geheimdienste Techniken wie die sogenannten Evercookies einsetzen, um Internetnutzer zu identifizieren.

Neue Probleme bringen mobile Plattformen mit sich. Browser unter iOS, Android oder Windows Phone sind im Hinblick auf die Einstellmöglichkeiten ein Schatten ihrer großen Desktop-Geschwister. Cookies lassen sich in der Regel zwar löschen, es ist aber nicht möglich, sie nur gezielt anzunehmen oder gar gespeicherte Cookies anzuzeigen. Die Hersteller begründen dies mit der eingeschränkten Bedienbarkeit der Geräte, bedingt durch kleine Bildschirme und das Fehlen von Maus und Tastatur. Spätestens für Tablets gilt dieses Argument jedoch nicht mehr. Wir haben es eher mit dem Unwillen der Hersteller zu tun. Microsoft geht mit schlechtem Beispiel voran: In Windows 8.1. wird der Internet Explorer sowohl als Desktop wie auch als sogenannte Modern App mitgeliefert. Ersteres bietet das gewohnte Set an Konfigurationsmöglichkeiten; Letzteres präsentiert sich „touchoptimiert“: Im Kontext der Einstellmöglichkeiten bedeutet das vor allem, dass der Nutzer auf einen Großteil der Optionen schlicht verzichten muss und sich Tracking-Versuchen, die über klassische Cookies hinausgehen, nicht entziehen kann. Gleiches gilt für Google Chrome, das für Tablets deutlich weniger Möglichkeiten zur Regelung der Datenspeicherung bietet als für den Desktop-PC. Hinzu kommt, dass Browsererweiterungen, mit denen sich oft datenschutzfördernde Funktionen nachrüsten lassen, in mobilen Browsern gar nicht eingebunden werden können. So muss der mobile Nutzer auf das automatische Filtern von Tracking-Code verzichten.

Der Nachteil der mangelnden Konfigurierbarkeit bei mobilen Systemen könnte mittelfristig einen interessanten Nebeneffekt haben. Beim sogenannten Device Fingerprinting wird versucht, serverseitig Informationen über das IT-System des Nutzers zu sammeln und zu analysieren, um so den Nutzer möglichst eindeutig wiederzuerkennen. Das klappt erstaunlich gut aufgrund der Vielzahl von Informationen, die Browser von sich aus oder auf Anfrage bereitwillig mitteilen. Dies sind neben Programm- und Betriebssystemversion die Bildschirmauflösung, verfügbare Schriftarten und Hintergrundfarbe des Desktops. Eine exotische Schrift und eine bestimmte Systemfarbe machen einen Nutzer-PC in der Menge aller Webseitenbesucher eines Servers oft eindeutig. Plug-ins und vom Nutzer veranlasste Browsererweiterungen tun ihr Übriges, um den Browser aus der Masse herauszuheben. Die spezifische Kombination ist häufig einzigartig und kann dazu dienen, einzelne Browser und damit ihre Nutzer wiederzuerkennen. Die Einschränkungen der mobilen Browser können so für den Nutzer von Vorteil sein: Ein Device Fingerprinting von Smartphones ist deutlich ungenauer als bei Desktop-PCs. Da die Systeme sich vom Nutzer schlicht nicht bzw. kaum individualisieren lassen, erscheinen verschiedene Smartphones nach außen hin oft identisch.

Die Werbeindustrie hat aber in dieser Hinsicht nachgerüstet. Mit sogenannten ETags lassen sich Webseitenressourcen ausstatten, die der Browser des Nutzers in seinem Cache zwischenspeichert. Um zu ermitteln, ob die Ressource sich seit dem letzten Abruf verändert hat, schickt der Browser später nur den ETag an den Server mit dem Hinweis, die zugehörige Ressource – zumeist sind das Grafiken – nur im Änderungsfall erneut zu übertragen. Generiert der Server die ETags jedoch nicht auf die Ressource bezogen, sondern nutzerbasiert, lässt sich mit diesem Verfahren trefflich die Funktionalität von Cookies nachbilden, ohne Cookies einzusetzen.

Auch der Standard „HTTP Strict Transport Security“ (HSTS) lässt sich zum Tracking missbrauchen. Eigentlich dient diese Funktion seit 2012 dazu, dass der Browser sich den Kontakt zu einer https-gesicherten Webseite merkt. Bei erneuten Aufrufen derselben Webseite greift er dann von sich aus auf die gesicherte Verbindung zurück, ein böswilliges Umleiten durch Dritte auf unsichere Verbindungen wird verhindert. Zum Tracking-Werkzeug wird diese Funktion, indem eine Webseite mehrere Subdomains betreibt, also z. B. a.beispiel.de, b.beispiel.de. Für jede dieser Adressen lässt sich nun im Browser ein https-Aufrufbefehl hinterlegen. Der Trick liegt darin, nur für einige der Adressen den verschlüsselten Aufruf zu erzwingen, für andere nicht. Bei einem späteren Besuch auf dem Webserver wird der Browser dann Ressourcen von den unterschiedlichen Subdomains nach einem für ihn individuell zusammengestellten Muster abrufen. Der Aufruf mit oder ohne https kann als Binärwert – als Bit – gesehen werden. Die Weltbevölkerung von 7,2 Milliarden Menschen lässt sich mit einem Wert von 33 Bit abbilden – man benötigt also eine Webseite mit 33 Subdomains, von der dann Ressourcen per http oder https abgerufen werden, um alle Menschen mit einer eindeutigen ID markieren zu können. Wenig überraschend ist es, dass die Browser die Tabellen, in denen sie sich solche erzwungenen verschlüsselten Verbindungen merken, nicht anzeigen, geschweige denn vom Nutzer löschen lassen. Werden die Tabellen dann auch noch zwischen verschiedenen Browsern synchronisiert, wie dies bei Apple der Fall ist, wird der Nutzer plötzlich vom Handy bis an den Desktop-Rechner nachverfolgbar.

Die Angriffsfläche für lückenlose Nutzerverfolgung wird also zunehmend größer. Während sich die EU-Kommission mit Mitgliedstaaten wie z. B. Deutschland noch über den Umgang mit Cookies streitet, nutzen Online-Unternehmen mit dem Device Fingerprinting und ETag-basierten Cache-Elementen bereits Tracking-Generation zwei und drei. Für Nutzer wird es schwierig, sich zu wehren. Lassen sich Cookies und Flash-Plug-ins noch einigermaßen gut handhaben, sind die Anwender gegen das Device Fingerprinting machtlos. Cache-Elemente lassen sich zwar auch löschen, jedoch bieten hierfür gerade mobile Browser oft keine automatisierte Möglichkeit. Beide Probleme – Device Fingerprints wie ETags im Browsercache – sind nur durch die Browserhersteller in den Griff zu bekommen. Dabei könnte z. B. das komfortable, regelmäßige Löschen des Cache ein Kinderspiel sein; solche Optionen sind bei Desktop-Browsern seit Jahr und Tag etabliert.

Was ist zu tun?
Bei Browsern auf mobilen Plattformen besteht in Bezug auf die Datenschutzeinstellungen dringender Nachholbedarf.

 

10.2        Verschlüsselung  nach TrueCrypt

„TrueCrypt ist unsicher.“ Entwickler der verbreiteten Festplattenverschlüsselung überraschten die Öffentlichkeit mit dieser Mitteilung im Mai 2014, ohne den genauen Grund zu benennen, weshalb diese Software nicht mehr genutzt werden soll. Zwecks Bekräftigung der Forderung nach einem Wechsel auf andere Kryptosysteme entfernten sie alle Downloadmöglichkeiten. Offiziell gibt es derzeit nur die eingeschränkte TrueCrypt-Version 7.2 zum Download, die lediglich bestehende Container entschlüsseln, nicht jedoch neue Dateien chiffrieren kann.

Die Warnung wirft Fragen auf. Der Umstand, dass TrueCrypt kürzlich einem umfangreichen Code Review unterzogen worden war, macht einen einfachen Softwarefehler – einen „Bug“ – als Ursache unwahrscheinlich. Mehrere Erklärungen sind denkbar:

  • Es handelt sich um eine Sicherheitslücke in einem zur Programmerzeugung notwendigen Drittanbieterprodukt, also einem Compiler oder einer Library. Die Entwickler könnten davon erfahren und erkannt haben, dass damit ihr eigenes Produkt kompromittiert ist.
  • Es gibt gar keine Sicherheitslücke, die ein solches Vorgehen rechtfertigen würde, die Entwickler wollen sich vielmehr vom Projekt trennen.
  • Die Entwickler wollen sich durch die Einstellung einer Einflussnahme durch Sicherheitsbehörden entziehen.

Die Verunsicherung unter den Nutzern von TrueCrypt ist groß. Als Alternative kommt auf Windows-Systemen Microsofts Bitlocker infrage und wird von den TrueCrypt-Entwicklern ausdrücklich empfohlen. Allerdings ist Bitlocker eine ClosedSource-Software. Die NSA hat auf den Hersteller Microsoft als US-Unternehmen Einflussmöglichkeiten. Die Software für die komplette Festplattenverschlüsselung als Bestandteil der Professional- bzw. Enterprise-Versionen der Windows-Betriebssysteme ist zudem für Privatnutzer nicht ohne Weiteres zugänglich.

Das BSI hat im Juni 2014 angekündigt, die in seinem Auftrag von der Firma Sirrix entwickelte Unternehmenslösung TrustedDisk mittelfristig als OpenSource-Software für Privatnutzer verfügbar zu machen. Zum Zeitpunkt der Erstellung dieses Berichts ist dies jedoch noch nicht erfolgt. Die vom BSI derzeit empfohlene Softwarekomponente GpgEX hat nicht den Funktionsumfang von TrueCrypt.

https://www.bsi-fuer-buerger.de/BSIFB/DE/MeinPC/Datenverschluesselung/Praxis/Software/software_node.html

Die grundsätzliche Frage, die das TrueCrypt-Dilemma aufwirft, ist die nach dem Angreifer und dem daraus resultierenden geforderten Schutzniveau. Vor allem im Unternehmenseinsatz kommt es darauf an, welche Ressourcen ein Angreifer aufbringen kann. Wenn es gelingt, mithilfe von Social Engineering die Hardware im Unternehmen zu kompromittieren – z. B. durch Keylogger in Tastaturen, die Tastaturanschläge und damit auch die eingegebenen Passwörter aufzeichnen können –, ist Verschlüsselungssoftware obsolet. Ist der Angreifer ein Konkurrenzunternehmen und nimmt den Weg über die IT-Systeme, dürften gängige Verschlüsselungsverfahren wie GPG oder Software wie BoxCryptor, Bitlocker und – immer noch – TrueCrypt ausreichen. Das Risiko, dass Truecrypt in Zukunft gebrochen wird, gilt für jede andere Kryptosoftware. Nachweislich dauerhaft sichere Verschlüsselung gibt es mit Ausnahme von Onetime Pads nicht. Gegen Nachrichtendienste oder die Hersteller der eingesetzten Hardware ist kein sicheres kryptografisches Kraut gewachsen. Erstere haben nicht abschätzbare Ressourcen zur Verfügung, letztere kontrollieren den Fertigungsprozess und damit die Integrität der eingesetzten Hardware. Prüfbarkeit und Sanktionierbarkeit sind angesichts dieser beiden Angreifer weitgehend theoretische Konzepte.

Was ist zu tun?
Ein fortgeführter Einsatz von TrueCrypt bleibt eine Option. Die Berichterstattung zu TrueCrypt und zur Fortentwicklung der geplanten Alternativen sollte aber dringend verfolgt werden.

 

10.3        WhatsApp , Threema  und Telegram  – warum Verschlüsselung  nicht alles ist

Als Facebook im Februar 2014 bekannt gab, den Dienst „WhatsApp“ zu kaufen, herrschte große Aufregung: „Der Datenkrake verleibt sich den hippen Messenger-Dienst ein und mit ihm all seine Nutzer.“ Nicht nur das ULD empfahl: Wechseln!

Als Alternativen kristallisierten sich schnell zwei Dienste heraus, die jeweils eine nennenswerte Nutzerbasis erringen konnten: Threema und Telegram. Daneben existieren weitere Dienste und Protokolle zum Versand von Kurznachrichten.

Die Unterschiede zwischen den Diensten liegen dabei weniger in ihrer Funktion, sondern im technischen Detail. Nur wenige beherrschen eine echte Verschlüsselung zwischen Kommunikationspartnern. Der Umgang mit Verkehrsdaten unterscheidet sich stark. Einen guten Überblick gibt die „Messaging Scorecard“ der Electronic Frontier Foundation vom November 2014:

https://www.eff.org/de/secure-messaging-scorecard

Die nächste Überraschung folgte Mitte November 2014, als WhatsApp ankündigte, eine vollständige Ende-zu-Ende-Verschlüsselung in sein Produkt zu integrieren. Geschehen soll dies auf Basis des TextSecure-Protokolls, das unter Sicherheitsaspekten aktuell als das Maß der Dinge angesehen wird.

Es drängt sich die Frage auf, ob damit die Forderung nach einem Wechsel weg von WhatsApp obsolet ist. Die genannte Form der Verschlüsselung ist zunächst absolut zu begrüßen, sofern sie fehlerfrei und ohne Hintertüren implementiert wird. Nutzende von WhatsApp könnten damit künftig sicher sein, dass die Inhalte ihrer Kommunikation weder von WhatsApp noch von übereifrigen Geheimdiensten oder anderen Lauschern mitgelesen werden. WhatsApp bleibt aber der Zugriff auf eine Menge von Daten. Dies gilt für das Telefonbuch, das der Nutzer zu WhatsApp hochlädt, um Kommunikationspartner zu identifizieren. Damit werden nach wie vor im großen Stil Daten unbeteiligter Dritter im Klartext in die USA übermittelt. Des Weiteren fallen Informationen über die Umstände der Kommunikation an. Wer zu welchem Zeitpunkt mit wem wie oft kommuniziert, zeichnet ein sehr genaues Bild des sozialen Geflechts der Nutzenden. Zum Zeitpunkt der Berichtsverfassung ist die Verschlüsselung nur für Android-Nutzer aktiv, andere Systeme sollen folgen. Es bleibt abzuwarten, ob WhatsApp die Verschlüsselung flächendeckend einführt und wie es sich zu den weiteren Datenschutzfragen positioniert.

Die beiden zuvor genannten großen Konkurrenten unterscheiden sich grundlegend von WhatsApp. Telegram setzt auf einen offenen Quellcode. Die eingesetzte Kryptografie steht jedoch bei Fachleuten seit Längerem in der Kritik. Auch werden standardmäßig alle Nachrichten lediglich Ende-zu-Server verschlüsselt und somit im Klartext auf den Servern der Telegram-Betreiber gespeichert, was die Benutzung mehrerer Geräte mit dem gleichen Account ermöglicht. Die Ende-zu-Ende-Verschlüsselung muss für jeden Kontakt separat aktiviert werden, Chatverläufe sind dann nur auf dem zugeordneten Gerät lesbar. Adressbuchdaten versendet und verarbeitet Telegram genau wie WhatsApp, nämlich im Klartext, womit auch hier die Daten unbeteiligter Dritter quer über den Globus geschickt werden.

Das Schweizer Unternehmen Threema bezeichnet seine gleichnamige Software als besonders sichere Alternative. Eine Verschlüsselung zwischen den Kommunikationspartnern ist hier immer aktiv. Interaktionsdaten über versendete Nachrichten werden nach Betreiberangaben nicht länger als für die Auslieferung notwendig gespeichert. Ein Telefonbuchabgleich ist bei Threema optional; wenn der Nutzer diesen aktiviert, werden die Daten nur als Hash übertragen. Die Nutzung von Threema ist im Unterschied zu WhatsApp und Telegram bei Bedarf auch gänzlich ohne Telefonnummer möglich. Adressiert werden Nutzer hier über eine sogenannte Threema-ID, die pseudonyme Kommunikation ermöglicht. Internetkontakten muss somit nicht zwangsweise die Handynummer anvertraut werden.

Echte Ende-zu-Ende-Verschlüsselung ist gut. WhatsApp-Nutzende sind damit eine Sorge los. Unbeobachtet oder pseudonym kommunizieren können sie trotzdem nicht. Der Anbieter kennt mit der Telefonnummer mindestens einen eindeutigen Identifikator. Ein Wechsel des Messengers ist also aus Datenschutzsicht nach wie vor sinnvoll.

Was ist zu tun?
Neben verlässlicher Ende-zu-Ende-Verschlüsselung sollten Nutzende bei der Wahl einer Messenger-Alternative Wert auf datensparsamen Umgang mit Metadaten legen.

 

10.4        STARTTLS  und Perfect Forward Secrecy

Für den Versand von E-Mails gibt es unterschiedliche Protokolle zum Datentransfer. Bei dem Protokoll SMTP, mit dem Mails verschickt und zwischen Servern ausgetauscht werden, ist die Unterstützung von Verschlüsselung bereits seit Jahren Stand der Technik. Leider gibt es noch immer Mailserver, bei denen diese elementare Funktionalität nicht aktiviert ist.

Bereits im Jahr 1999 wurde das Kommando STARTTLS als Erweiterung des Mail-Protokolls in RfC 2487 – ein Standardisierungsdokument für das Internet – spezifiziert, das eine verschlüsselte Verbindung zur Übertragung der Kommunikationsinhalte initiiert. Seit ca. 2004 kann die Unterstützung des Kommandos als Stand der Technik angesehen werden, sodass es heute kein tragfähiges Argument mehr gibt, warum ein Betreiber die Funktionalität nicht unterstützt.

TLS – Transport Layer Security
TLS – früher unter dem Namen SSL (Secure Sockets Layer) bekannt – ist ein Verschlüsselungsprotokoll zur gesicherten Datenübertragung im Internet, das z. B. beim Mail-Versand oder beim Aufruf von Webseiten zum Einsatz kommt.

Insbesondere Behörden stehen in der Pflicht, die Vertraulichkeit und Integrität der E-Mail-Kommunikation nach dem Stand der Technik zu gewährleisten. Dies ist nicht möglich, wenn die Mailserver der Behörden noch auf „Internetsteinzeitniveau“ konfiguriert sind. Sofern Dienstleister sich sträuben, Sicherheitsanforderungen nach dem Stand der Technik umzusetzen oder dafür gar einen Aufpreis verlangen, sollten diese gewechselt werden.

Leider gibt es hin und wieder Berichte über Antivirensoftware oder sogar böswillige Betreiber von Kommunikationsnetzen, die versuchen, den Aufbau von verschlüsselten Verbindungen zu sabotieren, um auf den Klartext der Kommunikationsinhalte zuzugreifen. Hier sollte auf andere Software und Betreiber ausgewichen werden.

Die Nutzung von Mail-Protokollen wie SMTP, IMAP oder POP3 hat mit der Nutzung von E-Mails über ein Webinterface im Browser erst mal nicht viel zu tun. Technisch unterscheidet sich Webmail nicht vom Aufruf sonstiger Webseiten. Aber auch hier sollte darauf geachtet werden, dass der Zugriff zum Webmail-Anbieter per TLS gesichert ist. Dies erkennt man daran, dass die URL mit https:// statt http:// beginnt. Grundsätzlich sollten persönliche Informationen oder gar Passwörter niemals über unverschlüsselt übertragene Webseiten eingegeben werden.

Verschlüsselung ist nicht unangreifbar. Insbesondere im letzten Jahr sind mehrere schwerwiegende Angriffe gegen SSL/TLS bekannt geworden, die Gegenmaßnahmen der Betreiber zwingend erfordern. So stellte sich u. a. heraus, dass der US‑Geheimdienst NSA die amerikanische Standardisierungsinstanz NIST unterwandert hatte, damit vorsätzlich angreifbare Verschlüsselungsalgorithmen in Standards aufgenommen wurden. Betreiber von Servern sollten daher regelmäßig die Aktualität nicht nur der installierten Software, sondern auch der verwendeten Algorithmen überprüfen und gegebenenfalls hier nachjustieren.

Damit Angreifer, die irgendwann in den Besitz der Schlüsselinformationen eines Servers gelangen, nicht nachträglich die vorher mitgeschnittene Kommunikation aufdecken können, ist es wichtig, dass die Server PFS, Perfect Forward Secrecy, unterstützen.

PFS – Perfect Forward Secrecy
PFS beschreibt Verfahren, die sicherstellen, dass eine abgehörte Kommunikation auch dann nicht nachträglich entschlüsselt werden kann, wenn die geheimen (Server-)schlüssel in falsche Hände geraten.

Mit PFS wird der geheime Schlüssel des Servers nur verwendet, um für die jeweils aktuelle Datenübertragung einen jeweils neuen Sitzungsschlüssel (d. h. einen temporären Schlüssel) zwischen den beteiligten Rechnern auszuhandeln, der nach dem Ende der Kommunikation wieder gelöscht wird. Die eigentliche Datenübertragung wird mit dem Sitzungsschlüssel abgesichert. Dadurch können auch Angreifer mit Zugriff auf den Serverschlüssel im Nachhinein keine mitgeschnittene verschlüsselte Kommunikation aufdecken.

Was ist zu tun?
Bei jeglicher elektronischer Kommunikation sollte darauf geachtet werden, dass eine starke Verschlüsselung nach einem offengelegten und geprüften Verfahren eingesetzt wird. Betreiber von Mailservern sollten umgehend TLS-Verschlüsselung aktivieren, um zumindest Server-zu-Server-Verschlüsselung zu ermöglichen. Betreiber von Webservern sollten umgehend auf aktuelle Software umstellen, um Perfect Forward Secrecy zu ermöglichen. Software und verwendete Algorithmen sind regelmäßig dahingehend zu überprüfen, ob es nicht inzwischen erfolgreiche Angriffe dagegen gibt.

 

10.5        IT-Forensik  – Wiederherstellung gelöschter Daten

Praktisch jeder Mensch besitzt heutzutage mindestens ein elektronisches Gerät, auf dem persönliche Daten abgespeichert sind. Neben dem klassischen Computer benutzen viele zusätzlich Notebook, Tablet oder Smartphone. Aufgrund der rasanten technischen Entwicklung werden diese Geräte immer schneller durch neuere Modelle ersetzt, wobei die „alten“ Geräte verkauft oder weitergegeben werden. Dabei sollte stets bedacht werden, dass der neue Besitzer des Geräts Einblick in die persönlichen Daten nehmen kann, sofern diese zuvor nicht vollständig gelöscht wurden. Der Neubesitzer muss kein ausgebildeter Forensiker sein, um unzureichend gelöschte Daten des Vorbesitzers sichtbar zu machen. Es existiert eine große Anzahl an Werkzeugen, die eine Wiederherstellung von gelöschten Daten auch Laien ermöglicht.

Die Austauschrate gerade von mobilen Geräten steigt permanent. Das bisher vorhandene Gerät wird verkauft, verschenkt oder an den Provider zurückgegeben. Bei Regress- bzw. Serviceansprüchen kann ein Gerät beim Provider, beim Hersteller, beim Händler oder sogar bei einem externen Dienstleister landen. Nicht selten gelangen so Rückläufer wieder in den Handel, aus denen Daten des Vorbesitzers extrahiert werden können. Oftmals sehen die Routinen zum Wiederverkauf des Geräts nur eine Neuformatierung der Festplatte oder Neuinstallation des Betriebssystems vor. Beides genügt nicht, um das Wiederherstellen zuvor vorhandener Daten zu verhindern. Jeder Nutzer sollte deshalb selbst dafür sorgen, dass seine persönlichen Daten vollständig gelöscht sind, bevor eines seiner Geräte wieder in den Umlauf gebracht wird.

In der Computerforensik und bei der Datenrettung ist das Wiederherstellen von gelöschten Daten Tagesgeschäft. Eine große Anzahl von kommerziellen und freien Tools übernehmen diese Aufgabe unter Einsatz von zwei unterschiedlichen Techniken: Recovering und Carving. Ersteres bedient sich auf der Suche nach gelöschten Dateien des vorhandenen Dateisystems, indem dort im Verwaltungsbereich nach nicht – mehr – validen Datei-Einträgen gesucht wird. Das zweite Verfahren durchsucht den Datenträger (oder dessen Image) nach bekannten Dateistrukturen ohne Hilfe eines zugrunde liegenden Dateisystems. Das Recovering besticht dabei durch Schnelligkeit, das Carving weist eine höhere Wiederherstellungsrate auf.

Die im professionellen Umfeld eingesetzten kommerziellen Werkzeuge sind für den ambitionierten Laien nicht bezahlbar. Werkzeuge, die über Kommandozeilenbefehle gesteuert werden, wirken auf diesen zu sperrig bzw. unkomfortabel und werden somit zumeist ignoriert. Doch existiert eine Menge kostenloser Tools zur Datenwiederherstellung, die mit grafischer Bedienoberfläche und einfacher Handhabung um die Gunst der interessierten Nutzer buhlen. Auf den Webseiten der großen Computer-Online-Magazine werden solche Tools zum Herunterladen angeboten und finden große Resonanz bei den Nutzern. Darunter sind auch einige Softwareangebote zu finden, die sich auf die Wiederherstellung der Daten von defekten Datenträgern spezialisiert haben.
Grundsätzlich ist jeder damit in der Lage, unvollständig gelöschte Daten von gebrauchten Geräten oder Rückläufern wiederherzustellen. Die meisten Werkzeuge bieten eine deutschsprachige grafische Oberfläche, die den Nutzer schrittweise durch den Wiederherstellungsprozess leitet. Durch einfache Mausklicks kann die Wiederherstellung einer ganzen Partition oder von bestimmten Dateitypen wie Bilder, Dokumente oder E-Mails ausgewählt werden. Ein Einblick in die persönlichen Daten des Vorbesitzers ist somit auch für jeden nicht professionellen Computernutzer ein Kinderspiel.

Um das Wiederherstellen von Daten zu verhindern, müssen diese also richtig gelöscht werden. Ein einfaches Verschieben in den Papierkorb mit anschließendem Löschen desselben ist hierzu nicht ausreichend, da nur die Einträge im Dateisystem als ungültig gekennzeichnet, nicht aber die Daten auf dem Datenträger selbst gelöscht oder überschrieben werden. Die Neuinstallation des Betriebssystems oder die Neuformatierung des Datenträgers genügt auch nicht, da nicht sämtliche vorher vorhandenen Daten überschrieben werden. Für das vollständige Löschen existieren kommerzielle und kostenlose Produkte, die den Nutzer dabei unterstützen und kein tiefer greifendes Computerwissen erfordern.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Werkzeuge Darik's Boot And Nuke (DBAN) oder Parted-Magic. Auf den Webportalen der großen Computerzeitschriften lassen sich eine Menge anderer freier Löschprogramme finden, ebenso entsprechende Apps für die Systeme iOS und Android.
Eine Beschreibung, wie Daten richtig gelöscht werden, ist auf der Webseite des BSI zu finden:
https://www.bsi-fuer-buerger.de/BSIFB/DE/MeinPC/
RichtigLoeschen/richtigloeschen_node.html

Was ist zu tun?
Von jedem elektronischen Gerät, mit welchem persönliche Daten bearbeitet wurden oder welches zur Kommunikation genutzt wurde, sollten vor Verkauf oder Rückgabe gründlich die eigenen Daten mit einem Löschprogramm gelöscht werden.

 

Zurück zum vorherigen Kapitel Zum Inhaltsverzeichnis Zum nächsten Kapitel