Festplatte sicher löschen - mit Secure Eraser 1x, 8x oder nur 1x Daten drüber kopieren?

[Maitry]

Hallo!
Um alles was auf einer 1,5 TB HDD war sicher zu löschen habe ich mit secure eraser "freien Speicher sicher löschen" gemacht.
(Nachdem ich sie schnell formatiert hatte)
Hier wird
1) MFT überschrieben
2) Change Journal geleert
3) freier Speicher / Slackspace überschrieben

Bei 1 fach überschreiben dauerte Punkt 1 ca 10 Stunden und Punkt 3 nochmal ca 10 Stunden.
Punkt 2 habe ich abgebrochen, da war nach ner halben Stunde noch nicht mal 0,1 Prozent erreicht.....
Wieso dauert das so lange? Was macht dieses Programm da?

Wenn ich die 1,5 TB mit wahllosen Daten überschreibe geht das in 2 oder 3 Stunden !
Damit habe ich die HDD auch kompett 1x überschrieben. Reicht das nicht auch?
Da wird doch auch die MFT komplett überschrieben und der komplette Speicherplatz.
Was ist mit dem Change Journal? Das wir doch auch überschrieben oder?
Also reicht das nicht ? Oder muss ich unbedingt diesen Eraser nehmen, der weit über 20 Stunden dazu braucht ?

Und dieses Drüberkopieren von Daten kann ich auch nach Belieben wiederholen !

-----------------
Ferner: Wie oft soll man überschreiben?
Ein Datenrettungsunternehmen sagte mir mal wenn 1x überschrieben ist können sie nix mehr wieder herstellen.
Bei heutigen HDDs im Terrabyte Bereich liest man 8x Überschreiben wäre sicher.
Das ist doch alles nur Theorie oder? Ist es jemals wo gelungen nach 1 oder 2 maligem Überschreiben die ursprünglichen Bits wieder herzustellen?

 

[AdoK]

Siehe Sicher Löschen: Daten von Festplatten, SSDs und Handys entfernen und/ oder Sicheres Löschen: Einmal überschreiben genügt

 

[Yuuri]

https://www.heise.de/security/meldung/Sicheres-Loeschen-Einmal-ueberschreiben-genuegt-198816.html

 

[Maitry]

Ok belassen wirs bei einem Mal.

Jetzt will ich nur noch wissen ob beim Drüberkopieren von Daten auch diese Journal überschrieben wird ?
Und warum der Sec Eraser so lange braucht?

 

[Nureinnickname!]

Noch einfacher wäre es die Festplatte mit Veracrypt und einem sagen wir 30 Stelligen Passwort zu verschlüsseln, und dann wieder normal zu formatieren, sind auch alle dateien die vorher drauf waren mit ziemlich hoher sicherheit wohl nahezu 100% verloren.

 

[7MGR6C]

-------

 

[Jesterfox]

Jetzt will ich nur noch wissen ob beim Drüberkopieren von Daten auch diese Journal überschrieben wird ?
Und warum der Sec Eraser so lange braucht?

Wenn du das Überschreiben direkt auf HDD Ebene machst (z.B. die Variante mit nem live Linux und "dd" Kommando) und nicht mit der formatierten Partition, dann ja. Der Sec Erase bracht wahrscheinlich so lange weil er das ganze auf NTFS Ebene macht und erst den Inhalt löscht und dann auch noch das Journal löschen muss. Dafür geht diese Variante auch bei Partitionen die noch Daten enthalten die nicht gelöscht werden sollen, da nur der freie Platz überschrieben wird (und die Spuren im Dateisystem entfernt werden)

@onx : selbst Profis können nach einmaligen Überschreiben nur noch einzelne Bits mit einer nicht besonders hohen Wahrscheinlichkeit wiederherstellen...

 

[Maitry]

Wenn du das Überschreiben direkt auf HDD Ebene machst (z.B. die Variante mit nem live Linux und "dd" Kommando) und nicht mit der formatierten Partition, dann ja.

Was heißt auf HDD Ebene?
Also wenn ich jetzt die HDD mit Daten voll kopiere, ist dann immer noch irgendwas von meinen vorherigen Daten da? Dateinamen etc... Das sollte nicht sein !
Wird dieses Journal nicht überschrieben wenn ich die Platte komplett fülle?

 

[Jesterfox]

Das du direkt die Platte beschreibst, unabhängig davon was an Partitionen drauf ist. Wenn du Dateien auf die Partition kopierst überschreibst du nur den Platz der vom NTFS Dateisystem für Daten frei ist. Das Journal ist aber ein Teil des Dateisystems an den du so nicht rankommst da er intern selber verwaltet wird. Deswegen eben ein Tool nehmen das nicht die Partition als Ziel nimmt sondern direkt die Platte (der Weg über "dd" mit Linux ist so eine Variante, da kannst du mit /dev/sda direkt die Platte als Ziel angeben). Das Ergebnis ist dann das danach durch das überschreiben selbst die Partition mit dem Dateisystem verschwunden ist weil das alles mit überschrieben wurde.

 

[Maitry]

Das du direkt die Platte beschreibst, unabhängig davon was an Partitionen drauf ist. Wenn du Dateien auf die Partition kopierst überschreibst du nur den Platz der vom NTFS Dateisystem für Daten frei ist. Das Journal ist aber ein Teil des Dateisystems an den du so nicht rankommst da er intern selber verwaltet wird. Deswegen eben ein Tool nehmen das nicht die Partition als Ziel nimmt sondern direkt die Platte

DH Partition löschen und neue Partition erstellen löscht das Journal auch nicht.
Mit FAT formatieren - einmal ausführlich? Mit ReFS?
Und Low Level Format?

Von diesem Journal hab ich noch nie was gelesen bezüglich Daten sicher löschen.
Ich will das keine Dateinamen oder irgendwelche Logs mehr zu finden sind....
Dann muss es wohl die Linux Methode sein...
Weil der Sec Eraser braucht wohl Tage um das Journal zu löschen....

 

[Jesterfox]

In den meisten Fällen ist das Journal auch egal weil viele Tools entsprechend "low Level" löschen (DBAN usw.). Das secure erase was du da hast ist eher die Ausnahme, eben deshalb weil es speziell nur leeren Speicher überschreiben kann wenn ansonsten auch noch Daten auf der Platte sind die nicht mit gelöscht werden sollen.

Mit FAT formatieren und dann einmal vollschreiben mit Müll müsste auch gehen... FAT hat kein Journal. Aber am sichersten ist eben der Weg über dd oder ein anderes Tool das das ganze auf unterster Ebene macht (ein low Level Format der alles überschreibt wäre auch so etwas... wobei man einen echten low Level nicht mehr machen kann und ansonsten machen die Tools dann auch nur ein vollständiges überschreiben wie es auch dd machen würde)

 

[SilenceIsGolden]

Einfach die Platte 1x mit diskpart -> clean all bearbeiten. Dadurch wird die komplette HDD 1x mit Nullen überschrieben, auch die Partitionstabelle und das vorher existierende Dateisystem inkl. Journal. Danach gibts auch nichts mehr wiederherzustellen und die Dauer des Vorgangs ist nur durch die Schreibgeschwindigkeit der HDD limitiert. Auf jeden Fall geht das in deutlich kürzerer Zeit als 10h. Low Level Format das man als Enduser ausführen kann, gibts schon lange nicht mehr. Nur Mid-Level und das ist das gleiche was diskpart mit clean all auch macht.

 

[Jesterfox]

stimmt, diskpart kann das auch

 

[Maitry]

Ich hab jetzt mal 2 HDDs (eine 200 und eine 600GB) mit Secure Eraser komplett gelöscht (alle Häkchen gesetzt!)
Danach mit Recuva (ein ganz gutes Wiederherstellungsprogramm) mal nur einen kurz Scan (keine Tiefenanalyse) - da fand das Prog hunderte Dateien aufgelistet. Allerdings ohne Namen nur die Größe wurde angezeigt.
Zustand: Excellent! Kommentar: Keine überschriebenen Cluster gefunden!
Ich konnte sie wiederherstellen - sie hatten keine Endung - aber - das meiste davon waren ehemals Bilder - nicht öffnen ! Im Editior sah man nur asiatisch aussehende Hieroglyphen. Der Code sah anders aus als ich ihn von "gewöhnlichen" Dateien her kenne...
Was auch immer das war, ich konnte Dateien wiederherstellen, mit unterschiedlicher Größe (die mich auch irgendwie an das erinnert hatten was ich zuvor draufgeschrieben hatte) - also mit Inhalt ! - Bits, Code quasi!
Und sowas dürfte danach eigentlich überhaupt nicht mehr möglich sein ! Oder?
Da darf garnix mehr zu finden sein...
In einem Support Forum für Sec Eraser schrieb Jemand (Admin war er glaub ich) das nach dem Löschen auch garnichts mehr zu finden sein soll! Außer es gab eine Fehlermeldung etc...
Das war bei mir aber nicht so. Am Ende stand da: Laufwerk .... erfolgreich gelöscht..... !!!
Das hat mich etwas irritiert.
Gut - außer Dateien die wohl von Windows auf dem Datenträger angelegt wurden (Namen z.B: $MFT, $Boot, $Secure, §IndexVolumeGuid usw..) Die finde ich jedesmal. Die werden wahrscheinlich immer existieren solange eine Partition mit Dateisystem besteht, richtig?
Weitere Tests mit Recuva und Sec Eraser folgen sobald ich Zeit habe ....

Dennoch mir ist Diskpart zum Löschen ganzer HDDs jetzt erstmal irgendwie sympatischer....

 

[Holt]

wenn ich jetzt die HDD mit Daten voll kopiere, ist dann immer noch irgendwas von meinen vorherigen Daten da? Dateinamen etc...

Ja, die Metadaten,. Eine Datei besteht eigentlich immer aus zwei Teilen, den Metadaten die das Dateisystem anlegt um die Daten der Datei verwalten zu können und eben den Daten selbst. Es gibt Ausnahmen, so speichert NTFS bei ganz kleinen Dateien den Inhalt direkt in den Metadaten, dies sieht man dann daran, dass bei Eigenschaften die Größe auf dem Datenträger 0 ist, was so natürlich nicht ganz stimmt da die Metadaten ja auch Platz brauchen, aber dort wird nur angezeigt wie viel Platz die Daten belegen.

In den Metadaten stehen Dinge wie der Name, Eigenschaften wie die Größe, das Datum der Erstellung, letzten Änderung, ggf. des letzten Zugriffs etc. und vor allem auf welchen Clustern die eigentlichen Daten stehen. Zu den Eigenschaften gehört auch ein Flag ob die Datei gelöscht ist, denn mehr als dieses Flag zu setzen, passiert beim Löschen von Dateien nicht, außer sie stehen auf einer SSD und TRIM ist aktiv, dann werden auch die ganze Cluster getrimmt auf denen die Daten der Datei liegen.

da fand das Prog hunderte Dateien aufgelistet. Allerdings ohne Namen nur die Größe wurde angezeigt.

Dann hat dieses Eraser Tool also die Filenamen überschrieben.

Zustand: Excellent! Kommentar: Keine überschriebenen Cluster gefunden!

Was nur bedeutet, dass die Liste der Cluster auf denen die gelöschten Dateien standen, eben nicht verändert wurde. Da jede Datei andere Cluster belegt hat, kann es nicht passieren, dass diese Cluster schon von Daten anderer Dateien überschrieben wurde. Aussage das keine überschriebenen Cluster gefunden wurden, ist aber falsch, die kann Recuva ja gar nicht treffen, richtig wäre es zu sagen, dass z.B. keine überlappende Cluster gefunden wurden, also keiner der Cluster von den gelöschten Dateien von Daten einer anderen Datei belegt ist.

Ich konnte sie wiederherstellen - sie hatten keine Endung - aber - das meiste davon waren ehemals Bilder - nicht öffnen ! Im Editior sah man nur asiatisch aussehende Hieroglyphen.

Was zeigt, dass die Aussage von Recuva von wegen nicht überschrieben, eben schlicht falsch ist und das Eraser Tool die Daten sehr wohl überschrieben hat. Dies kann Recuva natürlich nicht wissen, aber da der Inhalt der Dateien Müll ist, wurde die eigentlichen Daten eben sehr wohl gelöscht.

Dieser Eraser dürfte einfach die Metadaten des Filesystems nach Dateien durchsuchen welche als gelöscht markiert sind, deren Filenamen ändern, auslesen welche Cluster sie belegt haben und diese Cluster dann mit Zufallsdaten überschreiben. Deshalb dauert es dann bei ihm auch so lange.

Was auch immer das war, ich konnte Dateien wiederherstellen

Ja, aber Du hast nur Müll und keine Daten wiederherstellen können. Einzig die Größe der Dateien ist erhalten geblieben.

Und sowas dürfte danach eigentlich überhaupt nicht mehr möglich sein ! Oder?
Da darf garnix mehr zu finden sein...

Wenn Du so einen Eraser nimmt der offenbar dazu gedacht ist die Inhalte der gelöschten Dateien sicher zu entfernen und nicht das ganze Dateisystem zu löschen, dann wird genau sowas immer immer passieren. Das geht nicht anderes, man kann meines Wissens nach die Einträge für die Dateien in den Metadaten des Filesystems eben leider nicht gezielt entfernen, sondern allenfalls überschreiben.

Die finde ich jedesmal. Die werden wahrscheinlich immer existieren solange eine Partition mit Dateisystem besteht, richtig?

Die Dateien mit $ am Anfang sind die Metadaten des NTFS Filesystems.

Weitere Tests mit Recuva und Sec Eraser folgen sobald ich Zeit habe

Die werden ganz offensichtlich zu keinem anderen Ergebnis führen, denn der Eraser ist nicht dazu alles restlos zu entfernen. Wenn Du das möchtest, dann muss Du die Partition wenigstens formatieren und noch besser wäre es, einfach alles überschreiben, z.B. Diskpart und Clean All. Aber Vorsicht, nur Clean alleine reicht nicht, dies überschreibt nur die Partitionstabelle und geht daher auch sehr schnell und ebenso reicht ein Schnellformat nicht aus, dabei werden nur neue Metadaten für ein leeres Filesystem geschrieben und sonst nichts.

 

[Maitry]

Unzuverlässiges Programm !!!!
(@ Holt: Was Du geschrieben hast hab ich jetzt ganz gut verstanden...)

Ich habe jetzt weitere HDDs mit Sec Eraser gelöscht.
Diesmal liesen sich danach mit Recuva in Kürze alle (Über 1 Million) meine Dateien also deren Namen(!) und Pfad (also Namen der Ordner!) auflisten. Obwohl ich hier MFT und Journal 2 Mal überschrieben hatte!
Slackspace nur 1 mal und wie gewohnt waren auch keine Dateien mehr wiederherstellbar, da überschrieben.
ABER sämtliche Namen meiner Dateien, Größe und Ordnernamen waren diesmal aufgelistet!
Das sollte nicht sein!! Ich möchte nicht wenn ich ein Sicher-Lösch Programm nehme das jeder DAU in 20 Sekunden mit einem Freeware Tool die Namen meiner Dateien + Ordner sehen kann!
Wie kann sowas passieren? Vor allem wenn die MFT doch überschrieben wurde?

In einem anderen Fall (andere HDD) meldete Sec Eraser, das er bestimmte Dateien nicht löschen konnte... KA warum. Die blieben dann auf der Platte übrig !
Ich habe die Ordner umbenannt in kürzere Namen, dann manuell nochmal mit Sec Eraser gelöscht. Das ging dann. (Vielleicht waren dem Prog irgendwelche Pfade zu lang,...)

Aber jetzt Kommts:
Im dritten Fall einer HDD Löschung konnte ich mit Recuva nach Kurzscan 8 JPG Dateien aus meiner Bildersammlung finden und sofort makellos wiederherstellen !! Es waren Naturbilder die ich kannte. Beweise existieren als Screenshot von Recuva...
Und das obwohl Slack, MFT und Journal komplett 1mal überschrieben UND das Prog gab KEINE Fehlermeldung aus, das irgendwas nicht gelöscht werden konnte.... AM Ende kam: Laufwerk erfolgreich gelöscht.

Also das ist nicht gut ...
Das sollte man mal den Entwicklern von Sec Eraser sagen, bzw. in ein "Sec Eraser Fachforum" schreiben...

 

[Holt]

Dieser komischer Eraser ist offenbar dazu gedacht, dass man nur bestimmte Dateien damit entfernt, nicht um die ganze Partition oder Platte platt zu machen, dazu reicht ein Format (kein Schnellformat), wenn man uraltes Windows verwendet bzw. ein Clean All mit Diskpart. Das geht schneller und danach lässt sich auch nichts mehr wiederherstellen, auch keine Dateinamen mehr, es werden aber eben alle Dateien gelöscht. Wenn aber eben nicht alles platt gemacht werden soll, dann muss man anders vorgehen, eben wie dieser Eraser und dann kann er die Dateinamen allenfalls ändern, aber die Einträge der Dateien in den Metadaten des Filesystems können nicht explizit gelöscht werden.

Um die ganze Platte zu löschen, verwendest Du einfach das falsche Tool oder ggf. das Tool falsch, keine Ahnung ob dies auch einen Modus hat der einfach alles überschreibt.