Der momentane Trend hin zu Solid State Drives (SSDs) als Speichermedien könnte IT-Forensiker und in der Folge Gerichte vor Probleme stellen. Das behauptet eine Forschergruppe aus Australien. Diese kommt zu dem Schluss, dass gelöschte Daten auf SSDs teilweise von selbst komplett unbrauchbar werden, was diejenigen, die diese Daten als Beweismittel benötigen, vor neue Herausforderungen stellt.
SSDs sind momentan insbesondere für Laptops im Kommen, da sie schnellere Zugriffe erlauben als herkömmliche Festplatten, unempfindlicher gegen Erschütterungen sind und Strom sparen. Für IT-Forensiker jedoch bringt dieser Trend, glaubt man einem nun in Australien veröffentlichten Forschungsbericht, neue Probleme mit sich. Als gelöscht markierte Daten auf SSDs sind oftmals nicht wiederherstellbar. Dies liegt in der Technik von SSDs begründet. Die Forscher stellten fest, dass diese Daten auf SSDs sogenannter "Selbst-Korrosion" unterliegen. Dabei werden Datenbits gelöscht oder permanent verändert, ohne dass der Benutzer darauf Einfluss hat. Auf traditionellen Festplatten tritt dieses Problem nicht auf.
Die Wissenschaftler der australischen Murdoch University vermuten, dass durch dieses Phänomen eine rechtliche Grauzone bei IT-forensischen Beweisen eingeführt wird. "Es erscheint möglich, dass das goldene Zeitalter für forensische Wiederherstellung und Analyse von gelöschten Daten und gelöschten Metatdaten nun endet," heißt es in dem Forschungsbericht.
Bei herkömmlichen Speichermedien wie Festplatten, aber auch den für Backups benutzten Magnetbändern, lassen sich auch gelöschte Daten oft wiederherstellen, wenn diese nicht überschrieben wurden. SSDs funktionieren allerdings in dieser Beziehung anders. Dort reicht es nämlich nicht aus, Sektoren einfach als "gelöscht" zu markieren. Die Bereiche auf den verwendeten NAND-Transistor-Chips lassen sich erst wiederverwenden, wenn sie tatsächlich elektronisch gelöscht werden. Dies wird daher von der Firmware meist automatisch im Hintergrund erledigt, sobald Dateien zur Löschung markiert sind. Selbst wenn die Platte gerade forensisch untersucht wird und daher mit einem Schreibschutz versehen ist, schützt das nach den Erkenntnissen des Forscherteams nicht vor weiteren "Aufräumaktionen". Dabei, so der Forschungsbericht, könnten wertvolle Beweise vernichtet werden.
Die Wissenschaftler merken außerdem an, dass die Manipulation eines Datenträgers nach dessen Beschlagnahmung oftmals ein Grund für die Verteidigung sei, die Beweiskraft des fraglichen Datenträgers in Frage zu stellen. Bei SSDs sei es aber praktisch unmöglich, zu beweisen, dass keine vorsätzliche Manipulation stattgefunden habe, da die Daten sich stets durch automatisierte Prozesse verändern und Mittel wie Hash-Summen somit unbrauchbar werden.
Quelle: Gulli
