Dateisysteme im Überblick

Fast jede Frage, die ein Prüfer zu einem Computer, einem Telefon oder einer Speicherkarte beantwortet, führt über dessen Dateisystem. Das Dateisystem bestimmt, wo Daten gespeichert werden, wie sie heißen, wann sie geändert wurden und was bei ihrer Löschung geschieht. Wenn Sie diese Abläufe kennen, verstehen Sie eine der nützlichsten Tatsachen der Forensik: Gelöschte Daten lassen sich häufig noch finden. Zeitstempel werden in einer eigenen Lektion behandelt (Lektion 6.2), und die von Programmen und Benutzern hinterlassenen Spuren werden in Lektion 6.3 behandelt.

Was ein Dateisystem leistet

Ein Speichergerät ist eine lange Reihe nummerierter Sektoren mit meist jeweils 512 oder 4.096 Bytes. Für sich genommen enthält es keine Dateien oder Ordner. Ein Dateisystem organisiert diesen Speicherplatz und verwaltet vier Dinge:

• Namen und Ordner: die Hierarchie, die ein Benutzer sieht, beispielsweise Documents\Invoices\march.xlsx.
• Metadaten: Angaben zu jeder Datei, etwa ihre Größe, Zeitstempel, Eigentümer und Berechtigungen.
• Zuordnung: welche Bereiche des Datenträgers den Inhalt der einzelnen Dateien enthalten.
• Freier Speicherplatz: welche Bereiche des Datenträgers für neue Daten verfügbar sind.

Speicherplatz wird in Clustern (Windows) oder Blöcken (Linux und macOS) zugeteilt: Gruppen von Sektoren, die die kleinste Einheit bilden, die eine Datei belegen kann, häufig 4 KiB. Eine Datei mit 10 KiB belegt daher drei Cluster mit jeweils 4 KiB. Der ungenutzte Bereich des letzten Clusters kann zu einem wichtigen Beweismittel werden, wie weiter unten erläutert wird.

Partitionen und Volumes

Bevor ein Dateisystem angelegt wird, wird ein Datenträger in Partitionen unterteilt, die durch eine Partitionstabelle am Anfang des Datenträgers beschrieben werden.

• MBR (Master Boot Record), das ältere Schema, ermöglicht vier primäre Partitionen und bei Sektoren mit 512 Bytes Datenträger mit bis zu 2 TiB.
• GPT (GUID Partition Table), das von modernen Computern verwendet wird, die mit UEFI starten, unterstützt wesentlich größere Datenträger und viele Partitionen und hält am Ende des Datenträgers eine Sicherungskopie der Tabelle vor.

Ein Volume ist eine Partition oder eine Gruppe von Partitionen, die ein Dateisystem enthält. Ein einzelner Laptop-Datenträger enthält üblicherweise mehrere: eine kleine Startpartition, eine Wiederherstellungspartition und das Hauptvolume. Ein physisches Abbild (Modul 4) erfasst sie alle, einschließlich des Speicherplatzes zwischen den Partitionen, der keiner Partition zugeordnet ist.

Dateisysteme, denen Sie begegnen werden

Ältere Macs und einige externe Laufwerke verwenden HFS+, den Vorgänger von APFS. Es ist wichtig, das Dateisystem frühzeitig zu erkennen, da es bestimmt, welche Werkzeuge das Volume lesen können, wie sich gelöschte Daten verhalten und wie Zeitstempel interpretiert werden müssen.

NTFS und FAT im Detail

NTFS: die Master File Table

NTFS führt eine Master File Table (MFT), eine spezielle Datei, die für jede Datei und jeden Ordner auf dem Volume einen Datensatz von üblicherweise 1 KiB enthält. Jeder Datensatz enthält Attribute, darunter $STANDARD_INFORMATION (Zeitstempel und Flags), $FILE_NAME (den Namen, den übergeordneten Ordner und einen weiteren Satz von Zeitstempeln) und $DATA (den Inhalt). Sehr kleine Dateien können vollständig in ihrem MFT-Datensatz gespeichert werden; dies wird als residente Daten bezeichnet. Bei größeren Dateien liegt der Inhalt in Clustern an anderer Stelle, deren Positionen im Datensatz aufgeführt sind. NTFS führt außerdem Journale über kürzlich erfolgte Änderungen, etwa $LogFile und das Änderungsjournal $UsnJrnl, die bei Untersuchungen auf Prüferniveau zur Rekonstruktion von Aktivitäten genutzt werden.

FAT: Verzeichniseinträge und die Dateizuordnungstabelle

FAT speichert den Namen, die Größe, die Zeitstempel und den Startcluster jeder Datei in einem Verzeichniseintrag innerhalb ihres übergeordneten Ordners. Die Dateizuordnungstabelle selbst ist eine Liste mit einem Eintrag pro Cluster, die jeden Cluster einer Datei mit dem jeweils nächsten verkettet. Diese einfache Struktur sorgt dafür, dass FAT auf fast jedem Gerät leicht lesbar ist und sich leicht von Hand untersuchen lässt.

Zugeordneter und nicht zugeordneter Speicherplatz sowie Dateiverschnitt

• Zugeordneter Speicherplatz gehört zu vorhandenen Dateien und ist das, was ein Benutzer oder eine logische Kopie sieht.
• Nicht zugeordneter Speicherplatz ist als frei markiert. Er ist nicht zwangsläufig leer: Häufig enthält er den Inhalt gelöschter Dateien und Fragmente älterer Daten.
• Dateiverschnitt ist der ungenutzte Speicherplatz zwischen dem Ende einer Datei und dem Ende ihres letzten Clusters. Er kann Überreste dessen enthalten, was diesen Cluster zuvor belegt hat.

Nur ein physisches Abbild oder ein Volume-Abbild (Modul 4) erhält nicht zugeordneten Speicherplatz und Dateiverschnitt. Dies ist einer der Gründe, weshalb Prüfer solche Abbilder bevorzugen, wenn gelöschte Daten relevant sein könnten.

Was beim Löschen tatsächlich geschieht

Wenn eine Datei im Windows-Explorer oder im Finder von macOS gelöscht wird, wird sie normalerweise in den Papierkorb verschoben, der lediglich ein weiterer Ordner ist. Das Leeren des Papierkorbs oder das direkte Löschen verändert die Datensätze des Dateisystems und nicht den Inhalt:

• In NTFS wird der MFT-Datensatz als nicht verwendet markiert, und die Cluster der Datei werden als frei markiert. Der Inhalt bleibt an seiner bisherigen Stelle, bis er durch neue Daten überschrieben wird. Auch der MFT-Datensatz selbst kann noch eine Zeit lang erhalten bleiben.
• In FAT wird das erste Zeichen des Namens im Verzeichniseintrag durch das Byte E5 (hexadezimal) ersetzt, und die Clusterkette der Datei in der Dateizuordnungstabelle wird gelöscht. Der Inhalt bleibt in der Regel erhalten, aber es wird schwieriger, alle Teile einer fragmentierten Datei zu finden.

Gelöschte Daten lassen sich daher auf Festplatten und Speicherkarten häufig wiederherstellen. Bei Solid-State-Laufwerken kann TRIM (Modul 1) dazu führen, dass das Laufwerk freigegebene Blöcke kurz nach dem Löschen löscht. Dass auf einer SSD keine gelöschten Daten vorhanden sind, ist daher zu erwarten und nicht verdächtig.

File Carving

Wenn die Datensätze des Dateisystems nicht mehr vorhanden sind, lassen sich Inhalte unter Umständen noch durch Carving finden: Dabei werden Rohdaten, üblicherweise im nicht zugeordneten Speicherplatz, nach bekannten Signaturen durchsucht, die den Anfang und das Ende von Dateitypen kennzeichnen. Ein JPEG-Bild beginnt mit den Bytes FF D8 FF und endet mit FF D9; eine PDF-Datei beginnt mit dem Text %PDF; DOCX- und XLSX-Dateien sind ZIP-Archive, die mit den Buchstaben PK beginnen. Durch Carving wiederhergestellte Dateien haben weder ihren ursprünglichen Namen noch ihren ursprünglichen Ordner oder ihre Dateisystem-Zeitstempel. Fragmentierte Dateien können unvollständig oder mit anderen Daten vermischt wiederhergestellt werden. Daher müssen Carving-Ergebnisse überprüft und im Bericht entsprechend eingeordnet werden.

Ein Praxisbeispiel

Eine Speicherkarte aus der Kamera einer Fotografin ist mit exFAT formatiert. Die Eigentümerin gibt an, vor Wochen eine Reihe von Fotos gelöscht und seitdem viele weitere Bilder aufgenommen zu haben. Der Prüfer erstellt über einen Schreibblocker ein Abbild der Karte und findet die verbliebenen Verzeichniseinträge einiger gelöschter Dateien mit Namen und Größen. Durch Carving des nicht zugeordneten Speicherplatzes werden Dutzende weitere JPEGs ohne Namen wiederhergestellt. Einige durch Carving wiederhergestellte Bilder sind teilweise grau, weil ihre Cluster durch neuere Fotos überschrieben wurden. Der Bericht trennt Fotos, die mit ihren Dateisystem-Metadaten wiederhergestellt wurden, von durch Carving wiederhergestellten Fotos und hält fest, dass Datumsangaben für durch Carving wiederhergestellte Fotos nur aus Daten innerhalb der Bilder selbst stammen können.

Prüfungsschwerpunkt: Die Fragen beginnen damit, was ein Dateisystem verwaltet (Namen, Metadaten, Zuordnung, freier Speicherplatz), mit Clustern und Blöcken, MBR im Vergleich zu GPT sowie den Einsatzbereichen von NTFS, FAT32, exFAT, ext4 und APFS. Sie sollten die NTFS-Master File Table und residente Daten, FAT-Verzeichniseinträge und die Dateizuordnungstabelle sowie den Unterschied zwischen zugeordnetem Speicherplatz, nicht zugeordnetem Speicherplatz und Dateiverschnitt kennen. Eine typische Frage lautet, was das Löschen in NTFS und FAT verändert. Andere Fragen behandeln, warum SSDs häufig keine gelöschten Daten vorhalten und was sich durch Carving wiederherstellen lässt und was nicht.