File Carving — Wiederherstellung von Dateien anhand ihrer Struktur

File Carving ist eine forensische Technik, mit der sich Dateien aus Rohdaten rekonstruieren lassen — auch dann, wenn das Dateisystem keine Verweise mehr enthält. Statt sich auf Verzeichniseinträge zu verlassen, sucht das Verfahren nach charakteristischen Signaturen und Strukturen, die den Anfang und das Ende einer Datei kennzeichnen. So werden gelöschte oder verwaiste Daten sichtbar.

Historie & Fakten. Wenn eine Datei gelöscht wird, verschwindet meist nur der Verweis im Dateisystem, während der Inhalt zunächst auf dem Datenträger verbleibt. File Carving durchsucht den Rohbestand nach bekannten Datei-Signaturen („Magic Bytes“) und typischen Strukturen und setzt daraus Dateien wieder zusammen — unabhängig von Dateinamen oder Verzeichnissen. Besonders ergiebig ist das auf magnetischen Festplatten; auf SSDs kann TRIM die Reste schnell vernichten. Ausblick & Empfehlung. File Carving ist mächtig, aber kein Selbstläufer: Fragmentierte oder teilweise überschriebene Dateien lassen sich nur unvollständig rekonstruieren, und das Verfahren erzeugt auch Fehltreffer. Es ergänzt die dateisystembasierte Analyse, ersetzt sie aber nicht. In der Praxis ist es ein wertvolles Werkzeug, um gelöschte Beweise — etwa abgeflossene Dokumente oder Schadsoftware-Reste — wieder zugänglich zu machen.

Auch interessant