Slack Space
Ungenutzter Restbereich von Speicherblöcken
Slack Space
Slack Space ist der ungenutzte Platz zwischen dem Ende einer Datei und dem Ende des letzten von ihr belegten Speicherblocks. Weil Speicher in festen Blockgrößen vergeben wird, bleibt fast immer ein Rest übrig — und dieser Rest kann Fragmente früherer Daten enthalten. Für die Forensik ist er eine oft übersehene Fundgrube.
Historie & Fakten. Belegt eine Datei einen Block nur teilweise, wird der Block dennoch ganz reserviert; der unbeschriebene Rest behält in vielen Dateisystemen die Inhalte, die zuvor dort standen. So können in Slack Space Reste gelöschter Dateien überdauern, lange nachdem das Dateisystem sie als entfernt verbucht hat. Genau das macht ihn für die Untersuchung wertvoll — und zugleich zu einem möglichen Versteck, etwa im Rahmen antiforensischer Techniken.
Ausblick & Empfehlung. Slack Space wird nur dann erfasst, wenn forensisch korrekt gearbeitet wird: Ein bitgenaues Image sichert ihn mit, eine normale Dateikopie nicht. Für die Verteidigung folgt daraus, dass „löschen“ nicht „verschwinden“ bedeutet — wer Daten sicher beseitigen will, muss den belegten Platz tatsächlich überschreiben (Wiping). Für Ermittler ist Slack Space eine wertvolle, weil oft unbeachtete Quelle.