SSD
Halbleiterlaufwerk
Solid State Drive
Eine SSD speichert Daten in Flash-Speicherzellen ohne bewegliche Teile und ist damit schneller und robuster als eine magnetische Festplatte. Für die Forensik bringt sie jedoch eine Tücke mit: Mechanismen wie TRIM und interne Speicherverwaltung können gelöschte Daten eigenständig und schnell endgültig vernichten. Das macht die Beweissicherung anspruchsvoller als bei einer HDD.
Historie & Fakten. Anders als bei einer HDD bleiben gelöschte Daten auf einer SSD oft nicht erhalten: Über den TRIM-Befehl meldet das Betriebssystem freigegebene Blöcke, die der Controller dann eigenständig leert, um die Schreibleistung zu erhalten. Zudem verteilt die interne Verwaltung (Wear-Leveling) Daten so über die Zellen, dass der logische und der physische Speicherort auseinanderfallen. Beides erschwert die klassische Rekonstruktion gelöschter Inhalte erheblich.
Ausblick & Empfehlung. Für die Forensik bedeutet das: Zeit ist kritisch, und das Vorgehen muss SSD-Eigenheiten berücksichtigen — ein angeschlossenes, weiterlaufendes Laufwerk kann Daten selbsttätig vernichten. Ein zügiges, methodisch sauberes Imaging mit Schreibschutz ist umso wichtiger. Umgekehrt erschwert dieselbe Mechanik das gezielte, vollständige Löschen einzelner Dateien, weshalb für sicheres Wiping bei SSDs die herstellerseitigen Verfahren maßgeblich sind.