Moin,
Die Daten sind "relativ" einfach wieder herzustellen. Beim einfachen Formatieren wird nur das Inhaltsverzeichnis gelöscht. Mit geeigneter Software kann alles wiederhergestellt werden.
Um Daten definitiv zu löschen, gibt es im Festplattendienstprogramm ein Kreuzchen für sicheres löschen. Die Platte wird dann mehrfach mit Mülldaten überschrieben. Das dauert SEHR lange. Stunden.
Bei einem EINMALIGEN Überschreiben der Daten ist die Frage, wie dringend die Polizei die Daten haben möchte. Es ist dann noch möglich, aus Differenzen der Ladung zu ermitteln, welchen Wert ein Bit früher gehabt hat.
Beispiel:
Eine "0" sollte 0 Volt entsprechen.
Eine "1" sollte 5 Volt entsprechen.
Der Rechner misst der Einfachheit halber, ob der Wert über oder unter 2.5 Volt liegt. Deswegen sind die praktischen Werte etwas ungenauer:
0 Volt: Ist 0 und war vorher 0.
0,3 Volt: Ist 0, war aber vorher 1.
4,7 Volt: Ist 1, war vorher 0.
5 Volt: Ist 1 und war vorher 1.
Ein normales Formatieren überschreibt aber die Daten gar nicht. Nur den wichtigen Teil. Ist ja auch daran zu erkennen, daß 30-Gigabyte-schreiben ziemlich lange dauert, während Formatieren binnen Sekunden durch ist.
Zum Thema der Erforschung:
Nachdem man die rohen Daten auf der Festplatte gelesen und in einem soliden 20-Gigabyte-Block beisammen hat, kann man dann versuchen, alles wieder in einzelne Dateien zu zerlegen. Das ist "relativ" einfach, weil die meisten Dateitypen schon an den ersten paar Bytes identifiziert werden können. Auch dann, wenn Dateityp, Extension und Name verloren gegangen sind. Das geht unter Unix/Linux/MacOSX z.B. mit dem Tool "file" in der Kommandozeile:
Code:
> file a*
a4f3ad9bff3803299c3f5573fb447551.png: PNG image data, 505 x 70, 8-bit colormap, non-interlaced
abcdefg.jpg: JPEG image data, JFIF standard 1.01
achilles T1.zip: Zip archive data, at least v2.0 to extract
ac-prcbt.rar: RAR archive data, v14, os: Win32
adigo.gif: GIF image data, version 89a, 394 x 436
Das Resultat wäre das gleiche gewesen, hätten die Dateien einfach "djshfjkasdhf" gehiessen.
Da Dateien meist in einem Block auf der Platte stehen, alle Teile brav hintereinander, kann man von den meisten Dateien zumindest soviel wiederherstellen, daß ausreichend große Fragmente entstehen. Das heisst dann vielleicht nicht, daß man eine Word-Datei ohne Crash in Word aufbekommt - aber das große Teile des Textes im Hexdump lesbar sind. Oder ein mp3 anhörbar. Oder die ersten 2 Minuten eines Movies guckbar.
Generell ist die sicherste Methode ein verschlüsseltes Dateisystem, hier greifen die meisten Tricks ins Leere. Nennt sich auf dem Mac FileVault oder so. Inwieweit allerdings die Polizei rechtliche Handhabe hat (Beugehaft oder so), das Passwort zu erzwingen statt es zu "hacken" entzieht sich meiner juristischen Kenntnis.
Heisst für Dich, unterm Strich:
Wenn das iBook formatiert und neu bespielt wurde, kommt es darauf an, wieveil wirklich physikalisch überschrieben wurde. War das Book voll mit mp3s und es wurde bloß ein kleines, neues System überspielt, ist noch sehr viel übrig.
Ist das Book nur formatiert, also die Platte "leer", ist fast alles kompromittierende zu finden.
In beiden Fällen kommt es darauf an, wie genau die hingucken. Es gibt kein Programm, welches 1-2-3 alles anzeigt, was drauf war. Für eine professionelle Software, wie sie in der Datenrettung eingesetzt wird, ist das eher ein Klacks. Da die Polizei auch nach Kinderpornos u.ä. ermittelt, würde ich davon ausgehen, daß eine solche Software vorhanden ist - ob du "wichtig" genug bist, sie einzusetzen, ist eine andere Frage. Allein fürs Lesen der Daten muß der Rechner dann schon einen Tag in die Mangel genommen werden.
Gruß,
Ratti
P.S.:
Alle Worte in Anführungszeichen wie "relativ einfach" oder "problemlos" beziehen sich auf die Werkzeuge und die Erfahrung, die professionelle Datenretter im Einsatz haben. Es ist völlig sinnlos, daß Otto Normaluser mich jetzt anmailt, er hätte seine Platte gekillt und ich hätte geschrieben, das Problem sei "einfach" zu lösen. Nein, DU warst nicht gemeint. ;-)
