Gutmann-Methode

Der Hintergrund, dass Daten überschrieben werden, um sie zu löschen, anstatt die normalen Löschfunktionen der Betriebssysteme zu nutzen, liegt darin, dass üblicherweise Betriebssysteme lediglich in den Dateimetadaten bzw. dem Verzeichniseintrag einen Vermerk setzen, dass die Datei gelöscht wurde. Die eigentlichen Daten bleiben dabei unangetastet.

Der Grund der vielfachen Überschreibung ist wiederum, dass die an die Festplatte gelieferten Daten zur zuverlässigen Speicherung umkodiert auf das Magnetmedium geschrieben werden, womit erreicht werden soll, dass mittels der so eingebrachten zusätzlichen Bits eine Fehlerkorrektur beim Lesen möglich wird. Um an jeder Stelle des Mediums eine mehrfache, d. h. mindestens zwei-, besser dreifache Ummagnetisierung zu erreichen, was zur Verhinderung von Rückschlüssen auf den ursprünglichen Wert mittels technisch aufwendiger Messungen erforderlich ist, müssen für jedes mögliche Kodierungsverfahren eine höhere Anzahl von Datenmustern an die Festplatte geliefert werden.

Wenn eine Datei normal gelöscht wird, wird lediglich der Speicherort als frei markiert. Die Daten selbst sind also weiterhin vorhanden. Erst wenn dieser freie Speicherplatz überschrieben wird, kann kein Programm mehr die Daten lesen. Es ist jedoch in der Theorie möglich, durch aufwendiges Messen des Restmagnetismus diese Daten zu bestimmen. In der Praxis konnten jedoch schon nach einmaligem Überschreiben keine Daten ausgelesen werden.^[2][4]

In einer Veröffentlichung aus dem Jahr 2003 von Daniel Feenberg^[4] wird Kritik an Gutmanns Dokument geübt. Feenberg ist den im Dokument erwähnten Referenzen nachgegangen und stellte fest, dass keine der Behauptungen bezüglich der Wiederherstellung von Daten jemals praktisch erfolgreich war. Die zitierten Personen haben zum Teil an ganz anderen Problemen gearbeitet als von Gutmann beschrieben.

Die Gutmann-Methode verwendet folgende Durchgänge, wovon 27 auf bestimmte, heute veraltete, Leitungscodes abzielen:

Mittlerweile besitzen IDE- und SCSI-Festplatten eine eigene Logik, z. B. können defekte Sektoren stillschweigend als defekt markiert und von der weiteren Verwendung ausgeschlossen werden. Dabei könnten alte Daten auf diesen vielleicht noch rekonstruiert werden.

Angesichts der Entwicklung bei Schreibverfahren von magnetischen Datenträgern ist das Verfahren in seiner Gänze heute nur noch von historischer Bedeutung, da dessen Entwicklung noch auf inzwischen nicht mehr verwendete Kodierungsverfahren wie Modified Frequency Modulation (MFM) und Run Length Limited (RLL) abzielte. Bei aktuellen Schreib- und Kodierungsverfahren geht man schon aufgrund der seit 1996 enorm gestiegenen Datendichte davon aus, dass auch wesentlich weniger Überschreibungen ausreichen, um eine physikalische Aufbereitung (mit spezieller Hardware) zu verhindern. Zudem beeinflussen sich die Datenblöcke teilweise gegenseitig, was die Auswertung erschwert bis unmöglich macht.

Des Weiteren benutzen moderne Dateisysteme das so genannte Journaling, wodurch ein Benutzer nicht wissen kann, wo seine Daten geschrieben werden, so dass ein garantiertes Überschreiben sämtlicher Datenblöcke einer Datei (ohne weitere Kernelerweiterungen) unmöglich ist. Dieses Problem tritt nur auf, wenn Dateien eines gemounteten Dateisystems gelöscht werden sollen. Eine nicht gemountete Partition oder Festplatte zu löschen, ist hingegen möglich.

• Peter Gutmann: Secure Deletion of Data from Magnetic and Solid-State Memory. University of Auckland, 22. Juli 1996; abgerufen am 14. April 2020 (englisch).
• Peter Gutmann: cryptlib Encryption Toolkit. University of Auckland, 16. Juni 2004; abgerufen am 14. April 2020 (englisch).
• Harald Bögeholz: Sicheres Löschen: Einmal überschreiben genügt. In: Heise online. 16. Januar 2009; abgerufen am 14. April 2020.