12 Spuren, die Windows nach dem Löschen einer Datei behält

Eine Datei löschen heißt nicht, die Spur zu löschen

Beim Löschen markiert NTFS nur den Eintrag in der Master File Table als frei und blendet die Daten aus der Ordneransicht aus; die Sektoren behalten ihren alten Inhalt, bis sie überschrieben werden. Diesen Teil kennen die meisten. Was fast niemand einrechnet, ist das Umfeld: rund ein Dutzend Windows-Komponenten haben unabhängig voneinander den Dateinamen, die Vorschau und die Tatsache des Öffnens notiert — und keine von ihnen wurde über das Löschen informiert.

Explorer, Suche, Office und die Shell führen eigene Listen, optimiert auf Komfort statt auf Privatsphäre. Die Frage nach dem Löschen eines sensiblen Dokuments lautet daher nie nur „ist die Datei weg“, sondern „wer hat ihren Namen noch aufgeschrieben“.

Die 12 Spuren: von offensichtlich bis versteckt

Die oberste Schicht begegnet Ihnen täglich. Die Listen zuletzt verwendeter Dateien und die Sprunglisten speichern vollständige Pfade jeder geöffneten Datei unter %APPDATA%\Microsoft\Windows\Recent — inklusive der AutomaticDestinations-Dateien, die die Rechtsklick-Menüs der Taskleiste füttern. Der Miniaturbild-Cache (thumbcache_*.db unter %LOCALAPPDATA%\Microsoft\Windows\Explorer) bewahrt Vorschauen von Bildern und Videos lange nach dem Verschwinden der Originale auf. Der Papierkorb ist sogar eine Kopie der Datei, und Shift+Entf leert ihn beileibe nicht.

Tiefer liegt die Buchhaltung: Der Suchindex (Windows.edb) hält Dateinamen für die Schnellsuche bereit; das USN-Änderungsjournal protokolliert jedes Anlegen, Umbenennen und Löschen in NTFS; Prefetch-Dateien (.pf) merken sich Namen gestarteter Programme und berührter Dateien; Office und Adobe pflegen eigene Zuletzt-verwendet-Listen in der Registry; hiberfil.sys und die Auslagerungsdatei können Kopien von Dokumenten enthalten, die beim Sperren oder Absturz offen waren, und Speicherabbilder tun dasselbe; Systemwiederherstellung und Dateiversionsverlauf können komplette frühere Versionen besitzen — und OneDrive bewahrt die „gelöschte“ Datei mindestens 30 weitere Tage im Cloud-Papierkorb auf.

• Zuletzt verwendete Dateien und Sprunglisten — %APPDATA%\Microsoft\Windows\Recent, volle Pfade zu jeder geöffneten Datei
• Miniaturbild-Cache — thumbcache_*.db unter %LOCALAPPDATA%\Microsoft\Windows\Explorer, Vorschauen gelöschter Bilder
• Suchindex — die Datei Windows.edb hält indizierte Dateinamen für die Schnellsuche
• USN-Journal — $Extend\$UsnJrnl:$J, das NTFS-Protokoll zu angelegten, umbenannten und gelöschten Dateien
• Prefetch — %SystemRoot%\Prefetch\*.pf, Namen gestarteter Programme und der von ihnen berührten Dateien
• Speicherschnappschüsse — hiberfil.sys, pagefile.sys und Absturzabbilder können Kopien offener Dokumente enthalten

Wie man die Spur wirklich beseitigt

Beginnen Sie mit der sichtbaren Schicht: Papierkorb leeren, Liste zuletzt verwendeter Dateien bereinigen und in den Ordneroptionen „Zuletzt verwendete Dateien“ deaktivieren, damit sich die Liste nicht sofort wieder füllt. Miniaturcache, Suchindex und Prefetch lassen sich gefahrlos über die Datenträgerbereinigung oder die Speicherseite in den Einstellungen leeren — sie bauen sich schlicht neu auf, auf Kosten eines einmaligen Mehraufwands. Die tiefe Schicht verlangt gezielte Handgriffe: powercfg /h off entfernt hiberfil.sys, den OneDrive-Cloud-Papierkorb leeren Sie im Browser, und alte Wiederherstellungspunkte trimmen Sie in den Einstellungen zum Systemschutz.

Nichts davon ist schwer, aber es jedes Mal von Hand zu erledigen ist Purismus — deshalb sind in Kleaner PRO all diese Spuren zu einer einzigen Privatsphäre-Kategorie gebündelt, und die Reinigung vor dem Verkauf des Laptops dauert eine Minute statt einen Abend. Es geht nicht um Paranoia, sondern um die Einsicht: „gelöscht“ und „nicht mehr nachvollziehbar“ sind auf Windows zwei verschiedene Zustände.

Fragen und Antworten

Weiterlesen