Wohin gelöschte Dateien wirklich gehen: der Papierkorb von innen

Der Umzug, den Sie nie sehen

Drücken Sie im Explorer die Entf-Taste, wird die Datei nicht zerstört — sie zieht in $Recycle.Bin im Stamm derselben Platte um, in einen Unterordner, der nach der Sicherheits-ID Ihres Kontos benannt ist. Genau dieser Ordner pro Benutzer erklärt, warum in Ihrem Papierkorb nie die Löschungen anderer Konta auftauchen, selbst am gemeinsamen Rechner. Jedes gelöschte Objekt kommt als Paar an: eine $R-Datei mit dem Inhalt selbst und ein $I-Zwilling mit den Metadaten — der ursprüngliche vollständige Pfad, die Größe und der genaue Moment des Löschens. Wiederherstellen ist schlicht das Rückwärtsspielen: Der Explorer öffnet den $I-Zwilling, schiebt die $R-Datei an den aufgezeichneten Pfad zurück, legt fehlende übergeordnete Ordner auf dem Weg wieder an und entfernt das Paar.

Warum manche Löschungen den Papierkorb auslassen

Der Papierkorb ist eine Gefälligkeit mit Regeln, und die Regeln erklären jede Überraschung der Art „er hat mich nie gefragt“. Alle führen auf eine Konstruktionsentscheidung zurück: Der Papierkorb lebt pro Volume, und er hat ein Quota.

• Dateien größer als das Quota des Papierkorbs auf dieser Platte — Windows löscht sie endgültig und sagt das im Bestätigungsdialog auch
• Wechseldatenträger und Netzwerkfreigaben — dort existiert Ihr Papierkorb nicht, jede Löschung ist also endgültig
• Ein voller Papierkorb — ist das Quota erschöpft, werden die ältesten Löschungen endgültig rausgeworfen, um Platz zu machen
• Das Kontrollkästchen „Dateien nicht in den Papierkorb verschieben“ in den Eigenschaften — gelegentlich von „Optimierungs“-Suiten angehakt, mit lehrreichen Folgen
• Shift+Entf — der ausdrückliche Umweg nach draußen: Die Datei geht geradewegs in den Zustand des freigegebenen Eintrags, ohne Zwischenstopp
• Löschungen aus Anwendungen heraus — Terminals, Editoren und Mail-Programme fahren ihren eigenen Löschvorgang, und die meisten streifen den Papierkorb nicht einmal

Was „Papierkorb leeren“ wirklich tut

Das Leeren verwirft die $I/$R-Paare und markiert den Platz als frei; der Inhalt selbst bleibt auf der Platte, bis etwas anderes ihn überschreibt — darauf beruht das gesamte Geschäftsmodell von Wiederherstellungsprogrammen. Auf einer SSD kürzt sich die Geschichte: TRIM weist das Laufwerk an, freigegebene Blöcke im Hintergrund zu löschen, das Rettungsfenster nach dem Leeren misst sich also in Minuten statt Monaten. Aus der Mechanik fallen zwei praktische Folgen ab. Die $I-Metadaten machen den Papierkorb ebenso sehr zum forensischen Protokoll wie zur Undo-Funktion — Löschzeitpunkte und ursprüngliche Pfade liegen dort offen für jeden, der hinschaut. Und wer den Papierkorb versehentlich geleert hat, sollte sofort aufhören, auf die Platte zu schreiben: Jede neue Datei senkt die Chance, dass darunter noch intakter Inhalt steht.

Fragen und Antworten

Weiterlesen