Werden Daten von USB-Sticks zwischengespeichert?
Hallo und Frohe Weihnachten 😊
Mich würde folgendes interessieren:
Wenn ich an meinem PC einen USB-Stick anschließe und von dort aus Dateien wie Bilder oder Word-Dokumente öffne (nicht kopiere oder speichere) werden diese dann auf dem PC zwischengespeichert und sind ggf. wieder abrufbar, auch wenn der Stick nicht mehr angeschlossen ist?
4 Antworten
Es kann Datenreste und temporäre Dateien geben - wo genau die sind hängt vom genauen Programm, der genauen Version und der Art und Dauer der Bearbeitung ab.
Google einfach mal nach "Programmname Version temp files location" - meist findest du so Dinge schneller auf englisch also auf deutsch...
Manche temp. Dateien muss man mit Scripten oder kleinen Programmen bearbeiten um daraus wieder eine verwertbare Datei zu machen.
Die Chancen sind da aber es ist unter Umständen viel Arbeit und der Erfolg ist nicht garantiert.
Nur im Arbeitsspeicher, falls sie von irgendeinem Programm geöffnet und dabei in den Arbeitsspeicher geladen werden. Sobald das Programm geschlossen wird, werden die Daten aber auch aus dem Arbeitsspeicher gelöscht. Dateien auf der Festplatte zu speichern, ohne dazu explizit vom Nutzer aufgefordert worden zu sein, wäre ein ziemliches Sicherheitsloch (so könnten Viren auf den PC gelangen oder umgekehrt sensible Daten dem USB-Stick "entweichen").
Falsch - wir IT-Forensiker werten weit über 100 verschiedene Artefakte und Datenfragmente aus die genau das machen. Es gibt also jede Menge von temporären Dateien über Vorschaubilder bis hin zu Jumplists, Prefetch-Files, etc.
Manche erlauben nur Zugriff auf den Dateinamen und den Pfad, andere erlauben es auf vorherige Versionen zuzugreifen (zB Shadow-Copies) und wieder andere erlauben den Zugriff auf die zuletzt bearbeitete Version (zB Temp-Dateien).
Je nach Datenträger können diese nach dem Löschen auch wiederhergestellt werden - zB mit Tools wie DMDE oder r-Studio.
Die werden nur in den flüchtigen Speicher gezogen (RAM)
Auch die bearbeitungs Dateien (Differenzial Zwischenspeicher) werden idr bei der Datei abgelegt, der Dateiname startet typischer Weise mit ~ und sie sind versteckt.
Sie sind ja mit auf dem Stick bei der Datei. Wenige Programme schreiben was in das generische temp Verzeichnis was verwertbar wäre, die Office Programme sollten dort nix lassen
nein, du müsstest die dateien und ordner schon rüberziehen, damit du diese auch verwenden kannst wenn der stick nicht angeschlossen ist.
Wenn der Stick aber wieder abgezogen ist, kann man mit den Dateien vermutlich nicht mehr viel anfangen oder?