KI-gestützte Spurensuche auf alten Festplatten: Wenn Datenrettung zur Detektivarbeit wird

Manchmal geht es bei einer Datenrettung nicht um Fotos oder Dokumente, sondern um ein paar hundert Byte: einen Zugang, eine Adresse, ein Fragment. In einem aktuellen Research-Fall suchen wir auf einer über 15 Jahre alten, beschädigten und teilweise überschriebenen Festplatte nach Spuren eines Krypto-Wallets. Weil klassische Werkzeuge und lokale Ansätze nichts fanden, arbeiten wir mit Einwilligung des Kunden mit einem großen KI-Modell (Claude von Anthropic) als technischem Assistenten.

Die Ausgangslage

Der Kunde hat in der Anfangszeit der Kryptowährungen auf einem Heim-PC gearbeitet. Wo genau die Werte liegen, weiß heute niemand mehr: in einer Wallet-Datei auf der Festplatte oder als Guthaben bei einem Online-Dienst, dessen Name und Zugangsdaten vergessen sind.

Der Zustand des Datenträgers macht die Suche schwer:

• Das Betriebssystem wurde neu installiert, große Teile des alten Systems sind überschrieben.
• Die Festplatte ist alt und hat Lesefehler; ein vollständiges Abbild war nicht von jedem Labor zu bekommen.
• Die alten Ordnerstrukturen sind zerstört. Was noch existiert, liegt als namenlose Fragmente im freien Speicher.

Gesucht wird also kein „File“, sondern jede Spur, die weiterhilft: ein Teil einer Wallet-Datei, ein Dienstname im Browserverlauf, ein Benutzername in einer Konfigurationsdatei, eine Adresse in einer alten E-Mail.

Warum Standardwerkzeuge nicht reichten

Zuerst haben wir den üblichen Weg genommen: sektorweise Kopie des Datenträgers, Rekonstruktion des Dateisystems, Wiederherstellung nach Dateisignaturen. Diese Programme erkennen Dateien an ihrem Kopf, etwa ein JPG oder ein PDF. Konfigurationsdateien, Startskripte oder Textnotizen haben aber keinen solchen Kopf. Sie werden übersehen oder nur als zusammenhangloser Datensalat ausgegeben.

Auch eine manuelle Rohdatensuche nach Stichworten brachte keinen Treffer. Ebenso wenig halfen lokal installierte KI-Modelle: Für diese Aufgabe fehlte ihnen das Fachwissen über Software und Dienste von damals, und sie konnten keine verlässlichen Suchwerkzeuge schreiben.

Der Engpass war also nicht Rechenleistung, sondern Wissen und Kombinationsgabe. Man muss wissen, welche Programme es damals gab, wie sie ihre Einstellungen speicherten und in welcher Zeichenkodierung ein Windows-System je nach Sprache Texte ablegte.

Datenschutz: Einwilligung zuerst, Abbilder bleiben im Labor

Große KI-Modelle laufen in Rechenzentren, nicht auf unseren Rechnern. Deshalb setzen wir sie bei Kundendaten nur mit ausdrücklicher Einwilligung ein. Der Kunde wurde vorab über den Ablauf und die Risiken informiert und hat zugestimmt.

Die Arbeitsteilung ist so gebaut, dass das Wertvolle das Labor nicht verlässt:

• Das Festplattenabbild wird nicht hochgeladen. Es bleibt auf einem Laborrechner.
• Die KI schreibt die Suchprogramme, ausgeführt werden sie lokal.
• Zur Auswertung gehen nur Trefferlisten und kurze Textausschnitte rund um einen Treffer an die KI.
• Sollte ein privater Schlüssel gefunden werden, wird er nur lokal gespeichert. In allen Berichten erscheint er maskiert, etwa als „5Hue…yTJ“.

So arbeitet die KI in diesem Fall

Die KI ersetzt keinen Techniker. Sie arbeitet wie ein sehr belesener Assistent, der Pläne macht, Werkzeuge baut und Ergebnisse sortiert. Die Entscheidungen trifft der Techniker.

1. Bestandsaufnahme. Die KI liest den bisherigen Fallverlauf, die Notizen des Technikers und die Verzeichnisstruktur der wiederhergestellten Daten. Daraus entsteht ein Bild: Welche Partitionen gibt es, wann wurde neu installiert, welche Reste stammen aus der Zeit davor?
2. Spuren priorisieren. Statt alles zu durchsuchen, benennt sie die vielversprechendsten Stellen: verwaiste Ordner aus dem alten System, Browserprofile, Mail-Datenbanken, Auslagerungsdatei und Ruhezustandsdatei.
3. Zeitgerechte Suchbegriffe. Die KI stellt Listen mit Programmen, Diensten, Protokollen und Dateinamen zusammen, die es zur fraglichen Zeit tatsächlich gab. Jede Liste wird auf Anachronismen geprüft: Ein Programm, das erst Jahre später erschien, kann auf der Platte nicht vorkommen und verfälscht nur die Suche.
4. Werkzeuge schreiben und testen. Die KI schreibt die Suchskripte und testet sie vorher an künstlichen Testdaten, in die bekannte Muster eingebaut sind. Erst wenn jedes Muster gefunden wird, kommt das Skript an echte Daten.
5. Lokal ausführen. Das Skript läuft im Labor über die Kopien des Datenträgers.
6. Auswerten und nachschärfen. Die KI liest die Treffer, trennt Rauschen von echten Spuren und schlägt die nächste Runde vor: neue Begriffe, andere Bereiche, gezielte Analyse einzelner Fragmente.

Was die Suchskripte konkret tun

Das zentrale Werkzeug ist ein Skript, das jede Datei und auf Wunsch das gesamte Rohabbild Byte für Byte liest. Es braucht keine intakte Dateistruktur und findet Spuren auch mitten in Datenmüll.

• Mehrere Kodierungen gleichzeitig. Derselbe Begriff sieht je nach Programm anders aus: als einfacher Text, als Unicode mit Nullbytes dazwischen, in der kyrillischen Windows-Kodierung oder in UTF-8. Das Skript sucht alle Varianten in einem Durchgang.
• Blöcke mit Überlappung. Große Abbilder werden in Blöcken gelesen. Die Blöcke überlappen, damit kein Treffer an einer Blockgrenze verloren geht.
• Prüfsummen statt Zufallstreffer. Krypto-Adressen und Schlüssel haben eine eingebaute Prüfsumme. Das Skript rechnet sie nach. Eine Zeichenfolge, die nur zufällig so aussieht, wird verworfen.
• Kontext zu jedem Treffer. Zu jedem Fund speichert es die Fundstelle und einige hundert Zeichen davor und danach. So lässt sich erkennen, ob ein Treffer aus einem Browserverlauf, einer Startdatei oder einer Systembibliothek stammt.
• Kompakte Berichte. Die Ergebnisse landen in Tabellen: eine Übersicht pro Datei und Begriff, eine Trefferliste mit Kontext, eine Liste gefundener Adressen.

Schon die erste Durchsicht der zusätzlich wiederhergestellten Daten brachte etwas Neues: Reste eines Browserprofils aus den Wochen vor der Neuinstallation, darunter mehrere Sicherungen der Lesezeichen. Sie enthielten noch keinen Hinweis auf den gesuchten Dienst, zeigen aber, dass in den verwaisten Bereichen Daten aus der richtigen Zeit überlebt haben.

Grenzen: Was KI kann und was nicht

KI kann keine Daten zurückholen, die physisch überschrieben sind. Sie findet nur, was noch irgendwo auf dem Datenträger steht. Deshalb bleibt die saubere Kopie des Datenträgers die Grundlage jeder Suche.

Auch die KI irrt sich. In diesem Fall enthielten ihre ersten Listen Programme und Protokolle, die es zur fraglichen Zeit noch gar nicht gab. Der Fehler fiel bei der Prüfung auf und wurde korrigiert. Daraus folgt unsere Regel: Jede Annahme der KI wird gegen Quellen und Erfahrung des Technikers geprüft.

Und: Ein Erfolg ist nicht garantiert. Der Fall läuft noch. Der Gewinn liegt darin, dass sehr viel mehr Material in sehr viel kürzerer Zeit systematisch durchsucht werden kann, als es von Hand möglich wäre.

Für wen sich das lohnt

Die KI-gestützte Spurensuche ist kein Standardangebot, sondern Teil unserer Research-Arbeit für Fälle, an denen übliche Verfahren scheitern. Typische Beispiele:

• verlorene Krypto-Wallets oder Zugangsdaten auf alten, defekten oder neu installierten Rechnern
• gesuchte Textfragmente, Kennungen oder Notizen in großen Mengen unstrukturierter Rohdaten
• forensische Fragen wie „Wurde dieses Programm auf dem Gerät je benutzt?“

Vor jedem Einsatz besprechen wir mit Ihnen, welche Daten die KI sieht und welche nicht. Ohne Ihre Zustimmung arbeiten wir wie gewohnt vollständig offline.

Sie haben einen ähnlichen Fall? Rufen Sie uns an unter 030-44041476 oder beschreiben Sie ihn über das Kontaktformular.