Lassen die Cache Dateien von OS X auf Wechseldatenträgern Rückschlüsse auf die Daten zu?

[elknipso]

Hallo,

OS X legt ja beim Anschluss eines Wechseldatenträgers einen auf dem Mac in der Regel ausgeblendeten Ordner mit Cache bzw. Behelfsdaten an.

Welche Daten sind denn genau in diesen Dateien gespeichert? Oder konkreter gefragt, lassen diese Dateien Rückschlüsse darauf zu welche Daten mal auf dem Speichermedium gespeichert waren, und enthalten diese Daten in irgendeiner Form personalsierte Informationen wie z.B. der Rechnernamen an dem der Speicher angeschlossen war oder ähnliches?

 

[Rastafari]

ausgeblendeten Ordner mit Cache bzw. Behelfsdaten an.

Caches gibt es nur auf dem Startvolume. Auf externen Medien finden sich dagegen ein Suchindex, gelegentlich auch mal temporäre Objekte und natürlich die zur Datenverwaltung unumgänglichen sonstigen Metadaten.

Welche Daten sind denn genau in diesen Dateien gespeichert?

Soweit du den Spotlight-Index meinst, kannst du das problemlos selbst überprüfen.
Das Kommando "mdls" zeigt dir im Terminal jedes gespeicherte Detail zu jedem beliebigen Objekt an.

Oder konkreter gefragt, lassen diese Dateien Rückschlüsse darauf zu welche Daten mal auf dem Speichermedium gespeichert waren

Jein.
Beim löschen von Objekten werden zwar auch die damit verknüpften Metadaten bereinigt, aber wie bei den eigentlichen Dateiinhalten auch besteht unter Umständen die Möglichkeit, derartige Informationen auch nach der Löschung in Fragmenten zu rekonstruieren. (Die Möglichkeiten sind hier allerdings *sehr* beschränkt.)

und enthalten diese Daten in irgendeiner Form personalsierte Informationen

Nur wenn ein Anwendungsprogramm das bei seinen eigenen Dateiformaten explizit so vorsieht.
(Wenn das allerdings der Fall ist, dann gelegentlich auch schon mal ganz massiv.)

wie z.B. der Rechnernamen an dem der Speicher angeschlossen war oder ähnliches?

Das kann durchaus vorkommen - idR ist das aber nicht der Fall. (Die Realität hat mit "CSI" & Co recht wenig gemeinsam.)

 

[elknipso]

Danke, für die detaillierte Beschreibung.
Dass man gelöschte Daten generell recht simpel wiederherstellen kann, steht auf einem ganz anderen Blatt, das ist mir bewusst. Mir ging es primär nur um die vorhandenen Indexdaten/Metadaten. Wenn diese durch löschen der ursprünglichen Datei auch gelöscht werden, ist es für den "üblichen PC Anwender" nicht mehr ohne weiteres möglich irgendwelche Rückschlüsse zu ziehen.

Das reicht für den Anwendungszweck. Ich wollte nur die Möglichkeit ausschließen, dass OS X hier vielleicht Dateien zurück lässt, welche selbst für einen "normalen Anwender" einfache Rückschlüsse auf mal darauf gespeicherte Daten zulassen.

Nur wenn ein Anwendungsprogramm das bei seinen eigenen Dateiformaten explizit so vorsieht.
(Wenn das allerdings der Fall ist, dann gelegentlich auch schon mal ganz massiv.)

Gut, das ist unter Windows ja auch so. Microsoft Word hat z.B. die unangenehme Eigenschaft in den Standardeinstellungen sehr viele Details über den Ersteller in den erzeugten Dokumenten mit abzuspeichern.