Hilfe - war jemand an meiner externen Festplatte?

Hallo,

ich habe den Verdacht, dass jemand Zugriff auf meine externe Festplatte genommen hat, als ich nicht da war. Also dass jemand die Festplatte an seinen eigenen PC angeschlossen hat und sich angeschaut hat, was ich so für Dateien da drauf habe (oder sich sogar welche gezogen hat? Ich weiß es nicht.).

Wie kann ich denn feststellen, ob mein Verdacht begründet ist? Sieht man irgendwo, wann die externe Festplatte zuletzt an einen Rechner angeschlossen wurde? Oder welche Dateien von der Platte runterkopiert wurden? Oder welche Dateien angeschaut bzw. geöffnet wurden? Mir lässt das Thema keine Ruhe... bitte kommt mir nicht mit, verschlüssel die externe Platte, dann kann auch keiner drauf zugreifen, keine Sorge, das werde ich jetzt tun... aber das hilft mir nicht gegen das (eventuelle) vergangene Zugreifen auf die Platte.

Kann mir jemand weiterhelfen?

LG von Aphrodite

 

Welches Dateisystem wird auf der Platte genutzt?

 

Ich meine, NTFS. Es gibt doch FAT und NTFS? Bin ein absoluter Laie...
Es läuft auf jeden Fall unter Windows XP.

 

Im NTFS-Dateisystem kann man sich im Explorer die letzte Zugriffszeit anzeigen lassen.

 

Und wo kann ich das machen? Also wird die nicht automatisch angezeigt?
Und kann ich mir das für alle Dateien auf einmal anzeigen lassen?

 

Du öffnest den Windows-Explorer und schaltest "Ansicht" > "Details" um. Nun machst du einen Rechtsklick auf die Titelzeile der Dateiliste



und wählst "Weitere...". Im folgenden Fenster kannst du dann "Letzter Zugriff am" auswählen.



Danach bekommst du in der Detailansicht das Datum und die Uhrzeit des Zugriffs angezeigt.

 

Funktioniert aber auch nicht sehr zuverlässig bzw. nicht bei allen Dateitypen.

 

Okay, das hab ich mal versucht. Aber da muss man dann alle Ordner einzeln durchgehen, oder? Z.B. zeigt es mir bei dem Überordner an, dass der letzte Zugriff am 27.03.2011 war, dabei war ich zwischendrin mal in einem untergeordneten Ordner. Also muss wirklich jeder kleine Ordner durchgesucht werden?

Und dennoch zeigt es mir nicht an, ob evtl. jemand sich die Datei gezogen hat?

Und bei welchen Dateitypen funktioniert das denn nicht? Mir gehts vor allem um Bilddateien und Word-Dokumente...

Danke für die bisherigen Antworten!

 

Bei einer TXT.Datei hat es bei mir z.B. nicht geklappt. Mit Notepad geöffnet und das System hat keine Notiz davon genommen. Aber ich merke gerade, die lag auf einem FAT32-formatierten Laufwerk, wahrscheinlich liegts daran. Eine PDF-Datei auf dem gleichen Laufwerk hat hingegen einen Zugriffsvermerk bekommen.

Du kannst Dir vielleicht auch mittels Suchfunktion "alle Dateien, auf die Zugriff nach dem 31.April 1999" o.ä. eine Liste erstellen lassen.

 

Das ist wirklich komisch... ich habe eine PDF-Datei geöffnet, die hat keinen Zugriffsvermerk bekommen. Auch andere Word-Dateien nicht. Selbst wenn ich sie ändere, kommt nur das aktuelle Änderungsdatum, aber der letzte Zugriff bleibt auch bei dem alten Datum und wird nicht auf das heutige Datum gesetzt. Das ist doch seltsam? Ich verstehs nicht... und wenn ich eine Datei kopiere und woanders einfüge, dann zeigt es mir bei der ursprünglichen Datei, die ich kopiert habe, keine Änderung an. Nur die "neue", also die kopierte Datei, hat dann das Datum der Kopie als letztes Zugriffsdatum. Also könnte mir jemand meine gesamte Platte kopieren und hätte all meine Daten und ich würde es gar nicht merken?!?

 

Bis jetzt steht ja noch nicht einmal zweifelsfrei fest, mit welchem Dateisystem die Platte formatiert ist. Dann hat bei externen Platten durchaus der Schreibcache noch einen Einfluss - d.h. bei einem (oder auch mehreren) simplen Zugriffen kann es sein, dass die Platte entfernt wurde, noch bevor die Dateiinformationen aktualisiert wurden.

Das wäre denkbar. Wie du bereits richtig erkannt hast, ist die Messe gelesen und du hättest vorher Maßnahmen für die Sicherheit ergreifen müssen.

 

Auch die Erkenntnis, dass jemand Zugriff auf die Daten hatte, würde dich nicht weiterbringen. Oder was würdest du dann machen?

 

Guten Morgen!

@kalweit
Doch, die Platte ist NTFS-formatiert. Mit FAT32 stünden meine Chancen, das rauszufinden, also noch schlechter? Das ist ja ein älteres Dateisystem als das NTFS.

Meine Tests mit den Änderungen des Zugriffsdatums hab ich ganz normal an meinem PC gemacht. Also konnte ich keine Festplatte abziehen. Da fällt dann das Argument mit dem Schreibcache weg.

@ Falcon37

Das würde mir schon weiterhelfen. Dann könnte es nur eine Person sein und ich denke, wir hätten dann schon einen gewissen Klärungsbedarf...

@ Hascheff

Service Pack 3 hab ich. Aber was ist denn, wenn auf dem anderen PC, an den die Platte drangehängt wurde, das nicht drauf ist? Und deshalb nicht das wirkliche letzte Änderungsdatum angezeigt wird?


@ all

Gestern Abend hab ich das Ganze nochmal durchgespielt mit einem neuen Rechner meines Bruders. Der hat Windows 7 drauf. Und da war es auch so, dass ich Zugriff auf z.B. ein PDF oder Word-Dokument oder auch ein Bild genommen habe, und das Datum des letzten Zugriffs nicht aktualisiert wurde. Da stand immer noch z.B. März 2011... Und bei den Versuchen hatte ich die externe Platte nicht an den PC gehängt, sondern mit Dateien auf dem PC versucht. Funktioniert diese Zugriffseinstellung denn dann gar nicht? :-(

Wenn jemand Zugriff auf meine Platte nimmt, ist doch das Betriebssystem entscheidend, das derjenige auf seinem Rechner hat, oder?

 

Vergiss es einfach! Was im Dateisystem nicht verzeichnet ist, lässt sich nachträglich nicht mehr her zaubern.

 

Könnte man mit der Ereignisanzeige was rausfinden? Wahrscheinlich nicht, oder? Die betrifft ja immer nur den eigenen PC, aber keine externen Festplatten? Ich klammer mich an jeden Strohhalm... :-(

 

Wenn es dich beruhigt, nehme an, dass die Daten eingesehen wurden und handele entsprechend.

 

Ich weiß ja, dass ich bezüglich der Sicherheit meiner externen Platte was tun muss und das werde ich auch, um solche Szenarien zukünftig zu verhindern. Ich weiß auch, dass es dumm war, die Platte ohne Schutz rumliegen zu haben. Mache ich auch nie wieder! Aber auf der anderen Seite kann ich nicht jemandem einfach unterstellen, da dran gewesen zu sein ohne Beweise. Alles andere sind nur Unterstellungen.

Gibts denn nicht sowas wie die Ereignisanzeige bei Windows auch für externe Platten? So dass man sieht, wann die Platte z.B. an einen Rechner angeschlossen wurde? Dann könnte ich anhand der Zeiten nämlich sicher sein.

 

Der S.M.A.R.T. kann Rückschlüsse auf die Benutzung geben.
Dazu müsste man aber den Stand wissen, wie er bei der letzten, eigenen Benutzung gewesen war. Veränderungen bei Betriebsstunden und Ein-Ausschaltvorgänge des Motors, sind dann ein Indiz für eine Fremdnutzung.
http://de.wikipedia.org/wiki/Self-Monitoring,_Analysis_and_Reporting_Technology

Nachträglich kriegt man das nicht heraus, wenn man keine Aufzeichnung vorher gemacht hat. Man könnte aber die Platte wieder wie zufällig herumliegen lassen und den S:M.A.R.T. nach einiger Zeit auswerten, ob sich etwas getan hat. Sozusagen einen Köder auslegen.