Fallstudie
Gelöschtes Bitcoin-Core-wallet.dat wiederhergestellt
Bitcoin Core · Nicht offengelegt
Kurzantwort
Eine Datei zu löschen entfernt den Verweis darauf, nicht die Daten. Auf einer klassischen Festplatte warten diese Daten, bis etwas sie überschreibt — deshalb ist das Nützlichste nach dem Löschen einer Wallet, das Laufwerk sofort nicht mehr zu benutzen. Auf einer SSD kann TRIM dieses Fenster binnen Minuten schließen.
- Wallet
- Bitcoin Core
- Ära / Version
- Nicht offengelegt
- Zugriffsproblem
- Wallet Datei versehentlich vom Computer und aus dem Papierkorb gelöscht.
- Verbliebenes Material
- Die gelöschte Datei und der Kontokontext des Kunden; über forensische Dateiwiederherstellung geborgen.
- Technische Herausforderung
- Wiederherstellung gelöschter Dateidaten nach dem Löschen an beiden Orten, dann Umgang mit dem Wallet-Format.
- Einschätzung
- Datei-Ebene-Wiederherstellung für möglich gehalten; unter Vereinbarung fortgefahren.
- Recovery-Ansatz
- Forensische Abbildung des Laufwerks zur Sicherung des Zustands, File-Carving der gelöschten wallet.dat aus dem unbelegten Bereich, anschließend reguläre Wiederherstellung des Wallet-Zugriffs. Alle Arbeiten am Abbild, nie am Originaldatenträger.
- Ergebnis
- Zugriff wiederhergestellt. Die wallet.dat wurde aus dem unbelegten Speicherbereich eines forensischen Abbilds rekonstruiert und anschließend regulär geöffnet — auf das Originallaufwerk wurde nie geschrieben.
- Anonymisierung
- Vollständig – als eingebettetes Beispiel ohne identifizierende Details veröffentlicht.
- Autor
- Robbert Bink
- Datum
- 2026-01-01
Der Fall
Zunächst sah es nach einer Sackgasse aus: Die Wallet Datei war vom Computer gelöscht und anschließend aus dem Papierkorb entfernt worden — zwei Orte, an beiden nichts mehr. Der Kunde hatte noch den Kontext des Kontos und wusste ungefähr, wann gelöscht worden war. Dieser Zeitpunkt war am Ende wichtiger als alles andere.
Eine Datei zu löschen bedeutet nicht, sie zu vernichten
Beim Löschen entfernt das Betriebssystem den Verzeichniseintrag, der auf die Datei zeigt, und markiert ihre Blöcke als verfügbar. Es geht nicht hin und überschreibt diese Blöcke. Auf einer klassischen Festplatte bleiben die Daten physisch vorhanden — als magnetische Ausrichtung auf den Scheiben — bis etwas anderes darüber geschrieben wird.
Genau das ist das Zeitfenster, in dem Wiederherstellung funktioniert, und es schließt sich mit jeder weiteren Nutzung. Jeder Download, jedes Update, jede temporäre Datei ist eine Gelegenheit für das Betriebssystem, ausgerechnet die Blöcke wiederzuverwenden, auf denen Ihre Wallet lag.
Dieses Laufwerk war seit dem Löschen kaum benutzt worden. Das ist der Grund, warum der Fall gelang.
Die SSD-Ausnahme, ehrlich benannt
Bei modernen SSDs sieht das Bild deutlich anders aus, und diesen Fall zu schildern, ohne das zu sagen, wäre unredlich.
Wird eine Datei auf einer SSD gelöscht, sendet das Betriebssystem in der Regel einen TRIM-Befehl, der dem Controller mitteilt, dass diese Blöcke nicht mehr benutzt werden. Die Garbage Collection im Hintergrund löscht die zugrunde liegenden NAND-Zellen dann tatsächlich. Ist das geschehen, wird eine Wiederherstellung schwierig bis unmöglich — wie es genau ausgeht, hängt von der Firmware des Laufwerks ab, aber darauf verlassen sollte man sich nicht.
TRIM ist außerdem nicht universell. Es setzt voraus, dass das Laufwerk den Befehl unterstützt und das Betriebssystem ihn sendet, und es gibt reale Lücken: Windows sendet auf FAT32- und exFAT-Volumes kein TRIM, die meisten Hardware-RAID-Controller reichen es nicht durch, viele extern über USB angeschlossene Laufwerke erhalten es nie, und ältere SSDs aus der Zeit vor dem Befehl ignorieren ihn schlicht. Eine Wallet auf einem dieser Wege kann durchaus noch wiederherstellbar sein.
Das sind Ausnahmen, die man prüft — nicht solche, auf die man baut.
Die praktische Regel bleibt in beiden Fällen dieselbe, und sie ist dringend: Benutzen Sie das Gerät ab dem Moment nicht mehr, in dem Ihnen die Löschung auffällt. Installieren Sie insbesondere keine Wiederherstellungssoftware auf dem betroffenen Laufwerk — allein das kann überschreiben, was Sie retten wollen.
Was wir getan haben
Wir haben das Laufwerk zuerst abgebildet, um seinen Zustand einzufrieren und sicherzustellen, dass nichts, was wir tun, die Lage verschlechtern kann. Alle weiteren Arbeiten fanden an diesem Abbild statt; auf das Original wurde nie geschrieben.
Aus dem Abbild haben wir die gelöschte wallet.dat aus dem unbelegten Bereich herausgeschnitten. Eine klassische Bitcoin-Core-Wallet ist eine Berkeley-DB-Datei mit erkennbarer Struktur — genau das macht sie zwischen rohen Blöcken identifizierbar und nicht zu einer anonymen Bytefolge. (Neuere Descriptor-Wallets nutzen stattdessen SQLite, seit Bitcoin Core v23 die Voreinstellung — andere Struktur, gleiches Prinzip.)
Mit der rekonstruierten Datei war die Wiederherstellung des Zugriffs Routine.
Was diesen Fall unmöglich gemacht hätte
- Weitere intensive Nutzung des Laufwerks. Ein paar Tage normaler Computernutzung nach dem Löschen beenden den Fall meist.
- Eine SSD, die die Blöcke bereits getrimmt hat. Die Wiederherstellung ist dann nicht langsamer, sondern vorbei.
- Wiederherstellungswerkzeuge auf dem betroffenen Laufwerk auszuführen. Der häufigste Weg, die eigenen rettbaren Daten selbst zu zerstören.
- Eine vollständige (nicht schnelle) Formatierung oder ein Laufwerk, das seither verschlüsselt wurde.
Was das für Sie bedeutet, wenn es Ihnen ähnlich geht
Fahren Sie den Rechner herunter. Schauen Sie nicht „nur kurz nach". Installieren Sie nichts. Wenn die Wallet wichtig war, ist das Laufwerk ab jetzt Beweismaterial, und der richtige erste Schritt ist, es zu sichern statt zu untersuchen.
Bewahren schlägt jedes Wiederherstellungswerkzeug. Siehe die Referenz Sicherheit & Forensik und den Leitfaden zu Wallet-Formaten.
Quellen
Recovery starten
Die Einschätzung ist kostenlos und benötigt keine sensiblen Daten. Beschreiben Sie, was Sie noch haben – Sie erfahren, ob eine Wiederherstellung realistisch ist. Sie zahlen nur, wenn die Wiederherstellung gelingt.
