SSD, TRIM og gendannelse af slettede filer

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

På en traditionel harddisk betyder sletning, at filens plads markeres som ledig. Indholdet ligger der, til det overskrives, og kan ofte gendannes. På en SSD er det anderledes: TRIM og garbage collection sørger for, at slettede blokke ryddes, ofte inden for kort tid, og en forensisk kopi læser derefter typisk kun nuller. Det ændrer både sikringen, analysen og det, rapporten kan konkludere.

Hvordan en SSD gemmer data

En SSD skriver ikke data på en fast fysisk adresse, sådan som en harddisk gør. Flash-hukommelse kan kun skrives i tomme celler, og den kan kun slettes i større blokke ad gangen. Derfor har SSD’en en controller med et oversættelseslag (flash translation layer), der holder styr på, hvilken logisk sektor der ligger i hvilken fysisk celle. Når en sektor ændres, skrives den nye version et nyt sted, og den gamle markeres som forældet.

Controlleren fordeler også skrivningerne for at undgå slid (wear levelling) og har ekstra skjult kapacitet (over-provisioning), som styresystemet ikke kan se. Alt dette sker inde i drevet og er usynligt for både styresystemet og det forensiske værktøj, der læser drevet via den almindelige grænseflade.

Hvad er TRIM?

Når styresystemet sletter en fil på en SSD, sender det en TRIM-kommando (på NVMe kaldet deallocate), der fortæller SSD’en, hvilke logiske blokke der ikke længere er i brug. SSD’en kan så rydde blokkene i baggrunden (garbage collection), så de er klar til ny data.

Mange SSD’er returnerer derefter nuller, når de ryddede logiske blokke læses, også før de fysisk er slettet. Hvordan et konkret drev opfører sig, afhænger af firmware og standard. Drevet kan selv oplyse det: ATA-drev angiver, om læsning efter TRIM er deterministisk (DRAT) eller altid giver nuller (RZAT), og NVMe-drev har en tilsvarende angivelse for deallocate. Oplysningen bør noteres og om muligt bekræftes ved test. For en forensisk kopi betyder det, at det slettede indhold som regel ikke kan læses, uanset værktøj.

Hvornår virker TRIM?

Moderne Windows, macOS og Linux · TRIM er typisk slået til som standard
Krypteret disk (fx BitLocker, FileVault) · TRIM kan stadig være aktivt afhængigt af opsætningen
Ekstern SSD via USB · TRIM afhænger af kabinet og driver
Ældre systemer eller særlige opsætninger · TRIM kan være slået fra
Virtuelle maskiner · Afhænger af hypervisor og lager

Man kan ikke gå ud fra, at TRIM er aktivt eller inaktivt. Det skal undersøges i det konkrete tilfælde, fx via styresystemets indstillinger og logs, og resultatet skal noteres. På Linux kan TRIM være sat til at køre periodisk frem for ved hver sletning, hvilket betyder, at slettede data kan overleve i dage.

Hvad kan stadig findes?

Selvom selve filens indhold er væk, efterlader sletningen ofte andre spor:

Filsystemets metadata: I NTFS kan $MFT-poster og $UsnJrnl (ændringsjournalen) vise, at en fil har eksisteret, dens navn og hvornår den blev slettet. Metadata ligger i strukturer, der ikke nødvendigvis TRIM’es samtidig med indholdet.
Genvejsfiler og lister over seneste filer: LNK-filer og jump lists viser filer, der er åbnet. → Windows-artefakter
Volume Shadow Copies: Tidligere versioner af disken kan indeholde filen.
Papirkurven: Filer, der ikke er tømt, og oplysninger om oprindelig sti og sletningstidspunkt.
Cloud og synkronisering: OneDrive, Dropbox eller Google Drive kan have filen eller dens historik.
Backup: Ældre backup kan indeholde filen.
Andre enheder: Filen kan være sendt, kopieret eller synkroniseret til andre steder.

Den grundlæggende forklaring for ikke-teknikere findes her: → Kan slettede filer gendannes?

Hvad med chip-off og direkte læsning af flash?

I teorien kan forældede data stadig ligge fysisk i flash-cellerne, indtil garbage collection har slettet dem. At læse cellerne direkte kræver, at chippene afmonteres eller tilgås via controllerens fejlsøgningsfunktioner. I praksis er data på moderne SSD’er krypteret af controlleren selv, fordelt over flere chips og uden en kendt kortlægning. Det er derfor sjældent en realistisk vej i en civil sag, og det er destruktivt for drevet. Hvis det overvejes, skal det vurderes særskilt og forklares grundigt.

Hvad betyder det for sikringen?

Hurtig sikring: Garbage collection kan fortsætte, så længe disken har strøm, også uden at styresystemet gør noget. Jo hurtigere sikring, jo bedre.
Sluk ikke en tændt computer uden overvejelse: En tændt maskine kan have data i hukommelsen og en åben krypteret disk. Det skal vurderes, om der skal tages en kopi, mens den kører. → Hukommelsessikring (RAM)
Brug ikke computeren: Al aktivitet kan udløse yderligere oprydning.
Sikr alternative kilder: Cloud, backup og andre enheder bliver vigtigere, når disken er en SSD.
Skrivebeskyttelse forhindrer ikke intern oprydning: En skrivebeskytter stopper kommandoer fra computeren, men ikke drevets egne baggrundsprocesser.

Det sidste har betydning for verifikationen. I sjældne tilfælde kan to læsninger af den samme SSD give forskellige hashværdier, fordi drevet har ryddet blokke mellem læsningerne. Det skal i så fald forklares i rapporten og ikke skjules, og kopien bør hashes under selve sikringen.

Hvad betyder det for tolkningen?

At der ikke findes slettede filer på en SSD, betyder ikke, at intet er slettet. Rapporten skal skelne mellem “der er ingen spor af sletning” og “slettede data kan ikke gendannes på denne type disk”. Metadata kan ofte vise sletningen, selvom indholdet er væk.

Omvendt kan nuller på disken ikke i sig selv tages som udtryk for bevidst sletning. Nuller er den normale tilstand for ubrugt plads på en SSD med TRIM. Det er først kombinationen med andre spor, fx et slettet katalog i $MFT eller et sletteprogram i Prefetch, der kan sige noget om, hvad der er sket.

Forsætlig sletning

Programmer til sikker sletning efterlader ofte egne spor, for eksempel i Prefetch, Amcache eller registreringsdatabasen. At sådanne programmer er brugt kort før en fratrædelse, kan i sig selv være relevant. Det samme gælder genindstilling af styresystemet eller kryptografisk sletning, hvor drevets nøgle udskiftes. Den slags spor beskrives som noget, der skal opdages og dokumenteres. → Anti-forensics: sletning og manipulation

Mobiltelefoner

Moderne telefoner bruger flash-lager med kryptering og tilsvarende oprydning. Slettede filer kan sjældent gendannes, men poster i app-databaser kan sommetider findes, fordi databaserne ikke altid rydder slettede rækker med det samme. → Udtræk fra mobiltelefoner

I rapporten

Angiv drevtype, model og firmware, om TRIM var aktivt, og hvordan det er konstateret. Beskriv, hvilke metadata der viser sletninger, og hvad der ikke kan gendannes og hvorfor. Skriv også, hvilke alternative kilder der er undersøgt, fx skyggekopier, cloud og backup, og hvad de viste. Hvis to læsninger af drevet gav forskellige hashværdier, skal det fremgå sammen med forklaringen. En klar beskrivelse af begrænsningerne styrker rapportens troværdighed, fordi den viser, at konklusionerne ikke rækker længere end data. Den, der læser rapporten, skal kunne se forskel på det, der er påvist, og det, der ikke kan afgøres på grund af drevtypen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: ZFS og ReFS: copy-on-write og snapshots · BitLocker og FileVault i bevissikring: nøgler og lovlig adgang

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik