Not yet available in English

This page does not exist in English yet. Shown is the version in Deutsch.

Written by kalink0 (Marco Neumann) · Completed on 2026-10-19 · Not yet reviewed by a second person

Recycle Bin¶

Bedeutung¶

Der Recycle Bin, im deutschen "Papierkorb", enthält vom Benutzer gelöschte Dateien. Diese Dateien können vom Benutzer wiederhergstellt werden. Der Recycle Bin enthält Metadaten zu den Dateien wie z.B. löschender Benutzer, vorheriger Dateipfad, Zeitstempel der Datei und Löschzeitpunkt der Datei. Für den Nutzer wird die SID des Benutzerkontos gespeichert, welches verwendet wurde um die Datei zu löschen.

Aus digitalforensischer Sicht kann anhand der Dateien im Recycle Bin gesagt werden, dass der Nutzer-Account mit der hinterlegten SID die Datei aktiv zu dem Löschzeitpunkt gelöscht hat.

Spezifische Kurzinformation¶

Ab Windows Vista; ein Recycle Bin pro Laufwerk
Je gelöschter Datei eine $I-Datei (Metadaten) und eine $R-Datei (Inhalt)
Löschzeitpunkt in UTC
Für das Dateisystem FAT32 wird kein Bezug zum Nutzerkonto gespeichert
Beim Wiederherstellen wird nur die $R-Datei entfernt, die $I-Datei bleibt erhalten
Löschen über Shift+Entf, PowerShell oder CMD hinterlässt keine Spuren im Recycle Bin
Ablageort:
NTFS: {DRIVE}:\$Recycle.Bin\{USER_SID}
FAT32: {DRIVE}:\$Recycle.Bin