FAT
FAT (Dateizuordnungstabelle)
File Allocation Table
FAT ist ein einfaches, sehr verbreitetes Dateisystem, das über eine Zuordnungstabelle festhält, welche Speicherbereiche zu welcher Datei gehören. Wegen seiner Einfachheit und breiten Kompatibilität findet es sich bis heute auf USB-Sticks, Speicherkarten und in eingebetteten Geräten. Forensisch ist es gut verstanden und ergiebig.
Historie & Fakten. FAT (in Varianten wie FAT32 und dem moderneren exFAT) ist eines der ältesten und einfachsten Dateisysteme. Beim Löschen einer Datei wird in der Regel nur der Tabelleneintrag als frei markiert, während die eigentlichen Daten bestehen bleiben — was die Rekonstruktion gelöschter Inhalte oft erleichtert. Wegen seiner Verbreitung auf Wechselmedien ist FAT in Untersuchungen häufig anzutreffen.
Ausblick & Empfehlung. Für die Forensik ist FAT dankbar: Seine Struktur ist gut dokumentiert, und gelöschte Einträge sowie Restdaten lassen sich häufig wiederherstellen. Auf USB-Sticks und Speicherkarten — typischen Trägern für Datenabfluss — ist es das Standardformat. Wie bei jedem Datenträger gilt: bitgenaues Abbild mit Hash erstellen, auf der Kopie arbeiten, gelöschte Bereiche und Ungenutzter Restbereich von Speicherblöcken (Slack Space) einbeziehen. Bei moderneren Systemen tritt NTFS (mit seiner Master File Table) an die Stelle von FAT.