Was ist das DD-Dateiformat?
Die Datei .dd ist ein Raw Disk Image - eine Bit-für-Bit-Kopie jedes Sektors auf einer Festplatte, Partition, Flash-Karte oder einem anderen Speichermedium. Sie ist das direkte Ergebnis des Unix-Befehls dd und spezieller forensischer Imaging-Tools wie dcfldd und dc3dd. Da sie alles auf der Quelle erfasst - einschließlich Bootsektoren, Partitionstabellen, nicht zugewiesenem Speicherplatz und Überresten gelöschter Dateien - ist .dd ein Standardformat in der Datenrettung und digitalen Forensik.
Ein .dd-Image hat keinen eigenen Container oder Header; die Datei beginnt bei Offset Null mit den exakten Bytes des Quellmediums. Ein Image der gesamten Festplatte beginnt mit einer MBR- oder GPT-Partitionstabelle; ein Partitions-Image beginnt mit einem Dateisystem-Bootsektor. Die Identifizierung des Inhalts erfordert das Lesen eingebetteter Strukturen: die FAT/NTFS-Signatur 55 AA bei Offset 510, die GPT-Magic EFI PART bei Offset 512 oder eine ext4-Superblock-Magic 0x53EF bei Offset 0x438 innerhalb einer Partition.
Das .dd-Format ist austauschbar mit .img und .raw - die meisten Imaging- und Forensik-Tools behandeln sie identisch. Wenn Komprimierung oder Metadaten zur Beweissicherung (Chain-of-Custody) benötigt werden, werden Images normalerweise mit gzip komprimiert oder in den forensischen Container E01 konvertiert, der MD5/SHA-256-Hashes und Fallnotizen neben den Rohdaten einbettet.
Hinweis: Die Erweiterung .dd wurde historisch auch von Doodle! verwendet, einem Rastergrafikprogramm für den Commodore 64. Dieses veraltete Bildformat steht in keinem Zusammenhang mit Disk-Imaging.
Sicherheit
RISIKO: MEDIUMEine .dd-Datei besteht aus passiven Rohdaten und wird nicht von selbst ausgeführt, erfordert aber Vorsicht. Erstens kann sie alles enthalten, was auf der Quellfestplatte war - einschließlich Malware und, bei forensischen Images, sensible persönliche Daten und Überreste gelöschter Dateien - mounten Sie sie daher SCHREIBGESCHÜTZT (und idealerweise in einer isolierten Umgebung) und gehen Sie vorsichtig damit um. Zweitens überschreibt das SCHREIBEN einer .dd zurück auf eine Festplatte mit „dd“ oder balenaEtcher das gesamte Zielgerät; ein falscher Gerätename löscht also die falsche Festplatte. Drittens: Wenn Sie ein Image zur Beweissicherung erstellen, hashen Sie das Image (MD5/SHA-256) und verwenden Sie einen Schreibblocker, damit die Kopie nachweislich unverändert bleibt. Laden Sie Forensik-Tools (FTK Imager, Autopsy, Sleuth Kit) nur von deren offiziellen Anbietern herunter.
Formatdetails
kurz gefasst- Doodle (Commodore 64) Image - Ein seltenes C64-Hi-Res-Bitmap aus den 1980er Jahren (typischerweise 9026 Bytes, oft tatsächlich mit „dd“ als Dateinamen-Präfix); nur relevant für Retro-/Emulator-Nutzer, nicht für moderne Disk-Images.
- DiskDoubler komprimierte Datei (klassisches Mac OS) - Symantecs DiskDoubler verwendete .dd für komprimierte Dateien unter dem klassischen Mac OS; veraltet, wird nur von The Unarchiver oder alten Mac-Tools geöffnet.
Programme zum Öffnen von DD-Dateien
Windows4 apps
7-Zip
Open Source Rechtsklick > 7-Zip > Archiv öffnen, um Dateien aus vielen .dd-Images ohne Mounten zu durchsuchen und zu extrahieren. 
FTK Imager
Kostenlos File > Add Evidence Item > Image File, wählen Sie die .dd aus, durchsuchen und exportieren Sie dann Dateien aus den eingebetteten Dateisystemen. Der kostenlose Standard-Forensik-Viewer.
OSFMount / Arsenal Image Mounter
Kostenlos Mounte die .dd als schreibgeschütztes virtuelles Laufwerk und durchsuche sie im Explorer wie ein normales Laufwerk.
Autopsy (The Sleuth Kit)
Open Source Erstellen Sie einen Fall und fügen Sie die .dd als Datenquelle für eine vollständige forensische Analyse hinzu (File Carving, Zeitachsen, gelöschte Dateien). 
macOS2 apps
hdiutil / Disk Utility (built-in)
Integriert Hängen Sie das Roh-Image an: „hdiutil attach -imagekey diskimage-class=CRawDiskImage disk.dd“ (schreibgeschützt), um es zu mounten und zu durchsuchen.
The Sleuth Kit / Autopsy
Open Source Verwenden Sie TSK-Kommandozeilen-Tools (fls, icat) oder Autopsy, um das .dd-Image zu untersuchen und Dateien zu extrahieren. 
Linux3 apps
mount (loop device, built-in)
Integriert Für ein Partitions-Image: „sudo mount -o loop,ro disk.dd /mnt“. Für ein Image der gesamten Festplatte: mit „losetup -fP disk.dd“ einbinden und dann die Partition mounten (z. B. /dev/loop0p1).
The Sleuth Kit / Autopsy / Guymager
Open Source Untersuchen mit TSK (fls/icat) oder Autopsy; Erstellen/Verifizieren von Roh-Images mit Guymager oder „dd“/„dcfldd“.
dd / dcfldd (CLI)
Open Source Erstellen: „dd if=/dev/sdX of=disk.dd bs=4M“. Wiederherstellen: „dd if=disk.dd of=/dev/sdX bs=4M“ (das Ziel wird überschrieben - wählen Sie das Gerät sorgfältig aus). Technische Details
technische Spezifikation| Container | Keiner - rohe binäre Sektoren ohne Wrapper, Header oder Metadaten jeglicher Art |
| Kodierung | Binär (Byte-für-Byte-Kopie des Quellmediums) |
| Dateigröße | Spiegelt die Quelle exakt wider - von wenigen KB für kleine Partitionen bis zu mehreren TB für ganze Festplatten |
| Magic Bytes | Keine intrinsischen; Images ganzer Festplatten zeigen eine MBR-Signatur 55 AA bei Offset 510 oder GPT „EFI PART“ bei Offset 512 |
| Komprimierung | Keine eingebettete; wird nach der Erfassung häufig mit gzip, bzip2 oder zstd archiviert (ergibt .dd.gz, .dd.bz2, etc.) |
| Verschlüsselung | Keine auf Image-Ebene; Quell-Volumes können BitLocker-, LUKS- oder FileVault-Daten enthalten |
| Integrität | Keine integrierte Prüfsumme; in der forensischen Praxis wird ein separater MD5- oder SHA-256-Hash der Image-Datei daneben gespeichert |
| MIME-Typ | application/octet-stream |
| Mountbarkeit | Als Loop-Device unter Linux (losetup / mount); via OSFMount oder Arsenal Image Mounter unter Windows; via hdiutil unter macOS |
| Erfasster Umfang | Jedes Byte der Quelle - Dateisystemstrukturen, Bootsektoren, Slack Space, nicht zugewiesener Speicherplatz und Artefakte gelöschter Dateien |
| Befehl zum Erstellen | dd if=/dev/sdX of=image.dd bs=4M status=progress |
| Hauptanwendung | Digitale Forensik, Datenrettung, Klonen von Festplatten und Bereitstellung virtueller Maschinen |
| Austauschbarkeit | Funktionell identisch mit .img und .raw; die meisten Imaging- und Forensik-Tools behandeln alle drei als dasselbe Format |
| Forensische Varianten | dcfldd und dc3dd fügen während der Erfassung On-the-fly-MD5/SHA-256-Hashing hinzu; EWF/E01 verpackt dieselben Rohdaten mit eingebetteten Hashes und Fall-Metadaten |
| Veröffentlicht | The 'dd' utility dates to early Unix (1970s); raw imaging is a long-standing convention |
| Neueste Version | No format version - a .dd is just raw bytes; tooling evolves (GNU coreutils dd, dcfldd, dc3dd, ewfacquire) |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | en.wikipedia.org |
DD-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu DD-Dateien.
