Grundwissen

Eingehende Diskussion verschiedener Datenverlustszenarien

Datenwiederherstellbarkeit

Nach einem Datenverlust lautet die wichtigste Frage: Sind die Dateien noch zu retten? Die Antwort gibt vor, welche Maßnahmen ergriffen werden müssen, ob die Datenwiederherstellung fortgesetzt oder Bewältigungsstrategien für den Datenverlust entwickelt werden sollen.

Die Situation ist oft schwierig zu beurteilen. Manchmal ist nicht ganz klar, was den Datenverlust überhaupt verursacht hat. Ein Techniker hat möglicherweise bereits an dem Problem gearbeitet und die Dinge weiter durcheinander gebracht. Die Auswirkungen gängiger Abhilfemaßnahmen wie "Checkdisk" von Microsoft auf die Wiederherstellbarkeit sind unklar.

Dieser Artikel versucht herauszufinden, was möglich ist und was nicht. Wir werden versuchen, für verschiedene Szenarien zu erklären, was Sie erwarten können. Wir werden die Idee der Wiederherstellbarkeit auf im Handel erhältliche und erschwingliche Datenrettung beschränken. Während die Magnetisierung, aus der die Daten einst bestanden, möglicherweise noch auf den Medien vorhanden ist, ist die Technologie zur Wiederherstellung dieser Daten zu einem wirtschaftlich angemessenen Preis möglicherweise nicht verfügbar.

Die Erfolgsaussichten hängen von der Art der Daten ab

Wir müssen die Art der Daten berücksichtigen, die wiederhergestellt werden müssen. Angenommen, Sie können hypothetische 90% aller verlorenen Dateien wiederherstellen. Wenn diese Dateien Fotos wären, könnten Sie diesen Prozentsatz als Erfolg betrachten. Sie haben 9 von 10 Fotos zurück. Wenn Ihre Dateien Datenbanktabellen waren und 10% fehlen, ist die gesamte Datenbank wahrscheinlich wertlos, da die Daten voneinander abhängig sind. Je stärker die Daten voneinander abhängen, desto höher ist der Schaden, wenn auch nur ein kleiner Prozentsatz der Daten fehlt. Wir werden auch untersuchen, was Aussagen wie "90% wiederhergestellt" wirklich bedeuten. Ein weiterer interessanter Aspekt wird die "Zeitdimension" sein: Ein Datenrettungsergebnis ist normalerweise mit jedem Tag oder jeder Stunde weniger wert.

Physikalische und logische Datenrettung

Wir wollen zwischen zwei sehr unterschiedlichen Verfahren unterscheiden:

  • Physikalische Datenrettung: Extrahieren der Rohdaten von den betroffenen Medien

  • Logische Datenrettung: Rekonstruktion der Dateien 

Sie können rein logische Datenverluste haben. Zum Beispiel erfordern das Löschen von Dateien, das Formatieren von Laufwerken oder Virenangriffe lediglich eine logische Rekonstruktion. Andererseits muss ein mechanisch ausgefallenes Laufwerk, das erfolgreich repariert wurde, nicht logisch rekonstruiert werden.

In der Praxis brauchen viele physikalischen Probleme anschließend logische Rekonstruktion, da nicht alle Rohdaten wiedergefunden werden konnten.

Defekte Festplatte

Ein Laufwerk kann als defekt betrachtet werden, wenn mit keiner Software mehr darauf zugegriffen werden kann, z. B. über das BIOS, die Windows-Datenträgerverwaltung oder Datenrettungsprogramme wie GetDataBack von Runtime Software. Eine defekte Festplatte zeigt häufig zusätzliche Symptome. Sie dreht sich nicht oder sie klickt oder macht andere seltsame Geräusche.

Diese Festplatten haben möglicherweise eine durchgebrannte Elektronik, beschädigte Leseköpfe, einen defekten Motor oder zerkratzte Magnetmedien. Datenrettungsunternehmen können das Laufwerk im Reinraum häufig durch Austausch der defekten Teile wiederbeleben. Anschließend erstellen sie ein Image des Laufwerks und führen eine logische Dateirekonstruktion durch.

Dieser Ansatz ist manchmal erfolgreich und dann die Kosten von mehreren hundert oder sogar Tausenden von Dollar wert. Oft genug ist er jedoch nicht erfolgreich.

Physikalische Datenrettung ist nicht immer möglich

Die Erfolgsaussichten hängen in erster Linie vom Ausmaß des Schadens ab. Selbst theoretisch ist es nicht möglich, Daten von einer Platte wiederherzustellen, die auf "Curie-Temperatur" (770 ° C für Eisen) erhitzt wurde. Diese Temperatur entmagnetisiert die Platten vollständig. Es scheint zweifelhaft, ob jemand Daten von einem Laufwerk wiederherstellen kann, das auf einen harten Boden gefallen ist. Wenn die Platten aufgrund von Biegung oder Aufprall aus dem Gleichgewicht geraten, vibrieren sie beim Drehen. Angenommen, die vertikale Amplitude dieser Schwingung ist größer als die Entfernung, mit der der Lesekopf fliegt (50 µm), dann erleidet das Laufwerk einen permanenten Kopfcrash, wodurch das Lesen der magnetischen Informationen unmöglich und die Oberfläche weiter zerstört wird. Durch horizontale Vibrationen kann der Kopf nicht auf der Spur bleiben, die dünner als 1 µm ist.

Während wir wissen, dass Reifengeschäfte Gewichte auf das Rad auftragen, um den Reifen auszuwuchten, ist eine vergleichbare Technologie für unbalancierte Platten unbekannt.

Die einzige Technologie, die dieses Problem möglicherweise überwinden kann, ist die Magnetic Force Microscope (MFM) -Fotografie, da für diese Technik kein Drehen des Plattentellers erforderlich ist. MFM erfordert jedoch das Scannen der gesamten Oberfläche des Plattentellers. Das MFM bewegt sich von Region zu Region, wobei jede Region ein Bild liefert. Dieser Vorgang allein wird mehrere Monate dauern. Dann müssen alle diese Bilder zusammengesetzt werden. Eine 20-GB-Festplatte besteht aus 160.000.000.000 Bit, wahrscheinlich 300.000.000.000 Bit einschließlich Overhead. Eine magnetische Flussänderung repräsentiert jedes Bit. Ein Bild, das diese Flussänderung anzeigt, wird wahrscheinlich 100 Bytes verwenden und jedes Bit um den Faktor 1000 aufblasen. Sie müssen die Datenmenge von 40 Terabyte analysieren. Es ist nicht bekannt, ob diese Technologie verwendet wird. Sie ist sicherlich nicht im Handel erhältlich und erschwinglich. Eine Datenwiederherstellung würde Hunderttausende von Dollar kosten.

Die Erfolgsaussichten hängen auch vom Laufwerkstyp ab. Viele Datenrettungsunternehmen können bestimmte Laufwerke retten, andere jedoch nicht. Moderne Laufwerke sind nach ihrer Montage so konditioniert, dass sie perfekt mit den eingebauten Teilen, Köpfen, Platten usw. zusammenarbeiten. Es ist oft unmöglich, Teile eines anderen Laufwerks zu verwenden, selbst wenn beide Laufwerke dieselbe Modellnummer haben.

Es gibt keine "magischen" Maschinen, die in der Lage sind, die Daten von einem beliebigen Laufwerk wiederherzustellen. Wenn die Rohdaten gesichert werden können, muss im Anschluss eine logische Rekonstruktion der Dateien durchgeführt werden.

Festplatten mit "fehlerhaften Sektoren"

Diese Festplatten werden vom BIOS oder von Software wie GetDataBack weiterhin erkannt, weisen jedoch an einer oder mehreren Stellen Lesefehler auf. Nachdem Sie ein Laufwerk-Image erstellt haben, können Sie die Dateien aus diesem Image mit GetDataBack rekonstruieren.

Erstellen Sie ein Image

Sie können ein Image mit Festplatten-Tools erstellen, z.B. mit Runtime's DiskExplorer oder GetDataBack. Sie sollten nicht versuchen, das Image zu erstellen, wenn das Laufwerk ungewöhnliche Geräusche macht, da beim Erstellen des Images das Medium weiter beschädigt werden kann. Stattdessen sollten Sie die Datenrettung dann einem Dienstleister überlassen.

Die Frage ist freilich, was Datenrettungsdienstleister tun werden, außer zu versuchen, ein Image zu erstellen. Es würde helfen, wenn Sie sie fragen. Am Ende ist es Ihre eigene Entscheidung, ob Sie es selbst versuchen möchten.

Bevor Sie beginnen, sollten Sie gut vorbereitet sein. Sie sollten die Imaging-Software auf einem funktionierenden Computer installiert haben und wissen, wie man sie verwendet. Sie sollten über ausreichend Festplattenspeicher verfügen, um das Image der fehlerhaften Festplatte aufzunehmen. Sie sollten sich auf diese Aufgabe konzentrieren und ihren Fortschritt beobachten. Es ist am besten, wenn Sie auf diesem Computer nichts anderes gleichzeitig tun, z. B. Spiele spielen oder im Internet surfen. Es ist schwer vorherzusagen, wie lange es tatsächlich dauern wird, das Image zu erstellen. Dies hängt in erster Linie von der Anzahl der fehlerhaften Sektoren auf dem Laufwerk ab und kann 30 Minuten bis zu mehreren Tagen dauern.

Schließen Sie externe Laufwerke direkt an den SATA-Anschluss Ihres Motherboards an

Wenn Sie ein externes Laufwerk haben, z. B. ein USB-Laufwerk, sollten Sie es aus dem Gehäuse nehmen und als zusätzliche Festplatte an das SATA-Kabel des Computers anschließen. Sobald Sie ein Image erstellt haben, können Sie GetDataBack ausführen und die Dateien wiederherstellen.

Logische Rekonstruktion eines FAT-formatierten Laufwerks mit GetDataBack

DiskExplorer for FAT: Verzeichniseintrag für die Datei IMG_2379.JPG

DiskExplorer for FAT: Verzeichniseintrag für die Datei IMG_2379.JPG

GetDataBack scannt Ihr Laufwerk bzw. das Image und versucht, den ursprünglichen Status aller Dateien im Dateisystem zusammenzustellen. GetDataBack kann dies auch dann tun, wenn einige Dateisystemstrukturen fehlen, z. B. Partitionstabelle oder Bootrecord.

Lassen Sie uns im Detail untersuchen, wie GetDataBack eine Datei wiederherstellt:

Eine Datei in einem FAT-Dateisystem wird vollständig beschrieben von

  • ihrem Verzeichniseintrag *),

  • ihrem Eintrag in der Dateizuordnungstabelle*) (FAT), 

  • den zugewiesenen Clustern*), die den Inhalt der Datei enthalten. 

*) Die obigen Farben entsprechen den Regionsfarben in der folgenden Grafik.

Datei in FAT: FAT-Kette, Verzeichniseintrag und Zuordnung

Datei in FAT: FAT-Kette, Verzeichniseintrag und Zuordnung

Verzeichniseinträge werden beim ersten Scan des Laufwerks gesammelt, wenn GetDataBack jeden Sektor untersucht. Ein Verzeichniseintrag enthält den Namen, die Größe, das Datum, die Uhrzeit und den ersten Cluster der Daten der Datei.

Der erste Cluster zeigt direkt auf den Startcluster, der der Datei zugewiesen ist. Er zeigt auch auf einen FAT-Eintrag, der die Cluster beschreibt, die die verbleibenden Teile der Datei enthalten. Wie sich herausstellt, verwendet IMG_2379.JPG die Cluster 4-529.

Informationen zu einer Datei in einem FAT-Dateisystem werden auf drei verschiedene Orte verteilt. Der Verzeichniseintrag enthält den Dateinamen und wo auf dem Laufwerk die Datei beginnt. Die FAT weiß, wo die Datei fortgesetzt wird. Schließlich enthalten die zugewiesenen Cluster den Inhalt der Datei.

GetDataBack verwendet diese Informationen, um die Dateien zu rekonstruieren. Da Informationen zu einer Datei an drei verschiedenen Stellen gespeichert werden, kann dies zu Problemen führen, wenn eine dieser Stellen fehlt oder unvollständig ist.

FAT-Datenrettungsmatrix

Die folgende Matrix informiert Sie über die Wiederherstellbarkeit einer Datei in Abhängigkeit von Zuordnung, Verzeichniseintrag oder FAT.

Zuord Verz FAT Wiederherstellbarkeit
Die Datei wird perfekt wiederhergestellt.
Die Datei wird wahrscheinlich wiederhergestellt. Probleme ergeben sich mit fragmentierten Dateien. *
Datei hat keinen Namen. Sie kann möglicherweise als "verlorene Datei" wiederhergestellt werden. **
Die Datei kann nicht wiederhergestellt werden, obwohl der Dateiname weiterhin angezeigt wird. ***
Datei kann nicht wiederhergestellt werden. Von seiner Existenz ist keine Spur mehr übrig. ***

Diese Information ist verfügbar 

Diese Information ist nicht verfügbar 

* Fragmentierung

Eine weit verbreitete Situation, die durch das Löschen von Dateien, Formatieren oder Löschen von Partitionen verursacht wird, ist das Fehlen des FAT-Eintrags. Solange die Dateigröße kleiner als die Clustergröße ist (z. B. 32 KB, abhängig von der Laufwerksgröße), erhalten Sie eine perfekt wiederhergestellte Datei, da sie den FAT-Eintrag nicht benötigt.

Wenn die Datei größer ist, werden ihr normalerweise aufeinanderfolgende Cluster zugewiesen. Daher besteht die vielversprechendste Strategie zur Datenwiederherstellung darin, beim Neuerstellen einer Datei ohne FAT-Eintrag kontinuierliche Cluster anzunehmen. Diese Methode funktioniert für die meisten Dateien, es treten jedoch Probleme mit Dateien auf, die mit der Zeit wachsen. Diese Dateien werden notwendigerweise fragmentiert, wenn sie nicht nacheinander zugewiesen werden können, da andere Dateien diese Cluster inzwischen verwenden. Leider fallen viele wichtige Dateien in diese Kategorie: E-Mail-Dateien, Datenbanken, große Dokumente und Verzeichnisse.

GetDataBack verwendet verschiedene Techniken, um selbst fragmentierte Dateien korrekt wiederherzustellen. Diese Techniken umfassen die Berücksichtigung der Zuordnung anderer Dateien. GetDataBack kann auch fragmentierte Verzeichnisse wieder zusammensetzen. Aber machen wir uns nichts vor. Diese Bemühungen sind für große und stark fragmentierte Dateien zum Scheitern verurteilt.

So ärgerlich es auch ist, obwohl sich ihr Inhalt noch irgendwo auf dem Laufwerk befindet, können diese Dateien oft nicht wiederhergestellt werden.

Es ist keine automatisierte Datenrettungssoftware verfügbar, mit der die Fragmentierung zufriedenstellend gelöst werden kann. Wenn Sie eine Datei mit 10 Clustern auf einem 20-GB-Laufwerk neu kombinieren möchten, müssen Sie bei einer Clustergröße von 32 KB alle möglichen Kombinationen eines bekannten Clusters mit 9 anderen Clustern von möglichen 625000 analysieren. Dies sind 625000 ^ 9 mögliche Kombinationen, eine Zahl mit 52 Ziffern.

Der einzig sinnvolle und intelligentere Ansatz ist eine "manuelle" Datenrettung für eine bestimmte Datei. Mit dem DiskExplorer von Runtime beginnen Sie am bekannten Cluster und suchen nach unten nach Daten, von denen Sie wissen, dass sie zum fehlenden Teil der Datei gehören. Schließlich fassen Sie alle Ihre Ergebnisse in einer neuen Datei zusammen. Die Grenzen dieses Ansatzes sind offensichtlich. Dies ist nur für wenige Dateien mit bekanntem Inhalt möglich.

Auch Datenrettungsdienstleister werden höchstwahrscheinlich keine besseren Ergebnisse erzielen. Sie verfügen möglicherweise über einige Tools, z. B. zum Extrahieren von lesbarem Text, verfügen jedoch nicht über Ihr Wissen über den Inhalt der Datei.

** Verzeichniseintrag fehlt (verlorene Dateien)

Wenn der Verzeichniseintrag verloren gegangen ist, sich der Dateiinhalt jedoch noch auf dem Laufwerk befindet, können Sie die Datei möglicherweise wiederherstellen, falls Sie wissen, wo sie sich befindet. Dieses Problem unterscheidet sich vom Fragmentierungsproblem. Sie kennen weder den Namen, noch die Größe oder den Anfang der Datei. Dieser Verlust tritt auf, wenn das Betriebssystem den ursprünglichen Verzeichniseintrag erneut verwendet hat, während der Dateiinhalt unverändert blieb. 

Wenn Sie ein Laufwerk formatieren und Gigabyte eines neuen Windows-Betriebssystems darauf ablegen, wird der Start des alten Dateisystems, einschließlich vieler Verzeichnisinformationen, zerstört. Im Gegensatz dazu befinden sich die Dateien möglicherweise immer noch an Orten außerhalb des überschriebenen Teils.

Eine Datenrettungssoftware für diese nicht referenzierten "verlorenen Dateien" muss jeden Sektor des Laufwerks scannen und seinen Inhalt mit einer Liste bekannter Dateisignaturen vergleichen. Andere Probleme treten auf, z. B. die Entscheidung über die Länge einer Datei, nachdem die Signaturliste sie identifiziert hat.

Nach unserer Erfahrung ist die Wiederherstellung "verlorener Dateien" ein mühsamer und langwieriger Prozess mit oft zweifelhaften Ergebnissen. Sie erhalten riesige Mengen unbenannter Dateien mit unbekanntem und sehr häufig beschädigtem Inhalt.

*** Die der Datei zugeordneten Cluster wurden überschrieben

Wenn die der Datei zugeordneten Cluster zerstört oder von anderen Dateien überschrieben wurden — wie in den vier unteren Fällen der Wiederherstellungsmatrix —, besteht keine Möglichkeit, diese Datei wiederherzustellen. Einmal überschrieben, ist es nicht möglich, die vormals dort gespeicherten Informationen abzurufen. Theoretisch könnten Sie die "Restmagnetisierung" mit einer fortgeschrittenen Technologie wie MFM (Magnetic Force Microscope) lesen, aber es ist nicht bekannt, ob dies tatsächlich jemand beherrscht. Wenn diese Technologie existiert, ist sie sicherlich nicht im Handel erhältlich und erschwinglich.

Keine Datenrettungssoftware und kein Dienstleister kann diese Datei wiederherstellen, selbst wenn der Dateiname möglicherweise immer noch in GetDataBack angezeigt wird.

Logische Rekonstruktion eines NTFS-formatierten Laufwerks mit GetDataBack

DiskExplorer for NTFS: MFT-Eintrag für Datei IMG_2379.JPG

DiskExplorer for NTFS: MFT-Eintrag

Wie wir sehen werden, ist NTFS ein besseres Dateisystem, wenn es um Datenrettung geht. Normalerweise gibt es kein Problem mit Fragmentierung.

Lassen Sie uns im Detail untersuchen, wie GetDataBack eine Datei wiederherstellt:

Eine Datei in einem NTFS-Dateisystem wird vollständig beschrieben von

  • ihrem MFT-Eintrag*) (Master File Table),

  • den zugewiesenen Clustern*), die den Inhalt der Datei enthalten. 

*) Die obigen Farben entsprechen den Regionsfarben in der folgenden Grafik.

Runtime Live CD

Datei in NTFS: MFT-Eintrag und Zuordnung

Der MFT-Eintrag wird während des ersten Scans des Laufwerks erfasst, wenn GetDataBack jeden Sektor untersucht. Er enthält den Namen, die Größe, das Datum und die Uhrzeit der Datei. Anders als mit dem Verzeichniseintrag in FAT enthält es auch die vollständige Liste der verwendeten Cluster, die als Run-List bezeichnet wird.

Die Run-List zeigt direkt auf die zugeordneten Cluster der Datei. Es stellt sich heraus, dass IMG_2379.JPG x1F5 (501) cluster verwendet, beginnend mit Cluster x3F02 (16130).

Wir sehen, dass Informationen über eine Datei in NTFS auf zwei verschiedene Speicherorte verteilt sind. Der MFT-Eintrag enthält den Dateinamen und die Run-List, die die zugewiesenen Cluster beschreibt. Die Cluster selbst enthalten den Dateiinhalt.

GetDataBack verwendet diese Informationen, um die Dateien zu rekonstruieren. Beachten Sie, dass in NTFS, anders als in FAT, kein Fragmentierungsproblem auftritt. Sobald es einen MFT-Eintrag gibt, wissen wir genau, wo die Datei allokiert ist. Dies führt zu besseren Datenrettungsergebnissen für fragmentierte Dateien.

NTFS-Datenrettungsmatrix

Da Informationen zu einer Datei an zwei verschiedenen Stellen gespeichert werden, treten Probleme auf, wenn diese fehlen oder unvollständig sind. Die folgende Matrix informiert Sie über die Wiederherstellbarkeit einer Datei in Abhängigkeit vom Vorhandensein eines MFT-Eintrags oder der zugeordneten Cluster.

Zuord MFT Wiederherstellbarkeit
Die Datei wird perfekt wiederhergestellt.
Datei hat keinen Namen. Sie kann möglicherweise als "verlorene Datei" wiederhergestellt werden.*
Die Datei kann nicht wiederhergestellt werden, obwohl der Dateiname weiterhin angezeigt wird.**
Datei kann nicht wiederhergestellt werden. Von ihrer Existenz ist keine Spur mehr übrig.**

Diese Information ist verfügbar 

Diese Information ist nicht verfügbar 

* MFT-Eintrag fehlt (verlorene Dateien)

Wenn der MFT-Eintrag verloren gegangen ist, sich der Dateiinhalt jedoch noch auf dem Laufwerk befindet, können Sie die Datei möglicherweise wiederherstellen, wenn Sie wissen, wo sie sich befindet. Dieser Verlust tritt auf, wenn das Betriebssystem den ursprünglichen MFT-Eintrag erneut verwendet hat, während der Dateiinhalt unverändert blieb.

Wenn Sie ein Laufwerk formatieren und Gigabyte eines neuen Windows-Betriebssystems darauf ablegen, wird der Start des alten Dateisystems, einschließlich vieler MFT-Einträge, zerstört. Im Gegensatz dazu befinden sich die Dateien möglicherweise immer noch an Orten außerhalb des überschriebenen Teils.

Eine Datenrettungssoftware für diese nicht referenzierten "verlorenen Dateien" muss jeden Sektor des Laufwerks scannen und seinen Inhalt mit einer Liste bekannter Dateisignaturen vergleichen. Andere Probleme treten auf, z. B. die Entscheidung über die Länge einer Datei, nachdem die Signaturliste sie identifiziert hat.

Nach unserer Erfahrung ist die Wiederherstellung "verlorener Dateien" ein mühsamer und langwieriger Prozess mit oft zweifelhaften Ergebnissen. Sie erhalten riesige Mengen unbenannter Dateien mit unbekanntem und sehr häufig beschädigtem Inhalt.

** Die zugeordneten Cluster der Datei wurden überschrieben

Wenn die der Datei zugeordneten Cluster zerstört oder von anderen Dateien überschrieben wurden — wie in den zwei unteren Fällen der Wiederherstellungsmatrix —, besteht keine Möglichkeit, diese Datei wiederherzustellen. Einmal überschrieben, ist es nicht möglich, die vormals dort gespeicherten Informationen abzurufen. Theoretisch könnten Sie die "Restmagnetisierung" mit einer fortgeschrittenen Technologie wie MFM (Magnetic Force Microscope) lesen, aber es ist nicht bekannt, ob dies tatsächlich jemand beherrscht. Wenn diese Technologie existiert, ist sie sicherlich nicht im Handel erhältlich und erschwinglich.

Keine Datenrettungssoftware und kein Dienstleister kann diese Datei wiederherstellen, selbst wenn der Dateiname möglicherweise immer noch in GetDataBack angezeigt wird.

Datenrettung von einem Image nach einem physikalischen Problem (fehlerhafte Sektoren)

Wenn Sie GetDataBack für ein Image ausführen, das von einem physisch beschädigten Laufwerk stammt, erhalten Sie normalerweise gute Datenrettungsergebnisse, sofern dieses Image nur "einige" nicht wiederherstellbare Sektoren enthält.

Zu diesem optimistischen Ausblick tragen mehrere Faktoren bei:

  • Ein Laufwerk mit fehlerhaften Sektoren wird normalerweise durch die Versuche des Benutzers, das Problem zu "beheben", nicht zu stark verändert.

  • Wenn es sich um ein FAT-Laufwerk handelt, können die Dateizuordnungstabelle (FAT) und ihre Kopie weiterhin von GetDataBack verwendet werden.

  • Die meisten Dateisystemstrukturen sind verfügbar.

Der Erfolg hängt natürlich davon ab, inwieweit Sie dieses Image überhaupt erstellen können. Dateien, die sich in den beschädigten Bereichen befinden, werden auch nach der Wiederherstellung beschädigt sein.

Datenrettung nach dem Löschen oder Ändern einer Partition

Wenn Sie eine Partition löschen, sind nur die Partitionstabelle und der Bootrecord betroffen. Wichtige Strukturen wie MFT und FAT sind normalerweise unbeschädigt.

Selbst das Neuerstellen der Partition — solange Sie das Volume nicht formatieren — sollte wichtige Datenstrukturen nicht ändern.

Mit GetDataBack sollten Sie in der Lage sein, eine nahezu perfekte Datenrettung durchzuführen.

Datenrettung nach Formatierung

In FAT werden durch Formatieren eines Volumes beide Dateizuordnungstabellen (FAT) und das Stammverzeichnis gelöscht. Viele Dateien sind noch vorhanden, aber Sie haben verloren:

  • Alle Einträge im Stammverzeichnis: Dateien können allenfalls als "verlorene Dateien" wiederhergestellt werden. Unterverzeichnisse der ersten Ebene haben nur Nummern anstelle ihres ursprünglichen Namens. Unterverzeichnisse tieferer Ebenen zeigen ihren ursprünglichen Namen.

  • Die Dateizuordnungstabellen (FAT): Dies führt zu dem "Fragmentierungsproblem", das im Kapitel "Logische Rekonstruktion eines FAT-formatierten Laufwerks mit GetDataBack" beschrieben wird.

Im Rahmen der oben genannten Einschränkungen erhalten Sie eine "faire" Datenrettung. Die meisten Dateien sollten unbeschädigt sein. Sie müssen in den nummerierten Verzeichnissen nach Ihren Dateien suchen. Fragmentierte Dateien wie Outlook-E-Mail-Dateien oder Datenbanken sind beschädigt und möglicherweise unbrauchbar.

In NTFS wird durch Formatieren eines Volumes eine neue MFT erstellt. Dies betrifft jedoch nur etwa die ersten 25 Einträge. Normalerweise werden die MFT-Einträge früherer Benutzerdateien nicht berührt.

Das heißt, Sie können eine "gute" Datenrettung erwarten. Fast alle Dateien sollten korrekt wiederhergestellt sein.

Ihre Ergebnisse sind noch besser, wenn Sie ein zuvor FAT-formatiertes Laufwerk mit NTFS formatiert haben oder umgekehrt. In diesem Fall wird die ursprüngliche FAT oder MFT wahrscheinlich nicht beschädigt, da sich diese Strukturen in verschiedenen Bereichen des Laufwerks befinden.

Datenwiederherstellung nach der Installation eines neuen Windows-Betriebssystems

Hier beginnt der Ärger wirklich. Durch die Installation eines neuen Betriebssystems können 10 GB oder mehr problemlos überschrieben werden.

Alle Dateien in diesen 10 GB gehen unwiderruflich verloren. Außerdem gehen dort befindliche Verzeichniseinträge (FAT) und MFT-Einträge (NTFS) verloren, sodass Dateien ohne Referenz ("verlorene Dateien") verbleiben, selbst wenn sie sich jenseits 10 GB befinden.

In FAT werden dadurch auch die FATs zerstört, was zu Fragmentierungsproblemen führt.

Wie zuvor erläutert, ist eine Technologie, die Daten aus der "Ruhemagnetisierung" wiederherstellen kann, nicht im Handel erhältlich. Alles, was Sie möglicherweise wiederherstellen können, stammt aus dem nicht überschriebenen Bereich.

Schadensfeststellung

Beispiel Angenommen, Sie hatten ursprünglich eine 20 GB FAT-formatierte Festplatte mit 10 GB für 50000 Dateien in 2000 Verzeichnissen.

Sie installieren ein neues Betriebssystem mit 2 GB auf diesem Laufwerk.

  • Sie verlieren 10% aller Daten auf dem Laufwerk (2 von 20 GB).

  • Sie verlieren 20% Ihrer Daten auf dem Laufwerk (2 von 10 GB, vorausgesetzt, Ihre Daten konzentrieren sich auf die ersten 10 GB des 20-GB-Laufwerks).

  • Sie verlieren 20% Ihrer Dateien, die im überschriebenen Bereich allokiert waren.

  • Da sich die meisten Verzeichniseinträge in den ersten 2 GB befinden, verlieren Sie weitere 30% Ihrer Dateien ("verlorene Dateien").

  • Sie verlieren zusätzliche 10% aller Dateien aufgrund von Fragmentierung und Überlappung zwischen den beiden Bereichen.

Sie werden nur etwa 40% Ihrer Dateien unbeschädigt wiederherstellen können. Die anderen 60% sind beschädigt, sind "verlorene Dateien" oder können überhaupt nicht wiederhergestellt werden.

Wenn Ihre Dateien auf dem Laufwerk von anderen Dateien "abhängig" waren, z. B. Tabellen für Datenbanken, sinkt diese Zahl noch weiter:

  • Wenn Ihre Dateien paarweise voneinander abhängen, z. B. ein Word-Dokument für "Verträge" und eines für "Anhänge", sind nur noch 0,4 * 0,4 * 100 = 16% aller Paare (Projekte) übrig.

  • Wenn Sie Projekte mit jeweils 5 Dateien auf dem Laufwerk haben, werden nur (0,4) ^ 5 * 100 = 1% dieser Projekte ohne Beschädigung wiederhergestellt.

Wichtig Sie sehen, dass im obigen Beispiel der Verlust von 10% der Rohdaten zum Verlust von 99% Ihrer Projekte führen kann.

Wenn Sie mit einem zuvor NTFS-formatierten Laufwerk arbeiten, sind Ihre Aussichten besser:

  • Durch Fragmentierung und Überlappung verlieren Sie weniger Dateien, nur 5% statt 10%.

  • Sie verlieren auch weniger MFT-Einträge als Verzeichniseinträge in FAT, 10% statt 30%. NTFS neigt dazu, die MFT über das Laufwerk zu verteilen.

Sie würden 65% Ihrer Dateien unbeschädigt wiederherstellen.

Sie würden 42% Ihrer 2-Datei-Projekte wiederherstellen, fast dreimal mehr als mit FAT.

Sie würden 12% Ihrer 5-Datei-Projekte wiederherstellen, zwölfmal mehr als mit FAT.

Datenrettung nach dem Imaging oder "Ghosting" eines Laufwerks

Die Folgen eines Imaging auf ein Laufwerk, beispielsweise mit Norton's Ghost, ähneln denen nach dem Installieren eines neuen Betriebssystems. Wenn das Image groß war, sind die Chancen, dass Sie Ihre Dateien wiederherstellen, sehr gering.

Datenrettung nach dem Löschen von Dateien

Obwohl es einfach erscheint, kann das Wiederherstellen gelöschter Dateien komplizierter sein als das Wiederherstellen von Dateien von einem Laufwerk mit fehlerhaften Sektoren oder nach einem Fdisk oder Format.

Das Löschen von Dateien ist das am wenigsten verstandene Thema. Ironischerweise ist die Datenrettung gelöschter Dateien so schwierig, weil der Benutzer weiterhin mit seinem Laufwerk arbeiten kann. Seine Versuche, die gerade gelöschten Dateien wiederherzustellen, ruinieren oft seine Chancen.

Schauen wir uns an, wie das Betriebssystem eine Datei löscht.

Löschen von Dateien in FAT

Eine einzelne Datei wird gelöscht, indem

  • ihr Verzeichniseintrag mit E5 markiert wird und

  • der zugehörige FAT-Eintrag freigegeben wird.

Ein ganzes Verzeichnis wird gelöscht, indem

  • sein Verzeichniseintrag mit E5 markiert wird (die Verzeichniseinträge der Dateien im gelöschten Verzeichnis bleiben normalerweise unverändert),

  • die FAT-Einträge sowohl für das Verzeichnis als auch für die darin enthaltenen Dateien freigegeben werden.

Nach dem Löschen liegt ein mögliches Fragmentierungsproblem vor, da die in der FAT gespeicherten Zuordnungsinformationen unwiderruflich verloren gehen.

Löschen von Dateien in NTFS

Eine Datei wird gelöscht, indem ihr MFT-Eintrag als nicht verwendet markiert wird. Die MFT enthält weiterhin die Zuordnung der Datei. Die Datei kann daher leichter wiederhergestellt werden als das FAT-Gegenstück.

Der Papierkorb

Was wir oben beschrieben haben, gilt für das "dauerhafte Löschen" von Dateien. Wenn Sie sie nicht dauerhaft löschen, werden sie in den "Papierkorb" verschoben und von dort wiederhergestellt.

Beim Verschieben der Dateien in den Papierkorb werden sie (aus welchen Gründen auch immer) in Zahlen umbenannt, wobei ihre Erweiterung beibehalten wird. Zum Beispiel erhält My Holiday.doc einen neuen Namen wie d24.doc im Ordner Papierkorb. Diese internen Details spielen keine Rolle, solange sich diese Dateien noch im Papierkorb befinden. Das Betriebssystem gibt ihnen den richtigen Namen, wenn Sie diese Dateien wiederherstellen.

Wenn Sie den Papierkorb jedoch "leeren", werden die oben beschriebenen Löschvorgänge für diese umbenannten Dateien ausgeführt. Wenn Sie später My Holiday.doc wiederherstellen möchten, müssen Sie tatsächlich nach einem unbekannten Dateinamen mit der Erweiterung doc suchen.

Chancen für die erfolgreiche Wiederherstellung gelöschter Dateien

Die Speicherorte der gelöschten Dateien sind vom Dateisystem nicht mehr geschützt. Diese Speicherorte werden möglicherweise wiederverwendet, wenn das Betriebssystem das nächste Mal eine neue Datei erstellt. Aus diesem Grund ist es ein solches Problem, wenn der Benutzer weiterhin mit der betroffenen Festplatte arbeitet.

Dateien werden ständig erstellt. Prozesse schreiben Protokolldateien, Drucker stellen Druckaufträge in die Warteschlange, der Internetbrowser erstellt viele temporäre Dateien. Selbst das Booten und Ausführen von Windows vom betroffenen Laufwerk kann die kritischen Bereiche überschreiben.

Um diese gelöschten Dateien zu schützen, muss der Benutzer sofort aufhören, mit dem Laufwerk zu arbeiten, und es als zusätzliches Laufwerk an einen anderen Computer anschließen.

Wir haben getestet, wie lange eine gelöschte Datei wiederhergestellt werden konnte, bevor das Betriebssystem den Verzeichniseintrag, die MFT oder die Zuordnung der gelöschten Datei wiederverwertete. Es passierte fast augenblicklich. Das führt dazu, dass wir sehr pessimistisch über die Aussichten sind, "ein paar" gelöschte Dateien wiederherzustellen.

Wenn Sie hingegen — sagen wir 1 GB, bestehend aus 1000 Dateien — gelöscht haben und nicht mehr mit diesem Laufwerk arbeiten, stehen die Chancen gut, die meisten dieser Dateien wiederherzustellen. Wenn Sie mit FAT arbeiten, tritt möglicherweise ein Fragmentierungsproblem auf.

Daten rechtzeitig wiederherstellen

Die Zeitdimension wird bei der Datenrettung häufig unterschätzt. Der Verlust von Daten für eine Woche kann genauso schlimm sein wie der Verlust der Daten für immer.

Dies unterstreicht die Bedeutung einer Datenrettungssoftware wie GetDataBack von Runtime. Die Einschaltung eines Datenrettungsdienstleisters hat immer eine Bearbeitungszeit von mehreren Tagen. Um die Datenrettung selbst vorzunehmen, ist nur wenig Vorbereitung erforderlich, und nach einigen Stunden ist die Datenrettung abgeschlossen.

Während Sie professionelle Hilfe bei physischer Beschädigung brauchen, sind die meisten Datenverluste Folge logische Beschädigungen am Dateisystem. Die Datenrettungsdienste verwenden keine besseren Tools als Sie.

© 2024 Runtime Software

EN  DE  FR |   Home  |   Folge uns:   |   Kontakt  |   Sitemap