Jäger der verlorenen Daten

Teil 2: Datenrettung wie die Profis

Viele Datenrettungs-Tools durchsuchen das Inhaltsverzeichnis nach Einträgen, die als gelöscht markiert sind. Dabei unterscheiden sich Dateien und Ordner nicht, beide sind im Inhaltsverzeichnis abgelegt.

Datenrettung wie die Profis

© Archiv

Die einfachen Undelete-Programme klappern die Verzeichnisstrukturen des Dateisystems ab und zeigen die gefundenen Einträge an. Die Methode ist sehr einfach daran zu erkennen, dass die Tools die originalen Datei- und Ordneramen bis auf den ersten Buchstaben anzeigen.

Zusätzlich geben die meisten Undelete-Tools an, ob sich die so gefundenen Dateien tatsächlich wieder herstellen lassen. Dazu folgen Sie den Querverweisen von Cluster zu Cluster, in denen die Originaldatei gespeichert war. Ist ein Cluster in FAT oder MFT bereits wieder als belegt markiert, hat Windows die Datei teilweise mit einer neuen Datei überschrieben. Die Karten für eine Datenrettung stehen dann schlecht. Bei einfachen Textdateien kann man immerhin noch Teile rekonstruieren, Bilddateien, Excel-Tabellen und ähnlich komplexe Dateitypen sind aber meistens unbrauchbar.

Als Freeware-Datenrettungsprogramm bietet sich PC Inspector File Recovery an, das allerdings nicht mit Windows Vista zusammenarbeitet. Eine englische Oberfläche und Vista-Unterstützung finden Sie bei SoftPerfect File Recovery (www.softperfect.com). Ein weiterer Vorteil ist, dass es ohne Installation auskommt: So überschreibt das Tool keine zu rettenden Files.

Datenrettung wie die Profis

© Archiv

Ohne Installation: SoftPerfect File Recovery lässt sich direkt vom USB-Stick starten.

Verzeichnisse suchen

Die Methode, sich ausgehend vom Hauptverzeichnis des Laufwerks von als gelöscht markierten Einträgen bis zu den Clustern vorzuhangeln, hat ihre Grenzen. Wenn etwa ein neuer Eintrag im Inhaltsverzeichnis den Verweis auf einen gelöschten Ordner überschreibt, werden dieser Ordner und die darin enthaltenen Dateien deshalb noch lange nicht mit neuen Daten überschrieben. Der Ordner und die darin enthaltenen Dateien lassen sich unter Umständen doch wiederherstellen.

Dazu muss das Datenrettungsprogramm aber das gesamte Laufwerk Cluster für Cluster absuchen und nach verwaisten Verzeichnisstrukturen mit darin enthaltenen Dateieinträgen suchen. Das kann je nach Partitionsgröße und PC durchaus etliche Stunden dauern. Ausgehend von den Dateieinträgen im gelöschten Ordner funktioniert die Datenrettung dann wie beim einfachen Entlöschen.

Cluster abklappern

Der Dateieintrag im Verzeichnis ist wichtig, weil darin die Adresse des ersten Clusters gespeichert ist. Von dort aus kann sich ein Rettungs-Tool dann von Cluster zu Cluster bis zum Ende einer Datei durchhangeln.

Datenrettung wie die Profis

© Archiv

Mühsame Arbeit: Das Ergebnis einer Clustersuche ist wegen der automatischen Dateibenennung oft wenig aussagekräftig.

Fehlt der Verzeichniseintrag zu einer Datei, ist trotzdem noch nicht alles verloren. Denn fast alle Dateiformate verwenden ganz am Anfang typische Bytefolgen, die das Format näher beschreiben. Eine JPEG-Bilddatei enthält beispielsweise ganz am Anfang die Zeichenkette JFIF an einer bestimmten Position.

Das Datenrettungs-Tool liest den Cluster ein und vergleicht ihn mit einer internen Datenbank von verbreiteten Dateiformaten. Identifiziert das Tool so den Beginn einer Datei, kann es wie gewohnt die nachfolgenden Cluster zusammensuchen. Der originale Dateiname und die Zuordnung zu einem bestimmten (Unter-) Verzeichnis lässt sich so nicht mehr feststellen. Aus einer sauber sortierten Sammlung von JPEG-Bildern wird so eine Liste von duchnummerierten Dateien, deren Reihenfolge eher zufällig ist. Es kann ziemlich aufwändig sein, ein paar hundert oder tausend Dateien zu sortieren.

Auch diese Suchmethode unterstützen viele Rettungstools. Dabei kommt es entscheidend darauf an, welche Dateiformate das Tool überhaupt erkennen kann. Andererseits ergeben sich dadurch Komfortfunktionen: Wenn Sie wissen, dass die versehentlich gelöschten Dateien JPEG-Bilder waren, schränken Sie die Suche auf genau diesen Dateityp ein.

Datenrettung wie die Profis

© Archiv

Fingerabdruck: Die meisten Dateiformate verwenden typische Bytefolgen wie JFIF bei JPEG-Bildern.

Mehr zum Thema

festplatte, hardware, pc, hdd
Gelöschte Dateien wiederherstellen

Wir zeigen Ihnen, wie Sie verloren geglaubte Daten retten können - etwa mit dem kostenlosen Tool Recuva.
Windows 10 Sicherheit: Symbolbild
Computer ohne Werbung

Wir zeigen, wie Sie Adware vermeiden, damit Sie sich im Anschluss an die Installation nicht mühsam entfernen müssen.
Sicherheit im Urlaub
Diebstahlschutz, offene WLANs und Co.

Diebstahlschutz für Smartphones, Schutz in offenen WLANs und Co: Worauf Sie beim Reisen achten sollten, um böse Überraschungen zu vermeiden.
Facebook-Betrug mit Fake-Profilen
Gefälschte Facebook-Konten

Betrüger nutzen gefälschte Facebook-Profile, um Geld zu ergaunern. Wir zeigen, wie Sie sich und auch Ihre Facebook-Kontakte gegen die Betrugsmasche…
Festplatte Verschlüsselung
Windows

Wir vergleichen den mittlerweile eingestellten Marktführer TrueCrypt mit dem Nachfolger Veracrypt und der Alternative Bitlocker.