Teil 2: Datenrettung wie die Profis
- Datenrettung wie die Profis
- Teil 2: Datenrettung wie die Profis
- Teil 3: Datenrettung wie die Profis
- Teil 4: Datenrettung wie die Profis
Viele Datenrettungs-Tools durchsuchen das Inhaltsverzeichnis nach Einträgen, die als gelöscht markiert sind. Dabei unterscheiden sich Dateien und Ordner nicht, beide sind im Inhaltsverzeichnis abgelegt.
© Archiv
Die einfachen Undelete-Programme klappern die Verzeichnisstrukturen des Dateisystems ab und zeigen die gefundenen Einträge an. Die Methode ist sehr einfach daran zu erkennen, dass die Tools die originalen Datei- und Ordneramen bis auf den ersten Buchstaben anzeigen.
Zusätzlich geben die meisten Undelete-Tools an, ob sich die so gefundenen Dateien tatsächlich wieder herstellen lassen. Dazu folgen Sie den Querverweisen von Cluster zu Cluster, in denen die Originaldatei gespeichert war. Ist ein Cluster in FAT oder MFT bereits wieder als belegt markiert, hat Windows die Datei teilweise mit einer neuen Datei überschrieben. Die Karten für eine Datenrettung stehen dann schlecht. Bei einfachen Textdateien kann man immerhin noch Teile rekonstruieren, Bilddateien, Excel-Tabellen und ähnlich komplexe Dateitypen sind aber meistens unbrauchbar.
Als Freeware-Datenrettungsprogramm bietet sich PC Inspector File Recovery an, das allerdings nicht mit Windows Vista zusammenarbeitet. Eine englische Oberfläche und Vista-Unterstützung finden Sie bei SoftPerfect File Recovery (www.softperfect.com). Ein weiterer Vorteil ist, dass es ohne Installation auskommt: So überschreibt das Tool keine zu rettenden Files.
© Archiv
Verzeichnisse suchen
Die Methode, sich ausgehend vom Hauptverzeichnis des Laufwerks von als gelöscht markierten Einträgen bis zu den Clustern vorzuhangeln, hat ihre Grenzen. Wenn etwa ein neuer Eintrag im Inhaltsverzeichnis den Verweis auf einen gelöschten Ordner überschreibt, werden dieser Ordner und die darin enthaltenen Dateien deshalb noch lange nicht mit neuen Daten überschrieben. Der Ordner und die darin enthaltenen Dateien lassen sich unter Umständen doch wiederherstellen.
Dazu muss das Datenrettungsprogramm aber das gesamte Laufwerk Cluster für Cluster absuchen und nach verwaisten Verzeichnisstrukturen mit darin enthaltenen Dateieinträgen suchen. Das kann je nach Partitionsgröße und PC durchaus etliche Stunden dauern. Ausgehend von den Dateieinträgen im gelöschten Ordner funktioniert die Datenrettung dann wie beim einfachen Entlöschen.
Cluster abklappern
Der Dateieintrag im Verzeichnis ist wichtig, weil darin die Adresse des ersten Clusters gespeichert ist. Von dort aus kann sich ein Rettungs-Tool dann von Cluster zu Cluster bis zum Ende einer Datei durchhangeln.
© Archiv
Fehlt der Verzeichniseintrag zu einer Datei, ist trotzdem noch nicht alles verloren. Denn fast alle Dateiformate verwenden ganz am Anfang typische Bytefolgen, die das Format näher beschreiben. Eine JPEG-Bilddatei enthält beispielsweise ganz am Anfang die Zeichenkette JFIF an einer bestimmten Position.
Das Datenrettungs-Tool liest den Cluster ein und vergleicht ihn mit einer internen Datenbank von verbreiteten Dateiformaten. Identifiziert das Tool so den Beginn einer Datei, kann es wie gewohnt die nachfolgenden Cluster zusammensuchen. Der originale Dateiname und die Zuordnung zu einem bestimmten (Unter-) Verzeichnis lässt sich so nicht mehr feststellen. Aus einer sauber sortierten Sammlung von JPEG-Bildern wird so eine Liste von duchnummerierten Dateien, deren Reihenfolge eher zufällig ist. Es kann ziemlich aufwändig sein, ein paar hundert oder tausend Dateien zu sortieren.
Auch diese Suchmethode unterstützen viele Rettungstools. Dabei kommt es entscheidend darauf an, welche Dateiformate das Tool überhaupt erkennen kann. Andererseits ergeben sich dadurch Komfortfunktionen: Wenn Sie wissen, dass die versehentlich gelöschten Dateien JPEG-Bilder waren, schränken Sie die Suche auf genau diesen Dateityp ein.
© Archiv
