Es ist uns allen passiert. Sie haben versehentlich eine Datei oder einen Ordner gelöscht und den Papierkorb geleert. Oder vielleicht hat Windows nicht gestartet, und wenn Sie Ihre Festplatte an einen anderen PC angeschlossen haben, konnten Sie Ihre Daten nicht lesen. Werden Sie jemals Ihre Daten zurückbekommen? Dieser Artikel konzentriert sich auf das Verständnis der Konzepte für die Wiederherstellung von Dateien auf einem PC.

Festplattenstruktur

h

Zunächst gehen wir durch die logische Struktur einer Festplatte. Normalerweise besteht eine Festplatte aus einem Boot-Sektor, einem Index und Daten. Der Bootsektor befindet sich am Anfang des Laufwerks und wird normalerweise zum Starten des Betriebssystems verwendet und enthält Details zu den Partitionen des Laufwerks. Der Index enthält Informationen zu den auf dem Laufwerk vorhandenen Dateien und Ordnern - im Fall eines Windows-basierten Systems wäre dies die MFT- oder Master-Fat-Tabelle. Der Datenabschnitt des Laufwerks enthält die eigentlichen Dateien und deren Inhalt.

Gelöschte Dateien

Was passiert, wenn Sie eine Datei löschen und den Papierkorb leeren? Ist es für immer weg? Die Inhalte werden nicht wirklich dauerhaft entsorgt. Der Indexeintrag, der den Benutzer auf die Datei verweist, wird als gelöscht markiert, und der Inhaltsbereich der Datei wird als verfügbar markiert, damit sie überschrieben oder in Zukunft verwendet werden kann. Dies bedeutet, dass die physischen Daten noch vorhanden sind, bis sie von einer anderen Datei überschrieben wurden. Wenn Sie also Dateien wiederherstellen möchten, sollten Sie die Wiederherstellung nur versuchen, indem Sie den Computer ausschalten und die Festplatte an einen anderen Computer anschließen. Andernfalls überschreibt jede Aktivität, die Sie auf dem Laufwerk ausführen, möglicherweise die Daten Ihrer gelöschten Dateien.

Datenkorruption

Im Fall von Datenkorruption gibt es viele mögliche Ursachen. Der Stromausfall zu einem unpassenden Zeitpunkt oder ein zufälliger Computerabsturz / -neustart könnte ein Segment einer Datei, das Dateisystem breiter oder die MFT selbst beschädigen. Ähnlich wie im Szenario mit gelöschten Dateien sollten Sie das System ausschalten und die Wiederherstellung auf einem zweiten Computer versuchen.

Der Prozess der Dateiwiederherstellung

In Anbetracht des Szenarios - gelöschte Dateien oder Datenbeschädigung - besteht eine sehr gute Chance, die Daten wiederherzustellen. Die Erfolgsrate hängt davon ab, wie lange die Dateien gelöscht wurden oder ob die Beschädigung aufgetreten ist und wie viel Zeit der Computer seit diesem Zeitpunkt verbraucht hat.

Es gibt eine größere Anzahl von verfügbaren Programmen, die die Datenwiederherstellung erleichtern können. Meiner Erfahrung nach hat TestDisk sehr gut funktioniert.

Gelöschte Dateiwiederherstellung

Die meisten Datenrettungsanwendungen verfügen über eine Art Schnellsuche. Dies wird normalerweise nur für gelöschte Dateien verwendet und erfordert, dass das logische Laufwerk vom Betriebssystem sichtbar ist - dh die Partition ist nicht beschädigt, korrekt eingebunden und Sie können das Laufwerk tatsächlich im Explorer durchsuchen. Ein schneller Scan scannt die Dateitabelle (MFT, wie zuvor beschrieben) und sucht nach Dateien, die als gelöscht markiert wurden.

Die Dateitabelle bestimmt den Speicherort der Dateien auf dem Laufwerk und ermöglicht somit deren Wiederherstellung. Wenn der Speicherplatz auf dem Laufwerk jedoch überschrieben wurde, funktioniert die Wiederherstellung nicht wie gewünscht und Sie erhalten eine Datei voller Junk. Die meisten Datenwiederherstellungsanwendungen verfügen über eine integrierte Dateivorschau, mit der Sie den Inhalt der Datei anzeigen können. Dies ist jedoch möglicherweise nicht sehr hilfreich, wenn Sie nicht wissen, wonach Sie suchen. Klartextdateien sind leicht zu verstehen, und Word-Dokumente haben ihren Inhalt im Allgemeinen als Klartext irgendwo in einem verzerrten Chaos von Hexfeldern, aber anderen Medien Dateien werden schwieriger sein. Wie Sie sehen können, ist die folgende Batch-Datei eindeutig in einem guten Zustand:

Eine weitere Komplikation der Wiederherstellung gelöschter Dateien besteht darin, dass der ursprüngliche Speicherort der Datei (en) nicht immer bekannt ist. Sie müssen möglicherweise durch eine zufällige Liste zufällig benannter Verzeichnisse navigieren, um die Dateien zu finden, die Sie wiederherstellen möchten. Dies liegt daran, dass die Dateitabelle möglicherweise nicht mehr mit den Verzeichnisinformationen der Datei verknüpft ist. Wie Sie in der folgenden Abbildung sehen können, besteht die Verzeichnisliste auf der linken Seite aus zufälligen Zeichen. Die Dateinamen selbst sollten jedoch weiterhin intakt sein, und Ihre Datenwiederherstellungs-Anwendung sollte eine Suchoption verfügbar haben, um die Suche nach den Dateien zu erleichtern.

Sobald Sie festgestellt haben, welche Dateien wiederhergestellt werden sollen, sollte Ihre Datenrettungsanwendung der letzte Schritt sein. Denken Sie daran, ein Ziellaufwerk auszuwählen, das nicht mit dem Laufwerk übereinstimmt, von dem Sie sich erholen. Andernfalls riskieren Sie, dass der Datenwiederherstellungsprozess genau die Dateien überschreibt, die Sie wiederherstellen möchten!

Beschädigte Datenwiederherstellung

Dieses Szenario ist ein wenig komplizierter. Verschiedene Aspekte des Dateisystems können beschädigt sein - die Dateitabelle, ein Segment der Daten oder viele andere Permutationen, einschließlich im Fall der Wiederherstellung formatierter Laufwerke. In einigen Szenarien kann die Datenwiederherstellungs-Anwendung Segmente Ihrer MFT lesen, um einen signifikanten Teil der Dateien zu finden. Es kann auch eine Spiegelung der MFT geben, so dass die Datenwiederherstellungsanwendung in der Lage ist, sowohl die Spiegelung als auch die normale Kopie zu kombinieren, um alle Ihre Daten zu lokalisieren.

Wenn die "schnellere" Version der Wiederherstellung beschädigter Daten fehlschlägt, dann besteht der Fallbackansatz darin, die rohen Laufwerkdaten nach Signaturen bestimmter Dateitypen zu durchsuchen, die Sie wiederherstellen möchten. Dateien wie JPEGs, MS Word-Dokumente und Excel-Dateien haben eine spezifische "Signatur" - in der Regel einen ähnlichen Anfang und Ende einer Datei, die ihren Dateityp definiert. Die Datenwiederherstellungsanwendung würde also das Laufwerk nach diesen Zeichenfolgen durchsuchen, um verlorene Dateien zu finden.

Dieser Prozess ist jedoch bei weitem nicht perfekt - das Hauptproblem ist, dass es manchmal schwierig ist zu entschlüsseln, wo eine bestimmte Datei enden könnte, was dazu führen kann, dass mehrere Dateien in einigen Fällen zusammen gruppiert werden. Die Software kann dies mit den begrenzten verfügbaren Informationen nicht herausfinden und trifft somit eine kalkulierte Entscheidung. Eine weitere Einschränkung bei dieser Methode besteht darin, dass Dateien, die nicht im zusammenhängenden Speicherbereich gespeichert sind (fragmentierte Dateien), nicht ordnungsgemäß wiederhergestellt werden, da die Wiederherstellungssoftware keine Kenntnis von den Fragmentpositionen der Datei ohne eine Dateitabelle hat. Das letzte Problem mit diesem Ansatz, wie in der Abbildung unten dargestellt, ist, dass es ein langsamer Prozess sein kann. (Die unten gezeigte Wiederherstellung ist tatsächlich auf einem physisch beschädigten Laufwerk, ein normaler Roh-Scan würde ein paar Stunden dauern, nicht 3 Wochen!)

Abschließende Bemerkungen

Es ist wichtig zu beachten, dass die Wahrscheinlichkeit der Wiederherstellung der Datei davon abhängt, wie lange sie von der Festplatte entfernt / gelöscht / formatiert wurde. Wenn die Datei beispielsweise erst vor einer Stunde gelöscht wurde, sollte sie immer noch relativ intakt sein und nicht vom System überschrieben werden. Leider, wenn die Datei einige Wochen bis Monate vorher gelöscht wurde, können die Chancen auf eine Wiederherstellung der Datei erheblich reduziert werden. Um die besten Chancen auf eine Wiederherstellung zu haben, empfehlen wir, dass der Benutzer keine neuen Dateien mehr auf seinem Computer speichert (und keine anderen Aktionen durchführt) und sofort mit der Wiederherstellung der erforderlichen Dateien beginnt.

Bildnachweis: Broken Hdd Datenverlust von BigStockPhoto