Festplatte Datenrettung

Inhaltsverzeichnis

• Festplatte Datenrettung: Wie das Ganze funktioniert

• Wie kann man verlorene Daten von einer Festplatte wiederherstellen?

• Wohin gehen die Informationen, wenn sie gelöscht werden?

• Wiederherstellen verlorener Daten durch Durchsuchen von MFT-Dateien

• Wiederherstellen gelöschter Dateien von einem formatierten Laufwerk

• Unser Drei-Schritte-Prozess

 

Festplatte Datenrettung: Wie das Ganze funktioniert

Der erste Schritt bei der Festplatten-Datenrettung ist die Diagnose, ob das Laufwerk selbst defekt ist oder nicht. Denn wenn die Festplatte einen physischen Defekt hat, kann die Software keine Datenrettung durchführen.

Wenn die Festplatte ein physisches Problem hat, kann die Datenwiederherstellung recht kostspielig sein, da Experten die Festplatte ausbauen und mit Spezialgeräten reparieren müssen. Der Prozess wird in der Regel in einem "Reinraum" durchgeführt, einer Umgebung, die frei von Staub und anderen Verunreinigungen ist (Hinweis: Die folgenden Erläuterungen gelten nur für die Datenrettung von herkömmlichen Festplatten, nicht von SSDs).

Ein grundlegendes Verständnis dafür, wie Daten auf einer Festplatte gespeichert werden, ist für jede Datenrettung unerlässlich.

Die Formatierung einer Festplatte ist der erste Schritt zur Verwendung eines Dateisystems, um Daten in geordneter Weise zu speichern. Festplatten haben Partitionen, die die magnetische Speicherkapazität weiter aufteilen. Die kleinste Speichereinheit ist standardmäßig 512 Byte groß und wird als "Sektoren" bezeichnet.

Das Betriebssystem ordnet diese Sektoren in Blöcken oder "Clustern" neu an, um die Leistung der Festplatte zu verbessern. Die Fähigkeit des Betriebssystems, große Speichermedien zu verwalten, hängt von der Cluster-Idee ab.

Dateien können auf einer Festplatte fragmentiert werden, wenn sie über mehrere Cluster verteilt sind, was passieren kann, wenn eine Datei an mehrere Orte geschrieben wird. Die Wiederherstellung von Dateien kann durch die Komplexität der Fragmentierung erschwert werden. Es empfiehlt sich daher, die Festplatte in bestimmten Abständen zu defragmentieren.

Wie kann man verlorene Daten von einer Festplatte wiederherstellen?

Das Hauptverzeichnis, das aus einer Liste von Dateien und Unterverzeichnissen besteht, dient als Verwaltungszentrale der Festplatte. Die folgenden Daten sind in diesem Hauptverzeichnis zu finden:

der Name der Datei, die Größe in Bytes, der Zeitpunkt der letzten Änderung und die Clusternummer in aufsteigender Reihenfolge

Das Betriebssystem beginnt mit der Suche nach der Datei anhand des ersten Clusters. Wenn die Datei über mehrere Cluster verteilt ist, verwendet das System die im Initialisierungssektor der Festplatte enthaltenen Informationen, nämlich die so genannte File Allocation Table (FAT), um zu bestimmen, in welchen Cluster die Datei als nächstes geschrieben werden soll.

Daraus ergibt sich die folgende Notation für Dateispeicherorte: Cluster 0 wird aus dem primären Verzeichnis des Systems abgerufen. Aus der Dateizuordnungstabelle ergeben sich die folgenden Clusternummern.

Die Daten der Datei werden also nicht an der gleichen Stelle wie die Dateiinformationen in der Dateizuordnungstabelle gespeichert. Damit können die Daten der Dateizuordnungstabelle abgerufen werden.

Die Dateizuordnungstabelle FAT und das Stammverzeichnis wurden in neueren Betriebssystemen (Windows NT und darüber hinaus) zu einer einzigen Einheit namens Master File Table (MFT) zusammengefasst. Dies ist ein Dateisystem, das auch als NTFS (NT File System) bekannt ist. Obwohl die Einzelheiten der Datenverteilung zwischen dem anfänglichen Startcluster und den nachfolgenden Clustern in einer Master File Table sehr unterschiedlich sein können, ist das zugrunde liegende Konzept dasselbe geblieben.

Wohin gehen die Informationen, wenn sie gelöscht werden?

In Windows ist der "Papierkorb" der Ort, an dem gelöschte Dateien darauf warten, endgültig gelöscht zu werden. Der "Papierkorb" von Windows unterscheidet sich konzeptionell nicht von jedem anderen Ordner auf Ihrem Computer. Sobald der Papierkorb leer ist oder die Datei gelöscht wird, ohne zuerst den Papierkorb zu durchlaufen, ist die Datei endgültig gelöscht.

Wenn eine Datei zerstört wird, fügt das Betriebssystem ein Sonderzeichen an den Dateinamen in der Master File Table MFT an. Dieses Zeichen dient als Erinnerung für den Computer, dass die Datei gelöscht wurde. Das Betriebssystem erkennt diese Gruppe nun als leeren Speicherplatz an. Daher können neue Dateien in diesem freigewordenen Speicherplatz erstellt werden. Es ist wichtig zu wissen, dass das Betriebssystem die Inhalte der einzelnen Cluster nicht wirklich löscht, sondern sie nur als "frei" für das Betriebssystem markiert und sie nicht wirklich zerstört.

Das bedeutet, dass Datenwiederherstellungssoftware Dateien wiederherstellen kann, die das Betriebssystem nicht mehr finden kann, weil sie sich noch in den "freigegebenen" Clustern befinden. Eine Wiederherstellung ist jedoch möglicherweise nicht möglich, wenn die betroffenen Cluster beschädigt oder physisch beschädigt sind. Die meisten Programme zur Datenwiederherstellung setzen voraus, dass die Daten in sequenziellen Clustern gespeichert sind. Die tatsächliche Fragmentierung, d.h. die Verteilung der Informationen auf der Festplatte und die Position der Datei, wird in der Dateizuordnungstabelle FAT und der Master File Table MFT festgehalten, und wenn diese Tabellen beschädigt oder gelöscht werden, sind auch diese Informationen verloren. Die Frage ist nun, wie lange die gelöschte Datei im System verbleibt.

Das Überschreiben der alten Datei mit einer neuen ist die einzige Methode, die sicherstellt, dass die gelöschten MFT-Daten und ihr Inhalt für immer verschwunden sind. Das bedeutet, dass selbst eine minimale Speicherung und Verwendung der Datei nach dem Datenverlust eine Wiederherstellung extrem erschweren, wenn nicht gar unmöglich machen könnte.

Die Datenrettung von einer Festplatte sollte auf einem zweiten Laufwerk beginnen. Andernfalls kann das Betriebssystem die verlorenen Dateien beim Versuch der Datenwiederherstellung ersetzen. Da die zerstörten Dateien immer auf einer anderen Festplatte gespeichert sind, sollte die Datenrettungssoftware nie auf demselben Laufwerk installiert werden. Sie unterstützt auch das Starten von CDs und anderen externen Speichergeräten (externe Festplatte, USB-Stick usw.).

Wiederherstellen verlorener Daten durch Durchsuchen von MFT-Dateien

Wenn Sie versuchen, Dateien wiederherzustellen, suchen die meisten Datenrettungsprogramme nach MFT-Einträgen. All diese Dinge geschehen automatisch: Sobald der Ort des MFT-Eintrags für eine gelöschte Datei ermittelt wurde, können die zusätzlichen Cluster untersucht werden, die einst von der inzwischen zerstörten Datei verwendet wurden. Dabei wird überprüft, ob diese Cluster durch die neuen Daten in der Datei überschrieben wurden oder nicht.

Da die Daten einer Datei nur in einen einzigen Cluster passen, können die Daten der verlorenen Datei niemals wiederhergestellt werden, wenn eine andere Datei diesen Cluster verwendet. Da nur die MFT-Einträge und Cluster überprüft werden müssen, um personenbezogene Daten wiederherzustellen, ist der Prozess recht schnell. Aber selbst wenn sich die Dateiinformationen noch auf der Festplatte befinden, können mit dieser Methode keine Daten wiederhergestellt werden, wenn die Dateizuordnungstabelle fehlerhaft, defekt oder neu geschrieben ist. Ohne die MFT-Datensätze ist die Suche nach nicht zugewiesenen Dateien die einzige Möglichkeit.

Versuch, gelöschte Dateien zu identifizieren, denen noch keine Verwendung zugewiesen wurde

Um verlorene Dateien zu finden, benötigen Sie eine Datenrettungssoftware, mit der Sie die MFT umgehen und in jedem freien Speicherplatz suchen können. Dazu ist es notwendig, den Zustand zu kennen, den eine Datei nach dem Löschen einnimmt. Glücklicherweise hat jedes Dateiformat seinen eigenen Satz von Kopf- und Fußzeilen. Anhand dieser Anordnung kann das Programm die gesamte Festplatte auf der Suche nach den fehlenden Daten durchsuchen. Dies nimmt jedoch viel mehr Zeit in Anspruch, als wenn Sie nur die MFT-Einträge durchsuchen.

Aus welchem Grund bleiben einige wiederhergestellte Dateien unvollständig?

Wie bereits in früheren Kapiteln beschrieben, verwenden Betriebssysteme nur so viele Festplatten-Cluster, wie eine bestimmte Datei benötigt. Je nachdem, wie viele Daten gelöscht wurden, kann dies bedeuten, dass nur eine Teilmenge der Originaldatei wiederhergestellt werden kann.

Aber selbst das reicht nicht immer aus, da die meisten Programme unveränderte Dateien benötigen, um sie anzuzeigen. Die Wiederherstellung von teilweise beschädigten Dateien ist ein weiterer Nischenbereich der Datenrettung, der Expertenwissen über die verschiedenen Dateiformate voraussetzt.

Wiederherstellen gelöschter Dateien von einem formatierten Laufwerk

Bei der Formatierung der Festplatte werden normalerweise nur das Stammverzeichnis und die Dateizuordnungstabelle (FAT) oder die Master File Table (MFT) von der Festplatte entfernt. Es ist möglich, die Festplatte vollständig zu formatieren und alles von ihr zu entfernen. Dies erfordert jedoch die vorherige Auswahl zusätzlicher Konfigurationseinstellungen.

Wenn eine Festplatte formatiert ist, gibt es eine Reihe von Taktiken, die Datenrettungstools anwenden können, um die Daten zu retten. Sie können z.B. nach alten Versionen von Dateien suchen, die früher Verzeichnisse waren, die versehentlich entfernt wurden. Wenn Sie einen solchen Verzeichniseintrag gefunden haben, können Sie Informationen über die Datei extrapolieren, einschließlich des Namens, des ursprünglichen Clusters und der Größe. Das Datenrettungsprogramm kann auch den Datenbereich des Datenträgers nach den Kopf- und Fußzeilen der Datei durchsuchen, so dass der Benutzer die genaue Position der verlorenen Daten bestimmen kann.