Die Grundprinzipien der Datenrettung
Festplatten
Hardware
Probleme
Speichern
von Daten
NTFS and FAT
Datenrettung
Software
Datenrettung
Wie genau funktioniert die Datenwiederherstellung?
Der letzte administrative Bereich auf der Platte ist das Hauptverzeichnis. Da es immer 512 Datei- oder Verzeichniseinträge gibt, hat das Hauptverzeichnis auf allen Festplatten die gleiche Grösse. Es ist einzigartig durch seine feste Grösse und seinem Platz auf der Festplatte. Ansonsten ist es ein Verzeichnis wie jedes andere.
Ein Verzeichnis ist eine Liste von Dateien und anderen Verzeichnissen. So kann man die Namen und Unterverzeichnisse im Verzeichnis lesen. Die Verzeichnis-Struktur besteht aus einer Anzahl von Einträgen.
In diesem Hauptverzeichnis werden folgende Informationen vermerkt:
- den Dateinamen
- die Dateigrösse in Byte
- Datum und Uhrzeit der letzten Änderung
Ausserdem wird auch die die Nummer des ersten Clusters gespeichert. Das ist wichtig, da das Betriebssystem dort beginnt die Datei zu lokalisieren.
Daran anschliessend nutzt es die Informationen, die am Beginn der Festplatte in einer sogenannten Dateizuordnungstabelle (File Allocation Table, FAT) abgelegt sind, z.B. die Nummer des folgenden Clusters, wenn die Datei über mehrere Cluster verteilt ist. Die Adresse einer jeden Datei wird so beschrieben: Der erste Cluster wird im Haupt- oder einem Unterverzeichnis- Eintrag gelesen. Die folgenden Cluster-Nummern werden aus der FAT gelesen.
Die Dateizuordnungstabelle FAT ist ein von MS-DOS und anderen Windows-basierten Betriebssystemen verwendetes Dateisystem zur Organisation und Verwaltung von Dateien. Die Dateizuordnungstabelle (File Allocation Table, FAT) ist eine Datenstruktur, die von Windows erstellt wird, wenn Sie ein Volume mit dem FAT- oder dem FAT32-Dateisystem formatieren. Windows speichert Informationen zu jeder Datei in der Dateizuordnungstabelle, um die Datei später abrufen zu können. Es ist wichtig zu verstehen, dass der Inhalt der Datei an einem anderen Ort gespeichert wird als die Dateiinformationen in der FAT. Dadurch wird die Datenrettung in der File Allocation Table möglich.
In neueren Betriebssystemen (ab Windows NT aufwärts) sind die Dateizuordnungstabelle FAT und das Hauptverzeichnis ineinander integriert und durch die Masterdateitabelle (Master File Table, MFT) ersetzt worden. Dieses Dateisystem wird auch NTFS (NT File System) genannt.
Eine Master File Table (MFT) ist sehr komplex, doch das Grundprinzip der Allokation der Dateiinformationen im ersten Startcluster und daran anschliessend in den nachfolgenden Clustern ist gleich geblieben.
Was genau passiert, wenn ich eine Datei lösche?
Lassen Sie uns das Szenario erklären, in dem Sie bewusst eine Datei löschen und wodurch es möglich ist, diese wiederherzustellen.
Wenn Sie unter einem Windows Betriebssystem die „Entfernen“ Taste drücken, so wird die gelöschte Datei in den ‚Papierkorb’ verschoben. Sie können sich den Windows ‚Papierkorb’ im Prinzip wie einen zusätzlichen Dateiordner vorstellen. Wirklich gelöscht wird die Datei erst dann (so zumindest unsere Annahme in diesem Artikel), wenn auch der Papierkorb geleert oder aber die Datei gar nicht erst im Papierkorb als Zwischenstation abgelegt sondern gleich gelöscht wird.
Wenn eine Datei gelöscht wird, markiert das Betriebssystem den Dateinamen mit einem speziellen Zeichen in der Masterdateitabelle MFT, die dem Computer anzeigt, dass diese Datei gelöscht wurde.
Der Computer schaut sich daraufhin die Cluster an, die von dieser Datei in Anspruch genommen wurden und markiert diese als freien, leeren Speicherplatz. Das bedeutet, dass dieser Speicherplatz nun von neuen Dateien genutzt werden kann. Das Betriebssystem geht allerdings nicht direkt in die einzelnen Cluster auf der Festplatte und löscht den Inhalt der einzelnen Cluster. Der Inhalt der gelöschten Datei ist also noch immer vorhanden, für das Betriebssystem existiert dieser allerdings nicht mehr.
Genau auf diesem Prinzip basiert die Datenwiederherstellung und nur dadurch ist es möglich, gelöschte Dateien zu retten. Es geht darum, Dateien wiederherzustellen, die sich noch auf der Festplatte befinden, aber nicht mehr vom Betriebssystem lokalisiert werden. Falls die Cluster, in denen der Inhalt der Datei gespeichert war, korrupt oder physisch beschädigt sind, so kann es unmöglich sein, die einst gespeicherten Inhalte zu retten.
Ok, also meine Datei ist noch da, aber für wie lange?
Das hängt ganz von Ihnen ab. Die einzige Möglichkeit, die gelöschten MFT- Daten (Master File Tabelle) oder die Inhalte der Datei selbst permanent zu löschen, besteht, wenn diese durch andere, neue Dateien überschrieben werden. Das bedeutet, dass jegliche Nutzung des Computers und Speicherung von selbst kleinsten Dateien nach dem Verlust von Daten deren Wiederherstellung schwierig bis unmöglich machen kann.
Wenn Sie versuchen, Daten von Ihrer Festplatte zu retten, dann sollten Sie den Wiederherstellungsprozess von einer zweiten Festplatte starten. Ansonsten kann es passieren, dass Ihr Betriebssystem beim Versuch die Datenwiederherstellung durchzuführen, genau diese verlorenen Dateien überschreibt und so all Ihre Bemühungen umsonst waren. Wenn Sie Software zur Datenwiederherstellung, z.B. Recover My Files, nutzen, installieren Sie diese Software auf der zweiten Festplatte und nicht auf der Festplatte, auf der sich die gelöschten Dateien befinden. Sie können auch die Datenwiederherstellungssoftware von CD oder Diskette starten.
Wenn Sie Ihre Festplatte zu einem Speziallabor einsenden, sollten diese die Wiederherstellung der Daten nicht von Ihrer betroffenen Festplatte aus durchführen. Stattdessen gibt es spezielle Programme, die eine ‚Sektorenkopie’ (sector copy) erstellen, d.h. eine genaue Kopie der Festplatte inklusive der gelöschten Informationen, und von dieser aus den Datenrettungsprozess anstossen.
Sie können eine solche Sektorkopie auch selbst durchführen. Es gibt eine Reihe solcher Programme, wobei das wohl am bekannteste von Norton namens ‚GHOST’ ist. Aber bitte merken Sie sich, dass Sie eine genaue Kopie des gesamten Sektors erstellen müssen, um sicherzugehen, dass auch die gelöschten Gebiete auf Ihrer Festplatte erfasst werden.
Datenwiederherstellung durch Suche nach gelöschten MFT Informationen
Die meisten Datenwiederherstellungsprogramme suchen nach MFT Einträgen, um Dateien zu retten. Diese Programme klassifizieren die Qualität der Wiederherstellbarkeit der betroffenen Dateien meistens in „gut“, „mittel“ und „schlecht“.
Dabei laufen folgende Aktionen im Hintergrund ab:
Der MFT Eintrag einer gelöschten Datei wird lokalisiert, dann werden die weiteren Cluster, die ursprünglich von der nun als gelöscht markierten Datei in Anspruch genommen wurden, überprüft. Dabei wird kontrolliert, ob diese Cluster bereits mit neuen Dateiinhalten überschrieben wurden.
Ein Cluster kann nur Informationen einer Datei beinhalten, d.h. wenn eine andere (neue) Datei dieses Cluster bereits nutzt, sind die Informationen der wiederherzustellenden Datei mit sehr hoher Wahrscheinlichkeit überschrieben und damit permanent zerstört.
Diese Art der Datenwiederherstellung ist sehr schnell, da ja nur die MFT Einträge und Cluster kontrolliert und die identifizierbaren Informationen wiederhergestellt werden. Wenn Sie unsere Software zur Datenwiederherstellung Recover My Files nutzen, so nennt sich diese Technik „Schnelle Suche“ (Fast Search).
Beachten Sie, dass wenn Ihre Dateizuordnungstabelle MFT jedoch korrupt, defekt oder selbst überschrieben wurde, kann diese Technik keine Daten wiederherstellen, auch wenn sich die Dateiinformationen noch immer auf der Festplatte befinden. Hier hilft nur die Suche nach „unallocated“ Dateien.
Nächster Artikel: Datenrettung mit Software Tools
Vorheriger Artike: Speichern von Daten
Current Version
6.4.2.2597
Downloaden Sie Recover My Files' auf Ihren PC!
- Klicken Sie auf 'Download', um mit dem Herunterladen der Software zu beginnen.
- Wenn möglich, speichern und installieren Sie 'Recover My Files' auf einem anderen Laufwerk als dem, von dem Ihre Daten verloren gingen.
- Führen Sie 'Recover My Files' aus, durchsuchen Sie Ihr Laufwerk und nutzen Sie die Vorschau-Funktion, um Ihre wiederhergestellten Dateien anzusehen.
