Allgemeines 21.945 Themen, 147.727 Beiträge

Gelöschte Daten nicht wiederherstellbar.

Dr. Hook / 17 Antworten / Flachansicht Nickles

Hi,

Es scheint ein allgemeines Problem zu sein. Deswegen poste ich es hier, und nicht unter Festplatten oder unter Software.

Löscht man eine Datei, so landet sie im Normalfall im Papierkorb. Eine Wiederherstellung ist problemlos möglich.

Löscht man dann den Papierkorb, so ist sie zunächst mal weg. Es besteht aber dann noch die Möglichlichkeit, sie mittels eines Datenrettungsprogrammes zurückzuholen. Unter bestimmten Voraussetzungen.

Bis hierher ist noch alles ganz normal und auch weitestgehend bekannt.
Nun aber kommt\'s.
Um eine Datei sofort zu löschen, - also ohne daß sie im Papierkorb landet -, bedient man sich der Shift-Taste, die man während des Löschens gedrückt hält. Nun sollte man meinen, daß dieser Vorgang nicht anderes bewirkt als normales Löschen mit anschließendem leeren des Papierkorbes. Sollte man. Aber, - weit gefehlt !!

Ich hatte aus gegebenem Anlass gestern das zweifelhafte Vergnügen, dies herausfinden zu dürfen. Ich habe versehentlich 5 Dateien mit gedrückter Shift-Taste gelöscht. Eigentlich sollte es nur eine sein, - aber ich übersah im Eifer des Gefechts, daß noch weitere markiert waren (Total Commander). Ich dachte dann, ist ja nicht so schlimm, wofür hat man Datenrettungsprogramme im Haus. Es wurde dann auch tatsächlich alles gefunden, - und es wurde auch tatsächlich alles gerettet. Scheinbar jedenfalls. Die Dateien (Videodateien avi und mpg) waren wieder da. Nur ließen sie sich nicht abspielen !!!
Eine nähere Untersuchung ergab, daß die geretteten Dateien zwar noch dieselbe Größe aufwiesen, - daß der Inhalt aber zerstört war.

Dann habe ich Tests gefahren. Mit Videodateien, - mit MP3 Dateien, - und auch mit doc-Dateien. Überall dasselbe! Inhalt zerstört!

Nun meine Frage: Wie kann das sein? Beinhaltet Win2000 und evtll. auch XP (nicht getestet) eine mir nicht bekannte Funktion, daß beim Löschen mit der Shift-Taste die Datei nicht nur ins Nirvana wandert, sondern gleichzeitig auch geschreddert wird?

Wer hat schon ähnliche Erfahrungen gemacht? Aufgrund genauen Vorgehens kann ausgeschlossen werden, daß die gelöschten Dateien teilweise vor der Wiederherstellung überschrieben worden sind. Es ist also tatsächlich was passiert während des Löschens.

Für umfangreiche Beteiligung wäre ich dankbar.

cu

Dr. Hook


PS: Die Tests wurden mit drei verschiedenen Programmen durchgeführt. Unter anderem auch der PC File-Inspector. Das Dateisystem war FAT32.

bei Antwort benachrichtigen
RTL Emily22
null Dr. Hook „Gelöschte Daten nicht wiederherstellbar.“
Optionen

Was "Formatieren" ist, sollte ja klar sein, beim Quickformat wird eben nur die FAT reingeschrieben, ohne die Partition zu löschen und auf def. Sektoren zu überprüfen (dauert dafür aber nur Sekunden). Beim Quickformat sind nur die Einträge in der FAT weg, d. h. haufenweise verwaiste Dateien bleiben auf der Partition.

"Initnitalisieren" bedeutet hier anscheinend nichts anderes, als daß die ehemals von der jetzt gelöschten Datei belegten Cluster(-Positionsangaben) in der FAT gelöscht werden. (Damit wären die Daten wieder im Nirwana)

"So intitialisen Windows 2000 und XP leider die oberen 16 Bit der Startclusternummer beim direkten Löschen"

Das interpretiere ich nun so, daß die Startclusternummer der gerade gelöschten Datei gelöscht werden und damit von dem Eintrag (Dateiname) in der FAT keine Verbindung zu der Lage der gelöschten Datei auf der Partition mehr vorhanden ist. Das würde bedeuten, daß eine Wiederherstellung anhand der FAT zu keinem (sinnvollen) Ergebnis führen kann.

Da bliebe (wie von mir schon angedeutet) nur der Weg über die Suche nach verlorenen Dateien bzw. die Suche nach Namen oder Anfängen der Datei auf der Partition mit WinHex. Beides ist aber mit extremem Zeit- und Arbeitsaufwand verbunden, da schlimmstenfalls die komplette
Partition gescannt werden muß.

Wenn nur die oberen 16 Bit gelöscht werden, sollten Dateien , die am Anfang der Partition (2 GB bei 32 kb/Cluster) geschrieben wurden, problemlos auch über die FAT wiederhergestellt werden können. Auf einer FAT16-Partition müßten demzufolge praktisch alle gelöschten Dateien (wenn weder überschrieben noch fragmentiert) ohne größere Probleme per FAT wiederhergestellt werden können - auch wenn mit W2k/XP gelöscht.
Ich hatte auf einer ziemlich bis ganz leeren Partitition getestet, das würde das rel. gute Wiederherstellungsergebnis erklären.

Damit wäre das Initialisieren der oberen 16 Bit des Startclusters von W2k/XP tatsächlich als ein Art Daten-Shredder anzusehen. Allerdings bleibt damit trotzdem das Sicherheitsrisiko der Wiederherstellung über den Inhalt usw (eben keine wirklich wirksames
schreddern durch überschreiben). Es wie somit nur das "schnelle" revovern verhindert.

Theoretisch müßte sich der Bereich, in dem Daten auf FAT32-Partitionen schnell und komfortabel per FAT herstellbar wären vergrößern lassen, indem die Clustergröße maximiert wird (die Platzverschwendung bei kleinen Dateien wird dann aber gravierend). Bei 32 kb ist AFAIK aber sowieso Schluß (außer 64 kB bei NT oder so - nicht kompatibel zu anderen OSen). Bei 4 kB Clustergröße wäre schon bei 256 MB Sense.

Praktisch würde das bedeuten, daß eine versehentlich (mit W2k/XP) gelöschte Datei einfach "weg" ist und nur mit extremem Aufwand wiederhergestellt werden könnte.

So gesehen halte ich die exorbitanten Preise für eine professionelle Datenrettung gar nicht mal für so überzogen. Es gibt anscheinend (doch) keine einfache Lösung, gelöschte Dateien ohne großen Aufwand innerhalb weniger Minuten zu retten.

... da frage ich mich allerdings, was die immer für Tools benutzen, wenn z. B. im FS die komplette gelöschte Platte mit fast allen Dateien auf einmal wieder da ist. Haben die jeweils ein professionelles Datenrettungsunternehmen in Anspruch genommen?

... oder man sollte vielleicht nur noch mit W9x löschen.

Damit wäre aber der Nutzen selbst kommerzieller Tools (alles, was ich bis jetzt so gesehen habe) relativ bescheiden - gibt es deshalb PC-Inspector File Recovery kostenlos, da man
realistisch gesehen damit sowieso keine nennenswerte Chance hat?

Falls bei NTFS auch die oberen 16 Bit gelöscht werden, sieht es dort nicht viel besser aus (einziger Vorteil wäre geringere Fragmentierung).

bei Antwort benachrichtigen