Datenträger - Festplatten, SSDs, Speichersticks und -Karten, CD/ 19.549 Themen, 109.613 Beiträge

Dateien nach Löschung unauffindbar.

Dr. Hook / 11 Antworten / Flachansicht Nickles

Hi,

ich möchte hier mal ein etwas seltsames Verhalten von Windows zur Diskussion stellen. Am besten fange ich von vorne an.

Es handelt sich zunächst mal um ein Win2000 mit SP4 und LBA Eintragung in der Registry für Festplatten größer als 128 GB. Festplatte über IDE-USB-Adapter angeschlossen und in NTFS formatiert. Auf der Festplatte ist nur eine erweiterte Partition mit 1 logischen Laufwerk.

Ich habe also neulich versehentlich mehrere Filmdateien in der Größenordnung von ca. 480 MB pro Stück gelöscht. Das war nicht weiter schlimm, da die Filme bereits archiviert waren. Ich wollte sie aber aus bestimmten Gründen noch eine zeitlang auf der Festplatte belassen.

Es muß noch erwähnt werden, daß der Papierkorb zum einen knapp bemessen, und zum anderen bereits vor dem Lapsus gut gefüllt war. So war nur Platz für drei von zehn Dateien.

Nun gut, - ich dachte dann, - bevor ich sie wiedereinspiele, da könnte ich doch gleich mal wieder ein paar jener Datenrettungsprogramme testen.

Meine Wahl fiel dann auf PC-Inspector und auf Easy Recovery Prof. von Ontrack.

Um es kurz zu machen: Die gelöschten Daten waren nicht mehr auffindbar! Es war absolut nichts mehr zu finden !!
Man hätte meinen können, daß Windows gleich noch ein "Wipefile" gemacht hätte.

Vor wenigen Jahren hatte ich hier im Forum, - damals aber unter "Allgemeines" -, eine ähnliche Diskussion. Damals ging es darum, daß Dateien wenn sie mit "Shift + Entf" gelöscht werden, nicht in den Papierkorb wandern, sondern "richtig" gelöscht werden. Wie sich dann herausstellte, war diese Löschung ebenso endgültig wie im aktuellen Fall bei einem Papierkorb-Überlauf.

Seinerzeit hatte der Nickles-User "null" ein paar sehr konstruktive Denkansätze geliefert. Leider ist er nicht mehr aktiv. Aber vielleicht weiß ja auch jemand anderer was darüber.

Die Kernfrage ist eigentlich: Was stellt Windows da Besonderes mit den Dateien an, daß absolut nichts davon übrig bleibt? Anscheinend wird es nicht dabei belassen, die Eintragung in der MFT zu tilgen.

Und: Wie stehen denn nun diese Datenrettungsprogramme da, die anscheinend keinen Fuß auf den Boden bringen? Immerhin kosten einige davon viel Geld!

cu

Dr. Hook

bei Antwort benachrichtigen
100 % ACK ChrE
nemesis² Dr. Hook „Dateien nach Löschung unauffindbar.“
Optionen

Das mit der Initialisierung der oberen 16 Bit der Startclusternummer gilt eigentlich nur bei FAT32-Partitionen, auf denen W2k/XP löscht. Hier ist die Wiederherstellung sowieso ziemlich unwahrscheinlich - wegen Fragmentierug - oder zumindest sehr zeit-/arbeitsaufwändig. Ohne Profisoftware bzw. Datenrettungsprofis geht da kaum etwas und wenn, ist es oft auf wenige Dateitypen beschränkt.

Du hast aber NTFS und da reichen normalerweise schon "Freeundelete" oder "PC-Inspektor File Recovery (4)", um auch große Dateien/Ordner vollständig wiederherzustellen.
(Habe das vor ein paar Tagen erst erfolgreich durchexerziert)

So viel zur Theorie. Die Praxis zeigte mir einmal eine Ausnahme:

Ich hatte eigentlich nur eine Datei zum Löschen markiert und gelöscht (Shift + Del). Irgendwie ist dabei aber etwas schief gelaufen, entweder Bug oder ich hatte indirekt noch etwas anderes mit markiert (eigentlich nicht möglich).

Damit war dann nicht nur die Datei weg, sondern der ganze Ordner, in dem sie stand. Um so größer war das Erstauen, daß beim Wiederherstellen weder Ordner, noch dessen Dateien angezeigt wurden. Eigentlich hätten diese als "gelöscht" markiert sein müssen - die waren aber einfach weg.

Physikalisch waren die natürlich noch da, wie ein Komplettscan der Partition zeigte. Aus der FAT/MFT (weiß leider nicht mehr, welches Dateisystem) waren die aber komplett verschwunden. Normalerweise passiert das aber nicht.

Selbst die kostenlosen Datenrettungsprogramme sind durchaus brauchbar - kannst du selbst auf einer anderen NTFS-Partition mal testen.

Deine Chance besteht jetzt im Finden verlorener Dateien. Bei PC Inspector mußt du dabei deine Platte als phys. Laufwerk wählen => nach log. Laufwerk suchen lassen (ggf. Start- bzw. Endpunkt eingrenzen!), auswählen und dort suchen lassen (=Komplettscan der Partition).

Unter Logische Laufwerke steht nun unten "Drive ....", dort wählst du deine Partition aus und schon siehst du die gefundenen Cluster. Auf korrekte Dateinamen und Ordner mußt du wohl aber verzichten und die Dateien können stark fehlerhaft sein.

Es gibt ja auch noch andere Programme, mit denen du z. B. nach bestimmten Endungen suchen kannst.

Was deinen Papierkorb betrifft: falls da nur Platz für 3 von 10 (etwa gleich groß) war, hätten sich die zuletzt "gelöschten" drei daraus wiederherstellen lassen - zumindest in der Theorie.

Murphys Gesetze sollen auch nicht außer Acht bleiben: wenn die Daten weg sein sollen wg. Datenschutz, kommen die schnell und vollständig wieder, wenn du sie aber noch bräuchtest, sind sie einfach weg.

;-)

bei Antwort benachrichtigen