Datenwiederherstellungs-Situationen sind niemals exakt gleich. Oft ist es möglich, verlorene Dateien, einschließlich der ursprünglichen Dateinamen und der Ordnerstruktur, vollständig von einer Festplatte wiederherzustellen. In anderen Fällen werden die Dateien und Daten möglicherweise wiederhergestellt, aber die Dateinamen, Datums- / Zeitstempel und Ordnerpfade gehen verloren. In einigen Fällen können keine intakten Dateien gefunden werden. Dies wirft bei unseren Nutzern häufig die Frage auf: Warum is das so?

Um die Antwort auf diese Frage kontextualisieren zu können, ist es hilfreich, ein grundlegendes Verständnis dafür zu erlangen, wie Dateien auf der Festplatte gespeichert werden und wie sie wiederhergestellt werden können. Während eine professionelle Datenwiederherstellung in der Regel jahrelange Erfahrung und fundierte Kenntnisse der technischen Nuancen von Dateisystemen und Festplattenphysik erfordert, erlaubt Ihnen das Erlernen der Grundlagen, Ihre Erwartungen an Datenwiederherstellungssoftware mit deren Möglichkeiten besser in Einklang zu bringen.

In diesem Artikel werden wir uns eingehend mit der Funktionsweise der Dateiwiederherstellung befassen. Wir zeigen Ihnen auch, wie Sie dieses Wissen auf einige gängige Szenarien anwenden können, um Ihre Chancen auf eine erfolgreiche Wiederherstellung von Dateien abzuschätzen.

Ein wichtiger Artikel für die Dateiwiederherstellung von SSD-Geräten: Besonderheiten der Dateiwiederherstellung für SSD-Geräte.

Um zu verstehen, wie Dateien von einer Festplatte wiederhergestellt werden können, ist es hilfreich zu verstehen, wie Dateien auf Festplatten gespeichert werden, bevor sie verloren gehen.

Die meisten modernen Betriebssysteme unterteilen (oder "partitionieren") die gesamte physische Festplatte in einen oder mehrere unabhängige Teile ("Partitionen"). In den DOS / Windows-basierten Betriebssystemfamilien werden diese Partitionen als "logische Datenträger" bezeichnet. Logischen Datenträgern werden Laufwerksbuchstaben und optionale beschreibende Beschriftungen zugewiesen. Zum Beispiel C: (System) oder D: (Daten). Jede Partition hat einen eigenen Dateisystemtyp, unabhängig von anderen Partitionen auf derselben physischen Festplatte. Beispielsweise kann eine physische Festplatte für ein Windows-System zwei logische Festplatten enthalten: eine NTFS- und eine andere FAT32-Festplatte. Informationen zu den Partitionen auf der Festplatte werden am Anfang der Festplatte gespeichert. Dies wird normalerweise als "Partitionstabelle" oder "Partitionszuordnung" bezeichnet.

Eine typische Partitionsstruktur ist in Abbildung 1 dargestellt.

Abbildung 1: Festplattenstruktur
Klicken Sie auf das Bild, um es zu vergrößern

Die in Abbildung 1 gezeigten Festplattendienstdienstdaten und Informationen zur Partitionsstruktur werden als "Metadaten" bezeichnet. Das heißt, Informationen zu den Daten auf der Festplatte (im Gegensatz zu den Daten selbst). In ähnlicher Weise ist jede Partition oder logische Festplatte in zwei Teile unterteilt: Einer speichert Informationen über den Datenträger (Ordnerstruktur, Dateisystem usw.) und der andere speichert die Daten, aus denen diese Dateien bestehen. Diese Trennung von Daten von Metadaten ermöglicht eine bessere Speicherplatzverwaltung, eine schnellere Dateisuche und eine höhere Zuverlässigkeit.

Abbildung 2 zeigt eine typische logische Plattenstruktur.

Abbildung 2: Logische Plattenstruktur
Klicken Sie auf das Bild, um es zu vergrößern

Die in Abbildung 2 gezeigten Datenträgerdienstinformationen enthalten spezifische Informationen zur Partitionsgröße, zum Dateisystemtyp usw. Dies ist erforderlich, damit der Computer die erforderlichen Daten auf der Partition korrekt findet.

Die Informationen zu Dateien und Ordnern enthalten Dateidatensätze, in denen Dateinamen, Größen, Datum / Uhrzeit und andere technische Informationen gespeichert sind. Diese Informationen enthalten auch die genauen physischen Speicherorte (Adressen) der Dateidaten auf der Festplatte. Diese Informationen werden normalerweise auf dem Laufwerk selbst gesichert, falls die erste Kopie beschädigt wird.

Verschiedene Dateisysteme haben unterschiedliche Formen der Speicherung dieser Informationen. Beispielsweise speichert das FAT-Dateisystem diese Informationen in einer Dateizuordnungstabelle (FAT), während das NTFS-Dateisystem sie in einer Master-Dateitabelle (MFT) speichert.

Wenn ein Computer eine Datei lesen will, ruft er zuerst die Informationen zu Dateien und Ordnern auf und sucht nach dem Datensatz dieser Datei. Anschließend wird die Adresse der Datei nachgeschlagen, an die angegebene Stelle auf der Festplatte verschoben und anschließend die Dateidaten gelesen.

Bei zusammenhängenden Dateien, bei denen die Daten auf der Festplatte zusammengefasst sind, ist dieser Vorgang sehr einfach. Dateien auf der Festplatte können jedoch fragmentiert sein. Das heißt, sie können mehrere nicht benachbarte Plattenbereiche belegen. Dies ist häufiger der Fall, als den meisten Benutzern bekannt ist. Wenn Sie eine Datei im Windows Explorer oder Finder anzeigen, wird sie immer als einzelne Datei dargestellt. Dies liegt daran, dass das Dateisystem die Fragmente hinter den Kulissen zusammenfügt. In den Informationen zu Dateien und Ordnern werden die Adressen der einzelnen fragmentierten Daten gespeichert, sodass sie schnell und zuverlässig abgerufen werden können, wenn der Computer die Datei lesen muss. Diese Informationen und wie sie abgerufen werden, spielen eine wichtige Rolle bei der Wiederherstellung von Dateien.

Wenn ein Computer eine Datei löschen möchte, zerstört er nicht sofort deren Daten. Stattdessen werden einige Änderungen an den Informationen zu Dateien und Ordnern vorgenommen, um anzugeben, dass die Datei gelöscht wurde. Einige Betriebssysteme markieren die Datei einfach als gelöscht und behalten alle Metadaten der Datei bei, bis sie mit Metadaten zu einer neuen Datei überschrieben werden muss. So behandeln Windows-Dateisysteme Löschvorgänge. Andere Betriebssysteme wie Mac OS X zerstören den Dateidatensatz der gelöschten Datei vollständig. Während Betriebssysteme sich darin unterscheiden, ob sie die Informationen zu Dateien und Ordnern beibehalten oder sofort löschen, lassen alle Betriebssysteme die tatsächlichen Dateidaten unberührt, bis es notwendig wird, diesen Speicherplatz für eine andere Datei zuzuweisen. Wenn keine Dateien auf die Festplatte geschrieben werden sollen, bleiben die Dateninformationen über die Datei und ihre Daten möglicherweise für immer erhalten.

Wie oben erwähnt, enthält der Teil der Festplatte, auf dem die Dateidaten gespeichert sind, auch eine Sicherungskopie der Informationen zu Dateien und Ordnern. Dieser Teil der Festplatte enthält möglicherweise auch einige zusätzliche Informationen zur Datei- und Ordnerstruktur, die über die gesamte Festplatte verteilt sind.

Bevor wir die verschiedenen Methoden zur Wiederherstellung von Dateien erläutern, ist Folgendes zu beachten:
Wenn die Daten auf der Festplatte überschrieben werden, sind die alten Daten nicht mehr vorhanden. Kein Programm oder im Handel erhältliches Datenwiederherstellungsverfahren kann es wiederherstellen.

Aus diesem Grund ist es äußerst wichtig, dass vor dem Versuch einer Datenwiederherstellung keine neuen Dateien auf eine Festplatte geschrieben werden.

Für Dateien, die nicht überschrieben wurden, gibt es zwei Methoden zur Wiederherstellung von Dateien. Jede Datenwiederherstellungssoftware verwenden eine oder beide dieser Techniken.

Dies ist die erste Methode, die ein Dateiwiederherstellungsprogramm auszuführen versucht. Dies liegt daran, dass Dateien mit ihren ursprünglichen Namen, Pfaden, Datums- / Zeitstempeln und ihren Daten wiederhergestellt werden können (falls erfolgreich).

Die Dateiwiederherstellungssoftware versucht zunächst, die erste Kopie der Informationen zu Dateien und Ordnern zu lesen und zu verarbeiten. In einigen Fällen (z. B. bei versehentlichem Löschen von Dateien) ist dies der einzige Schritt, der ausgeführt werden muss, um die Dateien vollständig wiederherzustellen.

Wenn die erste Kopie der Informationen zu Dateien und Ordnern stark beschädigt ist, durchsucht die Software die Festplatte nach der zweiten Kopie der Informationen zu Dateien und Ordnern. Es wird auch versucht, zusätzliche Informationen über die Ordner- und Dateistruktur zu erhalten, die sich möglicherweise im Datenteil der Festplatte befinden. Anschließend werden alle diese Informationen verarbeitet, um die ursprünglichen Ordner und die Dateistruktur zu rekonstruieren.

Wenn das Dateisystem auf der Festplatte nicht stark beschädigt ist, kann häufig die gesamte Datei- und Ordnerstruktur wiederhergestellt werden.

Wenn das Dateisystem auf der Festplatte stark beschädigt ist, kann diese Wiederherstellungsmethode nicht die gesamte Ordnerstruktur neu erstellen. Dann werden wiederhergestellte Dateien in "verwaisten" Ordnern angezeigt.

Abbildung 3 zeigt diese "verwaisten" Ordner in R-Studio.

Abbildung 3: Struktur wiederhergestellter Dateien und Ordner sowie "verwaiste" Ordner
Klicken Sie auf das Bild, um es zu vergrößern

Wenn die erste Methode keine zufriedenstellenden Ergebnisse liefert, wird eine Rohdateisuche durchgeführt. Diese zweite Datenwiederherstellungsmethode kann Dateidaten mit größerem Erfolg als die erste Methode wiederherstellen, jedoch nicht die ursprünglichen Dateinamen, Datums- / Zeitstempel oder die gesamte Ordner- und Dateistruktur der Festplatte rekonstruieren.

Bei der Suche nach bekannten Dateitypen oder der Wiederherstellung von Rohdateien wird der Inhalt der Festplatte auf "Dateisignaturen" analysiert. Dateisignaturen sind gängige Muster, die den Anfang oder das Ende einer Datei kennzeichnen. Fast jeder Dateityp hat mindestens eine Dateisignatur. Beispielsweise beginnen alle Dateien des Dateityps png (Portable Network Graphics) mit der Zeichenfolge "PNG", und viele MP3-Dateien beginnen mit der Zeichenfolge "ID3". Solche Dateisignaturen können verwendet werden, um zu erkennen, dass ein Datenelement auf der Festplatte zu einem bestimmten Dateityp gehört und daher wiederhergestellt werden kann.

Nach einer Rohdateisuche zeigen R-Studio und R-Undelete möglicherweise wiederherstellbare Dateien als "Extra Found Files" ("Zusätzlich gefundene Dateien") an. Diesen werden Dateierweiterungen basierend auf der identifizierten Dateisignatur und den angegebenen Platzhalterdateinamen (fortlaufende Nummern) zugewiesen. Siehe Abbildung 4 und Abbildung 5.

Abbildung 4: Dateien, die mithilfe der Suche nach bekannten Dateitypen (zusätzliche gefundene Dateien) wiederhergestellt wurden, die auf einer logischen Festplatte gefunden wurden
Klicken Sie auf das Bild, um es zu vergrößern


Abbildung 5: Dateien, die mithilfe der Suche nach bekannten Dateitypen (extra gefundene Dateien) wiederhergestellt wurden, die außerhalb einer logischen Festplatte gefunden wurden
Klicken Sie auf das Bild, um es zu vergrößern

Obwohl diese Methode normalerweise die beste Technik zum Wiederherstellen von Daten aus einem stark beschädigten Dateisystem ist, es gibt einige Einschränkungen. Erstens ist die Tatsache, dass einige Dateitypen eine Dateisignatur "Anfang" und "Ende" haben, einige nur eine Dateisignatur "Anfang" (und keine Dateisignatur "Ende") und einige Dateitypen überhaupt keine sofort erkennbare Dateisignatur haben.

Wenn die Datenwiederherstellungssoftware die Dateisignatur "Anfang" und "Ende" identifizieren kann, kann die Datei leicht identifiziert und wiederhergestellt werden. Bei Dateien ohne "End"-Dateisignatur kann die Software die Datei manchmal wiederherstellen, indem sie davon ausgeht, dass sie am Anfang der nächsten Datei endet. Bei Dateien ohne Signatur, wie z. B. verschlüsselte Festplattencontainer, kann eine Rohdateisuche die Daten nicht von nicht zugewiesenem Speicherplatz unterscheiden.

Jeder dieser Umstände wird durch die Dateifragmentierung weiter erschwert. Darüber hinaus können Dateien ohne Enddateisignaturen nach der Wiederherstellung lange "Datenmüll"-Spuren aufweisen. Abbildung 6 zeigt, warum.

Abbildung 6: Dateidaten auf der Festplatte
Klicken Sie auf das Bild, um es zu vergrößern

In der in Abbildung 6 gezeigten Situation werden Datei 1 und Datei 3 erfolgreich wiederhergestellt, während die Wiederherstellung von Datei 2 und Datei 4 nicht erfolgreich ist. Tabelle 1 erklärt, warum:

Zusätzlich zu den Komplikationen fragmentierter Dateien führt eine Rohdateisuche gelegentlich auch zu "False Positives" ("Falsch-Positiv-Ergebnissen"). Beispielsweise kann die Zeichenfolge "ID3" in einer Datei vorkommen, ohne eine Dateisignatur zu sein. Der Text, den Sie gerade lesen, enthält beispielsweise die Zeichenfolge "ID3", ist jedoch keine MP3-Datei. Daher kann eine Rohdateisuche einen Teil dieses Textes fälschlicherweise als Anfang einer MP3-Datei identifizieren.

Während alle Datenwiederherstellungsprogramme eine Variation einer der oben genannten Methoden verwenden, gibt es eine Reihe zusätzlicher Suchparameter und Datenwiederherstellungstechniken, die angewendet werden können, um bessere Ergebnisse zu erzielen. Mit fortschrittlichen Dateiwiederherstellungsprogrammen wie R-Studio können Benutzer sehr komplexe und erweiterte Sätze von Dateisignaturen manuell angeben, einschließlich benutzerdefinierter Dateisignaturen.

In der Praxis werden diese beiden Methoden zur Dateiwiederherstellung normalerweise zusammen verwendet: Einige Dateien werden mit der einen Methode wiederhergestellt, während die verbleibenden Dateien mit der anderen Methode wiederhergestellt werden. Erweiterte Dateiwiederherstellungsprogramme wie R-Studio und R-Undelete können sie gleichzeitig verwenden, indem sie die IntelligentScan Data Recovery-Technologie anwenden. Das heißt, sie können die Überreste eines beschädigten Dateisystems analysieren und während desselben Festplatten-Scans nach bekannten Dateitypen suchen.

Einschätzen der Ergebnisse der Dateiwiederherstellung
(Weitere Informationen zu den Chancen für eine erfolgreiche Wiederherstellung finden Sie in unserem Artikel Vorhersage des Erfolgs üblicher Datenwiederherstellungsfälle.)

Mit den oben genannten Informationen können Sie Ihre Chancen für eine erfolgreiche Dateiwiederherstellung ziemlich genau einschätzen. Es ist jedoch wichtig, die folgenden Faktoren zu berücksichtigen:

• Der an einem Dateisystem verursachte Schaden kann unvorhersehbar sein. Der Zustand Ihrer Dateien hängt davon ab, was den Verlust der Dateien verursacht hat, wie der Zustand der Festplatte vor dem Ausfall oder Datenverlust ist und welche Maßnahmen vor den Datenwiederherstellungsversuchen ergriffen wurden. Die in diesem Artikel angegebenen Schätzungen sind ungefähre Angaben und gelten nur für Datenträger, auf denen keine neuen Daten auf den beschädigten Datenträger geschrieben wurden.
• Auf Festplatten mit Hardwarefehlern sollte keine Datenwiederherstellung versucht werden. Wenn Sie den Verdacht haben, dass die Festplatte physisch beschädigt ist, wenden Sie sich am besten an einen Datenrettungsfachmann mit der entsprechenden Erfahrung und Ausrüstung. Jeder Versuch, eine physisch beschädigte Festplatte zu manipulieren, kann zu weiteren Datenverlusten führen und nachfolgende Datenwiederherstellungsversuche vergeblich machen.
• Wir empfehlen, alle Datenwiederherstellungsaufgaben von Images der tatsächlichen Festplatten auszuführen, um die Originaldaten auf der Festplatte beizubehalten. Auf diese Weise können Sie mehrere Datenwiederherstellungsversuche ausführen, ohne Änderungen an der Festplatte vorzunehmen oder weiteren Datenverlust zu riskieren. Fortschrittliche Dateiwiederherstellungsprogramme wie R-Studio und R-Undelete können Disk-Images erstellen und gleichzeitig die Daten scannen.

Wenn ein Datenträger nicht ordnungsgemäß gemountet oder ausgeworfen wird (z.B. aufgrund eines Stromausfalls oder eines Benutzerfehlers), können einige oder alle Festplatten-Metadaten beschädigt werden oder verloren gehen. Obwohl die ursprünglichen Festplattendienstdienstdaten und Informationen zur Partitionsstruktur verloren gehen, bleiben die restlichen Laufwerksdaten erhalten. In diesen Fällen können Dateiwiederherstellungsprogramme die Informationen zu Dateien und Ordnern analysieren, die auf den Partitionen noch intakt sind, und alle Dateien und Ordner von diesen wiederherstellen. Eine zusätzliche Suche nach bekannten Dateitypen ist in diesen Fällen selten erforderlich. Dies ist das beste Szenario für die Datenwiederherstellung und liefert normalerweise die erfolgreichsten Ergebnisse.

Dieser Fall hängt stark davon ab, wie stark das Dateisystem beschädigt wurde. Denken Sie daran, dass die Festplatte zwei Kopien der Informationen zu Dateien und Ordnern enthält. Wenn nur eine Kopie beschädigt ist, kann ein Dateiwiederherstellungsprogramm Daten aus der Sicherungskopie lesen und alle Datei-Informationen und Daten wiederherstellen. Wenn beide Kopien stark beschädigt sind, können die Aussichten für eine erfolgreiche Dateiwiederherstellung sehr schlecht sein. Wie in Fall 3 kann eine zusätzliche Suche nach bekannten Dateitypen die Rettung sein.

Diese Fälle werden in diesem Artikel ausführlicher beschrieben:
Datenwiederherstellung von einer Festplatte mit einem beschädigten Dateisystem.

Wenn eine Festplatte versehentlich neu partitioniert wird, ähneln die Erfolgsaussichten denen in Fall 1, mit einer wichtigen Ausnahme: Wenn eine neue Partitionsstruktur erstellt wird, werden einige neue Daten auf die Festplatte geschrieben. Diese neuen Daten überschreiben die vorhandenen Informationen zum Festplattendienst über die gesamte physische Festplatte. Der Rest der Daten aus den alten Partitionen bleibt jedoch unberührt, einschließlich der Informationen zu Dateien und Ordnern. Auf diese Weise können Dateiwiederherstellungsprogramme die Festplatte scannen, diese Informationen finden und die Dateien und Ordner wiederherstellen, die von den neuen Partitionsdaten nicht betroffen sind. Eine zusätzliche Suche nach bekannten Dateitypen ist selten erforderlich.

Dieser Fall wird in diesem Artikel ausführlicher beschrieben:
Dateiwiederherstellung nach Neuinstallation von Windows

Die Neuformatierung ist in der Regel störender als die Neupartitionierung, abhängig von der Art des ausgeführten Datenträgerformatierungsvorgangs.

Eine normale Formatierung bewirkt, dass alle Daten auf der Partition mit einem bestimmten Muster (normalerweise 00 oder FF) überschrieben werden. Dies macht es unmöglich, Dateien von der Partition wiederherzustellen.

Eine schnelle Formatierung bewirkt, dass einige oder alle Informationen zu Dateien und Ordnern überschrieben werden, die Dateidaten bleiben jedoch unberührt. Dateiwiederherstellungsprogramme können die Festplatte scannen, die Reste des vorherigen Dateisystems finden und Dateien und Ordner entsprechend wiederherstellen. Abhängig von den Dateisystemen vor und nach der Neuformatierung variieren die Ergebnisse der Datenwiederherstellung mit der ersten Methode erheblich. Eine zusätzliche Suche nach bekannten Dateitypen kann in diesem Fall sehr erfolgreich sein, selbst wenn die erste Methode keine Dateien findet.

Diese Fälle werden in den folgenden Artikeln ausführlicher beschrieben:
Datenwiederherstellung von einer neu formatierten NTFS-Festplatte (Windows)
Datenwiederherstellung von einem gelöschten HFS-Laufwerk (MacOSX)
Datenwiederherstellung von einem neu formatierten exFAT/FAT-Datenträger (Windows/MacOSX/Linux)
Datenwiederherstellung von einer neu formatierten Ext2/3/4FS-Festplatte (Linux)

Wenn der Computer während einer Defragmentierungs- oder Neupartitionierungsoperation einfriert oder abstürzt, können die Ergebnisse katastrophal sein. Dies ist normalerweise das Worst-Case-Szenario für die Wiederherstellung von Dateien. Obwohl die Informationen zu den Dateien und Ordnern möglicherweise fehlerfrei aussehen, verweisen die Metadaten möglicherweise auf die falschen physischen Adressen für Dateien, die gerade verschoben wurden. Beispielsweise wurden die Daten möglicherweise an einen neuen Speicherort geschrieben, aber die Informationen zu den Dateien und Ordnern wurden möglicherweise noch nicht aktualisiert. Oder die Informationen zu den Dateien und Ordnern wurden möglicherweise aktualisiert, aber einige oder alle Dateidaten wurden noch nicht verschoben. In diesen Fällen kann sogar eine zusätzliche Suche nach bekannten Dateitypen nicht erfolgreich sein, da viele Dateien fragmentiert sein können.

Dieser Fall wird in diesem Artikel ausführlicher beschrieben:
Datenwiederherstellung nach Partition Manager-Absturz

Obwohl dieser Artikel nur einen kurzen Überblick über die grundlegenden Konzepte zur Dateiwiederherstellung gibt, soll er Ihnen helfen, zu verstehen, was zu tun ist und was Sie in Ihrem speziellen Datenwiederherstellungsszenario erwarten können. Ausführlichere Anweisungen zur Verwendung von Dateiwiederherstellungsprogrammen wie R-Studio und R-Undelete finden Sie in deren Online-Hilfen. Ausführliche Fallstudien und Tutorials zu bestimmten Fällen der Dateiwiederherstellung finden Sie in unseren anderen Artikeln online.

Wie immer können Sie Ihre Chancen für die Wiederherstellung von Dateien am besten abschätzen, indem Sie unsere Programme kostenlos testen. Im Demomodus von R-Studio oder R-Undelete können Sie den vollständigen Festplatten-Scan und erweiterte Datenwiederherstellungsanalysen durchführen, um festzustellen, welche Dateien wiederhergestellt werden können. Wenn die gesuchten Dateien wiederherstellbar sind, können Sie sich sofort registrieren, um Ihre Dateien vollständig wiederherzustellen und auf einer anderen Festplatte zu speichern.