R-Studio wurde entwickelt, um Daten von physischen Festplatten und anderen Medien wiederherzustellen. Es kann jedoch auch zum Wiederherstellen von Dateien verwendet werden, die auf virtuellen Laufwerken oder in Dateicontainerformaten gespeichert wurden. Dateicontainer enthalten häufig dieselben Teile einer realen Festplatte, einschließlich eines Startdatensatzes, Festplattenpartitionen, Dateisystemen sowie einzelner Dateien und Ordner. Dateicontainer können dekomprimiert, komprimiert oder verschlüsselt werden. Darüber hinaus gibt es Dienstprogramme, die eine gesamte Festplatte verschlüsseln können.

Die Methode zum Wiederherstellen von Daten aus einem Dateicontainer hängt von seinem Format ab. Dieser Artikel behandelt Datenwiederherstellungsmethoden mit R-Studio für die gängigsten Dateicontainerformate.

Arten von Dateicontainern mit Disk-Images

Es gibt verschiedene Arten von Dateicontainerformaten, die als Disk-Images fungieren:

• Nicht komprimierte Disk-Images - Dies ist eine sektorweise Kopie einer Disk, die aus einem logischen Volume oder einem gesamten physischen Laufwerk erstellt wurde. Diese Art von Disk-Image kann in R-Studio geladen und wie jedes andere Image verarbeitet werden.
• Proprietäre Dateicontainer - Einige Dienstprogramme verwenden ihre eigenen Disk-Image-Formate. Proprietäre Disk-Images werden normalerweise komprimiert oder verschlüsselt. Beispielsweise erstellt R-Drive Image, ein von R-TT, Inc. entwickeltes Dienstprogramm zum Abbilden, Sichern und Kopieren von Datenträgern, Dateicontainer mit der Dateierweiterung .rdr.
• Verschlüsselte Dateicontainer - Diese ähneln proprietären Dateicontainern, der Inhalt wird jedoch auch verschlüsselt. Nur die zum Erstellen des Images verwendete Software kann es mounten und lesen. Wenn der verschlüsselte Container in der nativen Software bereitgestellt werden kann, kann er von R-Studio erkannt und als normale logische Festplatte verarbeitet werden.
• Dateicontainer von virtuellen Maschinen - Dies sind Dateicontainerformate, die von einer virtuellen Maschine wie einer VirtualBox oder VMware bereitgestellt werden sollen. Diese können in R-Studio als unkomprimierte Images geladen und nach Partitionen gescannt werden.

Unkomprimierte Disk-Images und R-Drive Image Dateicontainer

Nicht komprimierte Disk-Images können direkt in R-Studio geladen werden. Ebenso werden R-Drive Image Dateien von R-Studio nativ unterstützt und können wie jedes andere Image oder jede andere Festplatte direkt geladen und verarbeitet werden. Weitere Informationen finden Sie in der Hilfe von R-Studio: Image

Abb. 1: Dateicontainer mit Disk-Images in R-Studio
Klicken Sie auf das Bild, um es zu vergrößern

Proprietäre Dateicontainerformate

R-Studio kann auch bestimmte proprietäre Disk-Images verarbeiten, auch wenn diese von R-Studio nicht nativ unterstützt werden. Dies kann durch Mounten des Dateicontainers als virtuelle Festplatte mithilfe der proprietären Software erfolgen. Der Inhalt des Dateicontainers wird im R-Studio Bereich "Drives" (“Laufwerke") als logische Festplatte angezeigt und kann als solche verarbeitet werden.

Abb. 2: Ein Dateicontainer, der von einem proprietären Disk Imaging-Programm als virtuelle Festplatte bereitgestellt wird
Klicken Sie auf das Bild, um es zu vergrößern

Beachten Sie, dass R-Studio einen proprietären Dateicontainer, der so stark beschädigt ist, dass er nicht mehr mit seiner nativen Software verbunden werden kann, weiterhin als unkomprimiertes Image laden und versuchen kann, ihn zu verarbeiten. In diesen Fällen ist die Wahrscheinlichkeit jedoch gering, dass nützliche Daten gefunden werden können, insbesondere wenn das Image komprimiert ist.

Verschlüsselte Dateicontainerformate

Einige proprietäre Dateicontainerformate sind verschlüsselt. Dies bedeutet, dass die Daten nur dann lesbar sind, wenn sie von der nativen Software bereitgestellt werden (normalerweise unter Verwendung eines Schlüssels). Die Festplattenverschlüsselung kann auf eine Partition, ein Festplattenabbild oder ein gesamtes physisches Laufwerk angewendet werden (siehe unten). Beispiele für solche Programme sind die Freeware TrueCrypt / VeraCrypt von IDRIX und die kostenlose R-Crypto von R-TT, Inc. für den Heimgebrauch.

Diese Programme verbinden ihre Dateicontainer als virtuelle logische Datenträger und bieten eine Verschlüsselung / Entschlüsselung der Hintergrunddaten. Solche virtuellen Festplatten werden im Bereich R-Studio-Laufwerke als logische Festplatten angezeigt und können als solche verarbeitet werden.

Abb. 3: Datei-Container, die über VeraCrypt und R-Crypto als virtuelle Festplatten mit dem Computer verbunden sind
Klicken Sie auf das Bild, um es zu vergrößern

Im Gegensatz zu komprimierten proprietären Dateiformatcontainern ist es nahezu unmöglich, Daten von einer verschlüsselten Festplatte wiederherzustellen, wenn sie von der nativen Software nicht mehr bereitgestellt werden kann. Dies liegt daran, dass die Hintergrundverschlüsselung / -entschlüsselung nicht durchgeführt werden kann. Obwohl R-Studio einen sektorweisen Scan des Images durchführen kann, sind die Daten nicht erkennbar.

Dateicontainer von virtuellen Maschinen

Die ideale Methode zum Wiederherstellen von Dateien von virtuellen Maschinen wird im Artikel Datenwiederherstellung von virtuellen Maschinen beschrieben. Wenn dies nicht möglich ist, verwenden Sie die folgende Methode.

Die Datenwiederherstellung von einer in Microsoft Virtual PC verwendeten VHD-Datei wird im Artikel Datenwiederherstellung von VHD-Dateien (Virtual Hard Disk) beschrieben. Wenn dies nicht möglich ist, verwenden Sie die folgende Methode.

Ein weiteres gängiges Dateicontainerformat ist ein Image, das von einer virtuellen Maschine verwendet wird. Am gebräuchlichsten ist das .vmdk-Dateiformat, das in von VMware erstellten virtuellen Maschinen verwendet wird. Dieses Dateicontainerformat wurde von VMware entwickelt, ist jedoch jetzt ein offenes Format, das von anderen Programmen wie VirtualBox und QEMU verwendet wird.

Für virtuelle Maschinen erstellte Dateicontainer können als Sektor-für-Sektor-Images in R-Studio geladen und analysiert werden, um ihre Dateisysteme zu erkennen. Diese Scans zeigen normalerweise viele erkannte Partitionen.

Abb. 4: Ein .vmdk-Dateicontainer, der nach seinem Dateisystem durchsucht wurde
Klicken Sie auf das Bild, um es zu vergrößern

Dateien sind über viele erkannte Partitionen verteilt. Abhängig von den Umständen können die meisten dieser Dateien wiederhergestellt werden, einige jedoch möglicherweise nicht.

Verschlüsselte Festplatten und Partitionen

Informationen zur Wiederherstellung von Dateien von einer verschlüsselten Linux-Festplatte finden Sie in unserem Artikel: Datenwiederherstellung von einer verschlüsselten Linux-Festplatte nach einem Systemabsturz.

Während verschlüsselte Festplatten technisch nicht mit Dateicontainern identisch sind, ähnelt die Datenwiederherstellung von einer Festplatte mit vollständiger Festplattenverschlüsselung der Wiederherstellung von Daten aus einem verschlüsselten Dateicontainer. Zum Beispiel BitLocker, das in bestimmten Windows-Editionen enthalten ist und Laufwerksverschlüsselung enthält. Ebenso können Sie mit TrueCrypt / VeraCrypt eine gesamte Festplatte verschlüsseln.

Beim Entsperren mit der nativen Software werden verschlüsselte Datenträger als logische Datenträger im Laufwerksbereich von R-Studio angezeigt und können als solche verarbeitet werden.

Abb. 5: Eine gesperrte BitLocker-Festplatte im Laufwerksbereich von R-Studio
Klicken Sie auf das Bild, um es zu vergrößern


Abb. 6: Eine entsperrte BitLocker-Festplatte im Laufwerksbereich von R-Studio
Klicken Sie auf das Bild, um es zu vergrößern


Abb. 7: Eine nicht gemountete VeraCrypt-Festplatte im Laufwerksbereich von R-Studio
Klicken Sie auf das Bild, um es zu vergrößern


Abb. 8: Eine gemountete VeraCrypt-Festplatte im Laufwerksbereich von R-Studio
Klicken Sie auf das Bild, um es zu vergrößern

Beachten Sie, dass die Wahrscheinlichkeit, dass Daten von einer verschlüsselten Festplatte wiederhergestellt werden können, sehr gering ist, wenn die Daten auf einer verschlüsselten Festplatte so stark beschädigt werden, dass sie nicht mit der nativen Software entsperrt werden können. Ein Scan findet normalerweise nichts.

Fazit

Es gibt zahlreiche verschiedene Dateicontainerformate, von denen die meisten von R-Studio zur Datenwiederherstellung verarbeitet werden können. Nicht komprimierte Disk-Images, Images virtueller Maschinen und Images, die von R-Drive Image erstellt wurden, können direkt geladen werden. Für die Datenwiederherstellung von verschlüsselten Datenträgern und Images sowie proprietären Dateicontainerformaten kann R-Studio diese als normale logische Volumes verarbeiten, nachdem sie in der nativen Software bereitgestellt wurden. In allen Fällen, in denen das Dateicontainerformat so stark beschädigt ist, dass es nicht mehr gemountet werden kann, ist die Wahrscheinlichkeit, dass Dateien wiederhergestellt werden können, jedoch sehr gering.