Gelöschte Daten wiederherstellen
Kurz vor Weihnachten erreichte uns ein Notruf: Ein Kunde hatte versehentlich wichtige Daten gelöscht. Dies betraf sowohl den Hauptdatenträger als auch die Sicherungskopie.
Das Wiederherstellen gelöschter Daten ist insb. bei Festplatten und einfachen USB-Sticks unter gewissen Umständen möglich: Wenn eine Datei gelöscht wird, wird sie in der Regel nicht vom Datenträger entfernt. Stattdessen wird der Speicherbereich lediglich als frei markiert und erst dann mit neuen Daten überschrieben, wenn neue Dateien geschrieben oder geändert werden. D. h. insb. kurz nach dem Löschen hat man relativ gute Chancen gelöschte Dateien wiederherstellen zu können.
Anmerkung: Dies gilt allerdings häufig nicht für SSDs. Für das sogenannte Ware-Leveling werden als gelöscht markierte Bereiche meistens schneller tatsächlich gelöscht und können dann nicht mehr wiederhergestellt werden.
Mit den Tools Testdisk und PhotoRec konnten wir die Daten retten. Hinter beiden Tools steckt mehr, als die etwas verwirrenden Namen vermuten lassen. Testdisk versucht unter anderem gelöschte Daten innerhalb der Dateisystemstruktur wiederherzustellen. PhotoRec verfolgt eine andere Strategie: Das Dateisystem wird ignoriert und es wird direkt auf dem Datenträger nach Dateien gesucht. Beide Strategien können zu unterschiedlichen Ergebnissen führen. Testdisk unterstüzt nur bestimmte Dateisysteme und findet ggf. weniger Daten, kann dafür ggf. Dateinamen und Verzeichnisstrukturen wiederherstellen. Da Photorec direkt auf dem Datenträger nach Daten sucht, sind Dateinamen und Verzeichnisstrukturen nicht wiederherstellbar. Dafür ist die Erfolgsquote ggf. höher. Dies ist allerdings von vielen Faktoren abhängig - insb. ob Daten ggf. überschrieben wurden und welches Dateisystem verwendet wurde. Außerdem ist die Suche bei Photorec auf bestimmte Dateisystemtypen beschränkt.
Generell raten wir dazu vor dem Versuch einer Datenrettung zunächst eine 1:1-Kopie des Datenträgers zu erstellen und die Datenrettung auf dem kopierten Datenträger zu versuchen. So bleibt der urspüngliche Datenträger weitgehend unberührt. Weitere Datenverluste durch unsachgemäße Verwendung des Originals werden so vermieden.