Gelöschte Daten selbst gerettet – oder doch gänzlich vernichtet! | A

8. 2 2015 - DI (FH) Markus Häfele

Mein Kollege Max hat vor einigen Monaten bereits einmal einen Artikel über gelöschte Daten geschrieben. Da jetzt über die Weihnachtsfeiertage scheinbar nicht nur der Geburt Jesu Christi gedacht wurde, sondern auch wieder einige selbsterkorene Experten geboren wurden, muss ich das Thema wieder aufgreifen.

Bei physisch unbeschädigten Datenträgern besteht eine große Gefahr, wenn man selbst daran herumdoktert: auf formatierten und/oder gelöschten Medien ist es von immenser Wichtigkeit, nicht mehr schreibend zuzugreifen! Denn wie bereits im vorhergegangenen Artikel erläutert, bedeutet das Löschen für die Festplatte „zum Überschreiben freigegeben“, sprich mit jeglichen neu gespeicherten Daten nimmt man sich die Wahrscheinlichkeit auf eine reelle Chance zur Datenrettung.

Hat man Daten auf einer System-Partition gelöscht, stellt allein schon die Suche nach einer brauchbaren Software – klingt schier unglaublich, aber bei gewissen Fehlerbildern wie diesem gibt es je nach Dateisystem im Internet mitunter wirklich Nutzbares zu finden, nichtsdestotrotz vertrauen wir weiterhin unserer eigenen entwickelten Software – im Web und vor allem der anschließende Download und die Installation auf dem Rechner ein hohes Risiko dar. Denn installiert man das gefundene Programm ausgerechnet in der gleichen Partition, werden zahlreiche Sektoren darin neu beschrieben. Gleiches gilt natürlich auch für die entstehenden Log- und Cache-Dateien, die im laufenden Betrieb und bei Startvorgängen anfallen.

Des Unheils noch nicht genug, gibt es aber auch wahrlich unbrauchbare Programme, die bei der Ausführung ihrer Arbeiten ohne weitere Rückfragen die rekonstruierten Dateien auf der betroffenen Partition zurückschreiben. Ein fataler Fehler! Möglicherweise hat die Software im noch verbliebenen Dateisystemkatalog korrekt erkannt, dass die Datei Weihnachten2014.jpg auf dem Sektor 123.456.789 begonnen und unfragmentiert die nächsten 8.663 Sektoren belegt hatte. Im Zuge der Datenrekonstruktion hat es aber die bereits wiederhergestellte Diplomarbeit_Einleitung.docx auf 123.457.920 bis 123.460.874 geschrieben. Wenn dann also das Familien-Erinnerungsfoto unter dem Christbaum zur Datenrettung ansteht und gelesen werden soll, stehen die ursprünglichen JPG-Binärdaten nicht mehr vollständig zur Verfügung und die rekonstruierte Datei kann nur defekt sein, auch wenn Anfang und Ende stimmen würden.

Nach solchen Fällen rekursiven Überschreibens können leider auch wir nicht mehr helfen, was oftmals auf Unverständnis stößt. Da die Datei „ja eh wieder da ist“ muss sie auch funktionieren oder durch den Profi zumindest reparabel sein.

Wenn man sich also schon selbst als Restaurator versuchen will, sollte man die Fundstücke auf jeden Fall auf eine andere Partition, oder noch besser auf eine andere Festplatte (die Windows-Bezeichnung für einen Lokalen Datenträger mag verwirren, da dies Partitionen bezeichnet) schreiben! Oder noch besser, wie auch wir es im Zuge unserer professionellen Datenrettung praktizieren, zuerst eine Rohdatenkopie des gesamten Datenträgers anfertigen, denn dann kann man immer wieder zurück an den Anfang.