Gelöschte Dateien wiederherstellen?
Versehentlich habe ich all meine MP4- und MP3 Dateien, sowie Fotos, von meiner Festplatte gelöscht. Im Papierkorb befinden sie sich nicht mehr. Soviel ich weiß sind die Daten damit nicht endgültig gelöscht worden, sondern befinden sich irgendwo auf der Festplatte. Doch wie komme ich daran? Gibt es ein kostenloses Programm mit dem ich die Dateien alle wieder herstellen kann?
5 Antworten
Versehentlich habe ich all meine MP4- und MP3 Dateien, sowie Fotos, von meiner Festplatte gelöscht.
Deshalb legt man regelmäßig Backups seiner Daten an. Und das immer zeitnah.
Nicht nur wegen technischen Versagen oder Malware - sonder auch wegen "eigener Blödheit". Wird ja nur über 20 Jahre bereits rauf und runter gepredigt. 🤷♂️
Also: Datenträger ausbauen und an einem anderen PC wieder anschließen.
Es gibt eine kostenlose Software für so was "Recuva".
Allerdings habe ich mit der schlechtere Erfahrungen bezüglich Erfolg und Wiederherstellung kompletter Ordnerstrukturen und Dateinamen gehabt als mit kostenpflichtiger Software - wie z. B. GetDataBack.
Wichtig ist, um keine Daten zu verlieren: Den PC sofort auszuschalten. Die Harddisk/ SSD baust Du am Besten aus und hängst sie an einen SATA-to-USB Adapter. Auf einem anderen PC / Laptop schliesst Du dann diesen Adapter an, installierst auf dem anderen PC eine Recovery-Software und durchsuchst das an den Sata-To-USB-Adapter angeschlossene Laufwerk nach gelöschten Dateien.
Ich empfehle Dir als Recovey-Software z.B. jene von DiskInternals, damit habe ich sehr gute Erfahrungen gemacht. Die Software ist nicht gratis, aber ich bin der Meinung, dass es sich lohnt. Ich gehe davon aus, dass Du einen Windows-PC mit einem NTFS-Dateisystem hast. Also müsstest Du Dir die Undelete-Software für NTFS besorgen:
z.B. diese hier (39.95 USD - sollte in Deinem Fall genügen)
https://www.diskinternals.com/order/uneraser/
oder diese (139.95 USD)
https://www.diskinternals.com/order/partition_recovery/
Wenn Du hingegen Software (oder Daten) auf der Festplatte mit den gelöschten Daten installierst, werden die gelöschten Daten nach und nach überschrieben und sind auch nicht mehr mit einem Recovery-Tool rettbar. Das ist daher keine gute Idee. Du musst von aussen her auf die Daten zugreifen und solltest den PC nicht mehr starten, bis alle Daten gerettet sind.
Doch, das ist es eben. Die Dateien zum zum überschreiben freigegeben aber noch nicht gelöscht. Sobald aber Schreibvorgänge auf der entsprechenden Festplatte stattfinden könnten die Dateien überschrieben worden sein
Ja das funktioniert auf Harrdisks. Bei SSD's geht es nur dann, wenn TRIM-Löschungen nicht aktiviert sind. Sind diese Voraussetzungen gegeben, brauchst Du einfach eine entspr. Spezialsoftware. Die Daten selbst sind noch da, und in der Regel auch die gelöschten Metadaten (zumindest Teile davon - und das reicht in der Regel für eine Wiederherstellung aus). Es ist ein weit verbreiteter Irrtum, dass mit dem Löschen des Papierkorbs die Dateien endgültig verloren sind. Teile davon lassen sich fast immer wiederherstellen, wieviel hängt davon ab, wie lang der User nach der Löschung noch auf dem System gearbeitet hat (und neue Daten auf die Festplatte geschrieben hat). Schaltet man einen PC gleich nach der irrtümlichen Löschung sofort aus, lassen sich mit Spezialsoftware nahezu 100% der gelöschten Dateien wiederherstellen.
Mit "Löschung" meine ich natürlich eine Löschoperation auf dem Filesystem durch den Filesystemtreiber. Wenn der User von Aussen sämtliche Bits der Festplatte mit Nullen überschreiben würde (z.B. mit einem Tool wie dem Unix-dd), dann gäbe es nichts mehr wiederherzustellen - zumindest für einen Enduser. In einem Labor könnte man bei Festplatten allenfalls noch parteill Daten ausserhalb der "Normalspur" retten, die durch Oszillation der Schreibköpfe enstanden sind.
Bei NVMe's ist es das Gleiche, dort heisst das Analogon zu TRIM einfach "Deallocate", das Problem mit dem Recovery ist das Selbe wie bei SSD's.
Aber ich Frage mich dann, in welchem Verzeichnis die gelöschten Dateien abgelegt werden. Ich dachte immer, dass sie durch die Überschreibfreigabe unsichtbar werden.
Was genau meinst Du mit "Überschreibfreigabe"? Unsichtbar werden die Dateien für den User, aber die gelöschten Einträge in den Filesystem-Metadaten sind noch eine Weile lang verfügbar. Entsprechende Einträge werden entweder nicht mehr von anderen Datenstrukturen referenziert oder werden explizit als "freigegeben" markiert. Eine Software kann nun speziell nach solchen gelöschten Strukturen suchen, oftmals spielen auch Heuristiken eine Rolle. Dazu braucht es natürlich ein umfassendes Wissen über das jeweilige Dateisystem, welches in der Recovery-Software codiert ist.
Hab den Teil mit der Software überlesen. Dachte du meintest, dass es per USB auch ohne Software geht und habe mich gewundert. 😅
Auf einem anderen PC / Laptop schliesst Du dann diesen Adapter an, installierst auf dem anderen PC eine Recovery-Software und durchsuchst das an den Sata-To-USB-Adapter angeschlossene Laufwerk nach gelöschten Dateien.
Sehr guter Tip - nur sollte das ein Linux-PC sein oder man verwendet einen Writeblocker. Sonst arbeiten Defragmentierung und TRIM wieder auf der Platte.
Seit den SSDs wird es immer komplizierter - wir haben zB ein Mint für Datenrettung zusammengestellt das TRIM deaktiviert hat!
Soweit ich weiss kann der TRIM-Befehl nur dann zur SSD übertragen werden, wenn die SSD an einem-Mainboard-Sata-Controller angeschlossen ist. Bei USB-Readern ist das Problem, dass die Verbindung zwischen dem Reader und dem PC über ein USB-Protokoll geschieht, und letzteres kann m.W. keine TRIM-Befehle forwarden (habe ich jedenfalls in Foren gelesen).
Kommt auf den Controller an - wir Datenretter haben das gleiche Problem mit Herstellerspezifischen Befehlen. Manche Controller leiten alles durch und andere nur was die kennen.
Abgesehen davon ist Laptop-Zerlegen auch nicht jedermann Sache. Mit Linux booten wäre einfacher.
Sind die Dateien wichtig? Am besten probierst du es zuerst mit einer kostenlosen Wiederherstellungssoftware wie Recuva. In der Tat, einige bezahlte Software hat auch kostenlose Version, wie wondershare recoverit free. Du kannst weitere herunterladen, um alle deine Dateien wiederherzustellen.
Hallo,
Du kannst es mal mit DMDE (https://dmde.com/) versuchen.
Wenn du eine SSD hast dann sind die Daten ziemlich sicher weg - bei einer HDD hast du noch bessere Chancen.
Wichtig ist, dass du nichts mit dem Rechner mehr machst und die Platte am besten den PC mit Linux booten oder die Platte in einem anderen Linux-Rechner untersuchen. zB: https://sourceforge.net/projects/disk-doctor-recovery-toolkit/
Während du arbeitest werden im Hintergrund temp. Dateien erstellt, Logs geschrieben und die HDD wird defragmentiert.
All das kann deine Daten überschreiben sofern diese noch nicht überschrieben wurden.
Hallo Mark. Grad noch eine Frage zur Löschung auf SSDs mit TRIM enabled an Dich als Experten auf dem Gebiet 1.) Ist es korrekt, dass ein TRIM-Command von der SSD nicht sofort ausgeführt wird (sondern nur entspr. Block als zu trimmend markiert) und dadurch ein sofortiges Ausschalten der SSD (d.h. Stromversorgung aus) die Wahrscheinlichkeit für ein Recovery im "Factorymode" oder "Technomode" der SSD mit entspr. Geräten erhöht? Und 2.) Angenommen die zu trimmenden Blöcke wurden tatsächlich bereits getrimmt, ist es dann einem Speziallabor mit hohem Zeit -und Mitteleinsatz irgendwie noch möglich, selbst die getrimmten Blöcke, sofern ansonsten nichts Neues mehr dorthin geschrieben wurde, irgendwie zu lesen (selbst ein Öffnen des Speicherchips in einem Reinraum wäre zu erwägen? Prinzipiell basieren diese Flash-Speicher darauf, dass bestimmte Mengen elektrischer Ladungen im Gate "eingeschlossen" werden. Vielleicht bleibt da z.B. selbst nach dem Löschen noch eine winzige Menge Restladung übrig, die man forensisch auswerten könnte und somit eine partielle Wiederherstellung denkbar wäre - ist so etwas in der Art möglich und wird das auch praktiziert?
1.) Ist es korrekt, dass ein TRIM-Command von der SSD nicht sofort ausgeführt wird (sondern nur entspr. Block als zu trimmend markiert) und dadurch ein sofortiges Ausschalten der SSD (d.h. Stromversorgung aus) die Wahrscheinlichkeit für ein Recovery im "Factorymode" oder "Technomode" der SSD mit entspr. Geräten erhöht?
Jein - Theoretisch aber praktisch war es bei manchem meiner Tests schon nach wenigen Sekunden zu spät.
Angenommen die zu trimmenden Blöcke wurden tatsächlich bereits getrimmt, ist es dann einem Speziallabor mit hohem Zeit -und Mitteleinsatz irgendwie noch möglich, selbst die getrimmten Blöcke, sofern ansonsten nichts Neues mehr dorthin geschrieben wurde.
Beim Trimmen wurde aber etwas darüber geschrieben. Die Blöcke wurden geleert und damit überschrieben.
irgendwie zu lesen (selbst ein Öffnen des Speicherchips in einem Reinraum wäre zu erwägen? Prinzipiell basieren diese Flash-Speicher darauf, dass bestimmte Mengen elektrischer Ladungen im Gate "eingeschlossen" werden.
Ich brauche keinen Reinraum für den Speicherchip sondern für Festplatten!
Klar sind die Daten als elektr. Ladungen gespeichert aber wenn TRIM läuft werden die Speicherzellen geleert um für ein erneutes beschreiben vorbereitet zu sein! Eine SSD kann nicht wie eine HDD einfach über die Daten drüber schreiben und darum würde sie ohne TRIM langsamer sobald keine leeren Blöcke mehr da wären.
TRIM sorgt also dafür, dass gelöschte Blöcke im Hintergrund geleert werden damit die wenn sie gebraucht werden direkt beschrieben werden können.
Vielleicht bleibt da z.B. selbst nach dem Löschen noch eine winzige Menge Restladung übrig, die man forensisch auswerten könnte und somit eine partielle Wiederherstellung denkbar wäre - ist so etwas in der Art möglich und wird das auch praktiziert?
Ja die theoretischen Überlegungen gab es schon bei Festplatten - praktisch hat es nur keine wirklich sinnvoll eingesetzt. Ich zitiere diesbezüglich gern einen Datenretter-Kollegen:
"So, in practice; give me a 250.000 EUR research budget and a year of time, I may be able to recover an old 5MB up to maybe 20MB drive that was zero filled."
Weitere Infos zu diesem Thema findest du hier: https://hackenlernen.com/blog.php?t=hdd_sicher_loeschen
Und hier: https://disk-doctor.eu/blog/
Versuche mal ein "Recovery"-Tool ... da gibt es Einige von. Sogar Microsoft selbst hat ein "Windows File Recovery"-Programm. Das läuft aber über die Konsole. Gibt aber auch Programme von anderen Firmen - mit Benutzeroberfläche ...
Funktioniert das? Durch das Löschen hat das Dateisystem der Festplatte doch signalisiert, dass die Dateien fürs Überschreiben freigegeben werden sollen, also dürfte man sie meines Wissens nach nicht mehr sehen können.