Frage von FrageCompany, 46

Wenn man unter Windows 7 (NTFS) eine vorhandene Datei durch eine andere ersetzt hat, lässt sich die ersetzte Datei dann noch wiederherstellen?

Wenn ich eine Datei versehentlich gelöscht hatte (am Papierkorb vorbei mit UMSCHALT + ENTFERNEN), dann kann ich diese Datei fast immer mit einem Datenwiederherstellungsprogramm zurückholen.

Mir ist aber jetzt einige Male aufgefallen, dass ich eine Datei, die ich versehentlich durch eine andere ersetzt habe, weil die externe Datei und die versehentlich überschriebene ursprüngliche Datei den identischen Dateinamen hatten (die Original-Datei wurde durch eine gleichnamige Datei aus einem anderen Quellordner ersetzt), nicht wiederherstellen konnte.

Fragen:

  1. Was passiert, wenn eine Datei durch eine andere ersetzt wird?

  2. Wird die ersetzende (= neue) Datei auf den identischen Ort auf der Festplatte/SSD geschrieben, auf dem die ersetzte (= alte Original-)Datei lag? (= Wiederherstellung ist immer unmöglich!)

  3. Wird die ersetzende (= neue) Datei immer auf einen anderen freien Ort auf der Festplatte/SSD geschrieben, auf dem die ersetzte (= alte Original-)Datei nicht lag? (= Wiederherstellung ist fast immer möglich!)

  4. Wird die ersetzende (= neue) Datei auf einen zufälligen Ort auf der Festplatte/SSD geschrieben, auf dem die ersetzte (= alte Original-)Datei eventuell lag? (= Wiederherstellung ist möglicherweise möglich!)

  5. Gibt es Unterschiede beim Ersetzen einer Datei zwischen Windows (NTFS), MacOS (HFS+) und Linux (EXT4)? https://de.wikipedia.org/wiki/Journaling-Dateisystem

  6. Gibt es einen Unterschied bei den Schreibvorgängen auf HDDs oder SSDs zwischen dem Löschen einer Datei und dem Ersetzen einer Datei durch eine andere gleichnamige? (= Sind die Wahrscheinlichkeiten, die Dateien zu retten, in beiden Fällen gleich hoch?)

Antwort
von IXXIac, 22

Hallo

White Paper zu NTFS findet man im Netz (unter Win NT) oder genaue Analysen zb auf dem Tecc Channel oder im MSDN

Das Dateimanagmenthandling kann man mit Befehlen auf DOS Ebene, per Regestrystrings oder mit denn Powertoys selber konfigurieren.

Gleichnamige Dateien im selben Verzeichnis sind unter Windows Explorer nicht möglich aber Windows fragt ab 7.0 ja nach was gemacht werden soll.

(abbrechen, umbenennen, ersetzen)

Bei virtuellen Festplatten oder Stripe Sets sind gleichnahmige Dateien im selben Verzeichniss möglich NTFS hängt ein Datumstempel dran. Die Altdateien werden aber irgendwann überschrieben (Anbhängig von der Clustergrösse und zugteilten Platz)

Aber Virtuelle Laufwerke oder Strip Sets sind relativ "wackelig" und wenn das was schief geht ist oft alles im Eimer auch das Wurzelverzeichniss. 

Rekonstruktion ist möglich dauert aber "ewig"

Wenn man den Windows Dateischutz entsprechend grosszügig Platz gibt und konfiguriert spiegelt Windows die Verzeichnisse "unsichtbar" im "System Volume Information" Verzeichnsis das kann an mit diversen Tools dann durchbrowsen (lesen nicht schreiben) oder man kann mit Windows Bordmittel die alten Dateien zurückschreiben.

Wenn man Dateimanger wie Total Commander benutzt hat man mehr Kontrolle und kann vor allem 2 "identsiche" Versionen bitgenau vergleichen und zb JPEG bitgenau schreiben (Was Windows zb nicht kann). Wer zb viele Filme speichert und regelmässig umkopiert hat damit dann irgendwann Probleme u.a. weil die Frames JPEG sind

SSD sind keine guten Speichermedien und die Allocations sind "Random" damit die SSD Zellen gleichmässig "verschleissen".

Ansonsten gilt egal was; so lange man kein sicheres Backup hat sind die Daten "futsch" bei manchen eben früher...


Antwort
von gotquestions, 10

1. Die Daten werden normalerweise auf einen (m.o.w zufälligen) freien Bereich der Festplatte geschrieben, danach wird wird der Verzeichnisseintrag für die Datei auf die Koordinaten (Dateizeiger) der neuen Daten geändert, die alten Datenblöcke werden als frei markiert.

2. Damit die Datei (alte Daten) solange lesbar sind, bis die neuen Daten komplett sind, werden eben NICHT die alten Datenblöcke direkt überschrieben. (atomares kopieren)

3. Ja, aber ob Daten wiederherstellbar sind hängt vom weiteren Faktoren ab.

4. siehe 2 + 3

5. kann ich nicht sagen (müsste man genauer recherchieren).

6. sollte keinen Unterschied machen, Hardwaretechnisch gibt unterschiedliche vorgehensweisen, aber Dateioperationen werden vom Dateisystem gesteuert und daher gleich.

Ob Dateien wieder herstellbar sind, kommt darauf an wieviel Informationen das Filesystem über die alten Daten behält (Dateizeiger&Blockzeiger) und wie verteilt die Daten auf der Disk sind (fragmentierung).
Beim ersetzen von Daten wird der Dateizeiger (der vom Verzeichnisseintrag auf die Dateidaten zeigt) auf die neuen umgeschrieben, der alte sollte aber noch im Journal enthalten sein.
Wenn die alten Daten nicht fragmentiert sind oder die Blockzeiger noch vorhanden sind (welche aber z.B. EXT4 löscht), sollte die Datei problemlos wiederherstellbar sein.

Bei SSD kann (je nach Typ) zusätzlich das Problem einer hohen Fragmentierung auftreten, da bei jedem Schreibvorgang eine Abnutzung stattfindet und daher die Daten möglichst gleichmässig verteilt werden.

Da die alten Datenblöcke als frei markiert wurden, werden sie früher oder später überschrieben, je voller und aktiver die Disk, umso eher...

Die Wiederherstellbarkeit hängt natürlich auch mit der verwendeten Software zusammen, zwischen verschiedenen Programmen können ernorme Unterschiede liegen. Daher mit verschiedener Software probieren. Liegen die Daten auf der Systemplatte von Windows, kann es helfen, wenn man diese an einen anderen Computer hängt oder mit eine Live-CD arbeitet.

Probleme mit der Wiederherstellung von Dateien gleichen Namens hatte ich noch nie...

Antwort
von sukuum, 13

chip.de hat ein programm ich glaube es heisst recuva. damit kann man alles finden was nicht extra noch "gehächselt" wurde. aber selbst von gehächseltem findet man damit noch die namen

Kommentar von sukuum ,

identisches wird dort auch aufgeführt. du musstvorsichtig sein wenn du wieder herstellst

Keine passende Antwort gefunden?

Fragen Sie die Community