Hi,
Es scheint ein allgemeines Problem zu sein. Deswegen poste ich es hier, und nicht unter Festplatten oder unter Software.
Löscht man eine Datei, so landet sie im Normalfall im Papierkorb. Eine Wiederherstellung ist problemlos möglich.
Löscht man dann den Papierkorb, so ist sie zunächst mal weg. Es besteht aber dann noch die Möglichlichkeit, sie mittels eines Datenrettungsprogrammes zurückzuholen. Unter bestimmten Voraussetzungen.
Bis hierher ist noch alles ganz normal und auch weitestgehend bekannt.
Nun aber kommt\'s.
Um eine Datei sofort zu löschen, - also ohne daß sie im Papierkorb landet -, bedient man sich der Shift-Taste, die man während des Löschens gedrückt hält. Nun sollte man meinen, daß dieser Vorgang nicht anderes bewirkt als normales Löschen mit anschließendem leeren des Papierkorbes. Sollte man. Aber, - weit gefehlt !!
Ich hatte aus gegebenem Anlass gestern das zweifelhafte Vergnügen, dies herausfinden zu dürfen. Ich habe versehentlich 5 Dateien mit gedrückter Shift-Taste gelöscht. Eigentlich sollte es nur eine sein, - aber ich übersah im Eifer des Gefechts, daß noch weitere markiert waren (Total Commander). Ich dachte dann, ist ja nicht so schlimm, wofür hat man Datenrettungsprogramme im Haus. Es wurde dann auch tatsächlich alles gefunden, - und es wurde auch tatsächlich alles gerettet. Scheinbar jedenfalls. Die Dateien (Videodateien avi und mpg) waren wieder da. Nur ließen sie sich nicht abspielen !!!
Eine nähere Untersuchung ergab, daß die geretteten Dateien zwar noch dieselbe Größe aufwiesen, - daß der Inhalt aber zerstört war.
Dann habe ich Tests gefahren. Mit Videodateien, - mit MP3 Dateien, - und auch mit doc-Dateien. Überall dasselbe! Inhalt zerstört!
Nun meine Frage: Wie kann das sein? Beinhaltet Win2000 und evtll. auch XP (nicht getestet) eine mir nicht bekannte Funktion, daß beim Löschen mit der Shift-Taste die Datei nicht nur ins Nirvana wandert, sondern gleichzeitig auch geschreddert wird?
Wer hat schon ähnliche Erfahrungen gemacht? Aufgrund genauen Vorgehens kann ausgeschlossen werden, daß die gelöschten Dateien teilweise vor der Wiederherstellung überschrieben worden sind. Es ist also tatsächlich was passiert während des Löschens.
Für umfangreiche Beteiligung wäre ich dankbar.
cu
Dr. Hook
PS: Die Tests wurden mit drei verschiedenen Programmen durchgeführt. Unter anderem auch der PC File-Inspector. Das Dateisystem war FAT32.
Allgemeines 22.005 Themen, 148.983 Beiträge
Zusatzfrage: irgendsoein Sender brachte gestern abend was zu HDD's...
anonym gebrauchte HDD gekauft, nachgefragt - "ja, alles leer, formatiert...", sogar ein Händler (Profi1??) war dabei.
Wiederherstellung aber gelungen - klar mit Datenrettungsprogr..
Nun meine Frage: Ist (auch von Profis) nach einer LowLewel Formatierung der Platte noch was einsehbar bzw. gibt es da auch (teuere) Tools - oder ist das sicher. Und wie sicher ist Wipen im Vergleich dazu?
RTL hatte das Thema im Programm.
Hier der Link dazu:
http://www.rtl.de/tv/4146.php
Dort gibt es auch gleich Software zum endgültigen Löschen der Festplatte und ein Wiederherstellungsprogramm von O&O, man muss sich allerdings registrieren.
Welchen Teil von " Unter bestimmten Voraussetzungen." hast du nicht verstanden? Und wo ist dein Backup?
Hallo Dr. Hook!
Genau auf dieses Problem hatte ich schon öfters hingewiesen, das liegt zum einen an der Cluster-Chain von FAT16/32 und zum anderen an den (kostenlosen) Datenrettungsproggies.
Eine große, gelöschte Datei auf einer FAT-Partition funktionierend wiederherzustellen klappt nur, wenn das Dateisystem NICHT FRAGMENTIERT ist (bezieht sich natürlich nur auf die betreffende Datei). Praktisch hieße das: vor dem versehentlichen Löschen defraggen.
Shift+Del dürfte keine andere Funktion haben, als das Löschen aus dem Papierkorb. Da ist auch bei W98 so.
Zumindest die kostenlosen Proggies (da habe ich besimmt fast alle durch) gehen alle davon aus, daß die Cluster-Chain zusammenhängend ist (in jedem Cluster steht sonst, wo der nächste Cluster ist usw.) und lesen somit alle Cluster bis zur Größe der ursprünglichen Datei. Klar, daß da bei einem normal fragmentierten Laufwerk nur Müll rauskommt.
Ein klein wenig anders scheint "Search and Recover 2.0" zu sein, da sind die Ergebnisse etwas anders als bei den anderen. Allerdings stimmt der Name der gelöschten Datei oft nicht mit dem Ergebnis überein (du stellst pratisch alle greifbaren wiederher und probierst, ob das gewünschte dabei war).
Richtig zufriedenstellend für Videos ist das absolut nicht.
Bei NTFS-Partititonen soll die Wiederherstellung besser klappen.
Profi-Programme, die da ein besseres Ergebnis liefern muß es aber doch geben - nur sind die teuer und ich konnte noch keins testen.
@Triology61
Nach einer LLF wirst du mit normalen Programmen keine Chance mehr haben. Bei einer professionellen Datenrettung (auch nur bei denen mit Reinraum) ist es durchaus möglich, da teilweise noch nach mehrfacher Uberschreibung Daten wiederherzustellen.
Dazu werden die Scheiben ausgebaut und mittels Laser abgetastet. Aus den Mustern könnten wegen Restmagnetismus (neuere Platten haben Probleme überhaupt die Nutzdaten sicher zu speichern) noch Daten wiederhergestellt werden.
Das hängt aber sicher auch mit den Platten usw. zusammen und machmal geben die Profis auch schon nach nur einem Zero-Fill auf.
Ein Zero-Fill der ganzen Platte ist für den Normaluser völlig ausreichend (dauert aber Stunden). Wer da noch etwas zurückholen will, muß sowieso einen vierstelligen Betrag hinblättern.
Die Tools, die auch Dateien mehrfach überschreiben, sind mit Vorsicht zu genießen: jedesmal, wenn Win eine Datei neu abspeichert, wird die alte nur "freigegeben". Ältere Versionen können sich dann trotzdem auf der Platte befinden (auch Temp-Dateien). Es reicht oftmals nicht, nur das Original geschreddert zu haben.
Hi null,
eines der drei Programme war Easy Recovery Professional. Dieses brachte dieselben Ergebnisse wie der kostenlose PC-Inspector.
Der PC-Inspector zeigte in 4 von 5 Fällen bei den zu rettenden Dateien an: "Contiguous". Und nur 1 Mal "Fragmentet". Es hätte also überwiegend funktionieren müssen. Selbst das Textfile (Doc-Datei), welches nur 21KB groß war, - und mit ziemlicher Sicherheit nicht fragmentiert war -, war inhaltlich zerstört. Ich meine nach wie vor, - daß da noch was anderes passieren muß beim Löschen mit Shift+Löschen.
Vielleicht kann das doch noch jemand schlüssig klären.
cu
Dr. Hook
...danke, also bin ich mit meiner Handlung, Platten, die ich weggebe, immer llf zu machen erstmal auf der (vermutlich) sicheren Seite
Was PC-Inspector als "gut" oder "schlecht" bezeichnet, ist wenig aussagekräfig. Schaue dir mal die Anzahl der Cluster an, die zur jeweiligen Datei gehören. Meistens sind das nur eine Hand voll, von z. B. über 2 GB PVA-File. Widerhergestellt wird auch die volle Größe - allerdings ist fast nur Müll drin und so klappt nichts.
Nur wenn da neben "gut" auch die exakte Anzahl der Cluster stehen würde, könnte real auch etwas Brauchbares rauskommen.
Bis jetzt hat es bei mir (auch testweise) nur ein einziges Mal geklappt, ein PVA-File testweise so zu recovern, daß es wenigstens bearbeitbar war. Allerdings war die Platte da auch ziemlich leer.
Lies mal die Hilfe von PC Inspector durch, da steht es drin.
21 kB sind eine Menge Cluster, wenn man von z. B. 4 kB Clusergröße ausgeht. Ok, bei 32 kb/Cl. hätte es ok sein müssen.
Teste es doch mal aus, defragge die Partition, mache ein Video oder MP3 drauf, lösche es und versuche es gleich darauf zu recovern (natürlich muß die Partition frei von sonstigen Schreibzugriffen sein).
Bleibt noch anzumerken, daß XP scheinbar nur halbherzig defragmentiert, das geht auch viel zu schnell. Bei W98 wurde noch komplett deffragt (aber nur bis 32 GB Partitionsgröße).
Habe jetzt selbst nochmal getestet und das kam dabei raus:
Erst mal Partition leer gemacht, defraggt, ein paar Dateien drauf. Dann Test-Datei (600 MB) unter W98
erstellt und gelöscht. Mit PC-I. FR wiederhergestellt - kein Problem. Das gleiche ein paar mal mit
unterschiedlichen Dateien wiederholt.
Auffallend ist, daß unter W98 jeweils nur die letzte Test-Datei als gelöscht und in gutem Zustand
angezeigt wurde - egal wie viele Dateien davor schon erstellt und wide gelöscht wurden.
Anders bei XP: wurde hier die Test-Datei (Nr. 2) gelöscht, tauchte die eben gelöschte Datei mit dem
Zustand "schlecht" auf. Diese ließ sich zwar wiederherstellen, allerdings kam dabei nur Müll raus.
Aber: die ältere, zuvor gelöschte Datei (Nr. 1), stand mit Zustand "gut" da. Diese ließ sich
wiederherstellen und war so groß, wie Datei Nr. 1, hatte aber den Inhalt von Datei Nr. 2 und funktionierte
(der überflüssige Rest wurde von PVACut ignoriert). Definitiv hatte die wiederhergestellte Datei
den falschen Namen und die falsche Größe - eben von einer anderen Datei.
Hier gilt mal wieder: Beim Raten immer das Andere nehmen. *grübel*
Das ließ sich auch widerholen: nochmal eine neue Datei (Nr. 3) drüber und gelöscht => diese ließ sich,
ebenfalls mit "schlecht" angezeigt nur als Müll wiederherstellen. Nochmals Datei Nr. 2 wiederhergestellt
(die war größer als alle anderen), brachte als Ergebnis die funktionsfähige Datei Nr. 3, mit Anhängen
von Datei Nr. 1 und Nr. 2..
XP überschreibt somit die letzte gelöschte Datei, deren Namen wird allerdings nicht unbedingt korrekt
geändert.
Somit wird eventuell stärkere Fragmentierung vermieden, bei der Datenrettung gibt es
dann aber totales Chaos.
Der Test nochmals unter W98 zeigt, daß die falschen Änderungen ind der FAT real waren (Einfluß des
Datenträgercaches von XP ausgeschlossen).
Eine Shredder-Option per Shift+Del ist damit aber ausgeschlosssen, das ginge ja auch
nicht, denn das Überschreiben einer Datei im GB-Bereich würde viele Sekunden bis mehrere Minuten
dauern.
Auffallend ist außerdem, daß unter XP nicht alle Optionen bei PC-I. FR auswählbar sind - anders als
bei W98. Außerdem geht unter W98 alles viel schneller.
XP schreibt anscheinend ganz anders als W9x in das Dateisystem. Bei W9x wird praktisch von vorne
an geschrieben, wo gerade Platz ist.
Bei unter XP erstellten/gelöschen Dateien ist die Wiederherstellung dann wohl oft nur über die
aufwändige Methode "verlorenen Dateien" recovern möglich.
Fazit: Realtität ist nur eine Illusion, nichts ist wie es scheint und alles ist sowieso relativ!
Gute Nacht!
Hi,
vielen Dank für Deine umfangreichen Tests. Ich stehe aber nach wie vor vor einem Rätsel.
Um noch etwas präziser zu meinen Test zu werden:
Das Malheur fand auf einer externen 250GB IDE-Platte statt, die über Firewire an den Hauptrechner angekoppelt ist. Diese Platte verfügt über eine einzige FAT32-Partition (Werksformatierung). Dies habe ich vorerst mal so belassen, aber natürlich verschiedene Unterverzeichnisse angelegt.
Um ausschließen zu können, daß es irgendwas mit Firewire, Datenumsetzung o.ä. zu tun hat, wurden die anschließeden Tests intern gemacht. Hier natürlich auf unterschiedlichen Platten. Aber, alle Platten sind SCSI (was keine Rolle spielen sollte) und alle sind in FAT32 formatiert. Das BS ist, - wie schon erwähnt -, Win2000 mit SP2.
Ich glaube ebenfalls nicht, daß das Shreddern während des Löschens mit Shift+Löschen stattfindet. Ich denke eher daran, daß nur eine geringfügige Veränderung stattfindet. Daß aber dann diese Veränderung ausreicht, daß die Datenrettungsprogramme nur noch Müll produzieren. Denn die haben ja Zeit genug dafür. Schließlich dauert der Restaurierungsvorgang lange genug.
Danke nochmals für Deine Untersuchungen.
cu
Dr. Hook
W2k unterstützt ja auch NTFS(4), möglicherweise verhält es sich deshalb genau so wie XP. Ich denke, XP (und sicher auch W2k) bearbeiten in der gleichen Art und Weise FAT-Partitionen, wie sie es auch bei NTFS tun würden. Das mag bei NTFS durchaus dessen Vorteile bringen, bei FAT aber mehr Chaos bei gelöschten Dateien. Bei W9x gilt noch die "klassische Methode".
Testweise hatte ich auch mal eine 10 kB Datei (32 kB Cluster) wiederhergestellt - da war auch nur Müll drin (Sonderzeichen - Teil vom Film o. ä.). Nach dem Defraggen hat die 10 kB Datei auch prima geklappt.
Es besteht wirklich das Problem, daß du die mit XP (W2k?) auf FAT gelöschten Dateien nicht unter ihrem originalen Namem wiederherstellen kannst. Wenn viele Dateien drauf sind und hier und das etwas gelöscht wurde, ist das Chaos perfekt. Das einzig Positive scheint, daß die gelöschte Datei im selben Ordner bleibt. Da mußt du eben alle dort wiederherstellen.
Einflüsse von Controller und untersch. Platten (IDE, USB, SCSI) usw. schließe ich mal aus.
Wenn wirklich beim Löschen eine Veränderung auftreten würde, dann hätte ich selbst nach dem defraggen keine einzige Datei wiederherstellen können. Das ging aber praktisch problemlos (abgesehen vom falschen Name usw.), selbst bei 1,4 GB.
Möglicherweise dient diese "Funktion" auch dazu, daß dieselbe Datei bei Veränderung im Prinzip an der gleichen Stelle bleibt und nicht wie bei W9x viele Dateileichen im System entstehen (Datenschutzrisiko).
Du solltest es echt mal auf einer kleinen Testpartition ausprobieren - mein Ergebnis sollte problemlos reproduzierbar sein.
Ich habe vielleicht zufällig was gefunden, was ich aber mangels Kenntnis nicht richtig verstehe.
Ich habe auch ne lange Datenrettungsnacht hinter mir und nun geht nix mehr. Ich bin auf eine Anleitung zu WinHex gestoßen und ein Programm, dass auf WinHex aufsetzt. Das Programm heißt Davory.
www.x-ways.net/davory/index-d.html
(Testversion geht nur bis 200KB.)
Auf der WinHex-Internetseite gibt es ein deutsches Handbuch zum Download und hinten auf S.58 (Acrobat S.61) in der Mitte steht:
"So initialisieren Windows 2000 und XP leider die oberen 16 Bit der Startclusternummer beim direkten Löschen (nicht über den Papierkorb) von Dateien und Verzeichnissen."
www.winhex.de/winhex/index-d.html
Es geht anscheinend ums manuelle Reparieren der Dateiintegrität, WinHex repariert nix von sich aus.
"So initialisieren Windows 2000 und XP leider die oberen 16 Bit"
Das sagt mir so auch nichts.
Auf Seite 34 (bei mir nix war nix mit 58 oder 61) steht: WinHex setzt voraus, daß die Dateien nicht überschrieben wurden und nicht fragmentiert sind.
Auf Seite 36 steht:
Möglicherweise stoßen sie auf das Problem, daß die wiederherzustellende Datei fragmentiert ist, also nicht in aufeinanderfolgenden, zusammenhängenden Clustern gespeichert ist. Auf FAT-Laufwerken kann der nächste Cluster einer Datei in der Dateizuordnungstabelle am Anfang des Datenträgers nachgeschlagen werden., aber diese Information geht beim Löschen einer Datei verloren.
Das deckt sich dann auch mit dem, was ich sonst so gelesen haben. Demnach ist es zumindest mit den bekannten Tools für "Normaluser" nicht möglich, fragmentierte Dateien sinnvoll wiederherzustellen. Bei reinen Text-Dokumenten könnte man dieses Problem über den Inhalt umgehen, bei Videos, Bildern, Archiven usw. nützt das wenig.
So wie ich das interpretiere, heißt das auch, daß man mit WinHex zwar den Anfang der gelöschten Datei rel. leicht finden könnte (wenn die FAT nix hergibt), das Problem der Fragmentierung allerdings diesen Vorteil trotzdem zunichte macht.
Somit könnten ihr nun per WinHex zwar die Anfänge eure Dateien wiederfinden, der Rest verrottet aber trotzdem im Nirwana. Sinn macht das allerdings, wenn der Anfang der wiederhergestellten Datei im Edior in keinster Weise etwas mit dem Original zu tun hat. In diese Falle wäre vielleicht noch nicht alles verloren und ihr müßten noch mal "richtig" suchen lassen.
Bei dem Vergleichstest mit NTFS war die Wiederherstellungsquote (PC Inspector) anfangs etwas besser als bei FAT32, die Wiederherstellung über den Namen hat auch problemlos funktioniert. Wird eine neue Datei erstellt, wird die alte überschrieben (ähnlich fix wie bei FAT), und die Wiederherstellung der älteren Datei bringt somit auch den Inhalt der neuen zu Tage => Müll. Das allerdings, obwohl PC Inspector auch die ältere immer noch als GOOD bezeichnet. Diese Info hat damit auch bei NTFS keine große Bedeutung, schreckt IMHO sogar vor dem Versuch der Rettung ab, wenn da "Schlecht" steht.
Eine professionelle Lösung muß es dann doch geben, und da habe ich auch mal soetwas gelesen. Die Kunst besteht darin, die zerstückelten Dateien zusammenzukleben, was Kenntnisse über den Aufbau verschiedner Dateien und das automatische Erkennen, was dann zusammenpassen könnte erfordert. Da müßte dann aber wohl der ganze Inhalt der Platte gleichzeitig bearbeitet werden.
AFAIK sind diese speziellen Tools der Datenrettungsunternehmen mit großem Aufwand selbst
entwickelt und deren Erfolgsquote ist erstaunlich hoch.
Für den Normaluser sind das allerdings keine guten Nachrichten, das hieße vor dem versehentlichen löschen zu defraggen - oder das wenigstens von Zeit zu Zeit zu tun. Oder man verwendet vorwiegend NTFS.
Fazit: Backup ist viel einfacher als Datenrettung!
Da sieht man mal wie hinüber ich war, nach 36 Stunden.
Hier ist zu korrigieren:
" Ich bin auf eine Anleitung zu WinHex gestoßen und ein Programm, dass auf WinHex aufsetzt. " ?????????????
Es hätte heißen sollen:
Ich bin auf Davory gestoßen ein Programm, das auf WinHex aufsetzt, sowie auf eine WinHex-Anleitung.
Das mit der URL der PDF-Anleitung haut auch nicht hin. Ich hatte ein PDF-Dokument, dass den aktuell verfügbaren ähnlich sieht, schon früher runtergeladen und beim Klicken nach der URL zum Dokument die Veränderung nicht bemerkt. In dem Dokument
http://www.x-ways.net/winhex/winhex-d.pdf
steht der betreffende Satz auf S. 34 (Acrobat S.37)
Ich zitiere mal ausführlicher:
"Die Dateizuordunungstabelle wird nur optional beachtet, da das Betriebssystem sie in den betroffenen Bereichen initialisiert, wenn eine Datei gelöscht wird. Sie müssen die wiederhergestellten Dateien sorgfältig auf Konsistenz überprüfen. So intitialisen Windows 2000 und XP leider die oberen 16 Bit der Startclusternummer beim direkten Löschen (nicht über den Papierkorb) von Dateien und Verzeichnissen."
So richtig komme ich da auch nicht weiter und das Googeln hat auch nur sehr allgemeine Ausführungen erbracht:
Was ist initialisieren?
"Initialisierung
Eine Initialisierung ist eine erste Formatierung. Dieses ist z.B. bei Datenträgern notwendig. Aber auch Programme oder Hardware werden z.B. durch die .ini Dateien oder Einträgen in der Systemregistrierung initialisiert. Hierbei werden dann Grundeinstellungen vorgenommen bzw. Start- oder Anfangswerte gesetzt."
www.tommys-computer-hilfe.de/fachbegr.htm
Was ist formatieren?
"Das Formatieren besteht aus den folgenden Schritten:
Das Betriebssystem löscht alle Systemverwaltungsdaten auf der Festplatte, prüft die Festplatte, um sicherzustellen, dass alle Sektoren zuverlässig arbeiten, markiert schadhafte Sektoren (zerkratze Stellen) und erstellt interne Adresstabellen, die später Daten auffindbar machen. ..."
http://www.lacie.com/download/manuals/p2_fw_hd_de.pdf
(Acrobat S.11)
Zu WinHex gibt es auch Foren:
www.x-ways.net/winhex/forum/messages/board-topics.html
Was "Formatieren" ist, sollte ja klar sein, beim Quickformat wird eben nur die FAT reingeschrieben, ohne die Partition zu löschen und auf def. Sektoren zu überprüfen (dauert dafür aber nur Sekunden). Beim Quickformat sind nur die Einträge in der FAT weg, d. h. haufenweise verwaiste Dateien bleiben auf der Partition.
"Initnitalisieren" bedeutet hier anscheinend nichts anderes, als daß die ehemals von der jetzt gelöschten Datei belegten Cluster(-Positionsangaben) in der FAT gelöscht werden. (Damit wären die Daten wieder im Nirwana)
"So intitialisen Windows 2000 und XP leider die oberen 16 Bit der Startclusternummer beim direkten Löschen"
Das interpretiere ich nun so, daß die Startclusternummer der gerade gelöschten Datei gelöscht werden und damit von dem Eintrag (Dateiname) in der FAT keine Verbindung zu der Lage der gelöschten Datei auf der Partition mehr vorhanden ist. Das würde bedeuten, daß eine Wiederherstellung anhand der FAT zu keinem (sinnvollen) Ergebnis führen kann.
Da bliebe (wie von mir schon angedeutet) nur der Weg über die Suche nach verlorenen Dateien bzw. die Suche nach Namen oder Anfängen der Datei auf der Partition mit WinHex. Beides ist aber mit extremem Zeit- und Arbeitsaufwand verbunden, da schlimmstenfalls die komplette
Partition gescannt werden muß.
Wenn nur die oberen 16 Bit gelöscht werden, sollten Dateien , die am Anfang der Partition (2 GB bei 32 kb/Cluster) geschrieben wurden, problemlos auch über die FAT wiederhergestellt werden können. Auf einer FAT16-Partition müßten demzufolge praktisch alle gelöschten Dateien (wenn weder überschrieben noch fragmentiert) ohne größere Probleme per FAT wiederhergestellt werden können - auch wenn mit W2k/XP gelöscht.
Ich hatte auf einer ziemlich bis ganz leeren Partitition getestet, das würde das rel. gute Wiederherstellungsergebnis erklären.
Damit wäre das Initialisieren der oberen 16 Bit des Startclusters von W2k/XP tatsächlich als ein Art Daten-Shredder anzusehen. Allerdings bleibt damit trotzdem das Sicherheitsrisiko der Wiederherstellung über den Inhalt usw (eben keine wirklich wirksames
schreddern durch überschreiben). Es wie somit nur das "schnelle" revovern verhindert.
Theoretisch müßte sich der Bereich, in dem Daten auf FAT32-Partitionen schnell und komfortabel per FAT herstellbar wären vergrößern lassen, indem die Clustergröße maximiert wird (die Platzverschwendung bei kleinen Dateien wird dann aber gravierend). Bei 32 kb ist AFAIK aber sowieso Schluß (außer 64 kB bei NT oder so - nicht kompatibel zu anderen OSen). Bei 4 kB Clustergröße wäre schon bei 256 MB Sense.
Praktisch würde das bedeuten, daß eine versehentlich (mit W2k/XP) gelöschte Datei einfach "weg" ist und nur mit extremem Aufwand wiederhergestellt werden könnte.
So gesehen halte ich die exorbitanten Preise für eine professionelle Datenrettung gar nicht mal für so überzogen. Es gibt anscheinend (doch) keine einfache Lösung, gelöschte Dateien ohne großen Aufwand innerhalb weniger Minuten zu retten.
... da frage ich mich allerdings, was die immer für Tools benutzen, wenn z. B. im FS die komplette gelöschte Platte mit fast allen Dateien auf einmal wieder da ist. Haben die jeweils ein professionelles Datenrettungsunternehmen in Anspruch genommen?
... oder man sollte vielleicht nur noch mit W9x löschen.
Damit wäre aber der Nutzen selbst kommerzieller Tools (alles, was ich bis jetzt so gesehen habe) relativ bescheiden - gibt es deshalb PC-Inspector File Recovery kostenlos, da man
realistisch gesehen damit sowieso keine nennenswerte Chance hat?
Falls bei NTFS auch die oberen 16 Bit gelöscht werden, sieht es dort nicht viel besser aus (einziger Vorteil wäre geringere Fragmentierung).
Ich lag mit meiner Interpretation vollkommen richtig, dieser Test als dient als Beweis:
Partition geleert, eine Datei vor der 2 GB-Grenze drauf, Fülldatei bis über die 2 GB-Grenze dazu, danach abwechselnd eine Datei für XP und W98 (und das Ganze wiederholt). Alle entscheidenden Dateien waren nicht fragmentiert (per Defrag XP überprüft).
Die XP-Dateien mit XP gelöscht, die W98 Dateien mit W98 gelöscht (die unter der 2 GB-Grenze war auch für XP).
Alle Dateien recovert und das Ergebnis war wie erwartet:
Die XP-Dateien über der 2 GB-Grenze waren fehlerhaft, zusammengestückelt und hatten falschen Inhalt (da war überhaupt nur etwas scheinbar brauchbares zu recovern, da alle Files PVAs waren und PVACut kleinere Fehler toleriert). => absoluter Müll, da eindeutig an der falschen Stelle recovert wurde.
Die XP-Datei unter 2 GB wurde dagegen fehlerFREI wiederhergestellt, denn hier ist es egal, ob die oberen 16-Bit gelöscht wurden, da diese dort sowieso Null sind.
Die zwei von W98 gelöschten Dateien waren ebenfalls fehlerlos, obwohl diese definitiv auch über der 2 GB-Grenze lagen - keine Probleme bei W98, solange nichts fragmentiert ist.
PC-Inspector scheint wohl nur im PIO-Modus zu recovern, viel mehr als 10 MB/S waren nie drin (keinesfalls mehr als 15). Damit würde das Scannen einer 50 GB Partitition schon mal locker 1,5 bis 2 Stunden dauern - nichts, was auf die Schnelle erledigt ist und mit fraglichem Erfolg.
Die Chancen auf Wiederherstellung durch W2k/XP gelöschter Dateien sind damit denkbar schlecht. Einzig bei NTFS kann die Hoffnung etwas größer sein, da dort Dateien verstärkt zusammenhängend geschrieben werden.
Da sind leider keine guten Neuigkeiten für euch, wenigstens weiß ich jetzt aber auch, wo der Hase läuft.
Wäre toll, wenn es einen Patch gäbe, der das Löschen der oberen 16 Bit verhindert.
Gute Nacht!
Hallo Null!
Probier doch mal die Testversion von Davory (basiert auf WinHex, ist auf Dateien bis 200 KB kastriert).
Davory
Dass üblicher Weise nix vollständig gerettet werden kann, liegt eben an der Konzeption von NTFS mit MFT am Partitionsbeginn.
www.tfh-berlin.de/~s17048/bs/ntfs/ntfs_mft.htm
Die einzige Lösung wäre, dass in Echtzeit ne Kopie des MFT auf ne andere Partition geschrieben wird. Und dass für ne gewissen Zeit (oder ein gewisses Backupvolumen) über die Veränderungen Buch geführt wird.
Zu den ähnlichen Problemen von WinXP unter FAT32 kann ich allerdings nix sagen.
Wenn das Master File Table weg ist, ist das praktisch ne Formatierung und es kommen nur die Datenrettungsverfahren für "verlorene Dateien" in Frage, weniger die Verfahren für gelöschte Dateien.
Hallo T. N.!
Davory werde ich vielleicht mal ausprobieren, sooo viel helfen dürfte das aber auch nicht, denn dort steht:
"Davory kann beschädigte Dateien nicht reparieren." Schätze mal, das trifft dann auch auf Fragmentierung zu. Man findet höchstens schneller, was man sucht.
Hilfreich wäre ein Programm, daß (zumindest bei einigen Dateitypen) die Fragmente selber zusammenklebt.
"Die einzige Lösung wäre, dass in Echtzeit ne Kopie des MFT auf ne andere Partition geschrieben wird."
Ob das hier etwas bringt, bezeifle ich. Nur, wenn du sofort das Schreiben einstellst, würde das etwas nützen. Wird geschrieben, wird irgendwo überschrieben (durch das Löschen wurde Speicherplatz freigegeben).
Es gibt eine einfache Lösung: einfach per Papierkorb Löschen (der muß ggf. aber sehr groß sein). Dann liegen die "gelöschten" Dateien nur in einem Ordner und sind somit vollständig in FAT/MFT eingetragen und werden erst gelöscht, wenn der Papierkorb überquillt.
"Shift+C" ist dann wohl doch kein "Profishortcut".