Datenträger - Festplatten, SSDs, Speichersticks und -Karten, CD/ 19.569 Themen, 109.976 Beiträge

Dateien nach Löschung unauffindbar.

Dr. Hook / 11 Antworten / Baumansicht Nickles

Hi,

ich möchte hier mal ein etwas seltsames Verhalten von Windows zur Diskussion stellen. Am besten fange ich von vorne an.

Es handelt sich zunächst mal um ein Win2000 mit SP4 und LBA Eintragung in der Registry für Festplatten größer als 128 GB. Festplatte über IDE-USB-Adapter angeschlossen und in NTFS formatiert. Auf der Festplatte ist nur eine erweiterte Partition mit 1 logischen Laufwerk.

Ich habe also neulich versehentlich mehrere Filmdateien in der Größenordnung von ca. 480 MB pro Stück gelöscht. Das war nicht weiter schlimm, da die Filme bereits archiviert waren. Ich wollte sie aber aus bestimmten Gründen noch eine zeitlang auf der Festplatte belassen.

Es muß noch erwähnt werden, daß der Papierkorb zum einen knapp bemessen, und zum anderen bereits vor dem Lapsus gut gefüllt war. So war nur Platz für drei von zehn Dateien.

Nun gut, - ich dachte dann, - bevor ich sie wiedereinspiele, da könnte ich doch gleich mal wieder ein paar jener Datenrettungsprogramme testen.

Meine Wahl fiel dann auf PC-Inspector und auf Easy Recovery Prof. von Ontrack.

Um es kurz zu machen: Die gelöschten Daten waren nicht mehr auffindbar! Es war absolut nichts mehr zu finden !!
Man hätte meinen können, daß Windows gleich noch ein "Wipefile" gemacht hätte.

Vor wenigen Jahren hatte ich hier im Forum, - damals aber unter "Allgemeines" -, eine ähnliche Diskussion. Damals ging es darum, daß Dateien wenn sie mit "Shift + Entf" gelöscht werden, nicht in den Papierkorb wandern, sondern "richtig" gelöscht werden. Wie sich dann herausstellte, war diese Löschung ebenso endgültig wie im aktuellen Fall bei einem Papierkorb-Überlauf.

Seinerzeit hatte der Nickles-User "null" ein paar sehr konstruktive Denkansätze geliefert. Leider ist er nicht mehr aktiv. Aber vielleicht weiß ja auch jemand anderer was darüber.

Die Kernfrage ist eigentlich: Was stellt Windows da Besonderes mit den Dateien an, daß absolut nichts davon übrig bleibt? Anscheinend wird es nicht dabei belassen, die Eintragung in der MFT zu tilgen.

Und: Wie stehen denn nun diese Datenrettungsprogramme da, die anscheinend keinen Fuß auf den Boden bringen? Immerhin kosten einige davon viel Geld!

cu

Dr. Hook

bei Antwort benachrichtigen
Alpha13 Dr. Hook „Dateien nach Löschung unauffindbar.“
Optionen

Da nimmt man definitiv GetDataBack.

bei Antwort benachrichtigen
ChrE Alpha13 „Da nimmt man definitiv GetDataBack.“
Optionen

Gruss ChrE

bei Antwort benachrichtigen
Dr. Hook ChrE „100 % ACK“
Optionen

Hi,

ich wollte eigentlich keine Tips zu mutmaßlich besser geeigneten Programmen, - sondern ich wollte den Vesuch einer Analyse initiieren. Thema verfehlt meine Herren. Vier Minus!

bei Antwort benachrichtigen
Alpha13 Dr. Hook „Hi, ich wollte eigentlich keine Tips zu mutmaßlich besser geeigneten...“
Optionen

Die Vier Minus ist deine!

Wenn GDB nix findet, ist da auch nix mehr!

PC-Inspector und Easy Recovery Prof. sind halt Müll verglichen mit GDB.

Beim "normalen" Löschen ist das aber so wahrscheinlich wie ein 6er mit Zusatzzahl im Lotto!

Dazu müßte Windows den Datenbereich mehrmals überschreiben, was es definitiv nicht macht.

Große Dateien werden halt sofort gelöscht und nicht im Papierkorb zwischen gelagert, mehr ist da nicht!

Sollte man eigentlich wissen!

bei Antwort benachrichtigen
ChrE Dr. Hook „Hi, ich wollte eigentlich keine Tips zu mutmaßlich besser geeigneten...“
Optionen

Hallo!

Naja, die Microsoft-Mitarbeiter an der Hotline würden wohl auch mehr an praktischen Tipps arbeiten als an
theoretischen Abhandlungen zum Dateisystem NTFS.
Ich kenne leider die grundlegenden Interna des Dateisystems nicht.

Wie wäre es mit folgender Theorie:
Evtl. verweigert Windows das undelete, weil die Datei zu gross ist. Es kann durch das Betriebsystem
nicht gewährleistet/überwacht werden, daß einzelnen Cluster nicht doch überschrieben wurden. NTFS schreibt doch
dauernd etwas auf die Platte.

Wichtig wäre noch, genau zu wissen, wie das Verhältnis von genutzten zu freien Speicherplatz auf der
Partition war.

Man müsste nun mehrere Dateien mit aufsteigender Dateigröße generieren und schauen, ab wann ein
undelete nicht mehr möglich ist.
Probiere es doch mal aus und informiere uns über die Ergebnisse ;-)
Es wäre der Theorienbildung ungemein förderlich.


Gruss

ChrE

bei Antwort benachrichtigen
nemesis² Dr. Hook „Dateien nach Löschung unauffindbar.“
Optionen

Das mit der Initialisierung der oberen 16 Bit der Startclusternummer gilt eigentlich nur bei FAT32-Partitionen, auf denen W2k/XP löscht. Hier ist die Wiederherstellung sowieso ziemlich unwahrscheinlich - wegen Fragmentierug - oder zumindest sehr zeit-/arbeitsaufwändig. Ohne Profisoftware bzw. Datenrettungsprofis geht da kaum etwas und wenn, ist es oft auf wenige Dateitypen beschränkt.

Du hast aber NTFS und da reichen normalerweise schon "Freeundelete" oder "PC-Inspektor File Recovery (4)", um auch große Dateien/Ordner vollständig wiederherzustellen.
(Habe das vor ein paar Tagen erst erfolgreich durchexerziert)

So viel zur Theorie. Die Praxis zeigte mir einmal eine Ausnahme:

Ich hatte eigentlich nur eine Datei zum Löschen markiert und gelöscht (Shift + Del). Irgendwie ist dabei aber etwas schief gelaufen, entweder Bug oder ich hatte indirekt noch etwas anderes mit markiert (eigentlich nicht möglich).

Damit war dann nicht nur die Datei weg, sondern der ganze Ordner, in dem sie stand. Um so größer war das Erstauen, daß beim Wiederherstellen weder Ordner, noch dessen Dateien angezeigt wurden. Eigentlich hätten diese als "gelöscht" markiert sein müssen - die waren aber einfach weg.

Physikalisch waren die natürlich noch da, wie ein Komplettscan der Partition zeigte. Aus der FAT/MFT (weiß leider nicht mehr, welches Dateisystem) waren die aber komplett verschwunden. Normalerweise passiert das aber nicht.

Selbst die kostenlosen Datenrettungsprogramme sind durchaus brauchbar - kannst du selbst auf einer anderen NTFS-Partition mal testen.

Deine Chance besteht jetzt im Finden verlorener Dateien. Bei PC Inspector mußt du dabei deine Platte als phys. Laufwerk wählen => nach log. Laufwerk suchen lassen (ggf. Start- bzw. Endpunkt eingrenzen!), auswählen und dort suchen lassen (=Komplettscan der Partition).

Unter Logische Laufwerke steht nun unten "Drive ....", dort wählst du deine Partition aus und schon siehst du die gefundenen Cluster. Auf korrekte Dateinamen und Ordner mußt du wohl aber verzichten und die Dateien können stark fehlerhaft sein.

Es gibt ja auch noch andere Programme, mit denen du z. B. nach bestimmten Endungen suchen kannst.

Was deinen Papierkorb betrifft: falls da nur Platz für 3 von 10 (etwa gleich groß) war, hätten sich die zuletzt "gelöschten" drei daraus wiederherstellen lassen - zumindest in der Theorie.

Murphys Gesetze sollen auch nicht außer Acht bleiben: wenn die Daten weg sein sollen wg. Datenschutz, kommen die schnell und vollständig wieder, wenn du sie aber noch bräuchtest, sind sie einfach weg.

;-)

bei Antwort benachrichtigen
ChrE nemesis² „Das mit der Initialisierung der oberen 16 Bit der Startclusternummer gilt...“
Optionen

Hallo!

Ich glaube nicht, dass Dr. Hook den letzten Satz als Antwort aktzeptiert :-)

Gruss

ChrE

bei Antwort benachrichtigen
Dr. Hook nemesis² „Das mit der Initialisierung der oberen 16 Bit der Startclusternummer gilt...“
Optionen

Hi,

ich schrieb bereits Eingangs, daß der Papierkorb Platz für drei Dateien hatte, und daß siese sich natürlich auch anstandslos wiederherstellen ließen.

Ich schrieb auch, daß ich aus der entstandenen Situation ein Experiment machte. Die versehentlich gelöschten Dateien waren bereits archiviert, - also praktisch gesichert. Ich dachte nur, daß es vielleicht schneller gehen müßte sie per Undelete zurückzuholen, als erst die DVD zu suchen und sie wiedereinzuspielen.

Soviel zu den anscheinend entstandenen Mißverständnissen.

@Alpha13: Große Dateien werden halt sofort gelöscht und nicht im Papierkorb zwischen gelagert, mehr ist da nicht! Sollte man eigentlich wissen!

Hältst Du mich für einen Anfänger? Oder hast Du vom Eröffnungsposting nur jedes dritte Wort gelesen.

@ChrE: Die Platte hat Netto eine Kapazität von 232 GB. Genutzt waren zum Zeitpunkt des Vorfalles etwa 210 GB.
Also ca. 22 GB frei. Die gelöschten Dateien waren 10 Stück mit je etwa 480 MB. Davon landeten 3 im Papierkorb und 7 im Nirwana. Der Papierkorb ist auf 5% für alle Laufwerke eingestellt und war zu jenem Zeitpunkt bereits angefüllt.

Nochmals @Nemesis²: Bei dem Rettungsversuch fiel mir auf, daß da noch Dateibezeichnungen von uralten Dateien auftauchten. Ich habe vor etwa 6 Monaten die Platte aufgeräumt und zahlreiche Dateien auf andere Platten kopiert. Danach hatte ich die alten Dateien seinerzeit mit Löschen und Papierkorb leeren beseitigt. Und von denen fand ich noch alte Dateibezeichnungen. Nichts jedoch von den gerade erst gelöschten. Auch fanden nach dem "Malheur" keinerlei Schreibvorgänge meinerseits mehr statt. Und da es sich um keine Systemplatte, sondern um eine reine Datenplatte handelt, sollte man davon ausgehen können, daß auch Windows keine Veranlassung für interaktive Schreibvorgänge hat.

cu

Dr. Hook

bei Antwort benachrichtigen
nemesis² Dr. Hook „Hi, ich schrieb bereits Eingangs, daß der Papierkorb Platz für drei Dateien...“
Optionen

Uralte Dateibezeichnungen von gelöschten Dateien habe ich auch viele, die können bis zum nächsten Quickformat überleben.

Was mir dabei noch einfällt: die Liste der angezeigten gelöschten und wiederherstellbaren Dateien war bei mir schon mal je nach Datenrettungsprogramm (=> schnelles Undelete) völlig unterschiedlich.

Wo die Dateien gespeichert werden ist auch oft entscheidend, afair ist das Wurzelverzeichnis sehr stark von Überschreibung gefährdet und man sollte deshalb die Dateien in einem Verzeichnis speichern. Andernfalls werden deren Einträge zumindest in der FAT sehr schnell überschrieben. Eventuell ist das bei NTFS auch so.

Bei dir wurde zumindest etwas geschrieben: Sämtliche 10 Dateien wurden in einen anderen Ordner verschoben und zumindest drei davon hatten "Überschreibpotential" gegenüber den ersten sieben - alles natürlich auf die MFT bezogen.

Mache den Test einfach nochmal, d.h. die Dateien wieder drauf, löschen und schauen, wie sie sich wiederherstellen lassen, danach die Prozedur mit Papierkorb wiederholen. Interessant wäre, ob sich das "Verschwinden" reproduzieren läßt.

Der aufwändige Komplettscan wäre trotzdem mal den Test wert - oder du erstellst extra eine kleine Testpartition.


cu

Nemesis²

bei Antwort benachrichtigen
Dr. Hook nemesis² „Uralte Dateibezeichnungen von gelöschten Dateien habe ich auch viele, die...“
Optionen

Hi,

Danke. Deine Anregungen sind wenigstens konstruktiv.
Die Idee ist gut. Ja, - ich denke, das mache ich demnächst mal. Ich muß nur erst die DVD mit den archivierten Filmepisoden raussuchen. Kann einige (wenige) Tage dauern. Ich muß auch noch andere Dinge erledigen. Ich muß natürlich vorher dafür sorgen, daß der Papierkorb wieder hinreichend mit anderem Zeugs angefüllt ist. Sonst hätte womöglich alles Platz darin. Und das wäre einer aussagekräftigen Reproduktion der Abläufe nicht dienlich.

Ich werde dann auch das gepriesene GetDataBack testen. Aber auch das muß ich zunächst raussuchen.

Ich melde mich dann nochmals.

cu

Dr. Hook

bei Antwort benachrichtigen
siggi12 Dr. Hook „Dateien nach Löschung unauffindbar.“
Optionen

Die Daten sind definitiv noch da falls sie nicht (Murphys Law wurde schon erwähnt) irgendwie überschrieben wurden du hast nur nicht richtig gesucht.

Solch grosse Dateien können stark fragmentiert sein bzw. sind allgemein schwer wieder herstellbar.

Das Windows da irgendwelchen Vodoo oder Hokuspokus treibt ist definitiv Käse warum sollte sich jemand die Mühe machen dann für sowas noch spezielle Programme zu entwickeln.

MfG

siggi

1. Ich bin nicht der liebe Gott sondern versuche nur zu helfen ! 2.Manchmal versteht man etwas geschriebenes falsch oder die Antworten sind etwas flapsig das ist aber keine böswilligkeit !
bei Antwort benachrichtigen