Besonderheiten der Datenrettung je nach Betriebssystem

Ein Dateisystem kann als Methode zum Organisieren und Abrufen von Daten auf einem Speichermedium definiert werden. Es ist das wichtigste Instrument, auf das sich das Betriebssystem stützt, um Dateien im Auge zu behalten. Verschiedene Betriebssysteme verwenden unterschiedliche Dateisysteme, die nicht nur die Art und Weise, wie Informationen auf der Festplatte verwaltet werden, bestimmen, sondern auch die Wahrscheinlichkeit der Wiederherstellung verlorener Daten beeinflussen, da jedes Dateisystem seine eigenen Schritte zum Löschen von Dateien oder Speicherformatierung ausführt.

Hinweis: Mehr Informationen zu Dateisystemen und ihren Typen finden Sie in den Grundlagen von Dateisystemen.

Die folgenden Informationen helfen Ihnen bei der Beurteilung der Datenrettungsperspektiven nach versehentlichem Löschen von Dateien und der Speicher-Formatierung basierend auf dem Dateisystem, das auf Ihrem Laufwerk angewendet wird.

Hinweis: Die häufigsten Fälle von Datenverlust, auf die in diesem Artikel Bezug genommen wird, werden in den Prinzipien der Datenwiederherstellung beschrieben.

Dateisysteme von Windows

Zu den hauptsächlichsten Dateisystemen von Windows gehören FAT (FAT32), exFAT und NTFS. Darüber hinaus wird auf einigen Windows-basierten Servern das ReFS-Dateisystem der nächsten Generation verwendet. Es ist anzumerken, dass erfolgreiche Datenwiederherstellung auf Speichern, die auf diesen Dateisystemtypen basieren, durch Dateifragmentierung behindert werden kann und nur möglich ist, bis Dateien überschrieben werden.

Dateisystem: FAT/FAT32

• Dateilöschung: Der Verzeichnisdatensatz wird als "unbenutzt" markiert. Cluster werden als "frei" markiert und die von der Datei verwendete Clusterkette wird zerstört.
  • Wiederherstellung nicht fragmentierter Datei: Der Dateiname, die Größe und die Position auf der Festplatte verbleiben im Verzeichnisdatensatz, wodurch sich die Möglichkeit der Dateirettung auf fast 100% erhöht.
  • Wiederherstellung fragmentierter Dateien: Die Kette von Dateiclustern wird zerstört, sodass keine Informationen zu den Dateifragmenten übrig bleiben. Der Dateiname, die Dateigröße und die Startposition bleiben jedoch bekannt. Mit der Heuristik (der Trial-and-Error-Methode) ist die Vorhersage von Fragmentpositionen möglich, jedoch ohne Gewähr für die Richtigkeit.
• Formatierung: Die Dateizuordnungstabelle wird zerstört. Ein neuer Stammordner wird erstellt.
  • Wiederherstellung nicht fragmentierter Datei: Der Dateiname, die Größe und die Position auf der Festplatte verbleiben im Verzeichnisdatensatz, wodurch die Möglichkeit der Dateirettung auf fast 100% erhöht.
  • Wiederherstellung fragmentierter Datei: Die Kette von Dateiclustern wird zerstört, sodass keine Informationen zu Dateifragmenten übrig bleiben. Der Dateiname, die Dateigröße und die Startposition bleiben jedoch bekannt. Mit der Heuristik (der Trial-and-Error-Methode) ist die Vorhersage von Fragmentpositionen möglich, jedoch ohne Gewähr für die Richtigkeit.

Dateisystem: NTFS

• Dateilöschung: Der Datensatz der Masterdateitabelle (MFT) wird als "unbenutzt" markiert. Die Bitmap des verwendeten Speicherplatzes wird aktualisiert, um die verwendeten Cluster zu löschen. Der Dateieintrag wird aus dem Verzeichnisdatensatz gelöscht.
  • Dateiwiederherstellung: Der Dateiname, ihre Größe und Position auf der Festplatte verbleiben in dem Datensatz der Masterdateitabelle (MFT) und erhöhen die Chancen für die Dateirettung auf fast 100%.
• Formatierung: Der Datensatz der Masterdateitabelle (MFT) wird als "unbenutzt" markiert. Die Bitmap des verwendeten Speicherplatzes wird aktualisiert, um die verwendeten Cluster freizugeben. Der Dateieintrag wird aus dem Verzeichnisdatensatz gelöscht.
  • Wiederherstellung nicht fragmentierter Datei: Der Dateiname, die Größe und die Position auf der Festplatte verbleiben in dem Datensatz der Masterdateitabelle (MFT) und erhöhen die Chancen für die Rettung von Dateien auf fast 100%.
  • Wiederherstellung fragmentierter Datei: Die Informationen zu Dateiname, Größe und Fragmentkette verbleiben in dem Datensatz der Masterdateitabelle (MFT) und erhöhen die Chancen für die Rettung von Dateien auf fast 100%. Die Möglichkeit der Wiederherstellung ist bei sehr fragmentierten Dateien geringer.

Dateisystem: ReFS

• Dateilöschung: Die Struktur von Metadaten wird geändert, indem die Copy-On-Write-Operation den Bereich markiert, der für neue Einträge frei ist.
  • Dateiwiederherstellung: Das System speichert eine große Anzahl älterer Sicherungskopien, sodass die Datenrettung mit einem Wiederherstellungsergebnis von bis zu 100% möglich ist.

Hinweis: Verlassen Sie sich bitte auf die Anweisungen, wenn Sie Daten auf den Dateisystemen von Windows wiederherstelle müssen.

Dateisysteme von macOS

Apple macOS verwendete HFS+ als primäres Dateisystem für Mac-Computer, iPods usw., das durch in macOS High Sierra eingeführtes APFS ersetzt wurde.

Hervorzuheben ist, dass die Datenrettung von HFS+ und APFS nur bis zu dem Zeitpunkt möglich ist, an dem Dateien überschrieben werden.

Dateisystem: HFS+

• Dateilöschung: Das Dateisystem löscht Daten aus B-Tree-Metadatensätzen von der Datei und aktualisiert die Karte des freien Speicherplatzes.
  • Dateiwiederherstellung: Der Dateiname, die Größe und die Position auf der Festplatte werden gelöscht. Das Dateisystemjournal enthält jedoch möglicherweise noch diese Informationen, mit denen gute Dateien wiederhergestellt werden können. Die Verwendung von IntelliRAW™ erhöht die Wahrscheinlichkeit, verlorene Informationen wiederherzustellen, aber die Informationen über Dateinamen können verloren gehen.

Dateisystem: APFS

• Dateilöschung: Das Dateisystem ist für die Speicherung von Solid State Drive optimiert und wendet den Befehl TRIM an, um die Blöcke, in denen sich die vom Benutzer gelöschte Datei befindet, sofort zu löschen, wodurch das nachfolgende Schreiben beschleunigt wird.
  • Dateiwiederherstellung: Wie bereits erwähnt, ist die Wiederherstellung überschriebener Daten nicht möglich. Daher wirkt sich die Implementierung von TRIM sehr negativ auf die Möglichkeit aus, von APFS gelöschte Dateien wiederherzustellen. Im Allgemeinen sind die Chancen, alle Dateien zurückzubekommen, äußerst gering.

Hinweis: Verlassen Sie sich bitte auf die Anweisungen, wenn Sie Daten auf den Dateisystemen von macOS wiederherstellen müssen.

Dateisysteme von Linux

Moderne Distributionen von Linux verwenden Ext2, Ext3, Ext4, XFS, ReiserFS, JFS (JFS2) und Btrfs.

Dateisystem: XFS

• Dateilöschung: XFS löscht einen Teil der Informationen über den Dateiknoten und aktualisiert den Baum der freien Blöcke. Informationen zum Dateinamen werden vom Verzeichniseintrag getrennt.
  • Wiederherstellung nicht fragmentierter Datei: Mithilfe von Heuristiken können der Dateiname und die Größe sowie die auf den Block gerundete Position ermittelt werden. Die Wiederherstellungschancen liegen nahe bei 100% während die Chancen, den tatsächlichen Dateinamen abzurufen, fast 80% betragen.
  • Wiederherstellung fragmentierter Datei: Der Dateiname, ihre Größe und Fragmentkette können mithilfe von Heuristiken abgerufen werden. Wenn die Dateidaten nicht beschädigt sind, liegt die Wahrscheinlichkeit der Dateirettung nahe bei 100%. Die Wahrscheinlichkeit, den richtigen Dateinamen zu erhalten, liegt bei fast 80%.
• Formatierung: XFS zerstört die Zuordnung der verwendeten Cluster und erstellt ein neues Stammverzeichnis. Die Dateizuordnungsgruppen werden ebenfalls aktualisiert.
  • Wiederherstellung nicht fragmentierter Datei: Die Informationen zu Benutzerdateien verbleiben auf der Festplatte. Die Datenrettungschancen liegen nahe bei 100%; Die Wahrscheinlichkeit, den ursprünglichen Dateinamen abzurufen, liegt nahe bei 95%.
  • Wiederherstellung fragmentierter Datei: Die Aussichten sind dieselben wie für nicht fragmentierte Dateien.

Dateisystem: Ext2

• Dateilöschung: Ext2 markiert den Dateiknoten als "frei" und aktualisiert die Karte der freien Blöcke. Die Informationen zum Dateinamen werden vom Verzeichniseintrag getrennt. Der Referenz des Dateinames zu dem Knoten wird gelöscht.
  • Wiederherstellung nicht fragmentierter Datei: Die Informationen zum Dateistart und zur Dateigröße können auf der Festplatte verbleiben. Die Analyse von Knoten kann helfen, intakte Dateien wiederherzustellen. Gleichzeitig gehen die Informationen über den Dateinamen verloren.
  • Wiederherstellung fragmentierter Datei: Die Chancen sind dieselben wie bei nicht fragmentierten Dateien.
• Formatierung: Alle Zuordnungsgruppen sowie Dateiknoten werden gelöscht.
  • Wiederherstellung nicht fragmentierter Datei: Die vollständige Rettung von Dateien ist mit Heuristiken möglich, jedoch ohne die ursprünglichen Dateinamen.
  • Wiederherstellung fragmentierter Datei: Die Rettung unbeschädigter Dateien ist nur mit Hilfe von Heuristiken möglich. Die ursprünglichen Dateinamen gehen jedoch verloren.

Dateisystem: Ext3/Ext4

• Dateilöschung: Das Dateisystem löscht den Dateiknoten und aktualisiert die Zuordnung der freien Blöcke. Die Informationen zum Dateinamen werden vom Verzeichniseintrag getrennt, verweisen jedoch auf den richtigen Knoten.
  • Wiederherstellung nicht fragmentierter Datei: Die Informationen zum Start und zur Größe der Datei werden dauerhaft zerstört, aber sie verbleiben möglicherweise im Dateisystemjournal. Die Verknüpfung zwischen dem Dateinamen und ihrem Speicherort auf der Festplatte fehlt. Heuristiken und Journalanalysen ermöglichen die Rettung von Dateien unter Beibehaltung der ursprünglichen Dateinamen.
  • Wiederherstellung fragmentierter Datei: Normalerweise fehlen die Informationen zu den ersten 12 Blöcken der Datei. Es bleiben auch keine Informationen über den Dateinamen und die Größe. Die Chancen für die Wiederherstellung gelöschter Dateien sind recht gering. Die Informationen zu den zuletzt gelöschten Dateien verbleiben jedoch möglicherweise im Dateisystemjournal, wodurch sich die Chancen für die Wiederherstellung einer Datei mit dem ursprünglichen Dateinamen um bis zu 100% erhöhen.
• Formatierung: Alle Zuordnungsgruppen sowie Dateiknoten werden gelöscht. Abhängig von einem Treiber enthält das Dateisystemjournal möglicherweise noch Informationen zu einigen kürzlich erstellten Dateien.
  • Wiederherstellung nicht fragmentierter Datei: Die Rettung unbeschädigter Dateien ist nur durch Anwendung erweiterter Heuristiken und Journalanalysen möglich. In den meisten Fällen können die ursprünglichen Dateinamen jedoch nicht abgerufen werden.
  • Wiederherstellung fragmentierter Datei: Nur erweiterte Heuristiken und Journalanalysen ermöglichen die vollständige Wiederherstellung von Dateien. In den meisten Fällen gehen jedoch die ursprünglichen Dateinamen verloren.

Dateisystem: ReiserFS

• Dateilöschung: Das System aktualisiert den S+-Baum, um die Datei auszuschließen, und erneuert die Karte des freien Speicherplatzes.
  • Wiederherstellung nicht fragmentierter Datei: Der S+-Baumknoten verbleibt möglicherweise auf der Festplatte (eine Kopie im Dateisystemjournal und eine alte Kopie, die mit Copy-on-Write erstellt wurde). In diesem Fall liegen die Chancen für die Wiederherstellung von Dateien bei bis zu 100%.
  • Wiederherstellung fragmentierter Datei: Die Chancen sind wie bei nicht fragmentierten Dateien.
• Formatierung: Das Dateisystem erstellt einen neuen S+-Baum über dem vorhandenen.
  • Wiederherstellung nicht fragmentierter Datei: Der S+-Baumknoten verbleibt möglicherweise auf der Festplatte (eine Kopie im Dateisystemjournal und eine alte Kopie, die mit Copy-on-Write erstellt wurde). In diesem Fall liegt die Möglichkeit der Dateiwiederherstellung nahe bei 100%.
  • Wiederherstellung fragmentierter Datei: Die Chancen sind dieselben wie bei nicht fragmentierten Dateien.

Dateisystem: JFS (JFS2)

• Dateilöschung: JFS aktualisiert den Zähler für die Objektnutzung und löscht den Inode in der Inode-Nutzungszuordnung. Das Verzeichnis wird neu erstellt, um Änderungen widerzuspiegeln.
  • Wiederherstellung nicht fragmentierter Datei: Der Datei-Inode verbleibt auf der Festplatte und erhöht die Wahrscheinlichkeit der Dateirettung auf fast 100%. Es ist jedoch unwahrscheinlich, dass der Dateiname wiederhergestellt wird.
  • Wiederherstellung fragmentierter Datei: Die Aussichten sind dieselben wie für nicht fragmentierte Dateien.

Dateisystem: Btrfs

• Dateilöschung: Da das Dateisystem auf Copy-on-Write (COW) basiert, werden Änderungen an den Metadatenbereichen (B-Tee-Nodes) und den Daten-Extents (Dateiinhalten) an den Kopien vorgenommen, die an einem neuen Speicherort erstellt wurde, während die ursprünglichen Extents an Ort und Stelle bleiben und als unbenutzt markiert werden.
  • Dateiwiederherstellung: Sowohl die alten Daten als auch die darauf verweisenden Metadaten befinden sich auf der Festplatte, sodass die Datenwiederherstellung mit einem Ergebnis von bis zu 100% möglich wird. Eine starke Fragmentierung kann den Prozess jedoch verlangsamen.

Hinweis: Verlassen Sie sich bitte auf die Anweisungen, wenn Sie Daten auf den Dateisystemen von Linux wiederherstellen müssen.

Dateisysteme von BSD, Solaris, Unix

Diese Betriebsysteme verwenden üblicherweise UFS, UFS2 und ZFS.

Dateisystem: UFS/UFS2

• Dateilöschung: UFS löscht den Dateiknoten und aktualisiert die Zuordnung der freien Blöcke. Die Informationen zum Dateinamen werden vom Verzeichniseintrag getrennt.
  • Wiederherstellung nicht fragmentierter Datei: Die Informationen über den Start und die Größe der Datei werden dauerhaft zerstört. Die Verknüpfung zwischen dem Dateinamen und ihrem Speicherort auf der Festplatte fehlt. Heuristische Methoden ermöglichen es, gute Dateien, deren Typ bekannt ist, zu retten. Gleichzeitig werden Sie aufgrund der Besonderheiten des Soft Updates-Algorithmus in UFS selten auf nicht fragmentierte Dateien stoßen.
  • Wiederherstellung fragmentierter Datei: Die Informationen zu den ersten 12 Blöcken der Datei fehlen. Es bleiben auch keine Informationen über den Dateinamen und die Größe. Die Chancen, gelöschte Dateien wiederherzustellen, sind recht gering, es ist jedoch möglich.
• Formatierung: Alle Zuordnungsgruppen sowie Dateiknoten werden gelöscht.
  • Wiederherstellung nicht fragmentierter Datei: Die vollständige Rettung von Dateien ist mit Heuristiken möglich, obwohl die ursprünglichen Dateinamen verloren gehen.
  • Wiederherstellung fragmentierter Datei: Die Rettung unbeschädigter Dateien ist nur mit Hilfe von Heuristiken möglich. Den Ergebnissen fehlen jedoch die anfänglichen Dateinamen.

Dateisystem: ZFS

• Dateilöschung: Das Dateisystem verwaltet alle Änderungen mit der COW-Methode (On Copy-on-Write): Eine Kopie des Originalblocks wird erstellt und dem freien Speicherplatz zugewiesen. Danach werden die Datenblockverknüpfungen aktualisiert und der Überblock durch einen neuen Überblock ersetzt.
  • Dateiwiederherstellung: Abhängig von der Verwendung des Dateisystems und der Auslastung des Pools können die älteren Kopien ziemlich lange verbleiben, sodass in bis zu 100% der Fälle Dateien mit ihren ursprünglichen Namen wiederhergestellt werden können. Da die Daten jedoch in Blöcken dynamischer Größe auf die Festplatten im ZFS-Pool verteilt sind, ist die Wiederherstellung nur möglich, wenn die Pool-Metadaten intakt sind und ausgelesen werden können, um das Speicherlayout korrekt zusammenzustellen.

Hinweis: Daten auf den Dateisystemen von Unix, Solaris oder BSD wiederherstellen müssen.

Geclusterte Dateisysteme

SysDev Laboratories LLC bietet Datenwiederherstellung auf geclusterte Dateisystemen wie Apple Xsan (CentraVision-Dateisystem, StorNext-Dateisystem), RedHat Linux Global File System (GFS) und VMware ESX Server-Dateisystem für virtuelle Maschinen (VMFS). Wenn Sie Daten von einem der genannten Dateisysteme retten müssen, kontaktieren Sie uns und fordern Sie einen Remote-Wiederherstellungsdienst an.

Letzte Aktualisierung: 26. März 2021