Was ist die Datenwiederherstellung?

Trotz der ständig wachsenden Zuverlässigkeit von Speichergeräten bleibt der Verlust digitaler Informationen weit verbreitet. Zu den häufigen Ursachen für Dateienverlust gehören menschliche Fehler, Softwareabstürze (z. B. Computerviren), Stromausfälle sowie Hardwarefehler. Glücklicherweise sind die auf einem digitalen Medium gespeicherten Informationen fast immer wiederherstellbar. Der folgende Artikel erklärt, was Datenwiederherstellung ist, beschreibt die häufigsten Datenverlustprobleme und Möglichkeiten, diese zu beheben.

Was ist die Datenwiederherstellung?

Datenwiederherstellung kann als ein Prozess zum Abrufen der auf einem Speichergerät befindlichen Informationen, auf die man mit den Standardmitteln aufgrund ihrer vorherigen Löschung oder einer Beschädigung des digitalen Mediums nicht zugriffen kann, definiert werden. Es werden verschiedene Ansätze verwendet, um die fehlenden Dateien wiederzugewinnen, jedoch nur unter der Bedingung, dass ihr Inhalt irgendwo auf dem Speicher vorhanden ist. Beispielsweise deckt die Datenwiederherstellung nicht die Situationen ab, in denen eine Datei noch nie in einen dauerhaften Speicher geschrieben wurde, z. B. Dokumente, die erstellt wurden, aber aufgrund eines Stromausfalls nicht auf dem Festplattenlaufwerk gespeichert werden konnten. Außerdem kann keine der vorhandenen Datenrettungsmethoden die Fälle des dauerhaften Auslöschens bewältigen, die auftreten, wenn andere Informationen ihren Speicherplatz belegen. Unter diesen Umständen können die verlorenen Dateien nur von einer externen Sicherungskopie zurückgebracht werden.

Im Allgemeinen werden Datenwiederherstellungstechniken in zwei Typen unterteilt: softwarebasierte und solche, bei denen die beschädigten Hardwarekomponenten in einer Laborumgebung repariert oder ausgetauscht werden. In den meisten Fällen wird ein softwarebasierter Ansatz verwendet, bei dem spezielle Programme gebraucht werden, die die logische Struktur des Problemspeichers interpretieren, die erforderlichen Daten auslesen und dem Benutzer in einer verwertbaren Form zum weiteren Kopieren bereitstellen können. Physische Reparaturen werden von Spezialisten in den schwerwiegendsten Fällen durchgeführt, beispielsweise wenn einige mechanische oder elektrische Teile des Laufwerks nicht mehr ordnungsgemäß funktionieren. In diesem Fall zielen alle Maßnahmen auf eine einmalige Extraktion des kritischen Inhalts ab, ohne die Möglichkeit der weiteren Nutzung des betroffenen Geräts.

Die typischsten Fälle von Datenverlust

Im Großen und Ganzen hängt der Gesamterfolg eines Datenwiederherstellungsverfahrens stark von der Wahl der richtigen Abrufmethode und ihrer rechtzeitigen Anwendung ab. Aus diesem Grund ist es äußerst wichtig, die Art der bestimmten Instanz zu verstehen und zu wissen, was in den einzelnen Szenarien getan werden kann. Im Gegensatz dazu können falsche Handlungen zur irreversiblen Zerstörung der Informationen führen.

Die häufigsten Ursachen für Datenverlust sind:

• Versehentliches Löschen von Dateien oder Ordnern

  Jedes Dateisystem wirkt beim Löschen einer Datei anders. In Windows markiert das FAT-Dateisystem beispielsweise Dateiverzeichniseinträge als "unbenutzt" und zerstört Dateizuordnungsinformationen (mit Ausnahme des Dateianfangs). In NTFS wird nur der Dateieintrag als "unbenutzt" markiert und der Datensatz wird gelöscht von dem Verzeichnis und der Speicherplatz wird auch als "unbenutzt" markiert. Die meisten Linux/Unix-Dateisysteme zerstören den Dateideskriptor (Informationen zu Dateispeicherort, Dateityp, Dateigröße usw.) und markieren den Speicherplatz als "frei".

  Hinweis: Weitere Informationen zu Dateisystemen und ihren Typen finden Sie in den Grundlagen von Dateisystemen.

  Der Hauptzweck des Löschens von Dateien besteht darin, Speicherplatz, der von der Datei verwendet wird, zum Speichern einer neuen Datei freizugeben. Aus Leistungsgründen wird der Speicherplatz nicht sofort abgewischt, sodass der eigentliche Dateiinhalt auf der Festplatte verbleibt, bis dieser Speicherplatz zum Speichern einer neuen Datei wiederverwendet wird.

  Hinweis: Verlassen Sie sich bitte auf die folgende Anleitung, wenn Sie gelöschte Dateien wiederherstellen müssen.

• Formatierung des Dateisystems

  Die Formatierung des Dateisystems kann versehentlich gestartet werden, beispielsweise aufgrund der Angabe einer falschen Festplattenpartition oder aufgrund einer fehlerhaften Behandlung eines Speichers (z. B. formatieren NAS-Geräte den internen Speicher normalerweise nach einem Versuch, RAID neu zu konfigurieren).

  Die Formatierungsprozedur erstellt leere Dateisystemstrukturen auf dem Speicher und überschreibt danach alle Informationen. Wenn die Typen des neuen und des früheren Dateisystems übereinstimmen, werden die vorhandenen Dateisystemstrukturen zerstört, indem sie mit neuen Strukturen überschrieben werden. Wenn sich die Typen der Dateisysteme unterscheiden, werden die Strukturen an verschiedene Speicherorte geschrieben und können Benutzerinhalte löschen.

• Logische Beschädigung des Dateisystems

  Moderne Dateisysteme bieten ein hohes Maß an Schutz vor internen Fehlern, sind jedoch weiterhin hilflos gegen Hardware- oder Softwarefehler. Selbst ein kleines Stück falsches Inhalts, die an einen falschen Ort auf dem Speicher geschrieben wurden, kann zur Zerstörung von Dateisystemstrukturen, zum Unterbrechen von Dateisystemobjektverknüpfungen und zur Unlesbarkeit des Dateisystems führen. Manchmal kann dieses Problem aufgrund von Stromausfällen oder Hardwarefehlern auftreten.

• Verlust von Informationen über eine Partition

  Dieser Fehler kann aufgrund einer fehlgeschlagenen "fdisk"-Operation oder aufgrund von Benutzerfehlern auftreten, die normalerweise zum Verlust von Informationen über den Speicherort und die Größe einer Partition führen.

• Speicherfehler

  Wenn Sie physische Probleme mit dem Speicher vermuten (z. B. das Gerät startet nicht, macht ungewöhnliche Geräusche, überhitzt, Probleme beim Lesen hat usw.), wird es nicht empfohlen, Datenwiederherstellungsversuche selbst durchzuführen. Sie sollten den Speicher in ein spezialisiertes Datenrettungslabor bringen.

  Wenn bei einem RAID-System ein Fehler aufgetreten ist (Ausfall eines Laufwerks in RAID 5, Ausfall von maximal zwei Laufwerken in RAID 6 usw.), ist das Zurückbringen ohne das fehlende Laufwerk möglich, da die Redundanz von RAID die Wiedergewinnung des Inhalts einer ausgefallenen Komponente.

  Hinweis: Weitere Informationen zur Möglichkeit erfolgreiches Abrufens von Dateien in Abhängigkeit vom Datenverlustfall und vom Betriebssystem finden Sie in den Artikeln, in den die Besonderheiten der Datenrettung von verschiedenen Betriebssystemen und die Chancen für die Datenwiederherstellung beschrieben werden.

Wie funktioniert Datenrettungssoftware?

Die auf einem intakten Speicher verbleibenden Informationen können normalerweise ohne professionelle Aushilfe mithilfe einer spezialisierten Software wiederhergestellt werden. Es ist jedoch wichtig zu beachten, dass nach dem Überschreiben keine Informationen wiederhergestellt werden können. Aus diesem Grund sollte nichts in den Speicher geschrieben werden, bis die letzte Datei aus dem Speicher gerettet wurde.

Die meisten Programme zur Datenwiederherstellung arbeiten mit den Algorithmen der Metadatenanalyse, der Methode der RAW-Wiederherstellung basierend auf dem bekannten Inhalt von Dateien oder einer Kombination der beiden Ansätze.

Metadaten sind versteckte Dienstinformationen, die im Dateisystem enthalten sind. Ihre Analyse ermöglicht es der Software, die Hauptstrukturen auf dem Speicher, die die Platzierung des Dateiinhalts, ihre Eigenschaften und die Verzeichnishierarchie aufzeichnen, zu finden. Danach werden diese Informationen verarbeitet und zur Wiederherstellung des beschädigten Dateisystems verwendet. Diese Methode wird der RAW-Wiederherstellung vorgezogen, da hiermit Dateien mit ihren ursprünglichen Namen, Ordnern, Datums- und Zeitstempeln abgerufen werden können. Wenn die Metadaten nicht ernsthaft beschädigt wurden, kann möglicherweise die gesamte Ordnerstruktur rekonstruiert werden. Dies hängt von den Besonderheiten der Mechanismen ab, die das Dateisystem verwendet, um „unnötige“ Elemente zu entfernen. Solche Analyse kann jedoch nicht erfolgreich durchgeführt werden, wenn die entscheidenden Teile der Metadaten fehlen. Aus diesem Grund ist es äußerst wichtig, keine Tools zur Reparatur von Dateisystemen zu benutzen oder Vorgänge einzuleiten, die zu Änderungen führen können, bis die Daten vollständig wiederhergestellt sind.

Wenn das gewünschte Ergebnis mithilfe der Metadatenanalyse nicht erzielt wurde, wurde in der Regel die Suche nach Dateien anhand des bekannten Inhalts durchgeführt. In diesem Fall impliziert der "bekannte Inhalt" nicht den gesamten unformatierten Dateninhalt einer Datei, sondern nur bestimmte Muster von Daten, die für die Dateien des angegebenen Formats typisch sind und möglicherweise den Anfang oder das Ende der Datei angeben. Diese Muster werden als "Dateisignaturen" bezeichnet und können verwendet werden, um zu bestimmen, ob ein Datenelement auf dem Speicher zu einer Datei eines erkannten Typs gehört. Mit dieser Methode wiederhergestellte Dateien erhalten eine Erweiterung basierend auf der gefundenen Signatur, neuen Namen und werden neuen Ordnern zugewiesen, die normalerweise für Dateien unterschiedlichen Typs erstellt werden. Die Hauptbeschränkung dieses Ansatzes besteht darin, dass einige Dateien möglicherweise keine identifizierbaren Signaturen aufweisen oder nur eine Signatur haben, die den Beginn einer Datei angibt, was es schwierig macht, vorherzusagen, wo sie endet, insbesondere wenn ihre Teile nicht konsequent gespeichert werden.

Um die verlorenen Dateien mit maximaler Effizienz zurückzugewinnen, kann die Datenrettungssoftware die beschriebenen Techniken gleichzeitig während eines einzelnen Scans verwenden, der für den Speicher gestartet wird. Weitere Details hängen hauptsächlich von der Art des digitalen Mediums ab und können im Abschnitt Datenwiederherstellungslösungen gefunden werden.

Letzte Aktualisierung: 08. September 2021