Was ist die Datenwiederherstellung?

Trotz der ständig wachsenden Zuverlässigkeit von Speichergeräten bleibt der Verlust digitaler Informationen weit verbreitet. Zu den häufigen Ursachen für Dateiverlust gehören menschliche Fehler, Softwareabstürze (z. B. durch Computerviren), Stromausfälle sowie Hardwarefehler. Glücklicherweise sind die auf einem digitalen Medium gespeicherten Informationen fast immer wiederherstellbar. Der folgende Artikel erklärt, was Datenwiederherstellung ist, beschreibt die häufigsten Datenverlustprobleme und Möglichkeiten, diese zu beheben.

Was ist die Datenwiederherstellung?

Unter Datenwiederherstellung versteht man den Prozess des Erhaltens von Informationen, die sich auf einem Speichergerät befinden und auf die mit herkömmlichen Mitteln nicht zugegriffen werden kann – beispielsweise weil sie zuvor gelöscht wurden oder das digitale Medium bzw. dessen Struktur beschädigt ist.

Um die fehlenden Dateien wiederzuerlangen, werden unterschiedliche Ansätze verwendet. Diese können jedoch nur angewendet werden, wenn der Dateiinhalt irgendwo auf dem physischen Speichermedium vorhanden ist. Die Datenwiederherstellung deckt beispielsweise nicht die Situationen ab, in denen eine Datei nie auf einen dauerhaften Speicher geschrieben wurde, wie etwa Dokumente, die erstellt wurden, aber aufgrund eines Stromausfalls nicht auf der Festplatte gespeichert werden konnten. Außerdem kann keine der vorhandenen Wiederherstellungsmethoden mit Fällen einer dauerhaften Löschung umgehen. Letzteres tritt auf, wenn andere Informationen den Speicherplatz belegen, der einst den verlorenen Dateien gehörte. Dazu können Folgendes zählen: neue Daten, die auf dasselbe Speichergerät geschrieben werden, bestimmte Muster, die von Schredder- und sicheren Löschdienstprogrammen verwendet werden, oder Nullen, die durch einen vollständigen Formatierungsvorgang oder der von SSDs initiierte TRIM-Befehl geschrieben wurden. Unter solchen Umständen können die verlorenen Dateien nur aus einem externen Backup wiederhergestellt werden, sofern zuvor eines erstellt wurde.

Im Allgemeinen werden Datenwiederherstellungstechniken in zwei Typen unterteilt: softwarebasierte und solche, bei denen die beschädigten Hardwarekomponenten in einer Laborumgebung repariert oder ausgetauscht werden. In den meisten Fällen wird ein softwarebasierter Ansatz verwendet, bei dem spezielle Programme zum Einsatz kommen, die die logische Struktur des problematischen Speichermediums interpretieren, die erforderlichen Daten auslesen und dem Benutzer in einer verwertbaren Form zum weiteren Kopieren bereitstellen können. In diesem Fall hängt die Auswahl einer geeigneten Datenrettungssoftware von der Art des Speichermediums, dessen Dateisystemformat und manchmal auch von der Art der Dateien und dem Kenntnisstand des Benutzers ab. Physische Reparaturen hingegen werden von Spezialisten in den schwerwiegendsten Fällen durchgeführt, zum Beispiel, wenn einige mechanische oder elektrische Teile des Laufwerks nicht mehr ordnungsgemäß funktionieren. In solchen Fällen werden selbstgemachte Bemühungen die Situation wahrscheinlich noch verschlimmern; sie kann daher nur sicher von qualifizierten Fachleuten gehandhabt werden. Zudem werden alle Maßnahmen auf eine einmalige Extraktion der kritischen Inhalte ausgerichtet, ohne dass das betroffene Gerät weiter verwendet werden kann.

Die typischsten Fälle von Datenverlust

Im Großen und Ganzen hängt der Erfolg eines Datenwiederherstellungsverfahrens stark von der Wahl der richtigen Abrufmethode und ihrer rechtzeitigen Anwendung ab. Aus diesem Grund ist es äußerst wichtig, die Art des jeweiligen Falls zu verstehen und zu wissen, was in den einzelnen Szenarien getan werden kann. Andererseits können falsche Handlungen zur irreversiblen Zerstörung der Informationen führen.

Die häufigsten Ursachen für Datenverlust sind:

• Versehentliches Löschen von Dateien oder Ordnern

  Jedes Dateisystem verhält sich beim Löschen einer Datei anders. In Windows markiert das FAT-Dateisystem beispielsweise Dateiverzeichniseinträge als "unbenutzt" und zerstört Dateizuordnungsinformationen (mit Ausnahme des Dateianfangs). In NTFS wird nur der Dateieintrag als "unbenutzt" markiert, der Eintrag aus dem Verzeichnis gelöscht und der Speicherplatz ebenfalls als "unbenutzt" markiert. Die meisten Linux/Unix-Dateisysteme zerstören den Dateideskriptor (Informationen zu Dateispeicherort, Dateityp, Dateigröße usw.) und markieren den Speicherplatz als "frei".

  Hinweis: Weitere Informationen zu Dateisystemen und ihren Typen finden Sie in den Grundlagen von Dateisystemen.

  Der Hauptzweck des Löschens von Dateien besteht darin, Speicherplatz, der von der Datei verwendet wird, zum Speichern einer neuen Datei freizugeben. Aus Leistungsgründen wird der Speicherplatz nicht sofort abgewischt, sodass der eigentliche Dateiinhalt auf der Festplatte verbleibt, bis dieser Speicherplatz zum Speichern einer neuen Datei wiederverwendet wird.

  Hinweis: Verlassen Sie sich bitte auf die folgende Anleitung, wenn Sie gelöschte Dateien wiederherstellen müssen.

• Formatierung des Dateisystems

  Die Formatierung des Dateisystems kann versehentlich gestartet werden, beispielsweise durch Auswahl einer falschen Festplattenpartition oder durch fehlerhafte Handhabung eines Speichers (z. B. formatieren NAS-Geräte den internen Speicher normalerweise nach einem Versuch, RAID neu zu konfigurieren).

  Die Formatierungsprozedur erstellt leere Dateisystemstrukturen auf dem Speicher und überschreibt alle nachfolgende Informationen. Wenn der Typ des neuen Dateisystems mit dem früheren übereinstimmt, werden die vorhandenen Dateisystemstrukturen zerstört, indem sie mit neuen Strukturen überschrieben werden. Wenn die Typen unterschiedlich sind, werden die Strukturen an verschiedene Speicherorte geschrieben und können Benutzerinhalte löschen.

• Logische Beschädigung des Dateisystems

  Moderne Dateisysteme bieten ein hohes Maß an Schutz vor internen Fehlern, sind jedoch weiterhin anfällig für Hardware- oder Softwarefehler. Selbst ein kleiner Fehler, bei dem Daten an die falsche Stelle geschrieben werden, kann zur Zerstörung von Dateisystemstrukturen, zur Unterbrechung von Objektverknüpfungen und zur Unlesbarkeit des Dateisystems führen. Manchmal kann dieses Problem aufgrund von Stromausfällen oder Hardwarefehlern auftreten.

• Verlust von Informationen über eine Partition

  Dieser Fehler kann aufgrund einer fehlgeschlagenen "fdisk"-Operation oder Benutzerfehlern entstehen, was zum Verlust der Informationen über Speicherort und Größe einer Partition führen kann.

• Speicherfehler

  Wenn physische Probleme mit dem Speicher auftreten (z. B. das Gerät startet nicht, macht ungewöhnliche Geräusche, überhitzt, hat Probleme beim Lesen usw.), wird davon abgeraten, eigenständig Datenwiederherstellungsversuche zu unternehmen. Der Speicher sollte stattdessen zu einem spezialisierten Datenrettungscenter gebracht werden.

  Wenn ein RAID-System einen Fehler aufweist (z. B. Ausfall eines Laufwerks in RAID 5, Ausfall von maximal zwei Laufwerken in RAID 6 usw.), ist die Wiederherstellung ohne das defekte Laufwerk möglich, da die Redundanz in RAID die Wiederherstellung des Inhalts einer ausgefallenen Komponente ermöglicht.

  Hinweis: Weitere Informationen zur Möglichkeit des erfolgreichen Abrufens von Dateien in Abhängigkeit vom Datenverlustfall und vom Betriebssystem finden Sie in den Artikeln, in den die Besonderheiten der Datenrettung von verschiedenen Betriebssystemen und die Chancen für die Datenwiederherstellung beschrieben werden.

Wie funktioniert Datenrettungssoftware?

Die auf einem intakten Speicher verbleibenden Informationen können normalerweise ohne professionelle Hilfe mithilfe spezialisierter Software wiederhergestellt werden. Es ist jedoch wichtig zu beachten, dass nach dem Überschreiben keine Informationen wiederhergestellt werden können. Aus diesem Grund sollte nichts in den Speicher geschrieben werden, bis alle benötigten Dateien vollständig gerettet sind.

Die meisten Programme zur Datenwiederherstellung arbeiten mit den Algorithmen der Metadatenanalyse, der Methode der RAW-Wiederherstellung, die auf dem bekannten Inhalt von Dateien basiert, oder einer Kombination der beiden Ansätze

Metadaten sind versteckte Dienstinformationen, die im Dateisystem enthalten sind. Ihre Analyse ermöglicht es der Software, die Hauptstrukturen auf dem Speicher zu finden, welche die Platzierung des Dateiinhalts, die Eigenschaften der Dateien und die Verzeichnishierarchie aufzeichnen. Danach werden diese Informationen verarbeitet und zur Wiederherstellung des beschädigten Dateisystems verwendet. Diese Methode ist der RAW-Wiederherstellung vorzuziehen, da sie Dateien mit ihren ursprünglichen Namen, Ordnern, Datums- und Zeitstempeln zurückholen kann. Wenn die Metadaten nicht ernsthaft beschädigt wurden, lässt sich möglicherweise die gesamte Ordnerstruktur rekonstruieren. Dies hängt von den Besonderheiten der Mechanismen ab, die das Dateisystem verwendet, um "unnötige" Elemente zu entfernen. Solche Analyse ist jedoch nicht möglich, wenn die entscheidenden Teile der Metadaten fehlen. Aus diesem Grund ist es äußerst wichtig, keine Tools zur Dateisystemreparatur zu benutzen oder Aktionen einzuleiten, die Änderungen verursachen könnten, bevor die Daten vollständig wiederhergestellt sind.

Wenn mithilfe der Metadatenanalyse kein zufriedenstellendes Ergebnis erzielt werden konnte, erfolgt meist die Suche nach Dateien anhand ihres bekannten Inhalts. Hierbei bezeichnet "bekannter Inhalt" nicht die gesamte Rohdatenstruktur einer Datei, sondern nur bestimmte Datenmuster, die für die Dateien des angegebenen Formats typisch sind und möglicherweise den Anfang oder das Ende der Datei angeben. Diese Muster werden als "Dateisignaturen" bezeichnet und helfen festzustellen, ob ein Datenelement auf dem Speicher zu einer Datei eines bestimmten Typs gehört. Mit dieser Methode wiederhergestellte Dateien erhalten eine Erweiterung basierend auf der gefundenen Signatur, neue Namen und werden in neu erstellten Ordnern organisiert, die normalerweise für unterschiedliche Dateitypen angelegt werden. Die Hauptbeschränkung dieses Ansatzes besteht darin, dass einige Dateien möglicherweise keine identifizierbaren Signaturen aufweisen oder nur eine Signatur für den Beginn einer Datei aufweisen, was es schwierig macht, das Ende der Datei zu bestimmen, insbesondere wenn ihre Teile nicht zusammenhängend gespeichert sind.

Um die verlorenen Dateien mit maximaler Effizienz zurückzugewinnen, kann die Datenrettungssoftware die beschriebenen Techniken gleichzeitig während eines einzelnen Scans verwenden, der für den Speicher gestartet wird. Weitere Details hängen hauptsächlich von der Art des digitalen Mediums ab und können im Abschnitt Datenwiederherstellungslösungen gefunden werden.

Es ist jedoch wichtig, sich der folgenden Situationen bewusst zu sein, die von keiner Datenrettungssoftware abgedeckt werden:

• Gesperrter Zugriff. Wenn Daten von einem verschlüsselten Gerät verloren gehen, benötigt die Datenrettungssoftware ein korrektes Entschlüsselungskennwort, einen Schlüssel oder andere Anmeldeinformationen, um auf seinen Inhalt zugreifen zu können. Wenn keines davon verfügbar ist, bleibt der Inhalt verschlüsselt und kann nicht in ein lesbares Format umgewandelt werden. Viele moderne Geräte verfügen zudem über eine integrierte Hardwareverschlüsselung, die nicht umgangen werden kann. Das Gleiche gilt für die meisten modernen Smartphones, da deren interner Speicher in der Regel standardmäßig verschlüsselt ist, während die Entschlüsselungsschlüssel sicher auf dem Gerät gespeichert sind.

• Daten, die außerhalb des Standorts gespeichert sind. Cloud-Speicher und andere Online-Services speichern die Daten des Benutzers an entfernten Standorten in mehreren, vom Anbieter verwalteten Rechenzentren. Aus offensichtlichen Gründen sind solche Daten für eine Datenrettungssoftware physisch nicht zugänglich und können mit ihrer Hilfe nicht wiederhergestellt werden. Einige Services bieten jedoch eigene Funktionen an, mit denen Benutzer gelöschte Dateien retten oder aus früheren Versionen zurückbringen können. Daher lohnt es sich immer, die Verfügbarkeit solcher Optionen auf einer bestimmten Website zu prüfen.

In den verbleibenden Szenarien werden UFS Explorer und Recovery Explorer als effektive und zuverlässige Lösungen zur softwarebasierten Datenwiederherstellung empfohlen. Diese Programme bieten umfassende Möglichkeiten zur Wiederherstellung gelöschter, verlorener oder unzugänglicher Dateien von verschiedenen Geräten, darunter Desktop- und Laptop-PCs, tragbare Speichermedien, komplexe RAID- und NAS-Einheiten sowie verschlüsselte Speicher oder virtuelle Maschinen.

Letzte Aktualisierung: 02. November 2024