Was Sie jetzt sofort tun sollten
- Beim Löschen wird der Platz einer Datei normalerweise nur als frei markiert; der Inhalt bleibt, bis etwas Neues dorthin geschrieben wird.
- Die Rettung liest zuerst übrig gebliebene Einträge des Dateisystems, wodurch Namen und Ordner zurückkommen können.
- Fehlen diese Einträge, findet die Signatursuche Dateien anhand ihres Inhalts, aber ohne ursprünglichen Namen.
- Auf SSDs mit TRIM und überall, wo neue Daten geschrieben wurden, ist der alte Inhalt meist verloren.
Was während eines Rettungsscans passiert
Nichts mehr auf das Laufwerk schreiben
Jede neue Datei, jeder Download und jedes Update kann den Platz einer gelöschten Datei belegen. Rettung funktioniert nur bei Daten, die nicht ersetzt wurden, deshalb zählt dieser Schritt mehr als jede Einstellung.
Laufwerk auswählen
Wählen Sie unter Gelöschte Dateien wiederherstellen das Laufwerk, die Speicherkarte oder das Datenträger-Image. Der Scan liest nur, die Quelle bleibt unverändert.
Durchlauf über das Dateisystem
Zuerst liest das Programm die Verwaltung des Dateisystems selbst, etwa die Master File Table von NTFS oder die FAT-Verzeichniseinträge, und sucht als gelöscht markierte Einträge. Diese enthalten noch Name, Ordner, Größe und Lage der Daten, daher kommen so gefundene Dateien wie das Original zurück.
Signatursuche
Danach liest es den Datenträger Sektor für Sektor und sucht bekannte Dateiköpfe, etwa die Bytes, mit denen ein JPEG, PDF oder MP4 beginnt. So tauchen Dateien auf, deren Einträge etwa nach einer Formatierung gelöscht wurden, doch Name und Ordner stehen nicht in den Daten, daher erhalten die Ergebnisse allgemeine Namen.
Prüfung
Ein unabhängiger Prüfer versucht jeden Kandidaten zu öffnen. FileFix Ultimate kennzeichnet das Ergebnis als geprüft, teilweise wiederhergestellt oder extrahiert und ungeprüft, mit hoher, mittlerer oder niedriger Zuverlässigkeit.
Auf einem anderen Datenträger speichern
Gerettete Kopien werden auf einen anderen physischen Datenträger geschrieben. Ein Zurückschreiben auf die Quelle könnte andere, noch nicht gefundene Dateien überschreiben.
Wohin eine gelöschte Datei geht
Ein Dateisystem ist ein Index. Es speichert für jede Datei Name, Ordner, Größe, Datum und eine Liste der Bereiche, die den Inhalt enthalten. Löschen, auch das Leeren des Papierkorbs oder Umschalt+Entf, markiert diesen Eintrag meist nur als unbenutzt und die Bereiche als frei. Gigabytes mit Nullen zu überschreiben wäre langsam, deshalb macht Windows das nicht.
Solange diese Bereiche nicht wiederverwendet werden, liegen die Bytes physisch noch dort. Auf einer großen, fast leeren Festplatte kann das Wochen dauern. Auf einem fast vollen Systemlaufwerk, das ständig temporäre Dateien, Updates und Browser-Cache schreibt, können es Minuten sein. Die Chancen sinken also mit der Zeit und nicht zu einem festen Zeitpunkt.
Dateisystem-Einträge oder Signatursuche
Die Rettung über Einträge ist die genaue Methode. Ist der gelöschte Eintrag erhalten, sagt er exakt, welche Cluster in welcher Reihenfolge zur Datei gehören; selbst eine fragmentierte Datei lässt sich zusammensetzen, und Name und Ordner kommen mit. Bei FAT32 und exFAT wird die Kette, die Cluster verbindet, beim Löschen oft geleert, sodass die Reihenfolge erschlossen werden muss; FileFix Ultimate testet mögliche Anordnungen am Inhalt und wählt die, die sich prüfen lässt.
Die Signatursuche, auch Carving genannt, ignoriert das Dateisystem und liest rohe Sektoren. Sie erkennt eine Datei am Dateikopf und, wo das Format es erlaubt, an innerer Struktur oder Dateiende. Sie funktioniert nach einer Schnellformatierung oder auf einem RAW-Laufwerk mit unlesbarem Index. Ihre Schwäche: Namen, Ordner und Datum stehen im Index, nicht in der Datei, und eine in verstreute Teile zerlegte Datei kann unvollständig zurückkommen. Fotos und Videos tragen ihr Aufnahmedatum oft in sich, was beim Sortieren hilft.
Warum manche Dateien nicht zurückkommen
Überschreiben ist endgültig. Belegen neue Daten dieselben Sektoren, sind die alten Bytes ersetzt, und keine Software liest, was nicht mehr existiert. Eine teilweise überschriebene Datei lässt sich manchmal teilweise retten, etwa der lesbare obere Teil eines Fotos.
SSDs verhalten sich anders als Festplatten. Mit TRIM meldet Windows der SSD, welche Blöcke frei sind, und das Laufwerk kann sie kurz nach dem Löschen im Hintergrund leeren. Danach liefert das Lesen nur Nullen. Eine vollständige Formatierung überschreibt das ganze Volume, und physische Schäden wie ein Headcrash verhindern das Lesen ganz. Diese Fälle erklären die Ratgeber zu SSD-TRIM, überschriebenen Dateien und defekten Sektoren.
Was Datenrettung nicht kann
- Durch neue Dateien überschriebene Daten lassen sich nicht zurückholen.
- Blöcke, die eine SSD nach TRIM bereits geleert hat, sind meist nicht lesbar.
- Nur per Signatursuche gefundene Dateien erhalten Namen und Ordner nicht zurück.
- Verschlüsselte Volumes brauchen Schlüssel oder Passwort, bevor etwas gelesen werden kann.
- Ein mechanisch beschädigtes Laufwerk gehört ins Labor statt in einen Scan.
So setzt FileFix Ultimate diese Methoden ein
- Liest NTFS, FAT32, exFAT, ext2/3/4, HFS+ und optische Datenträger, um Namen und Ordner zu retten, wo Einträge erhalten sind.
- Signatursuche für 68 Dateitypen, von JPEG und Kamera-RAW bis Office, HWP, PST und Video.
- Unabhängige Prüfung jedes Ergebnisses mit ehrlicher Kennzeichnung und Zuverlässigkeitsstufe.
- Schreibgeschützter Scan, Speichern nur auf einem anderen Datenträger.
- Für die private Nutzung kostenlos, ohne Mengenlimit und vollständig offline.
FileFix Ultimate ist für die private Nutzung kostenlos, arbeitet offline und schreibt nie auf das Laufwerk, von dem Sie wiederherstellen. Die geschäftliche Nutzung erfordert eine Jahreslizenz pro PC. Prüfen Sie die Signatur, bevor Sie es ausführen.
Häufig gestellte Fragen
Warum heißen gerettete Dateien file0001.jpg?
Sie wurden per Signatursuche gefunden, die den Inhalt liest, aber nicht den Index mit den Namen. Die Daten können trotz allgemeinem Namen intakt sein. Das Sortieren nach dem im Foto gespeicherten Datum hilft oft.
Ist Löschen über den Papierkorb anders als Umschalt+Entf?
Für die Rettung kaum. Beides entfernt den Eintrag aus dem Ordner und gibt den Platz frei. Das Leeren des Papierkorbs entfernt zusätzlich die dort abgelegte Kopie, danach sind die Schritte gleich.
Findet ein Schnellscan weniger als ein Tiefenscan?
Der schnelle Durchlauf liest nur Dateisystem-Einträge und ist rasch fertig. Der gründliche ergänzt die Signatursuche über alle Sektoren, findet mehr, dauert aber deutlich länger und liefert Dateien ohne Namen. Es ist sinnvoll, zuerst die schnellen Ergebnisse anzusehen.
Schreibt das Rettungsprogramm etwas auf meinen Datenträger?
Ein sorgfältiges Programm nicht. FileFix Ultimate liest die Quelle nur und verweigert das Speichern auf demselben Volume, der Scan selbst verringert Ihre Chancen also nicht.