So stellen Sie gelöschte Dateien aus einer VMDK- oder QCOW2-Festplatte einer VM wieder her

Schritt für Schritt

1. Virtuelle Maschine anhalten

   Fahren Sie den Gast normal herunter oder schalten Sie ihn aus; nicht anhalten und weiterarbeiten. Ein laufender Gast schreibt Protokolle, Updates und Auslagerungsdaten in die virtuelle Festplatte, und jeder dieser Schreibvorgänge kann dort landen, wo die gelöschten Dateien liegen.

2. VM-Ordner kopieren

   Kopieren Sie den Ordner mit der virtuellen Festplatte auf ein anderes physisches Laufwerk. Bei VMware sind das der kleine Deskriptor .vmdk und Extent-Dateien wie name-flat.vmdk oder name-s001.vmdk, bei QEMU oder KVM meist eine einzelne .qcow2-Datei. Arbeiten Sie mit der Kopie, das Original bleibt unberührt.

3. Extents neben dem Deskriptor lassen

   Ein VMDK-Deskriptor ist eine kurze Textdatei, die ihre Extent-Dateien namentlich aufführt. Diese müssen mit ihrem ursprünglichen Namen im selben Ordner liegen, sonst lässt sich die Festplatte nicht zusammensetzen. Wenn Sie sie aus einem Datenspeicher heruntergeladen haben, prüfen Sie, ob Deskriptor und große Datendatei vollständig angekommen sind.

4. Virtuelle Festplatte öffnen

   Öffnen Sie in FileFix Ultimate Gelöschte Dateien wiederherstellen, wählen Sie Datenträger-Image und klicken Sie auf Image-Datei öffnen. Wählen Sie den Deskriptor .vmdk oder die .qcow2-Datei. Die Festplatte wird schreibgeschützt geöffnet und ihre Partitionen erscheinen wie bei einem physischen Laufwerk.

5. Gast-Partition scannen

   Wählen Sie die Partition mit den Dateien, bei einem Windows-Gast meist das große NTFS-Volume, bei Linux das ext4-Root- oder Home-Volume, und starten Sie den Ausgewogenen Scan. Wird kein Dateisystem erkannt, sucht der Tiefenscan nach Signaturen weiterhin nach bekannten Dateitypen.

6. Auf dem Host speichern

   Sehen Sie sich die Ergebnisse in der Vorschau an, wählen Sie das Benötigte aus und speichern Sie es in einem Ordner auf dem Host oder auf einem anderen Datenträger. Achten Sie auf die Statusangaben: Als geprüft markierte Dateien haben eine unabhängige Formatprüfung bestanden.

Welche Formate sich öffnen lassen und worin sie sich unterscheiden

VMware-Festplatten gibt es in mehreren Varianten. Eine monolithische Sparse-VMDK wächst mit den Schreibvorgängen des Gasts. Eine streamOptimized-VMDK ist komprimiert und steckt oft in OVA- und OVF-Exporten. Eine Flat-VMDK ist eine vorab belegte Rohdatei, die ein separater kleiner Deskriptor beschreibt. FileFix Ultimate liest alle drei sowie QCOW2 in Version 2 und 3 aus QEMU, KVM und Proxmox, VHD und VHDX aus Hyper-V und rohe .img-Dateien.

Bei Sparse- und QCOW2-Festplatten werden Bereiche, die der Gast nie beschrieben hat, gar nicht in der Datei gespeichert. Das hält sie klein, bedeutet aber auch, dass ein vom Gast freigegebener und vom Host zurückgeholter Block schlicht nicht mehr existieren kann.

Snapshots, Thin-Disks und TRIM im Gast

Hat eine VM Snapshots, liegen neuere Änderungen in Delta-Dateien neben der Basisfestplatte. Öffnen Sie nur die Basisdatei, sehen Sie den Gast im Zustand des Snapshots, was hilfreich sein kann, wenn die Dateien später gelöscht wurden. Brauchen Sie den neuesten Stand, ist es meist am einfachsten, zuerst eine Kopie der VM im Hypervisor zu konsolidieren und dann das Ergebnis zu öffnen.

Moderne Gäste senden für gelöschten Platz TRIM- oder Unmap-Befehle, und manche Hypervisoren verkleinern daraufhin Thin- oder Sparse-Festplatten. Ist das passiert, können die gelöschten Blöcke aus der Datei verschwunden sein, wie bei einer SSD. Am besten klappt die Wiederherstellung meist bei Thick- oder Flat-Festplatten und bei Gästen mit abgeschalteter Speicherrückgewinnung.

Häufige Fehler

Wer die VM startet, um darin ein Rettungsprogramm zu installieren, schreibt auf genau die Festplatte, die gerettet werden soll. Ein Reparatur- oder Komprimierungsbefehl des Hypervisors auf der Originalfestplatte kann freien Platz verwerfen. Wer Extent-Dateien umbenennt und dann den Deskriptor öffnet, trennt die Verbindung zwischen beiden; benennen Sie nichts um und lassen Sie die Ordnerstruktur unverändert.

Wann es nicht funktioniert

• Verschlüsselte VMs sind ohne Entschlüsselung durch den Hypervisor nicht lesbar; BitLocker im Gast braucht den Wiederherstellungsschlüssel.
• Gäste mit nicht unterstützten Dateisystemen wie ReFS, Btrfs oder ZFS lassen sich nur per Signatur durchsuchen, ohne Namen und Ordner.
• Fehlt eine Extent-Datei oder wurde sie umbenannt, sodass ein Teil der Festplatte fehlt, lassen sich Dateien aus diesem Teil nicht retten.
• Platz, den der Gast per TRIM freigab und der Host aus einer Thin- oder Sparse-Festplatte zurückholte, enthält meist keine alten Daten mehr.
• Snapshot-VMDKs (Kind-Platten), die ihre übergeordnete Platte brauchen, seSparse- und vmfsSparse-Platten sowie Raw-Device-Mappings lassen sich nicht öffnen. Nutzen Sie die Basisplatte oder konsolidieren Sie die Snapshots zuerst im Hypervisor.

So hilft FileFix Ultimate

• Öffnet VMDK (sparse, streamOptimized und flat), QCOW2 v2 und v3, VHD, VHDX, E01 und Roh-Images schreibgeschützt.
• Zeigt die Partitionen in der virtuellen Festplatte und liest NTFS-, FAT32-, exFAT- und ext2-, ext3- und ext4-Gäste, um Namen und Ordner zu retten.
• Wechselt zur Signatursuche für 68 Dateitypen, wenn das Gast-Dateisystem nicht erkannt wird.
• Kann mehrere Datenträger-Images einschließlich VMDK-Dateien zu einem virtuellen RAID 0, 1, 5 oder JBOD zusammensetzen.

Häufig gestellte Fragen