Frage von AlfiB, 75

Wie stellt Recuva uralte gelöschte Dateien wieder her?

Habe neulich das Piriform Datenrettungsprogramm Recuva getestet. Bei der Tiefensuche mit sehr groben Einstellungen kamen schon nach einer halben Stunde Unmengen an Daten zum Vorschein - unter anderem Dokumente, die ich vor über einem Jahr gelöscht hatte. Seitdem habe ich auch mehrfach den CCleaner benutzt, der temporäre Dateien ja eigentlich löschen sollte. Deshalb die Frage: auf welchem Weg ist das möglich und wo würde das Programm an seine Grenzen stoßen? Und wie viele Ressourcen nehmen diese "gelöschten" Dateien ein?

Danke im voraus,

euer Alfi

Antwort
von LittleArrow, 67

Du hast schon eine sehr schöne Antwort von sphxx erhalten. Ich möchte nun gerne das dort erwähnte Buch noch durch die Festplatte und die Seiten durch die Sektoren ersetzen:

Auf dieser runden Scheibe sind gedankliche Kreise, die Spuren. Jeder der Kreise ist in Sektoren mit einer einheitlichen Länge (von je 512 Byte, 2048 Byte oder 4096 Byte, das wird für die Platte im Betriebssystem festgelegt) aufgebaut. Die äußeren Kreise habe also mehr Sektoren als die mehr innen liegenden, dabei bleiben natürlich auch mal ungenutzte Reste.

In diesen Sektoren liegen jeweils die Teilinformationen aus einer Datei. Da die Sektoren eine individuelle Adresse (diese entspricht der Seitenzahl im Buch) haben, lassen sich im Inhaltsverzeichnis also die Informationen für die Datei abc.txt aus den Inhalten der Sektoren mit den "Nummern" z.B. A23, F4, P525, A11 und A2 genau in dieser Reihenfolge ("Kette") zusammensetzen. Beachte, dass dabei die Sektoren nicht in einer aufsteigenden Reihenfolge liegen müssen (die Scheibe dreht sich und bei der nächsten Drehung wird nach A23 der Sektor A11 gelesen. Du merkst sicherlich, dass bei längeren Sektoren mehr Informationen drinstecken, als bei kürzeren. Längere Sektoren bedeuten aber auch längere ungenutzte Reste. Kürzere Sektoren bedeuten einerseits kürzere ungenutzte Reste, aber vorallem längere Suchzeiten zum Aufsuchen der Ketten. Hintereinanderliegende Sektoren lassen sich schneller lesen, als verteilte ("fragmentierte").

Beim einfachen Löschen wird im Inhaltsverzeichnis lediglich der erste Buchstabe ades Dateinamens abc.txt ersetzt durch ein Symbol, z. B. σ und die gelöschte Datei heißt nun σbc.txt. Die verketteten Sektoren bleiben jedoch dieser Datei zugeordnet, erhalten jedoch ein Merkmal, dass sie für Neuspeicherung verfügbar sind. Recuva sucht nun diese Verkettungen auf, manchmal fehlt ein Kettenglied (der überschriebene Sektor) und setzt die gelöschte Datei so gut es geht wieder zusammen.

Mehr darüber kannst Du bei Wikipedia unter den Themen Festplatte und File Allocation Table - FAT ("das Inhaltsverzeichnis") nachlesen.

Antwort
von sphxx, 42

Hi!

Das ist jetzt sicher nicht so ganz richtig, aber es könnte vielleicht helfen das grob zu verstehen:

auf welchem Weg ist das möglich

Stell dir deine Festplatte mal als Buch mit Inhaltsverzeichnis vor.

Das, was du beim öffnen von Ordnern siehst, die Dateien auf deiner Festplatte die du siehst - das ist mehr oder weniger nur das Inhaltsverzeichnis.

Eine neu angelegte Datei wird irgendwo ins Buch geschrieben. Und gleichzeitig wird ein entsprechender Eintrag im Inhaltsverzeichnis erstellt.

Wenn du diese Datei dann in einem Ordner siehst ist das dieser Eintrag im Inhaltsverzeichnis - und das reicht völlig um mit der Datei arbeiten zu können.

 

Wenn du die Datei dann löschst und auch den Papierkorb leerst, dann wird üblicherweise nur dieser Eintrag im Inhaltsverzeichnis entfernt. Auch der CCleaner macht erstmal nix anderes.

Die Datei selbst steht aber nach wie vor im Buch, dort wo sie eben angelegt wurde. Da steht nur ein Vermerk dran dass diese Daten jederzeit überschrieben werden dürfen - beispielsweise wenn ne neue Datei diesen Platz bräuchte.

Du kannst diese gelöschte Datei dann auf normalem Weg nicht mehr finden, das Inhaltsverzeichnis kennt sie nicht mehr und sie ist erstmal einfach "weg".

Programme wie Recuva und ähnliche benutzen aber gar nicht dieses Inhaltsverzeichnis. Die gucken stattdessen mal tatsächlich ins Buch rein und suchen dort nach allem was sie finden. Und solange die Datei darin noch zu finden ist kann sie von solchen Programmen auch erkannt und evtl. auch wiederhergestellt werden.

 

Und wie viele Ressourcen nehmen diese "gelöschten" Dateien ein?

Man könnte sagen diese gelöschten Daten belegen maximal deinen freien Speicherplatz :-)

Wenn die Datei gelöscht wurde wird im Buch eben der Vermerk drangemacht dass der belegte Platz frei zur Verfügung steht - auch wenn sich aktuell noch was auf genau diesem Platz befindet. Das aktuell vorhandene wurde ja gelöscht und wird nichtmehr benötigt - dieser Platz wird dir daher als freier Speicher angezeigt.

wo würde das Programm an seine Grenzen stoßen?

Das geht schneller als einem oft lieb ist.

Nehmen wir mal an wir hätten zwei Dateien erstellt und wieder gelöscht. Die Dateien selbst befinden sich wie erwähnt noch im Buch, sind aber erstmal nichtmehr auffindbar.

Wenn nun eine weitere neue Datei erstellt wird regelt dein Betriebssystem wo diese genau gespeichert werden soll. Vielleicht landet sie an einer gänzlich freien Stelle im Buch - aber es ist auch möglich dass sie dort eingetragen wird wo sich zuvor die beiden anderen Dateien befanden.

Dabei kann es sein dass die neue Datei ein bisschen was vom Platz der ersten alten (gelöschten) Datei benötigt und auch ein bisschen was vom Platz der zweiten (gelöschten) Datei. Die neue Datei belegt also ein wenig Platz von den beiden alten Dateien. Darf sie ja auch, ist schon okay so.

Nur: ...wenn man jetzt mit einem passenden Programm nach den beiden alten, gelöschten Dateien sucht kann es sein dass diese zwar noch gefunden werden - aber man wird sie nicht vollständig wiederherstellen können. Denn Teile der ursprünglichen Daten wurden ja durch die neu angelegte Datei überschrieben - und sind daher dann tatsächlich weg. Oder jedenfalls "kaputt".

 

Vielleicht ergänzend:

Es gibt Möglichkeiten Dateien direkt so zu löschen dass sie auch wirklich "weg" sind. Da wird dann nicht nur der Eintrag im Inhaltsverzeichnis gelöscht, sondern der belegte Platz im Buch direkt mehrmals mit Zufallsdaten überschrieben.

"Mehrmals" - denn es gibt sehr ausgeklügelte Methoden um selbst Daten, die bereits durch neu angelegte Dateien übeerschrieben wurden, zu rekonstruieren. Frag mich nicht wie das dann genau funktioniert, aber da gibts Möglichkeiten (...natürlich nicht für Heimanwender).

Man kann also mit Hilfsmitteln schon direkt beim Löschen angeben dass der belegte Platz der Datei tatsächlich sicher gelöscht wird. Wenn ich mich nicht irre gilt das siebenfache Überschreiben einer Datei als "ausreichend sicher" - dauert dann natürlich auch ne Weile. Wer wenig Zeit hat lässt die Daten eben nur ein, zweimal überschreiben - und wer paranoid genug ist kann das Überschreiben auch 35 mal durchlaufen lassen.

 

Und man kann auch gezielt den freien Speicher von Datenträgern bereinigen - da passiert dann auch nix anderes als dass die als "frei" gekennzeichneten Speicherbereiche mehrmals mit Zufallsdaten überschrieben werden. Sollten sich da noch irgendwelche Daten drauf befinden (...wie z. B. längst gelöschte Dateien) werden diese dadurch zerstört.

Das sichere Überschreiben freier Speicherbereiche kann übrigens auch der CCleaner. Guck mal unter "Extras", dort sollte die Funktion zu finden sein.

Vielleicht erklärt dir das ein wenig womit du es zu tun hast?

Grüße!

Kommentar von AlfiB ,

DANKE für diese Wahnsinnsantwort - sehr schön und vor allem verständlich erklärt! Ich muss sagen ich finde diese Plattform und ihre Nutzer immer wieder unfassbar... :)

Kommentar von Werniman ,

Nach meiner Erfahrung stoßen viele Recovery-Programme schon an ihre Grenzen,wenn die Dateien nicht einzeln gelöscht wurden,sondern der übergeordnete Ordner samt darin enthaltener Dateien gelöscht wurde.

Kommentar von sphxx ,

Ich weiß leider zu wenig über die Funktionsweise der Programme, aber ich geh davon aus dass es da große Unterschiede gibt.

Ich hab jedenfalls auch schon gelöschte Verzeichnisstrukturen wiederherstellen können - allerdings nicht mit Recuva, sondern mit ner kostenpflichtigen Lösung, deren Name mir gerade nicht einfallen will...

Kommentar von HWHOO1 ,

Thumbs up! DIESE Antwort verdient eine ABSOLUTE PLUS !!!

Antwort
von Fugenfuzzi, 37

Wenn man Daten unter Windows Löscht sind Sie eigentlich nicht richtig gelöscht. .Die Daten werden dann nur Markiert und für den nächsten Schreibvorgang zum Überschreiben Freigegeben. Unter Windows dann im Explorer als nicht mehr lesbar markiert. So bleiben Oft Datenreste oder Dateireste auf der Platte auch wenn man den Papierkorb geleert hat. Es gibt Tools die man nutzen kann die solche Daten auch Entsprechend Löschen können (Wipen). Will man sicher sein ,sollte man auf einer getrennten Partition seine Daten ablegen und alle Monate komplett die Daten dort auf ein externes Laufwerk Kopieren (USB Stick oder Ecterne Festplatte,je nachdem) .Danach mittels Linux Live DVD das PC System booten und mit dem Tool DD (Disk Dump) die Partition sauber mehrfach Überschreiben lassen (Etwas Zeit sollte man mitbringen kann je nach Größe der Partition und je nach Aufwand mehre Stunden bis Tage dauern). Man kann dann mit dem Tool Recuva die Parttionen prüfen ob dort noch Daten Lesbar sind (bei korrekter Anwendung und Konfig von DD findet Recurva dann auch keine Daten mehr)

Keine passende Antwort gefunden?

Fragen Sie die Community