Warum können gelöschte Dateien
zurückgeholt werden?

Bei so vielen preiswerten Datenrettungsprodukten und Wiederherstellungssoftware auf dem Markt kann man sich fragen, mit welcher Technik diese die Daten zurückholen. Es ist ein sehr komplexer und zeitintensiver Prozess, den man nicht so schnell zuhause nachbauen kann. Um diese Frage zu beantworten, sollten wir erstmal schauen wie die Dateilöschung unter Windows abläuft.

Wiederherstellen von Dateien

Wie Windows Dateien löscht

Dateien werden als Datenblöcke auf Festplattensektoren gespeichert. Diese Sektoren können nebeneinander oder zufällig auf der Festplattenoberfläche verteilt sein. Abhängig ist die Sektorbestückung von freien Blöcken, die bei der Speicherung einer bestimmten Datei vorliegen. Wenn das System keinen zusammenfassenden Datenblock für die Größe der Datei finden kann, dann teilt er die Datei und schreibt sie auf unterschiedliche, freie Blöcke.

Windows speichert Dateien auf Ihrer Festplatte und listet sie im Dateisystem. Das Dateisystem verzeichnet Dateinamen, -größe, -attribute und am Wichtigsten den genauen Speicherort der eigentlichen Daten auf der Festplatte. Wenn Sie eine Datei löschen (vorausgesetzt der Papierkorb ist ausgeschaltet), dann entfernt Windows diese Datei nicht wirklich und ändert auch nicht die eigentlichen Daten. Stattdessen wird nur blitzschnell der entsprechende Eintrag im Dateisystem zur Bezeichnung „gelöscht“ angepasst. Weder der Eintrag im Dateisystem noch die originalen Daten sind zu diesem Zeitpunkt verloren.

Wie man sieht, werden Dateien nicht wirklich bei einer Löschung entfernt. Windows ändert den Einträg im Dateisystem und gibt den Speicherplatz der Datei als verfügbar an. Auch wenn die eigentlichen Daten noch vorhanden sind, werden die Sektoren zur zukünftigen Nutzung angeboten. Irgendwann benötigt das System wieder Platz für andere Daten und dann könnten diese Blöcke genutzt werden und eine andere Datei belegt diese Sektoren. Ab dann sind die alten Daten wirklich gelöscht. Bis dahin sind die Daten immer noch auf der Festplatte und können wiederhergestellt werden. Unterschiedliche Datenrettungsprogramme nutzen diese Vorgehensweise für ihre Funktionen.

Wie Programme Dateien wiederherstellen

Wenn Sie ein Datenrettungsprogramm zwischen der vermeintlichen Löschung einer Datei und der Überschreibung der Datensektoren dieser Datei einsetzen, dann können Sie diese Datei retten. Natürlich hängt viel davon ab, welche Art von Software Sie nutzen.

Die einfachsten Datenrettungsprogramme durchsuchen das Dateisystem nach allen Einträgen, die als „gelöscht“ markiert sind. Danach werden diese Einträge analysiert, indem die physischen Festplattensektoren mit den Daten bestimmt werden. Nach einer Doppelprüfung, um sicherzugehen, dass der Festplattenspeicher wirklich nicht von einer (nicht gelöschten) Datei belegt ist, fährt das Programm fort und holt sich die neuen Dateiinhalte zur Speicherung.

Manchmal funktioniert dieses einfache Verfahren aber nicht. Windows nutzt die Dateisystemeinträge erneut und legt die gelöschte Datei als nicht mehr wiederherstellbar fest. Jetzt können Sie die Datei mit einer einfachen Datenrettungssoftware nicht mehr retten. Zum Glück gibt es Produkte, die eine inhaltsorientierte Analysetechnik per Signatursuche anwenden, die die gesamte Laufwerksoberfläche zur genauen Ortsbestimmung auch ohne Eintrag im Dateisystem durchsuchen.

Die Algorithmen durchsuchen im Wesentlichen nach einer Kombination von speziellen Bytes auf einem Laufwerk, die den Anfang oder das Ende einer Datei markieren. Zum Beispiel die Formate *.avi, *.docx, *.pdf, *.ppt, *.pst, *.zip jeweils beginnend mit „52 49 46 46“, „50 4B 03 04“, „25 50 44 46“, „D0 CF 11 E0“, „21 42 44 4E“ und „50 4B 03 04“.

Solid-State-Laufwerke: Die Ausnahme

Die Situation ist schwieriger mit SSD-Laufwerken: Wenn eine Datei von einem SSD-Laufwerk gelöscht wurde, nutzt Windows das gleiche Verfahren: lässt den Inhalt bestehen und markiert nur die Löschung im Eintrag des Dateisystems. Ein weiterer Schritt ist allerdings notwendig: Windows gibt den TRIM-Befehl, um der Festplatte anzuzeigen, dass der vorher belegte Festplattenspeicher nun verfügbar ist. Die Festplatte führt dann eine physische Löschung der Sektoren aus und löscht damit unwiderruflich den Dateiinhalt. Warum ist das so? Die Gründe dafür, liegt in der Natur der gespeicherten Informationen auf einem SSD-Laufwerk. Weitere Informationen hierzu bekommen Sie in anderen Artikeln.

Author: Michael Miroshnichenko

1 Star2 Stars3 Stars4 Stars5 Stars (1 votes, average: 5.00 out of 5)