Frage Gelöschte Dateien verschwinden auf HDD

Lieber Doktor,

Ich habe folgendes Problem unter Windows XP:
Ausversehen habe ich auf einer mobilen HDD einen Bilder-Dateiordner gelöscht (Größe etwa 10GB) und das Recuva-Programm die ganze Nacht über drüberlaufen lassen (einmal auf WinXP, einmal auf Win7) und ansonsten auch nichts mehr mit der Platte unternommen, um die Dateicluster nicht zu gefährden.

Problem: Die ganzen Dateien sind restlos verschwunden. Kaum eine Spur. Einzig ein paar noch fragmentarisch erhaltene Dateireste sind auffindbar. Die scheinen aber zu einer älteren Version desselben Ordners zu gehören. (Grund: Sie sind längst überschrieben, und hauptsächlich durch Zeug, das ich schon vor Monaten auf die Platte kopiert habe.)

Die Fragen reißen nicht ab:

Hab ich die Bilderfragmente möglicherweise damit überschrieben, dass ich die mitgelöschten Nebenordner, die klein genug für den Papierkorb waren, sofort wieder rausgeholt und zurück in den Überordner sortiert habe?
Die sind zusammen aber nur 2GB groß...

Hat das O&O-Defrag-Programm da im Hintergrund Unsinn gemacht und die Cluster verschoben?
Dann frage ich mich warum es die vor kurzem gelöschten 10GB restlos vernichtet haben sollte und ich stattdessen noch soviel altes Zeug finde.

Ist der Ordner vielleicht gar nicht gelöscht sondern irgendwo reingerutscht?
Dann hätte ich ihn doch schon lange im Explorer finden müssen. So unübersichtlich ist meine HDD nun wirklich nicht.

Oder ist Recuva einfach das falsche Programm für die Platte?
Auf einer lokalen HDD hat derselbe Versuch aber tadellos geklappt! Dadurch hab ich allerdings nicht unbedingt das zurückbekommen was ich wollte.

Hab ich die Bilderfragmente möglicherweise damit überschrieben, dass ich die mitgelöschten Nebenordner, die klein genug für den Papierkorb waren, sofort wieder rausgeholt und zurück in den Überordner sortiert habe?
Die sind zusammen aber nur 2GB groß...

Zum Vergrößern anklicken....

Das kann gut sein.
Wenn die wiederhergestellten Ordner genau auf die Sektoren mit der Dateitabelle geschrieben wurden, sind sie erst einmal weg.

Recuva sollte eigentlich dafür reichen. Ansonsten empfehle ich Testdisk. Das kannst du in der Konsole unter Windows starten.

Ist der Ordner vielleicht gar nicht gelöscht sondern irgendwo reingerutscht?

Zum Vergrößern anklicken....

Die Suchfunktion kennst du (Explorer)? Nimm sie!

Wenn die wiederhergestellten Ordner genau auf die Sektoren mit der Dateitabelle geschrieben wurden, sind sie erst einmal weg.

Zum Vergrößern anklicken....

Ich glaube, du hast an der Stelle nicht genau gelesen oder ich habe ungenau geschrieben.
Es handelt sich um Ordner, die beim selben Löschvorgang im Papierkorb gelandet sind, und aus dem Papierkorb wiederhergestellt. Die sollten eigentlich genau auf dieselben Cluster zurückkehren bzw ja auf allen Ebenen außer dem Explorer noch nicht mal wirklich daraus verschwinden.
Und wie 2GB die fünffache Datenmenge eradieren können, ist zumindest in meiner Logik irrational...

Ansonsten vermeide ich strikt technische Wiederherstellung auf dieselbe Partition.

PS:

Nicht gesicherte Daten sind als gelöscht zu betrachten.

Zum Vergrößern anklicken....

Voll die Ironie. Genau den Ordner wollte ich sichern *g*

Die sollten eigentlich genau auf dieselben Cluster zurückkehren bzw ja auf allen Ebenen außer dem Explorer noch nicht mal wirklich daraus verschwinden.

Zum Vergrößern anklicken....

Na du bist aber naiv. Warum sollte das die Firmware der Festplatte machen? Die sucht sich etwas Freies.

Und wie 2GB die fünffache Datenmenge eradieren können, ist zumindest in meiner Logik irrational...

Zum Vergrößern anklicken....

Genau dann, wenn die Dateiliste kleiner als 2GB ist.
Den Effekt hat man auch, wenn eine volle Platte in wenigen Sekunden formatiert ist. Da ist nichts gelöscht! Es fehlen nur die Verweise. Auch dann kann der größte Teil gerettet werden.

Aber: Auch wenn Recuva nur nichts findet, kann noch alles da sein. Deswegen habe ich ein zweites Tool vorgeschlagen. Es gibt aber noch Weitere.

Ich bin beim Papierkorb immer davon ausgegangen, dass der den Speicherplatz gar nicht zum Überschreiben freigibt, sondern die Dateien nur aus dem Explorer verschwinden lässt und die Freigabe erst nach der (Endgültig-)Löschung erfolgt.

Im anderen Fall würde das aber dann nur heißen, dass die Ordnerpfade hinüber sind, richtig? Ich wundere mich nur, dass die Dateien trotzdem nicht auftauchen. Ich probier mal einen Scan mit Testdisk.

Natürlich ärgerlich, wenn mir die Tatsache, dass ich noch etwas retten konnte, da jetzt zum Verhängnis wird.

//Nachtrag: irgendwo hab ich mal gelesen, dass die Festplatte beim Schreiben angeblich zuerst ganz freie, also unbeschriebene, Sektoren wählt. Das bedeutet dass tendenziell eher wenig gelöschtes überschrieben würde. Allerdings kann ich das technisch auch nicht wirklich nachvollziehen.

Ich bin beim Papierkorb immer davon ausgegangen, dass der den Speicherplatz gar nicht zum Überschreiben freigibt, sondern die Dateien nur aus dem Explorer verschwinden lässt und die Freigabe erst nach der (Endgültig-)Löschung erfolgt.

Zum Vergrößern anklicken....

Der Papierkorb ($Recycle.Bin) ist ein ganz normaler Order, aber versteckt im Hauptverzeichnis. Beim Löschen wird in den Papierkorb verschoben und beim Wiederherstellen wieder zurück. In jedem Fall ganz normale Schreibvorgänge.

Hallo Nokiafan,

Ich interpretier das nochmal mit meinem bescheidenen Wissen:

Bei Verschiebungsvorgängen innerhalb derselben Festplatte ist es meines Wissens so, dass die Datei physikalisch nicht verschoben wird sondern nur ein Verzeichniseintrag (im Gegensatz zum Kopiervorgang, wo die komplette Datei ja an einer anderen Stelle neu geschrieben wird). Inwieweit diese Info richtig ist oder auf den Papierkorb zutrifft, kann ich allerdings nicht sagen. Jedenfalls würde das am Platz der Dateien so nichts ändern und die Verzeichnisse der Nebendateien wären weiter unangetastet.

Gehen wir davon aus, dass trotzdem diese Verzeichnisse bzw die Dateiliste hinüber ist. Das schlimmste Szenario wären dann an sich noch unbeschädigte, aber nicht mehr als solche verifizierbare Dateien, die unzugänglich den Platz auf der Festplatte aussitzen. Also vergleichlich mit Büchern, bei denen man den Einband entfernt hat und die jetzt als großer weißer Papierstapel herumliegen.

Da stellt sich mir die Frage, inwiefern diese Dateien von einem Restaurationsprogramm dann gefunden werden können.

Hallo, lese mal diesen Beitrag durch, beantwortet sicherlich alle deine Fragen !

http://www.drwindows.de/windows-7-allgemein/65932-geloeschte-dateien-verschoben.html


Gruß

Hui, gewagte These!

Aber zumindest das vom letzten Post

Im Papierkorb sind die gelöschten Dateien aber noch vorhanden und können wieder in das Inhaltsverzeichnis eingefügt werden. Die Dateien selbst, bleiben unüberschreibbar auf der Platte liegen.

Zum Vergrößern anklicken....

-> Daraus folgt, meine aus dem Papierkorb zurückgeholten Dateien können keinen Schaden an den gelöschten bzw deren Einträgen im Inhaltsverzeichnis angerichtet haben.

Das Rätsel von deren Verbleib ist damit nun halt trotzdem noch nicht gelöst.

(Grüß mir Sri Lanka)

Hallo,

Das Rätsel von deren Verbleib ist damit nun halt trotzdem noch nicht gelöst.

Zum Vergrößern anklicken....

ist doch nicht schwer zu verstehen ?

"Um den Grund dafür nachvollziehen zu können, benötigen Sie ein grundlegendes Verständnis von dem, was passiert, wenn Sie Dateien absichtlich oder aus Versehen löschen. Grundsätzlich löscht Windows die Daten nicht sofort. Stattdessen werden die entsprechenden Sektoren auf Ihrer Festplatte als "gelöscht" markiert. Das signalisiert anderen Anwendungen, dass der Speicherplatz freigegeben ist und überschrieben werden darf. In der Zwischenzeit können all Ihre gelöschten Daten - darunter auch Informationen über die Dateinamen - sich noch teilweise oder vollständig auf Ihrer Festplatte befinden. Deshalb ist eine Wiederherstellung noch immer möglich. Allerdings kann es sein, dass Windows zusätzlichen Speicherplatz benötigt, um neue Daten auf die Festplatte zu schreiben. Und sobald Windows die Sektoren mit Ihren "gelöschten" Dateien auf der Festplatte überschrieben hat, sind sie für immer verschwunden. "

Was muss ich also tun, um meine gelöschten Dateien wiederzubekommen?

Gruß

Was im Papierkorb landet, wird nicht sofort zum löschen freigegeben sondern wird ganz normal beibehalten. Die Dateien werden erst einmal lediglich umbenannt und in den Ordner $Recycle.bin (bzw, sein XP Pendant) verschoben. Dabei ändert sich keine Sektorzuordnung, dementsprechend wird der Platz dieser Dateien und Ordner auch beim hinzukommen neuer Dateien zunächst nicht angetastet. Nur hat der Papierkorb eine festgelegte Grösse, bei deren erreichen die zuerst gelöschten Dateien ohne weitere Rückfrage zum überschreiben freigegeben werden.

Hat der Papierkorb also die angenommene Grösse von 10 GB, bleiben alle gelöschten Dateien unverändert, solange diese 10 GB nicht überschritten werden. Werden Dateien gelöscht, die zum Überschreiten der 10 GB führen, dann werden die zuerst gelöschten Dateien freigegeben und die neuen aufgenommen. Solange der Papierkorb die Dateien also noch führt, können sie definitiv nicht überschrieben werden.

Aber auch nach der Freigabe durch den Papierkorb müssten die freigegebenen Dateien noch auffindbar sein, denn an der Lage der Daten in den Sektoren hat sich auch jetzt noch nichts geändert. Alles umbenennen und verschieben in den Papierkorb geschieht nämlich nur in der MFT und verändert nichts an der Lage an sich. Wenn Dateien jetzt nicht mehr gefunden werden können, dann muss es auf jeden Fall inzwischen Schreibvorgänge gegeben haben, die die jetzt zum Beschreiben freigegebenen Sektoren mit neuen Daten belegt haben.

hansjorg71 schrieb:

ist doch nicht schwer zu verstehen ?

Zum Vergrößern anklicken....

Für mich nicht.
Aber es gibt wohl ein kleines Missverständnis, ich dachte, ich hätte es ausreichend erkärt.

Die gelöschten Dateien (2GB) aus dem Papierkorb wurden problemlos wiederhergestellt.
Die gelöschten Dateien (10GB) die nicht im Papierkorb waren sind verschwunden.

Das Problem liegt also bei den Dateien die den Papierkorb nie von innen gesehen haben.
Weiter oben hat nokiafan die Vermutung geäußert, dass die Papierkorb-Dateien die Nicht-Papierkorb-Dateien oder zumindest deren Verzeichnisse beim Wiederherstellen teilüberschrieben haben. Was sie aber, so der aktuelle Stand der Diskussion, ja gar nicht können dürften, weil sie ja (wie areiland nochmal ausführlich bestätigt hat) beim Rein-Raus-Vorgang des Papierkorbs ihre Sektoren nicht verändern und daher auch die Sektoren der anderen gelöschten Dateien in Ruhe lassen müssten.

Ich weiß, verwirrend, aber wenn ich selbst durchblicken würde, müsste ich hier nicht so genau fragen.

PS: Ganz oben im Einleitungsbeitrag stehen die Hypothesen auch nochmal die ich aufgestellt habe. Kommt jetzt eben drauf an ob sich die bestätigen oder ausgeschlossen werden können...

Egal was nun wirklich im Inneren der Festplatte passiert ist: Du hast Testdisk schon probiert?
Zeigt es die Daten an?

Wenn nein, tue es als Leergeld ab und sichere regelmäßig (stündlich/täglich/wöchentlich) deine Daten.

Das mit der regelmäßigen Sicherung war nicht das Problem. Aber ich sollte mir angewöhnen, mindestens zwei aktuelle Backups zur Verfügung zu haben, statt einem.

Also, ich bin jetzt mit den Scans über GetDataBack durch.


Erstes Problem: Die Platte ist FAT32 und keine NTFS, was das Wiederfinden massiv erschwert hat.

Tatsächlich haben wir die Dateien (scheinbar?) gefunden. Die Ordnerstruktur war noch geringfügig vorhanden, die Bilddateien aber in ganz andere unbekannte Ordnereinträge gerutscht. Dort fanden sich JPGs mit passenden Namen, die in verschiedenen Änderungsstufen aufgeführt waren. Die aktuellste Änderungsstufe datierte genau auf den Tag, an dem der Ordner gelöscht wurde.

Allerdings war der Wiederherstellungsprozess unerwartet fehlgeschlagen. Von den ausgewählten Dateien wurd offensichtlich nur ein kleiner Teil in den Ordner wiederhergestellt, und die Bilder waren defekt. Beim Zweitversuch waren sie plötzlich auch in der Liste nicht mehr auffindbar. Keine Ahnung was das Programm da gemacht hat.

Meine Idee wäre, es statt einem zweiten Scan jetzt einfach mit PhotoRec zu probieren. Bei dem Programm komme ich allerdings mit der Bedienung noch nicht so zurecht und brauche denk ich viel Speicherplatz. Schauen wir mal.

Einen letzten Anlauf mit PhotoRec, dann ist es mir auch egal^^

Problem nur: Das Programm findet auf der ganzen Festplatte keine JPGs. Überhaupt nichts. Das dürfte doch eigentlich gar nicht sein, oder? Habt ihr das schon mal erlebt?

Normalerweise reicht Recuva schon aus. Wenn nicht kann ich eine andere Datenrettung Software - EaseUS Data Recovery Wizard, unter Tief-Scan kann man die geleerte Daten zurückzuretten. Aber mit der free Version sind nur 2GB Daten kostenlos zu retten. Und eine hier die Anleitung.

Viel Erfolg!

Da könnte was dran sein?

Madness schrieb:

Hat das O&O-Defrag-Programm da im Hintergrund Unsinn gemacht und die Cluster verschoben?
Dann frage ich mich warum es die vor kurzem gelöschten 10GB restlos vernichtet haben sollte

Zum Vergrößern anklicken....

Ich habe im Kopf, dass es für externe Laufwerke keinen Papierkorb gibt, evtl ist das aber auch nur für Flash-Speicher gültig:
http://www.drwindows.de/windows-8-a...rb-externer-festplatte-reparieren-klappt.html

Wenn man allerdings noch ein Defrag drauf laufen lässt, ist eh alles zu spät. O&O Defrag arbeitet einwandfrei, allerdings sollte man die zusätzlichen Optionen einsehen, ob da nicht vorher irgendwie aufgeräumt werden soll. Ist leider Unsitte geworden, einen Defragger auch damit noch zu spicken, geht meistens wie alle anderen automatischen Aufräumprogramme nach hinten los.

Recuva ist für solche Daten pillepalle sinnlos, entweder Ontrack, GetDataBack, EaseUS Data Recovery. Die finden aber auch nur dann was, wenn nicht schon anderweitig dran gefummelt wurde, wie hier. Die sind aber nicht kostenlos.
Bei Runtime GetDataBack könnte die Testversion vorab helfen, ggf als ISO nutzen, damit Einflüsse vom OS ausgeschlossen sind. Ich würde die betroffene HDD auch solange abklemmen.
https://www.runtime.org/data-recovery-live-cd.htm

MfG

Also für externe Festplatten verwendet Windows in der Standardeinstellung den Papierkorb, nur bei Flashmedien wird darauf verzichtet. Je nach Größe der zu löschenden Dateien könnte der Papierkorb aber zu klein gewesen sein. Daß bei einer Wiederherstellung aus dem Papierkorb andere Bereiche der Festplatte noch dazu im größeren Umfang überschrieben werden, halte ich für sehr unwahrscheinlich.

Wenn die betreffenden Sektoren auf der Festplatte überschrieben wurden, sind die Daten weg, dann kann kein Programm dieser Welt die Dateien wiederherstellen. Deswegen sollte man bei der Wiederherstellung nur lesend auf den Datenträger zugreifen und die Dateien an einem anderen Ort wiederherstellen. Fanden auf der Festplatte nach dem Löschen weitere, u.U. umfangreiche Schreibvorgänge statt, stehen die Chancen gut, daß ein Teil oder alle Daten überschrieben wurden.

Wenn keines der hier im Thread genannten Produkte die Daten findet, hilft wohl nur noch die professionelle Datenrettung - eine Garantie für eine Wiederherstellung können die aber auch nicht geben.