Dateiwiederherstellung aus einem Datenträgerabbild
Ein Datenträgerabbild ist eine Byte-für-Byte-Kopie einer Karte oder eines Sticks, und die gelöschten Dateien sind noch darin: ein Löschen in FAT überschreibt ein Zeichen des Namens und gibt die Kette frei, lässt aber Startcluster und Größe stehen. Dieses Werkzeug liest sie zurück, und wo gar kein Dateisystem mehr ist, schnitzt es die Dateien nach ihren Signaturen heraus — und prüft jedes Ergebnis vor der Ausgabe.
Eine Byte-für-Byte-Kopie: dd unter Linux und macOS, Win32 Disk Imager oder USB Image Tool unter Windows. Arbeiten Sie mit der Kopie, nicht mit dem Original.
Das Werkzeug klärt, was darin liegt: das Dateisystem, die lebenden Dateien, die gelöschten Einträge und welche davon noch wiederherstellbar sind.
Über das Verzeichnis — Namen und Ordner kommen zurück. Nach Signaturen — Dateien werden auch dort gefunden, wo kein Verzeichnis mehr ist.
Chromium-Browser speichern direkt in einen gewählten Ordner, die übrigen bekommen ein Archiv. Was die Prüfung nicht bestand, liegt getrennt.
Holen Sie die gelöschten Dateien aus dem Abbild von Karte oder Stick
Vor dem Start wissenswert
- Gearbeitet wird mit dem ABBILD, nicht mit dem Datenträger selbst. Erstellen Sie zuerst das Abbild — dd unter Linux und macOS, Win32 Disk Imager oder USB Image Tool unter Windows — und arbeiten Sie mit der Kopie. Ein defekter Datenträger wird gerade durch wiederholtes Lesen erledigt.
- Eine gelöschte Datei wird unter der Annahme wiederhergestellt, dass ihre Teile am Stück lagen. Für fast alles, was eine Kamera schreibt, stimmt das; auf einem Datenträger, der jahrelang gefüllt und geleert wurde, oft nicht. Deshalb wird hier jedes Ergebnis geprüft, und was die Prüfung nicht besteht, liegt getrennt.
- Gehören die Cluster einer gelöschten Datei inzwischen einer vorhandenen, sind die Daten weg. Solche Einträge kommen in die Liste der überschriebenen, statt als Datei ausgegeben zu werden, die sich nicht öffnen lässt.
- exFAT- und NTFS-Abbilder werden erkannt, ihre Verzeichnisse aber noch nicht gelesen. Das Schnitzen holt die Dateien trotzdem heraus — verloren gehen nur die ursprünglichen Namen und Ordner.
