User Guide

Alles, was Sie über Datenwiederherstellung mit Raise Data Recovery Software wissen müssen

DATEISYSTEMTYP UND CHANCEN FÜR WIEDERHERSTELLUNG

Dateisysteme regeln, wie die Daten auf einem Datenträger zugeordnet, gespeichert und bearbeitet werden. Da das Dateisystem ist hauptsächlich für die Verwaltung von Daten verantwortlich, definiert es die Art der Handhabung von Daten während und nach ihrer Löschung. So, die Chancen für eine vollständige und erfolgreiche Datenrettung hängen von dem Verhalten Dateisystems.

Virenangriffe und logische Fehler machen das Verhalten des Dateisystems unvorhersehbar: das System kann die Dateien des Benutzers löschen oder den gesamten Speicher formatieren. Aus diesem Grund werden wir hier zwei Fälle von Datenverlust betrachten – Dateien-Löschen und System-Formatierung (mit dem gleichen Dateisystem). Lassen Sie uns einen genaueren Blick auf die Dateisysteme von Windows wie NTFS, FAT/FAT32 und exFAT; HFS+ und APFS von macOS und Linux-Dateisysteme wie Ext2, Ext3, Ext4, ReiserFS, XFS und JFS.

DATEISYSTEMTYP UND CHANCEN FÜR WIEDERHERSTELLUNG

Dateisysteme von Windows

NTFS

Besonderheiten

Struktur: Dateisystem-Header (Boot Record, die Master File Table ($MFT), Speicherplatz für Dateien:

NTFS structure

Struktur von NTFS

Das NTFS-Dateisystem nutzt die Master File Table (MFT) für Koordination von Dateien. Grundsätzlich enthält die MFT Informationen über alle Dateien und Ordner, in den diese Dateien gespeichert werden. Zu diesen Informationen, um genau zu sein, gehören Datei-Speicherort, Name, Größe, Datum und Zeit der Erstellung und der letzten Änderung.

Wenn die Datei-Attribute sind zu groß für eine MFT-Zelle, wird das Dateisystem eine andere in der Datei platzierte Zelle für die Liste der Datei-Attribute zuweisen.

Datei-Löschen

Prozedur: das Dateisystem löscht den Datei-Datensatz in der MFT nicht und markiert den als unbenutzt und kennzeichnet den Speicherort der Datei in der MFT und Bitmap als freigegeben. Das System löscht auch den Datei-Eintrag aus seinem Verzeichnis.

Wiederherstellung: die Informationen über die gelöschte Datei (Name, Größe, Speicherort) bleiben in der MFT. Wenn der MFT-Datensatz unverändert bleibt und die Daten auf der Festplatte nicht überschrieben sind, stehen die Chancen für die Wiederherstellung der Datei bis zu 100%. Doch, wenn dieser Datensatz gelöscht ist, ist es immer noch möglich, die Datei durch ihren Inhalt zu suchen mit Hilfe der RAW-Wiederherstellungsmethode (Datenrettung durch Festplatten-Inhalten, die Dateisystem-Struktur umgeht.

Formatierung

Prozedur: das Dateisystem wischt nur den Anfang der MFT ab. Der Rest von MFT bleibt unverändert.

Datenwiederherstellung: die ersten 256 Dateien verlieren ihre Verbindungen zu der MFT; also, deren Wiederherstellung ist nur mit der RAW-Wiederherstellungsmethode möglich. Wiederherstellungschancen für die Dateien, die diese 256 Dateien folgen, sind bis zu 100%.

FAT/FAT32

Besonderheiten

Struktur: der Dateisystem-Header (2 Headers mehr für FAT32), FAT-Tabellen und der Daten-Bereich.

FAT/FAT32 structure

Struktur von FAT/FAT32

Das FAT-Dateisystem gebraucht die File Allocation Table, die einen Eintrag für jedes Cluster auf der Festplatte enthält und einen Link aus dieser Tabelle zum Speicherort der Datei auf der Festplatte macht. Sie enthält auch Links auf die Cluster von Datei-Start, Datei-Fortsetzung und Datei-Ende. Das FAT-Dateisystem wendet die Defragmentierung von fragmentierten Dateien nicht an. Infolge seines ursprünglichen Designs haben Dateien auf FAT 8 Symbole für den Dateinamen und 3 Symbole für die Datei-Erweiterung. Deshalb speichert das Dateisystem lange Datei-Namen getrennt indem es die LFN-Funktion (Long File Names) verwendet.

Datei-Löschen/Formatierung

Prozedur: das Dateisystem löscht alle Informationen in der File Allocation Table, einschließlich der Links zu den Datei-Fortsetzung- und Datei-End-Clustern. Der Datenbereich selbst wird nicht ausgelöscht. Das erste Symbol des Datei-Namens wird gelöscht in seiner kurzen Form, und mit FAT32, einen Teil der Informationen über dem Datei-Start-Cluster wird gelöscht.

Wiederherstellung: der Datei-Start kann gefunden werden, aber die Informationen über die Datei-Fortsetzung und das Ende erfordert eine Annahme. Aus diesem Grund kann die Datenwiederherstellung unvollständig sein. Außerdem defragmentiert FAT-Dateisystem Dateien nicht und das macht es schwierig, fragmentierten Dateien auch mit der RAW-Wiederherstellungsmethode abzurufen. Ein weiteres Problem ist, dass die Datei-Namen sind in Ihrer Länge beschränkt und können auch getrennt auf der Festplatte gespeichert werden. Wiederherstellung von langen Dateinamen wird möglicherweise kein Ergebnis geben.

exFAT

Besonderheiten

Struktur: der Dateisystem-Header, die FAT-Tabelle und der Daten-Bereich.

exFAT structure

Struktur von exFAT

Wie seine Vorgänger, das exFAT-Dateisystem benutzt die File Allocation Table zur Verwaltung der Dateien. Diese Tabelle enthält einen Eintrag für jedem Cluster auf der Festplatte und macht einen Link von dieser Tabelle zum Speicherort der Datei auf der Festplatte. Sie enthält auch Links zum Datei-Start, Datei-Fortsetzung und Datei-Ende. Dieses Dateisystem versucht die Fragmentierung von Dateien zu vermeiden. Das Dateisystem stellt keine Verknüpfung zur Datei-Sub-Verzeichnisse bereit.

Datei-Löschen/Formatierung

Prozedur: das Dateisystem löscht alle Informationen in der File Allocation Table, einschließlich der Links zu den Datei-Fortsetzung- und Datei-End-Clustern. Der Datenbereich selbst wird nicht ausgelöscht.

Wiederherstellung: da die Links zu den Fortsetzungen der Dateien verloren gehen können, können Wiederherstellungsergebnisse für Dateien mit der Größe mehrerer Blöcke unvollständig sein. Die Chancen für erfolgreiche Wiederherstellung einer Datei im Falle des Verzeichnis-Schadens können auch gering sein. Zur gleichen Zeit kann Wiederherstellung von Dateien nach ihrem Inhalt (die RAW-Wiederherstellungsmethode) sehr positive Ergebnisse geben, aufgrund der geringen Fragmentierung von Dateien.

Dateisysteme von macOS

HFS+

Besonderheiten

Struktur: der Dateisystem-Header, das Dateisystem-Journal; die Katalog-Datei mit den Dateien, die Informationen über andere Dateien (so genannte Hard-Link-Dateien) enthalten.

HFS+ structure

Struktur von HFS+

Das HFS+-Dateisystem unterstützt Journaling. Das Journal des Dateisystems protokolliert alle Modifikationen im Dateisystem. Das Journal von HFS+ ist begrenzt in seiner Größe, neue Informationen wird jeder Zeit hinzugefügt und geschrieben über die alten Journal-Einträge. Auf diese Weise überschreibt das Dateisystem ältere Informationen um das Journal für Daten über neuere Dateisystem-Modifikationen freizugeben.

Das HFS+-Dateisystem zielt auf die Defragmentierung von Dateien. Das Dateisystem gründlich sucht einen Platz für Speicherung einer Datei und wörtlich leimt Datei-Fragmente zusammen in der gefundenen Stelle. Die restlichen fragmentierten Dateien können noch ein Problem zu dem Wiederherstellungsergebnis darstellen.

HFS+ unterstützt Hard-Links, die als separate Dateien in einem versteckten Stamm-Verzeichnis von HFS+ gespeichert werden und zum Speichern von Informationen über eine Benutzer-Datei dienen. Jede Hard-Link-Datei ist an ihre Benutzer-Datei gebunden.

Datei-Löschen

Prozedur: das Dateisystem löscht den Hard-Link aus dem Verzeichnis. Trotzdem hält es noch diese Informationen in ihre Journal-Einträge für einige Zeit.

Wiederherstellung: das Programm kann das Dateisystem-Journal einsehen und einen älteren Dateisystem-Zustand finden und so verlorenen Hard-Link zurück an seine Stelle zurückbringen. Datenwiederherstellungschancen hängen stark von der Zeit, während der das System nach dem Löschen von Datei verwendet wird, ab. Doch, wenn der Journal-Eintrag geleert gewesen ist, können Sie RAW-Wiederherstellung anwenden, die hervorragende Ergebnisse für die nicht-fragmentierte Dateien geben kann.

Formatierung

Prozedur: das Dateisystem löscht das Hard-Link-Verzeichnis, das Journal und den Daten-Bereich auf der Festplatte intakt verlassend.

Wiederherstellung: das Programm bearbeitet das Dateisystem-Journal um alles, was aus dem wiederhergestellt werden kann, zu retten oder gebraucht RAW-Wiederherstellungsmethode (durch Dateien-Inhalte) um die verlorenen Dateien abzurufen. Wiederherstellungschancen kann niedrig sein für fragmentierte Dateien, wegen des Löschens von Hard-Links.

APFS

Datei-Löschen

Prozedur: die Datei besteht aus zwei Baum-Strukturen: eine Struktur enthält die Daten selbst, während die andere ist die Virtualisierung der erste. Während des Löschens der erste Baum wird gewischt, jedoch in einigen Datenverlustfällen werden die beide Bäume beschädigt. In solchen Fällen ist Wiederherstellung von Dateien nicht möglich.

Wiederherstellung: Frühere Versionen von dem ersten Baum werden mit Hilfe des zweiten analysiert und so wiederhergestellt werden.

Dateisysteme von Linux

Ext2

Besonderheiten

Struktur: der Dateisystem-Header; Inodes; Inode-Tabelle.

Ext2 structure

Struktur von Ext2

Das Ext2-Dateisystem verwendet Inodes, die Informationen über Dateien enthalten. Diese Informationen enthalten Benutzer- und Gruppenzugehörigkeit, Zugriffsmodus und Erweiterung. Einige Inodes beinhalten eine Kopie der Inode-Tabelle.

Inodes umfassen keine Datei-Inhalte und keine Dateinamen, weil sie in den Datei-Verzeichnissen gespeichert werden und als Metadaten von dem Dateisystem nicht betrachtet werden.

Datei-Löschen

Prozedur: Ext2 bezeichnet den Datei-Inode als frei und aktualisiert die Karte der freien Blöcke. Der Dateiname-Eintrag wird von dem Verzeichniseintrag getrennt. Die Referenz zwischen Dateiname und Node wird gelöscht. Die Datei wird gelöscht, sobald alle Inode-Referenzen zu dieser Datei gelöscht werden.

Wiederherstellung: da Datei-Beschreibungen noch in dem Inode bleiben, die Chancen die Datei abzurufen, sind hoch. Dennoch gehen die Datei-Namen, die in den Verzeichnissen gespeichert sind und von der Datei unverknüpft werden, verloren.

Formatierung

Prozedur: Ext2 wischt alle Datei-Zuordnungsgruppen ab und löscht Datei-Inodes.

Wiederherstellung: das Programm kann die RAW-Wiederherstellungsmethode anwenden, um Dateien nach ihrem Inhalt zu finden. Wiederherstellungschancen hängen von der Fragmentierung der Dateien ab: fragmentierte Dateien sind schwer zu wiederherstellen.

Ext3/Ext4

Besonderheiten

Struktur: der Dateisystem-Header; Inodes; Inode-Tabelle.

Ext3 and Ext4 structure

Struktur von Ext3 und Ext4

Zusätzlich zu den Inodes, die auch in Ext2 und Ext3 umgesetzt werden, verwendet Ext4 Dateisystem-Journaling. Das Dateisystem-Journal verfolgt alle Änderungen in dem Dateisystem. Ext4 unterscheidet sich von Ext3 in der Referenzen-Struktur.

Datei-Löschen

Prozedur: Das Dateisystem erstellt einen Eintrag in dem Journal und dann wischt den Datei-Inode-Eintrag. Der Verzeichnis-Eintrag wird nicht komplett gelöscht und eher die Reihenfolge für Verzeichnislesen wird verändert.

Wiederherstellung: das Abrufen von gelöschten Dateien auch mit dem Datei-Namen ist möglich dank des Dateisystem-Journals. Das Wiederherstellungsergebnis noch hängt von der Zeit, während der das Dateisystem nach dem Löschen der Datei in Betrieb bleibt, ab.

Formatierung

Prozedur: Alle Zuordnungsgruppen sowie Datei-Inodes und auch das Journal werden gelöscht. Das Dateisystem-Journal kann noch Informationen über einige der kürzlich erstellten Dateien enthalten.

Wiederherstellung: Das Abrufen von verlorenen Dateien ist nur mit der RAW-Wiederherstellungsmethode möglich, die verlorene Dateien nach ihrem Inhalt zu finden hilft. Fragmentierte Dateien haben geringe Wiederherstellungschancen.

ReiserFS

Besonderheiten

Struktur: der Dateisystem-Header, der S+-Baum.

ReiserFS structure

Struktur von ReiserFS

Das Dateisystem verwendet den S+-Baum, der Dateien-Metadaten speichert und hat Deskriptoren von Dateien und Datei-Fragmente. In den Prozess von Schreiben neuer Metadaten in den Baum ersetzt der neue für die neuen Daten geschaffene Baum den alten. In der gleichen Zeit bleibt ältere Kopie auf der Festplatte. So, das Dateisystem kann viele Metadaten-Kopien speichern. Diese Technik wird Copy-on-Write (COW) genannt.

Datei-Löschen

Prozedur: Das System aktualisiert seinen S+-Baum, um die Datei auszuschließen, und erneuert die Karte von freiem Speicherplatz.

Wiederherstellung: dank COW ist es möglich, alle Dateien zusammen mit ihren Namen zu wiederherstellen. Darüber hinaus können Sie auch die vorherige Version einer solchen Datei aus einer älteren Kopie von S+-Baum abrufen.

Formatierung

Prozedur: Das Dateisystem erstellt einen neuen S+-Baum über den vorhandenen.

Wiederherstellung: COW hilft den letzten Zustand Dateisystems abzurufen und ermöglicht komplette Datenwiederherstellung. Die Chancen für eine vollständige Wiederherstellung von verlorenen Dateien nehmen doch ab, wenn die Dateisystem-Partition voll war. In solchem Fall überschreibt Das System die alten Daten mit den neuen.

XFS

Besonderheiten

Struktur: komplexe Baum-Strukturen, Inodes, Bitmaps

SGI XFS structure

Struktur von SGI XFS

Das XFS-Dateisystem verwendet Inodes zur Speicherung von Dateien-Metadaten und Journaling um System-Änderungen zu verfolgen. Nur die Metadaten werden in diesem Dateisystem protokolliert. Jeder Inode hat einen Header und eine Bitmap. XFS speichert Inodes in einem speziellen Baum in einem bestimmten Ort auf der Festplatte. Das System hat auch eine Bitmap für die freien Speicherblöcke.

Datei-Löschen

Prozedur: der Inode, der für diese Datei verantwortlich ist, wird von dem Baum ausgeschlossen; seine Stelle wird mit neuen Daten überschrieben.

Wiederherstellung: XFS hält die Metadaten der Datei, noch viele Informationen verlassend, und dies macht die Wiederherstellung von verlorenen Dateien möglich. Die Chancen der Wiederherstellung einer gelöschten Datei auch mit dem richtigen Datei-Namen sind ziemlich hoch.

Formatierung

Prozedur: Stamm-Verzeichnisse des Dateisystems werden überschrieben.

Wiederherstellung: die Chancen zur Wiederherstellung von Dateien, die am Anfang des Speichers nicht lagen, sind hoch im Gegensatz zu den Dateien, die in der Nähe des Festplatte-Starts gespeichert wurden.

JFS

Besonderheiten

Struktur: der Superblock, der B+-Baum, das Journal, Inode- Datei-Sets

JFS structure

Struktur von JFS

JFS-Dateisystem beschäftigt die B+-Baum-Struktur für die Speicherung von Daten, die Journalfunktion für die Dateisystem-Modifikationen und Inodes für die Beschreibung von Dateien. Das System ist auch in der Lage mehrere Dateisysteme auf einer Partition mit Links auf die gleiche zu speichern. Datei-Namen können in den Unicode- und UTF8-Codierungen gespeichert werden.

Datei-Löschen

Prozedur: JFS aktualisiert den Zähler der Objekt-Gebrauch und lasst den Inode in der Inodes-Karte los. Das Verzeichnis wird neu erstellt, um die Änderungen widerzuspiegeln.

Wiederherstellung: Der Datei-Inode bleibt auf der Festplatte und erhöht die Wiederherstellungschancen von Dateien bis zu fast 100%. Die Wiederherstellungschancen sind niedrig nur für die Dateinamen.

Formatierung

Prozedur: JFS schreibt einen neuen Baum. Er ist klein am Anfang und wird mit weiteren Gebräuche Dateisystems ausgebaut.

Wiederherstellung: die Chancen zur Wiederherstellung von verlorenen Dateien nach der Formatierung sind recht hoch aufgrund der geringen Größe des neuen B+-Baums. Darüber hinaus erhöht die interne Inodes-Nummerierung die Chancen für die einfache Wiederherstellung von Dateien nach der Formatierung.