User Guide
Alles, was Sie über Datenwiederherstellung mit Raise Data Recovery Software wissen müssen

Dank Raise Data Recovery ist die Wiederherstellung beliebiger Datei auch für unerfahrene Benutzer elementar geworden. Dieser Leitfaden gibt Ihnen einen Einblick in verschiedene Aspekte dieses Prozesses und lehrt Sie, verschiedene Datenverlustaufgaben leicht zu bewältigen, auch wenn Sie noch nie mit Datenrettungssoftware gearbeitet haben. Hier können Sie auch einige hilfreiche Ratschläge von Experten in diesem Bereich finden, die Ihnen helfen werden, die groben Fehler, die das gesamte Verfahren in eine Daten-Katastrophe verwandeln können, zu vermeiden.

DATEISYSTEMTYP UND CHANCEN FÜR WIEDERHERSTELLUNG

Ein Dateisystem ist der Hauptmechanismus, der für die Verwaltung von Daten auf einem Speichermedium verantwortlich ist. Es regelt nicht nur die Art und Weise, wie Daten vom Betriebssystem zugewiesen, gespeichert und bearbeitet werden, sondern definiert auch die Methoden, mit deren Hilfe sie beim Löschen von Dateien oder bei der Speicherformatierung behandelt werden. Daher hängen die Chancen für erfolgreiche Datenrettung im Falle eines Missgeschicks und der Notwendigkeit, die entfernten Informationen wiederherzustellen, stark vom Verhalten des verwendeten Dateisystems ab.

Wenn Sie einige Dateien gelöscht haben oder das gesamte Volumen mit Ihren Daten durch einen unglücklichen Fehler formatiert wurde, können Sie die Möglichkeit zur Korrektur leicht einschätzen, wenn Sie wissen, welcher Typ von Dateisystem diese Operation tatsächlich durchgeführt hat. Schauen wir uns daher verschiedene Dateisysteme von Windows (NTFS, FAT/FAT32, exFAT, ReFS), macOS (HFS+, APFS) und Linux (Ext2, Ext3, Ext4, ReiserFS, XFS, JFS) genauer an, deren generelle Struktur und wie sie die Daten beim Löschen und Formatieren loswerden.

DATEISYSTEMTYP UND CHANCEN FÜR WIEDERHERSTELLUNG

Dateisysteme von Windows

NTFS

Besonderheiten

Struktur: der Dateisystem-Header (Boot Record), die Master File Table ($MFT), Speicherplatz für Dateien:

NTFS structure

Struktur von NTFS

Das NTFS-Dateisystem nutzt die Master File Table (MFT) für Koordination von Dateien. Grundsätzlich enthält die MFT Informationen über alle Dateien und Ordner, in den diese Dateien gespeichert werden. Zu diesen Informationen, um genau zu sein, gehören der Speicherort der Datei, ihr Name, ihre Größe, das Datum und die Zeit ihrer Erstellung und letzter Änderung.

Wenn die Datei-Attribute sind zu groß für eine MFT-Zelle, wird das Dateisystem eine andere in der Datei platzierte Zelle für die Liste der Datei-Attribute zuweisen.

Datei-Löschen

Prozedur: das Dateisystem löscht den Datei-Datensatz in der MFT nicht aber markiert den als unbenutzt und kennzeichnet den Speicherort der Datei in der MFT und Bitmap als freigegeben. Das System löscht auch den Datei-Eintrag aus seinem Verzeichnis.

Wiederherstellung: die Informationen über die gelöschte Datei (Name, Größe, Speicherort) bleiben in der MFT. Wenn der MFT-Datensatz unverändert bleibt und die Daten auf der Festplatte nicht überschrieben sind, stehen die Chancen für die Wiederherstellung der Datei bis zu 100%. Doch, wenn dieser Datensatz gelöscht ist, ist es immer noch möglich, die Datei durch ihren Inhalt zu suchen mithilfe der RAW-Wiederherstellungsmethode (die Analyse des Rohinhalts des Laufwerks auf das Vorhandensein von Dateien vordefinierter Typen, die Dateisystem-Struktur umgeht).

Formatierung

Prozedur: das Dateisystem wischt nur den Anfang der MFT ab. Der Rest von MFT bleibt unverändert.

Datenwiederherstellung: die ersten 256 Dateien verlieren ihre Verbindungen zu der MFT; also, deren Wiederherstellung ist nur mit der RAW-Wiederherstellungsmethode möglich. Wiederherstellungschancen für die Dateien, die diese 256 Dateien folgen, sind bis zu 100%.

FAT/FAT32

Besonderheiten

Struktur: der Dateisystem-Header (2 Headers mehr für FAT32), FAT-Tabellen und der Daten-Bereich.

FAT/FAT32 structure

Struktur von FAT/FAT32

Das FAT-Dateisystem gebraucht die File Allocation Table, die einen Eintrag für jedes Cluster auf der Festplatte enthält und einen Link aus dieser Tabelle zum Speicherort der Datei auf der Festplatte macht. Sie enthält auch Links auf die Cluster von Datei-Start, Datei-Fortsetzung und Datei-Ende. Das FAT-Dateisystem wendet die Defragmentierung von fragmentierten Dateien nicht an. Infolge seines ursprünglichen Designs haben Dateien auf FAT 8 Symbole für den Dateinamen und 3 Symbole für die Datei-Erweiterung. Deshalb speichert das Dateisystem lange Dateinamen getrennt, indem es die LFN-Funktion (Long File Names) verwendet.

Datei-Löschen/Formatierung

Prozedur: das Dateisystem löscht alle Informationen in der File Allocation Table, einschließlich der Links zu den Datei-Fortsetzung- und Datei-End-Clustern. Der Datenbereich selbst wird nicht ausgelöscht. Das erste Symbol des Dateinamens wird gelöscht in seiner kurzen Form, und mit FAT32, einen Teil der Informationen über dem Datei-Start-Cluster wird gelöscht.

Wiederherstellung: der Datei-Start kann gefunden werden, aber die Informationen über die Datei-Fortsetzung und das Ende erfordert eine Annahme. Aus diesem Grund kann die Datenwiederherstellung unvollständig sein. Außerdem defragmentiert das FAT-Dateisystem Dateien nicht und das macht es schwierig, fragmentierten Dateien auch mit der RAW-Wiederherstellungsmethode abzurufen. Ein weiteres Problem ist, dass die Dateinamen sind in Ihrer Länge beschränkt und können auch getrennt auf der Festplatte gespeichert werden. Wiederherstellung von langen Dateinamen wird möglicherweise kein Ergebnis geben.

exFAT

Besonderheiten

Struktur: der Dateisystem-Header, die FAT-Tabelle und der Daten-Bereich.

exFAT structure

Struktur von exFAT

Wie seine Vorgänger benutzt das exFAT-Dateisystem die File Allocation Table zur Verwaltung der Dateien. Diese Tabelle enthält einen Eintrag für jedem Cluster auf der Festplatte und macht einen Link von dieser Tabelle zum Speicherort der Datei auf der Festplatte. Sie enthält auch Links zum Datei-Start, Datei-Fortsetzung und Datei-Ende. Dieses Dateisystem versucht die Fragmentierung von Dateien zu vermeiden. Das Dateisystem stellt keine Verknüpfung zu den Datei-Sub-Verzeichnisse bereit.

Datei-Löschen/Formatierung

Prozedur: das Dateisystem löscht alle Informationen in der File Allocation Table, einschließlich der Links zu den Datei-Fortsetzung- und Datei-End-Clustern. Der Datenbereich selbst wird nicht ausgelöscht.

Wiederherstellung: da die Links zu den Fortsetzungen der Dateien verloren gehen können, können Wiederherstellungsergebnisse für Dateien mit der Größe mehrerer Blöcke unvollständig sein. Die Chancen für erfolgreiche Wiederherstellung einer Datei im Falle des Verzeichnis-Schadens können auch gering sein. Zur gleichen Zeit kann Wiederherstellung von Dateien nach ihrem Inhalt (die RAW-Wiederherstellungsmethode) sehr positive Ergebnisse geben, aufgrund der geringen Fragmentierung von Dateien.

ReFS

Besonderheiten

Struktur: B+-Bäume werden für alle Strukturen auf den Speicher verwendet, einschließlich Dateidaten und Metadaten.

Struktur von ReFS

Die Struktur des ReFS-Dateisystems unterscheidet sich wesentlich von denen seiner Vorgänger. Die darin enthaltenen Informationen sind im Allgemeinen in Form von B+-Bäumen organisiert, die ähnlich wie Datenbanken funktionieren. Solcher Baum besteht aus der Wurzel, inneren Knoten und Blättern. Jeder Baumknoten hat eine geordnete Liste von Schlüsseln und Zeigern auf die Knoten der unteren Ebene oder Blätter. Das bemerkenswerteste Merkmal von ReFS ist die Verwendung von Copy-on-Write (CoW) – die ursprünglichen Dateisystemeinträge werden nie sofort geändert, sie werden nur kopiert und zusammen mit den erforderlichen Änderungen an einen neuen Ort geschrieben.

Datei-Löschen

Prozedur: das Dateisystem bearbeitet die Metadaten einer Datei nicht direkt. Es erstellt seine Kopie, nimmt die erforderlichen Änderungen vor und verknüpft die Daten erst nach erfolgreichem Schreiben in den Speicher mit dem “aktualisierten Eintrag”.

Wiederherstellung: die vorherigen Versionen von Dateisystemobjekten verbleiben weiterhin auf dem Laufwerk, sodass bis zu 100 % der Daten wiederhergestellt werden können.

Dateisysteme von macOS

HFS+

Besonderheiten

Struktur: der Dateisystem-Header, das Dateisystem-Journal; die Katalog-Datei mit den Dateien, die Informationen über andere Dateien (so genannte Hard-Link-Dateien) enthalten.

HFS+ structure

Struktur von HFS+

Das HFS+-Dateisystem unterstützt das Journaling. Das Journal des Dateisystems protokolliert alle Modifikationen im Dateisystem. Das Journal von HFS+ ist begrenzt in seiner Größe, neue Informationen werden jeder Zeit hinzugefügt und über die alten Journal-Einträge geschrieben. Auf diese Weise überschreibt das Dateisystem ältere Informationen, um das Journal für Daten über neuere Dateisystem-Modifikationen freizugeben.

Das HFS+-Dateisystem zielt auf die Defragmentierung von Dateien. Das Dateisystem gründlich sucht einen Platz zum Speichern einer Datei und wörtlich leimt Datei-Fragmente in der gefundenen Stelle zusammen. Die restlichen fragmentierten Dateien können noch ein Problem zu dem Wiederherstellungsergebnis darstellen.

HFS+ unterstützt Hard-Links, die als separate Dateien in einem versteckten Stamm-Verzeichnis von HFS+ gespeichert werden und zum Speichern von Informationen über Benutzer-Dateien dienen. Jede Hard-Link-Datei ist an ihre Benutzer-Datei gebunden.

Datei-Löschen

Prozedur: das Dateisystem löscht den Hard-Link aus dem Verzeichnis. Trotzdem hält es noch diese Informationen in ihre Journal-Einträge für einige Zeit.

Wiederherstellung: das Programm kann das Dateisystem-Journal einsehen und einen älteren Dateisystem-Zustand finden und so verlorenen Hard-Link zurück an seine Stelle zurückbringen. Datenwiederherstellungschancen hängen stark von der Zeit, während der das System nach dem Löschen von Datei verwendet wird, ab. Doch, wenn der Journal-Eintrag geleert gewesen ist, können Sie RAW-Wiederherstellung anwenden, die hervorragende Ergebnisse für die nicht-fragmentierte Dateien geben kann.

Formatierung

Prozedur: das Dateisystem löscht das Hard-Link-Verzeichnis und lässt das Journal und den Datenbereich auf der Festplatte intakt.

Wiederherstellung: das Programm bearbeitet das Dateisystem-Journal, um alles, was aus dem wiederhergestellt werden kann, zu retten oder gebraucht RAW-Wiederherstellungsmethode (durch Dateien-Inhalte), um die verlorenen Dateien abzurufen. Wiederherstellungschancen können gering sein für fragmentierte Dateien, wegen des Löschens von Hard-Links.

APFS

Datei-Löschen

Prozedur: die Datei besteht aus zwei Baum-Strukturen: eine Struktur enthält die Daten selbst, während die andere ist die Virtualisierung der erste. Während des Löschens der erste Baum wird gewischt, jedoch in einigen Datenverlustfällen werden die beide Bäume beschädigt. In solchen Fällen ist Wiederherstellung von Dateien nicht möglich.

Wiederherstellung: Frühere Versionen von dem ersten Baum werden mit Hilfe des zweiten analysiert und so wiederhergestellt werden.

Dateisysteme von Linux

Ext2

Besonderheiten

Struktur: der Dateisystem-Header; Inodes; Inode-Tabelle.

Ext2 structure

Struktur von Ext2

Das Ext2-Dateisystem verwendet Inodes, die Informationen über Dateien enthalten. Diese Informationen umfassen Benutzer- und Gruppenzugehörigkeit, Zugriffsmodus und Erweiterung. Einige Inodes beinhalten eine Kopie der Inode-Tabelle.

Inodes umfassen keine Datei-Inhalte und keine Dateinamen, weil sie in den Datei-Verzeichnissen gespeichert werden und als Metadaten von dem Dateisystem nicht betrachtet werden.

Datei-Löschen

Prozedur: Ext2 bezeichnet den Datei-Inode als frei und aktualisiert die Karte der freien Blöcke. Der Dateiname-Eintrag wird von dem Verzeichniseintrag getrennt. Die Referenz zwischen Dateiname und Node wird gelöscht. Die Datei wird gelöscht, sobald alle Inode-Referenzen zu dieser Datei gelöscht werden.

Wiederherstellung: da Datei-Beschreibungen noch in dem Inode bleiben, die Chancen die Datei abzurufen, sind hoch. Dennoch gehen die Datei-Namen, die in den Verzeichnissen gespeichert sind und von der Datei unverknüpft werden, verloren.

Formatierung

Prozedur: Ext2 wischt alle Datei-Zuordnungsgruppen ab und löscht Datei-Inodes.

Wiederherstellung: das Programm kann die RAW-Wiederherstellungsmethode anwenden, um Dateien nach ihrem Inhalt zu finden. Wiederherstellungschancen hängen von der Fragmentierung der Dateien ab: fragmentierte Dateien sind schwer wiederherzustellen.

Ext3/Ext4

Besonderheiten

Struktur: der Dateisystem-Header; Inodes; Inode-Tabelle.

Ext3 and Ext4 structure

Struktur von Ext3 und Ext4

Zusätzlich zu den Inodes, die auch in Ext2 und Ext3 umgesetzt werden, verwendet das Ext4-Dateisystem das Journaling. Das Dateisystem-Journal verfolgt alle Änderungen in dem Dateisystem. Ext4 unterscheidet sich von Ext3 in der Referenzen-Struktur.

Datei-Löschen

Prozedur: Das Dateisystem erstellt einen Eintrag in dem Journal und dann wischt den Datei-Inode-Eintrag. Der Verzeichnis-Eintrag wird nicht komplett gelöscht und eher die Reihenfolge für Verzeichnislesen wird verändert.

Wiederherstellung: das Abrufen von gelöschten Dateien auch mit dem Dateinamen ist möglich dank des Dateisystem-Journals. Das Wiederherstellungsergebnis noch hängt von der Zeit, während der das Dateisystem nach dem Löschen der Datei in Betrieb bleibt, ab.

Formatierung

Prozedur: Alle Zuordnungsgruppen sowie Datei-Inodes und auch das Journal werden gelöscht. Das Dateisystem-Journal kann noch Informationen über einige der kürzlich erstellten Dateien enthalten.

Wiederherstellung: Das Abrufen von verlorenen Dateien ist nur mit der RAW-Wiederherstellungsmethode möglich, die verlorene Dateien nach ihrem Inhalt zu finden hilft. Fragmentierte Dateien haben geringe Wiederherstellungschancen.

ReiserFS

Besonderheiten

Struktur: der Dateisystem-Header, der S+-Baum.

ReiserFS structure

Struktur von ReiserFS

Das Dateisystem verwendet den S+-Baum, der Dateien-Metadaten speichert und Deskriptoren von Dateien und Datei-Fragmente hat. In den Prozess von Schreiben neuer Metadaten in den Baum ersetzt der neue für die neuen Daten geschaffene Baum den alten. In der gleichen Zeit bleibt ältere Kopie auf der Festplatte. So, das Dateisystem kann viele Metadaten-Kopien speichern. Diese Technik wird Copy-on-Write (CoW) genannt.

Datei-Löschen

Prozedur: Das System aktualisiert seinen S+-Baum, um die Datei auszuschließen, und erneuert die Karte von freiem Speicherplatz.

Wiederherstellung: dank CoW ist es möglich, alle Dateien zusammen mit ihren Namen zu wiederherstellen. Darüber hinaus können Sie auch die vorherige Version einer solchen Datei aus einer älteren Kopie von S+-Baum abrufen.

Formatierung

Prozedur: Das Dateisystem erstellt einen neuen S+-Baum über den vorhandenen.

Wiederherstellung: CoW hilft den letzten Zustand Dateisystems abzurufen und ermöglicht komplette Datenrettung. Die Chancen für vollständige Wiederherstellung von verlorenen Dateien nehmen doch ab, wenn die Dateisystem-Partition voll war. In solchem Fall überschreibt das System die alten Daten mit den neuen.

XFS

Besonderheiten

Struktur: komplexe Baum-Strukturen, Inodes, Bitmaps

SGI XFS structure

Struktur von SGI XFS

Das XFS-Dateisystem verwendet Inodes zur Speicherung von Dateien-Metadaten und das Journaling um System-Änderungen zu verfolgen. Nur die Metadaten werden in diesem Dateisystem protokolliert. Jeder Inode hat einen Header und eine Bitmap. XFS speichert Inodes in einem speziellen Baum in einem bestimmten Ort auf der Festplatte. Das System hat auch eine Bitmap für die freien Speicherblöcke.

Datei-Löschen

Prozedur: der Inode, der für diese Datei verantwortlich ist, wird von dem Baum ausgeschlossen; seine Stelle wird mit neuen Daten überschrieben.

Wiederherstellung: XFS hält die Metadaten der Datei, noch viele Informationen verlassend, und dies macht die Wiederherstellung von verlorenen Dateien möglich. Die Chancen der Wiederherstellung einer gelöschten Datei auch mit dem richtigen Dateinamen sind ziemlich hoch.

Formatierung

Prozedur: Stamm-Verzeichnisse des Dateisystems werden überschrieben.

Wiederherstellung: die Chancen zur Wiederherstellung von Dateien, die am Anfang des Speichers nicht lagen, sind hoch im Gegensatz zu den Dateien, die in der Nähe des Festplatte-Starts gespeichert wurden.

JFS

Besonderheiten

Struktur: der Superblock, der B+-Baum, das Journal, Inode-Datei-Sets

JFS structure

Struktur von JFS

JFS-Dateisystem beschäftigt die B+-Baum-Struktur für die Speicherung von Daten, die Journalfunktion für die Dateisystem-Modifikationen und Inodes für die Beschreibung von Dateien. Das System ist auch in der Lage, mehrere Dateisysteme auf einer Partition mit Links auf die gleiche zu speichern. Dateinamen können in den Unicode- und UTF8-Codierungen gespeichert werden.

Datei-Löschen

Prozedur: JFS aktualisiert den Zähler der Objekt-Gebrauch und lasst den Inode in der Inodes-Karte los. Das Verzeichnis wird neu erstellt, um die Änderungen widerzuspiegeln.

Wiederherstellung: Der Datei-Inode bleibt auf der Festplatte und erhöht die Wiederherstellungschancen von Dateien bis zu fast 100%. Die Wiederherstellungschancen sind niedrig nur für die Dateinamen.

Formatierung

Prozedur: JFS schreibt einen neuen Baum. Er ist klein am Anfang und wird mit weiteren Gebräuche Dateisystems ausgebaut.

Wiederherstellung: die Chancen zur Wiederherstellung von verlorenen Dateien nach der Formatierung sind recht hoch aufgrund der geringen Größe des neuen B+-Baums. Darüber hinaus erhöht die interne Inodes-Nummerierung die Chancen für die einfache Wiederherstellung von Dateien nach der Formatierung.