Jemand formatiert die falsche Platte, oder eine Karte kommt aus der Kamera zurück und meldet sich als leer. Das Dateisystem, das wusste, wo jede Datei beginnt und wie sie heißt, ist fort. Und trotzdem kommen die Fotos zurück. Nicht alle, nicht mit ihren Namen, aber sie kommen zurück.
Die Technik dahinter heißt Carving, und wenn man versteht, was sie liest, versteht man zugleich, warum sie funktioniert und was sie einem nicht geben kann.
Was ein Carver tatsächlich liest
Nichts vom Dateisystem. Das ist der ganze Punkt.
Die Dokumentation zu foremost, einem der altgedienten Werkzeuge dieser Art, beschreibt es als ein forensisches Programm, um verlorene Dateien anhand ihrer Header, Footer und internen Datenstrukturen wiederherzustellen, und ergänzt, dass Header und Footer über eine Konfigurationsdatei festgelegt oder als eingebaute Dateitypen per Kommandozeilenschalter gewählt werden können.
Lesen Sie die Aufzählung noch einmal: Header, Footer, interne Strukturen. Keine Verzeichnisse, keine Partitionstabelle, keine Belegungskarte. Ein Carver läuft die rohe Oberfläche der Platte von einem Ende zum anderen ab, und sobald er die wenigen Bytes erkennt, die den Anfang eines bekannten Dateityps markieren, schreibt er alles Folgende heraus, bis er das Ende erkennt.
Ein JPEG beginnt mit einer bestimmten Signatur und schließt mit einer anderen. Ein PDF ebenso, ein ZIP, ein MOV. Diese Muster stecken in der Datei selbst, weshalb sie die Zerstörung von allem ringsherum überstehen.
Warum Formatieren es nicht aufhält
Das PhotoRec-Handbuch nennt die Folge direkt: PhotoRec ignoriert das Dateisystem und geht an die darunterliegenden Daten, sodass es selbst dann arbeitet, wenn das Dateisystem des Mediums schwer beschädigt oder formatiert ist.
Das überrascht viele, und das sollte es nicht. Eine Schnellformatierung schreibt vor allem die Buchführung neu. Sie erklärt die Regale für leer. Die Bücher stehen noch darin, bis etwas anderes an ihre Stelle gesetzt wird, weshalb das Nützlichste nach einem Fehler ist, die Platte sofort nicht mehr zu benutzen.
Die Namen sind fort, und sie standen nie in der Datei
Das ist der enttäuschende Teil, und er folgt logisch aus dem Mechanismus.
Die PhotoRec-Dokumentation zählt auf, was beim Löschen verschwindet: die Metainformationen dieser Datei (Dateiname, Datum/Uhrzeit, Größe, Lage des ersten Datenblocks bzw. Clusters usw.) gehen verloren.
Jeder Punkt dieser Liste lebt im Dateisystem. Der Name Ihres Fotos stand nie im Foto; er war ein Eintrag in einer Tabelle, die darauf zeigte. Carving überspringt diese Tabelle konstruktionsbedingt und kann Ihnen deshalb mit Sicherheit sagen, dass diese Bytes ein gültiges JPEG sind, und überhaupt nichts darüber, wie Sie es genannt haben oder in welchem Ordner es lag.
Deshalb kommt eine Carving-Rettung als flacher Haufen von f0012345.jpg an, sortiert nach Typ statt nach Bedeutung. Der Inhalt ist unversehrt. Die Ordnung nicht, und kein Werkzeug kann sie zurückerfinden, weil die Information nirgends mehr auf der Platte existiert.
Fragmentierung ist die eigentliche Grenze
Carving unterstellt, dass eine Datei in einem durchgehenden Lauf liegt, Header zuerst, Footer zuletzt. Hatte das Dateisystem sie über die Platte verstreut, bricht diese Annahme, und der Carver schließt die Datei womöglich an der falschen Stelle, was ein Foto ergibt, das zur Hälfte dekodiert und dann zu Rauschen wird.
Die Werkzeuge halten dagegen. Die PhotoRec-Dokumentation beschreibt ihr Vorgehen: wenn eine Datei erfolgreich wiederhergestellt wurde, prüft PhotoRec die vorherigen Datenblöcke, ob dort eine Signatur gefunden wurde, die Datei aber nicht erfolgreich wiederhergestellt werden konnte (weil sie zu klein war), und versucht es erneut. Auf diese Weise lassen sich manche fragmentierten Dateien erfolgreich retten.
Das ehrliche Wort in diesem Satz ist manche. Fragmentierung ist der Punkt, an dem Carving von verlässlich zu teilweise wird, und der Grund, warum zwei Rettungen von scheinbar ähnlichen Platten sehr verschieden ausgehen.
Die Regel, die entscheidet, ob überhaupt etwas geht
Ein betrieblicher Punkt wiegt schwerer als jede Werkzeugwahl, und die PhotoRec-Dokumentation formuliert ihn als Anweisung, nicht als Empfehlung: Sie dürfen die wiederhergestellten Dateien nicht auf dieselbe Partition schreiben, auf der sie gespeichert waren.
Der Grund ist mechanisch. Der Platz, der Ihre verlorenen Dateien enthält, gilt dem Betriebssystem als frei. Alles, was Sie schreiben, kann dort abgelegt werden. Auf die Quellplatte zu retten heißt, dass das Speichern jeder geretteten Datei die nächste überschreiben kann, die Sie noch nicht erreicht haben.
Also: immer auf eine andere Platte retten. Und wenn sich das Laufwerk seltsam verhält, erst abbilden und das Abbild carven, denn ein vollständiger Oberflächenscan ist ein langes Lesen über jeden Sektor, also genau die Last, die eine sterbende Platte am schlechtesten verträgt.
Eine formatierte Platte carven, ohne Kommandozeile
Signaturbasierter Scan mit Vorschau vor der Übernahme. Er kann weder Dateinamen noch Ordnerstruktur zurückholen, weil diese Information nicht mehr auf der Platte existiert, und er verlangt weiterhin ein separates Zielmedium.
Wann Carving die falsche Antwort ist
Lässt sich die Partition noch einhängen und der Verzeichnisbaum durchsehen, wollen Sie kein Carving. Eine herkömmliche Wiederherstellung arbeitet aus den Metadaten und kann Ihnen deshalb Namen, Daten und Struktur zurückgeben, was Carving strukturell nicht kann. Zu Carving greift man, wenn diese Schicht fort, unlesbar oder irreführend ist.
Und wenn das Laufwerk klackt, mitten im Kopieren verschwindet oder steigende Fehlerzähler meldet, ist die Priorität gar keine Rettung. Sie ist Abbilden, einmal, sorgfältig, und danach das Abbild carven.
Kurz gefasst
Carving liest die Plattenoberfläche und erkennt Dateien daran, wie sie beginnen und enden, unter vollständiger Missachtung des Dateisystems. Deshalb übersteht es eine Formatierung, und deshalb liefert es Inhalt ohne Namen: Der Name lebte in der Schicht, die es überspringt.
Seine zwei Grenzen sind Fragmentierung, bei der stückweise gespeicherte Dateien beschädigt zurückkommen, und die Zielregel, die nicht verhandelbar ist. Schreiben Sie Ihre Rettung woandershin, und wenn die Hardware kränkelt, carven Sie ein Abbild statt des Patienten.
Die Beschreibung des Carvings anhand von Headern, Footern und internen Datenstrukturen sowie die Option der Konfigurationsdatei stammen aus der foremost-Dokumentation. Die Aussage, dass das Dateisystem ignoriert wird und die Rettung auf schwer beschädigten oder formatierten Medien funktioniert, die Liste der verlorenen Metainformationen einschließlich des Dateinamens, das Verhalten bei fragmentierten Dateien und die Anweisung, wiederhergestellte Dateien nicht auf die Quellpartition zu schreiben, stammen aus der PhotoRec-Dokumentation. Alles wurde zum Zeitpunkt der Abfassung geprüft. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne Mehrkosten für Sie.
Verwandte Leitfäden
- Dateien nach einer Formatierung wiederherstellen - die Situation, für die Carving am häufigsten dient, von Anfang bis Ende.
- Windows File Recovery - das Werkzeug von Microsoft, das einen Signaturmodus nach demselben Prinzip bietet.
Stelle deine gelöschten Dateien wieder her → EaseUS
Kostenloser Scan · gelöschte, formatierte & verlorene Dateien · Windows & Mac
