In den letzten Jahren haben wir eine Vielzahl von Tools als Lösungen zur Datenwiederherstellung auf dem Markt gesehen. Bei Tests einiger dieser Tools haben wir jedoch festgestellt, dass nicht alle für den Job geeignet sind. Der Hauptunterschiedsfaktor ist die Art (oder Arten) der Datenwiederherstellungsalgorithmen, die in diesen Tools verwendet werden. Aber zuerst schauen wir uns an, was passiert, wenn Windows eine Datei löscht.
Inhalt
Warum Wiederherstellung möglich ist
In Windows (und vielen anderen Betriebssystemen, die keine verschlüsselten Dateisysteme oder andere sichere Container verwenden) bedeutet das Löschen einer Datei nicht, dass ihr tatsächlicher Inhalt überschrieben wird (die Ausnahme hier wären SSD-Laufwerke, die eine besondere Geschichte sind). Stattdessen markiert Windows einfach einen Dateisystemeintrag, der zu dieser Datei gehört, als „gelöscht“. Dadurch wird der Festplattenspeicher freigegeben, der von der gelöschten Datei verwendet wurde, zurück in den Pool des freien Speichers. Von nun an kann Windows diesen Speicherplatz beanspruchen – und nutzen! – um Informationen zu speichern, die zu einer anderen Datei gehören. Die Verwendung des freigegebenen Speichers zum Speichern einer anderen Datei überschreibt effektiv den ursprünglichen Inhalt und macht eine spätere Wiederherstellung der ursprünglich gelöschten Datei unmöglich.
Dies geschieht jedoch in der Regel nicht sofort. Bei großen Festplatten optimiert Windows seine Schreibvorgänge, indem es neue Daten in die größten freien Speicherblöcke schreibt. Dies hilft, Fragmentierung zu vermeiden und Dateien ohne Fragmentierung wachsen zu lassen. Als Ergebnis kann der Festplattenspeicher, der zu einer gelöschten Datei gehört, sehr lange ungenutzt auf der Festplatte verbleiben. Der ursprüngliche Inhalt der gelöschten Datei ist verfügbar, wenn Sie das richtige Tool verwenden.
Wiederherstellung mit dem Dateisystem
Die Art und Weise, wie die meisten Dateiwiederherstellungs- und Undelete-Tools funktionieren, besteht darin, das Dateisystem nach Einträgen zu durchsuchen, die auf gelöschte Dateien verweisen. Durch Analyse dieser Einträge kann ein Undelete-Tool herausfinden, welche physischen Blöcke oder Sektoren auf der Festplatte zur Datei gehören, die gelöscht wurde, Informationen aus diesen Blöcken lesen und die ursprüngliche Datei speichern.
Oder zumindest so haben Datenwiederherstellungstools früher funktioniert. Heute haben wir die Möglichkeit, einen anderen Algorithmus zusätzlich zum Dateisystem zu verwenden oder anstelle davon. Lesen Sie Wie Daten carving funktioniert, um mehr zu erfahren.