Das Schnellformatieren einer Festplatte löscht keine Informationen physisch, so dass ein Datenwiederherstellungstool alles bis zur letzten Datei wiederherstellen kann. Falsch! Der Befehl „Schnellformatierung“ zerstört genug Informationen, um die Wiederherstellung kompliziert zu machen und das Ergebnis ungewiss zu lassen. In diesem technischen Artikel werden wir versuchen, zu erklären, was passiert, wenn Sie eine Festplatte mit dem Befehl „Schnellformatierung“ formatieren, was wiederhergestellt werden kann und was nicht, und warum.
Inhalt
Schnellformatierung in Windows
Werfen wir einen Blick darauf, was passiert, wenn Sie eine Festplatte in verschiedenen Versionen von Windows schnell formatieren. Beginnen wir mit Windows 7 als dem zum Zeitpunkt dieses Schreibens beliebtesten Betriebssystem.
Die meisten in Desktop- und Laptop-Computern unter Verwendung einer halbwegs modernen Version von Windows verwendeten Festplatten sind mit NTFS formatiert. Seit Windows XP ist es nicht mehr möglich, Windows auf eine Festplatte mit einem anderen Dateisystem (z. B. FAT) zu installieren, so dass NTFS bei Festplatten so gut wie gegeben ist.
NTFS hat einen einzigartigen und sehr logischen Ansatz zur Organisation von Informationen. In diesem Dateisystem ist *alles* eine Datei. Als Ergebnis behält NTFS Informationen über Benutzerdateien wie Bilder und Dokumente in einer speziellen Systemdatei namens $MFT. Diese Datei enthält Datensätze, die andere Dateien auf der Festplatte identifizieren und Zeiger enthalten, die physische Adressen aller Cluster auf der Festplatte enthalten, die von einer bestimmten Datei belegt werden. Um die Dateien wiederherzustellen, wird ein Datenwiederherstellungstool normalerweise versuchen, das $MFT wiederherzustellen und zu analysieren. Der Rest ist einfach: Das Tool wird diese Datei analysieren und alle anderen Dateien auf der Festplatte basierend auf den Datensätzen im $MFT entdecken.
Was passiert, wenn Windows die Festplatte schnell formatiert? Während keine Informationen absichtlich gelöscht werden, erstellt das System eine leere $MFT-Datei einer bestimmten Größe. Die neue $MFT hat eine Größe von 32 KB in Windows XP, 64 KB in Windows Vista und 256 KB in Windows 7. Jeder MFT-Datensatz ist genau 1 KB lang, so dass eine 32 KB große MFT Informationen über nicht mehr als 32 Dateien enthalten kann.
Wenn Sie auf dieser neu formatierten Festplatte Dateien ablegen, passt Windows automatisch die Größe des $MFT an, so dass es Informationen über jede einzelne Datei und jeden Ordner aufnehmen kann, der erstellt wird. Als Ergebnis wird $MFT ziemlich schnell fragmentiert. Tatsächlich kann ein typisches System $MFT-Dateien haben, die aus 3 bis 10 Fragmenten bestehen, die an zufälligen Stellen auf der Festplatte gespeichert sind.
Wenn Sie die Festplatte schnell formatieren, erstellt Windows eine leere $MFT-Datei an einer festen Stelle. Offensichtlich überschreibt die neue $MFT den Anfang der alten Datei mit demselben Namen. Als Ergebnis gehen die ersten Datensätze in der alten $MFT verloren (überschrieben). Angesichts der geringen Größe der leeren $MFT ist die Anzahl der nicht wiederherstellbaren Dateien relativ gering. Außerdem zeigen die ersten 27 Datensätze auf Systemdateien, die für die Zwecke der Datenwiederherstellung nicht so wichtig sind. Folglich sind noch weniger Dateien nicht wiederherstellbar.
Angesichts der Größe einer leeren $MFT-Datei, die von den verschiedenen Versionen von Windows erstellt wird, erhalten wir die folgende Anzahl von nicht wiederherstellbaren Dateien:
- Windows XP: Die neue $MFT ist 32 KB lang. 27 Datensätze zeigen auf Systemdateien, was bedeutet, dass (32-27)=5 Dateien nicht wiederherstellbar sind.
- Windows Vista: Die neue $MFT ist 64 KB lang, was bedeutet, dass 37 Dateien nicht wiederherstellbar sind.
- Windows 7: Die neue $MFT ist 256 KB lang, so dass 229 Dateien nicht wiederherstellbar sind.
Es gibt noch eine Sache, die von Nicht-Profis oft (wenn nicht immer) übersehen wird. Wenn Sie eine NTFS-Festplatte, die in Windows XP schnell formatiert wurde (mit einer 32 KB $MFT), an einen Windows 7-PC anschließen, wird das System die Größe der $MFT sofort, automatisch und ohne weitere Warnung auf die Windows 7-Standardgröße von 256 KB erhöhen und die ersten 229 Dateien nicht wiederherstellbar machen. Dies ist einer der Gründe, warum ein professionelles Datenrettungslabor die Festplatte immer über ein Hardware-Schreibschutzgerät anschließt. Die Alternative zu einem Hardware-Schreibschutzgerät besteht darin, die Festplatte als physisches Gerät anzuschließen, ohne Windows zu erlauben, die Volumes zu mounten.
Werfen wir einen Blick auf die folgende Tabelle, die zeigt, wie viele Dateien nach der Schnellformatierung der Festplatte in verschiedenen Versionen von Windows nicht wiederherstellbar sind. Die Zahlen in jeder Zelle repräsentieren eine Anzahl von Dateien, die mit einer bestimmten Kombination von Faktoren nicht wiederherstellbar sind.
Datenwiederherstellung in Windows XP
Alternative Dateiwiederherstellungstechniken
Wie Sie sehen können, können herkömmliche Datenwiederherstellungstechniken, die ausschließlich auf dem Dateisystem (der ursprünglichen $MFT-Datei) basieren, einige der ursprünglich auf der NTFS-Festplatte gespeicherten Dateien nicht wiederherstellen. Es gibt jedoch alternative Techniken, die es ermöglichen, fehlende Dateien erfolgreich wiederherzustellen, auch wenn sie nicht mehr im Dateisystem angezeigt werden.
RS Partition Recovery verwendet einen innovativen Wiederherstellungsalgorithmus, der auf einer inhaltsbewussten Analyse basiert. Die inhaltsbewusste Analyse führt eine vollständige Festplattenanalyse auf der Grundlage von Signaturen durch und sucht nach Dateien, die mit persistenten Signaturen identifiziert werden können. Diese Art der Analyse wird manchmal als „File Carving“ bezeichnet. Für die meisten beliebten Dateitypen wie Office-Dokumente, die meisten Bild- und Videoformate, Datenbanken, E-Mails usw. sind die identifizierenden Signaturen bereits enthalten.
Diese Art der Analyse hat auch ihre Einschränkungen. Die Signaturensuche funktioniert hervorragend, wenn man nach Dateien sucht, die in einem einzigen kontinuierlichen Block gespeichert sind. Wenn eine Datei über die Festplatte fragmentiert ist, funktioniert die Signaturensuche nicht so gut. Laut einer kürzlich durchgeführten Studie ist die Fragmentierungsrate von vom Benutzer erstellten wichtigen Dateien wie E-Mail-Nachrichten, Bildern, Videos oder Office-Dokumenten relativ hoch. Zum Beispiel wurden bei einigen 16% der JPEG-Dateien, 17% der Word-Dokumente und 22% der AVI-Videos Fragmentierungen festgestellt. E-Mail-Datenbanken gehören zu den am stärksten fragmentierten Dateien und haben eine 58%ige Chance, fragmentiert zu sein.
Lassen Sie sich davon nicht entmutigen, inhaltsbewusste Analyse zu verwenden. Die tatsächliche Chance, dass eine fragmentierte Datei unter den ersten zweihundert-something Datensätzen ist, ist äußerst gering, da diese Dateien in der Regel zuerst auf der Festplatte gespeichert und selten geändert werden. Und selbst wenn Sie eine beschädigte oder unvollständige Datei wie ein Word-Dokument haben, können Sie immer RS File Repair verwenden, um das beschädigte Dokument zu reparieren.
