Gelöschte Partitionen und Daten wiederherstellen mit Testdisk und Photorec

Anders als viele meinen lassen sich gelöschte Daten und ganze Partitionen wiederherstellen auch, wenn die Festplatte / die Partition gelöscht oder formatiert wurde. Wirklich sicher ‚gelöscht‘ werden Daten wirklich nur dann wenn man diese Bit für Bit mit anderen Daten überschreibt.

Grund für diesen Artikel – den ich eigentlich erst später schreiben wollte ist ein Posting in einem Artikel in einem deutschen Forum rund um Linux Mint – dort wird gemeint die Wiederherstellung von Daten wäre mit riesigem Aufwand und nur von Profis mit hohem Geldaufwand möglich (diese Meinung betrifft in diesem Fall natürlich nur diesen Nutzer und Nutzern die, die hier beschriebene Software nicht kennen) – dies ist nur der Fall wenn die Hardware selbst Schaden erlitten hat.

Wichtig!

Geht es um die Rettung von gelöschten Daten, gilt es schnell zu handeln – vor allem dann, wenn die jeweilige Festplatte auch aktiv vom Betriebssystem genutzt wird. Werden Daten tatsächlich gelöscht, wird deren Zuordnung im Dateisystem entfernt und der Speicherplatz zur weiteren Nutzung freigegeben – das Betriebssystem speichert und löscht im Hintergrund immer wieder Daten und könnte eine Rettung dieser dann unmöglich machen. Im besten Fall zieht man bei einer System-Festplatte (also auf der das Betriebssystem installiert ist) den Netz-Stecker und startet die Datenrettung von einem Live-System. Bei externen Festplatten ist dies nicht unbedingt nötig.

Das reine Löschen oder Formatieren von Partitionen (also den Bereichen auf Festplatten) löscht Daten nicht direkt – nur die Organisation der Daten wird entfernt – also so gesehen das Inhaltsverzeichnis das beschreibt, wo die Daten auf der oder den Partitionen liegen. Die Daten selbst bleiben auch nach einer Formatierung erhalten – erst wenn die Daten vollständig überschrieben wurden, ist eine Datenrettung nicht mehr möglich. Darum – nie einen Datenträger verkaufen, der einfach nur formatiert wurde.

Testdisk und Photorec

Nun zur Meinung diese Nutzers – kennt man die richtige Software ist auch die Rettung von Daten, ohne Profis teuer zu bezahlen möglich – solange es sich nicht um einen Hardware-Defekt handelt.

Testdisk

Testdisk dient dazu absichtlich oder durch einen Fehler gelöschte Partitionen wiederherzustellen – besser gesagt, die Software sucht nach Partitionstabellen und stellt diese wieder her. Ein reines Löschen von Partitionen auf Festplatten ist also absolut keine Sicherheit beim Verkauf solcher Datenträger.

Testdisk installieren

Installiert wird diese Software unter auf Debian basierenden Linux-Distributionen ganz einfach über die Paket-Verwaltung durch das Paket „testdisk“ – die Live-Distribution Knoppix hat diese bereits vorinstalliert (http://www.knoppix.org/). Der Software ist es dabei übrigens komplett egal um welche Partitionen von welchen Betriebssystemen es sich handelt.

Testdisk benutzen

Genutzt wird diese Software ausschließlich vom Administrator auf dem Terminal, gestartet wird diese mit dem Befehl:

testdisk

Die erste Nachfrage der Software dient dazu eine Log-Datei anzulegen, eine solche hilft bei der Wiederherstellung so gesehen als Sicherung. Wählen Sie „Create„, wird die Wiederherstellung abgebrochen findet die Software diese automatisch und arbeitet dort weiter wo abgebrochen wurde. Bestätigen Sie nach dem Markieren mit den Pfeiltasten mit der Eingabe-Taste.

Wählen Sie nun die entsprechende Festplatte deren Partitionstabelle es zu retten gilt und bestätigen abermals mit Eingabe.

In der Regel erkennt die Software anschließend um welche Art von Partitionstabelle es sich handelt, nur in seltenen Fällen müssen Sie hier eingreifen – bestätigen Sie mit Eingabe.

Wir möchten den Datenträger natürlich analysieren:

Die Software zeigt das aktuelle Partitionsschema, wählen Sie „Quick Search„:

Die Analyse wird nun je nach Größe des Datenträgers etwas Zeit benötigen, warten Sie ab, markieren die gefundene Partitionstabelle und stellen diese wieder her. Diese Funktion ist nicht für Experimente gedacht – sie kann die aktuelle Konfiguration löschen – dient also zur Rettung von Partitionen und nicht für Spielchen.

Photorec

Diese Software dient zur direkten Wiederherstellung von Daten. Haben Sie etwa Dateien unabsichtlich gelöscht, oder auch einfach das Dateisystem formatiert – diese Software stellt gelöschte Dateien wieder her, egal auf welchem Dateisystem (Linux, Windows, UNIX, …).

Wichtig – die Rettung von gelöschten Dateien sollte auf einer Systemfestplatte von einem Live-System gestartet werden – ansonsten besteht die Gefahr das Sie bei der Rettung zu rettende Daten überschreiben.

Installiert wird diese Software unter auf Debian basierenden Linux-Distributionen über die Paket-Verwaltung durch das Paket „testdisk“ (zwei Anwendungen im selben Paket). Knoppix hat die Software bereits vorinstalliert.

Auch diese Software wird ausschließlich vom Administrator am Terminal genutzt, gestartet wird mit dem Befehl:

photorec

Wählen Sie die Festplatte und bestätigen mit Eingabe:

Statt nun einfach mit der Vorgabe zu starten nutzen Sie die Pfeiltasten um auf die „File Opt“ zu wechseln und bestätigen mit Eingabe:

Hier finden Sie nun alle möglichen Dateiformate – alle sind markiert. Die Software würde nach allen diesen Formaten suchen, dies würde die Wiederherstellung verzögern, Sie beschleunigen die Wiederherstellung indem Sie nur gewünschte Dateien suchen und wiederherstellen lassen. Sie nutzen die Pfeiltasten zur Navigation und wählen die nicht gewünschten Dateiformate mit der Leertaste ab. Die Liste ist sehr lange und wird Dateiformate beinhalten, die Sie nicht kennen – solche werden Sie dann wohl auch kaum benötigen.

Mit Eingabe kehren Sie wieder zum Menü zurück und wählen „Search„:

Wählen Sie das Dateisystem, kann natürlich auch Windows sein – nun erstellen Sie ein Verzeichnis auf einem anderen Datenträger als auf dem von dem Daten gerettet werden sollen. Bestätigen mit Eingabe:

Navigieren Sie nun zum für die geretteten Daten erstellten Verzeichnis, in diesem landen die wiederhergestellten Daten anschließend. Bestätigen Sie mit Eingabe – die Rettung beginnt.

Kostenpunkt bei beiden Anwendungen – keinen Cent.

Ergänzungen aus Kommentaren

Mit Photorec sorter habe ich gute Erfahrungen gemacht, wenn es ums Sortieren der gefundenen Dateien geht. Der Sorter holt die Dateien aus den Ordnern, die Photorec produziert hat (mit Zahlen als Namen), heraus und versorgt sie in Ordner mit den Endungen der Dateinamen. Also z.B. alle Dateien mit der Endung mp3 werden in einen Ordner mit dem Namen „mp3“ verschoben. Für jede Dateiendung wird automatisch ein eigener Ordner erstellt. Das Ganze kann sehr lange dauern, läuft aber sehr zuverlässig ab. Und das Script ist einfach im Gebrauch. Am Terminal gibt man beispielsweise ein (muss natürlich an die eigenen Verhältnisse angepasst werden):

bash precsort.sh Verzeichnis/mit/allen/Photorec-Ordnern/mit/Pfad Verzeichnis/für/die/Ordner/von/Photorec/sorter/mit/Pfad

Das Shell-Script setzt das Vorhandensein von exiv2 und fdupes voraus:

apt-get install exiv2 fdupes

Photorec sorter verschiebt alle Dateien in die richtigen Ordner, löscht Dubletten, benennt JPG-Dateien nach Exif-Datum um und sortiert sie auch noch nach Exif-Datum. Das ist es. – Das alles kann man auch in Englisch lesen, das ist aber nicht unbedingt nötig, also hier:
https://github.com/danthem/PRECsort Nötig ist aber das Script „Photorec sorter“, ebenfalls unter diesem Link erhältlich.
Was man mit anderen Dateien als JPG-Dateien macht, z.B. mit MP3, mp4, Ogg vorbis, kann man hier erfahren:
https://www.cgsecurity.org/wiki/After_Using_PhotoRec Diese Website zeigt auch Alternativen zum Photorec sorter auf.

Erstveröffentlichung: So 18. Jul 2021, 01:48