Scalpel – gelöschte Dateien unter Linux wiederherstellen

Einmal unbedacht eine Datei wirklich gelöscht und nicht in den Papierkorb verschoben – schon ist das Dilemma perfekt, wenn man diese Datei doch noch benötigt. Ein Glück – Dateien werden beim Löschen nicht wirklich von der Festplatte gelöscht, sondern nur aus der Datenbank des Dateisystems entfernt.

Beim Wiederherstellen von gelöschten Dateien gilt es vor allem schnell zu handeln – ist eine Datei nicht mehr in der Datenbank des Dateisystems, ist der Speicherplatz der Datei als freier Speicher markiert. In diesem Fall könnte eine andere Datei die zu wiederherstellende Datei überschreiben.

Auch wichtig – speichern Sie wiederhergestellte Dateien nicht auf derselben Partition, von der Sie Dateien wiederherstellen. In diesem Fall könnten wiederhergestellte Dateien noch zu wiederherstellende ganz einfach überschreiben.

Sie können sich nicht aussuchen, welche Dateien Sie wiederherstellen – es werden ganz einfach alle gefundenen gelöschten Dateien wiederhergestellt.

Mit Scalpel lassen sich gelöschte Dateien unter Linux wiederherstellen.

Scalpel installieren

Unter auf Debian basierenden Linux-Distributionen (Debian, Ubuntu, Linux Mint und so weiter) installieren Sie diese Software wie üblich ganz einfach über die Paket-Verwaltung durch das Paket „scalpel„. Am einfachsten als root auf dem Terminal mit den Befehlen:

apt update
apt install scalpel

Die meisten anderen Linux-Distributionen führen diese Software ebenfalls unter demselben Namen in ihren Repositorys mit.

Scalpel nutzen

Sie nutzen diese Software als root auf dem Terminal – erst gilt es diese Software aber zu konfigurieren, ebenso als root auf dem Terminal:

Mit dem einfach zu nutzenden Editor Nano:

nano /etc/scalpel/scalpel.conf

Oder mit dem erweiterten Editor Vim:

vim /etc/scalpel/scalpel.conf

In der Konfigurationsdatei scrollen Sie etwas hinunter und finden dort alle möglichen Dateiformate, besser gesagt Kategorien:

Hinter jedem Dateiformat, beziehungsweise deren Abkürzung finden Sie ein „y“ – beispielsweise:

#   jpg y   5242880     \xff\xd8\xff???JFIF     \xff\xd9    REVERSE

Am Beginn jeder Zeile finden Sie ein „#“ – dies bedeutet, dieses Dateiformat wird beim Wiederherstellen ausgeschlossen, die Zeile ist auskommentiert. Möchten Sie jetzt Dateien eines Dateiformates wiederherstellen, müssen Sie die Raute – eben „#“ vor der Zeile entfernen, das „y“ bedeutet, dieses Dateiformat wird wiederhergestellt.

Nachdem Sie alle Anpassungen vorgenommen haben, speichern Sie die Datei und können mit der Wiederherstellung beginnen. Hierzu geben Sie ein Ziel-Verzeichnis an, in dem die wiederhergestellten Dateien landen sollen:

scalpel -o /home/username/gelöscht/

Die Wiederherstellung von gelöschten Dateien kann je nach Größe der Festplatte sehr lange dauern.

4