Kurz gesagt: Datenrettungssoftware kann nach dem Löschen, Neuformatieren oder bei einem beschädigten Dateisystem helfen, sofern die benötigten Daten noch vorhanden sind. Führen Sie Wiederherstellungs- und Reparaturversuche auf einem Klon oder Sektorabbild durch, niemals auf dem beschädigten Originallaufwerk. Mechanische oder elektronische Defekte kann kein Programm beheben. Wenn das Laufwerk klickt, zeitweise verschwindet oder fehlerhafte Sektoren aufweist, kann jeder weitere Scan die Rettungschancen verringern. Bei SSDs kann TRIM gelöschte Daten zudem unzugänglich machen, selbst wenn Sie keine neuen Daten auf das Laufwerk geschrieben haben.
Erst das Sektorabbild, dann das Datenrettungsprogramm
Ein Sektorabbild ist keine einfache Kopie der sichtbaren Dateien. Es erfasst den Inhalt der adressierbaren Sektoren einschließlich der Informationen über das Dateisystem und der als frei markierten Bereiche. Es kann als Datei vorliegen, die als Image bezeichnet wird, oder als Klon auf einem anderen physischen Laufwerk. Nicht lesbare Bereiche können darin fehlen; kein Kopierprogramm kann deren Inhalt rekonstruieren. Das Werkzeug zum Erstellen der Kopie liest selbstverständlich das Originallaufwerk. Erst anschließend wird die Kopie nach verlorenen Dateien durchsucht.
Das Vorgehen „erst kopieren, dann wiederherstellen“ empfehlen sowohl CGSecurity als auch R-Tools Technology. Schützen Sie das Quelllaufwerk vor Schreibzugriffen und starten Sie von ihm kein Betriebssystem. Für ein unkomprimiertes Image benötigen Sie Speicherplatz für die gesamte Kapazität des Quelllaufwerks und zusätzlich für die geretteten Dateien. Beim Klonen auf ein Laufwerk wird das Ziellaufwerk überschrieben: Eine Verwechslung von Quelle und Ziel ist ein folgenschwerer Fehler.
GNU ddrescue ist ein Werkzeug zum Erstellen einer solchen Kopie. Es kann lesbare Bereiche priorisieren und problematische Stellen überspringen, statt fehlgeschlagene Leseversuche endlos zu wiederholen. Es repariert weder die Datenträgeroberfläche noch ist es bei einem mechanisch ausfallenden Laufwerk ein sicherer Versuch für zu Hause. In einem eigenen Artikel erklären wir das Erstellen eines Sektorabbilds mit ddrescue.
Bewahren Sie die fertige Kopie unverändert auf. Scannen Sie sie ausschließlich im Lesemodus und testen Sie Reparaturen erst an einer weiteren Arbeitskopie. Installieren Sie das Programm auf einem intakten Laufwerk und speichern Sie die Ergebnisse weder auf dem ursprünglichen Datenträger noch auf dem analysierten Klon.
Drei Fragen, die über einen eigenen Rettungsversuch entscheiden
- Was ging dem Datenverlust voraus? Löschen oder Schnellformatieren deutet eher auf ein logisches Ereignis hin. Ein Sturz, eine Überspannung oder ungewöhnliche Geräusche sprechen für einen möglichen Hardwaredefekt.
- Arbeitet das Laufwerk stabil? Es muss sich mit der richtigen Kapazität melden und ohne Aussetzer lesen lassen. Der RAW-Status allein bestätigt nicht, dass die Hardware intakt ist.
- Haben Sie eine Kopie, ein geeignetes Werkzeug und eine vertretbare Risikobereitschaft? Bei unersetzlichen Daten, die nur einmal vorhanden sind, sollten Sie nicht mit Experimenten beginnen. Prüfen Sie zuerst vorhandene Sicherungen.
| Symptom | Per Software lösbar? | Was ist zu tun? |
|---|---|---|
| Versehentlich gelöschte Dateien | Möglich, sofern der Inhalt erhalten blieb | Schreibzugriffe stoppen, Kopie erstellen |
| RAW oder Schnellformatierung | Manchmal; zuerst Hardwarefehler ausschließen | Nicht formatieren, Klon analysieren |
| Klicken, Aussetzer, Lesefehler | Nicht als Reparaturversuch zu Hause | Versuche beenden, Laufwerk ausschalten |
| Löschen auf einer SSD mit TRIM | Ergebnis lässt sich nicht vorhersagen | Betrieb einschränken, keine weiteren Scans versuchen |
Ausführlicher behandeln wir den Fall, dass ein RAW-Laufwerk formatiert werden soll.
Was Software tatsächlich leisten kann
Beim Undelete werden erhaltene Einträge zu gelöschten Dateien genutzt. Bei NTFS können beispielsweise Informationen über Dateinamen und Speicherorte bestehen bleiben, obwohl die Datei als gelöscht markiert ist. Voraussetzung ist, dass sowohl die benötigten Einträge als auch der Inhalt erhalten geblieben sind. Die verschiedenen Dateisysteme verhalten sich beim Löschen unterschiedlich.
Bei der Rekonstruktion des Dateisystems wird die Struktur aus verbliebenen Metadaten, deren Kopien und ihren Zusammenhängen wieder zusammengesetzt. Das kann nach einer Beschädigung der Struktur oder bestimmten Formatierungen sinnvoll sein. Es handelt sich nicht nur um das „Zurückholen eines gelöschten Eintrags“, und die resultierende Verzeichnisstruktur muss nicht vollständig sein. Überschriebene Inhalte lassen sich damit nicht wiederherstellen.
Reichen die Metadaten nicht aus, können Dateien anhand ihrer typischen Signaturen gesucht werden. Dieses Verfahren wird als Carving bezeichnet. Dabei gehen die ursprünglichen Dateinamen und Verzeichnisse meist verloren, außerdem stößt es bei fragmentierten Dateien an Grenzen. Die Unterschiede erläutern die Grundlagen der Datenwiederherstellung von R-Tools Technology.
Beispiele für Werkzeuge nach Einsatzzweck
TestDisk von CGSecurity kann nach verlorenen Partitionen suchen und gelöschte Dateien auf unterstützten Dateisystemen wiederherstellen. Einige seiner Funktionen schreiben Änderungen in die Laufwerksstrukturen und dürfen daher nicht am Originallaufwerk eingesetzt werden.
PhotoRec vom selben Autor sucht Inhalte anhand von Signaturen und kann auch mit Laufwerksabbildern arbeiten. Es eignet sich für Fälle, in denen auf die ursprüngliche Struktur kein Verlass mehr ist, garantiert aber nicht die Wiederherstellung aller Ordner.
R-Studio von R-Tools Technology unterstützt die Analyse von Abbildern und die Wiederherstellung nach Beschädigungen des Dateisystems. Prüfen Sie vor der Auswahl, ob das konkrete Format unterstützt wird und eine Vorschau möglich ist. Ein gefundener Dateiname bestätigt noch nicht, dass der Dateiinhalt intakt ist.
Öffnen Sie im Programm das Image, nicht das physische Originallaufwerk. Suchen Sie nach den benötigten Dateien, prüfen Sie deren Vorschau und stellen Sie sie auf einem anderen intakten Speichermedium wieder her. Prüfen Sie vor dem Kauf einer kostenpflichtigen Version auch die Einschränkungen der Testversion. Eine Liste gefundener Dateien allein ist noch kein Erfolgsnachweis.
Was Software nicht repariert und wann ein weiterer Scan schadet
Die Suche nach einer „HDD-Reparatur per Software“ vermischt zwei unterschiedliche Aufgaben: den Zugriff auf Daten und die Reparatur des Geräts. Ein Programm repariert weder beschädigte Schreib-Lese-Köpfe noch die Plattenoberfläche oder durchgebrannte Elektronik. Die Neuzuordnung eines Sektors zu einem Reservebereich repariert weder die ursprüngliche Stelle noch stellt sie deren verlorenen Inhalt wieder her.
Fahren Sie bei Klickgeräuschen, wiederholten Verbindungsabbrüchen oder Lesefehlern nicht fort. Selbst ein Scan ohne Schreibzugriffe ist bei defekter Hardware nicht risikofrei, da wiederholtes Lesen das Gerät belastet. Das weitere Vorgehen fasst der Artikel Fehlerhafte HDD-Sektoren: Was ist zu tun? zusammen. Wie sich das bei einer konkreten Marke zeigt, erläutert die Datenrettung von Toshiba-Festplatten.
S.M.A.R.T.: Konkrete Werte statt grüner Statusanzeige beachten
Bei einem stabil erreichbaren Laufwerk lassen sich vorhandene Werte beispielsweise mit smartctl aus den smartmontools auslesen, ohne einen Oberflächentest zu starten. Die Dokumentation unterscheidet zwischen RAW-Rohwerten und dem normalisierten VALUE mit dem Grenzwert THRESH. VALUE ist keine Prozentangabe für den Zustand; die Interpretation hängt vom Hersteller und Modell ab.
Bei üblichen ATA-Festplatten sind vor allem folgende Werte wichtig:
- Reallocated Sector Count: Anzahl neu zugeordneter Sektoren; ein Anstieg ist ein Warnsignal.
- Current Pending Sector: instabile oder nicht lesbare Sektoren, deren weitere Behandlung noch aussteht.
- Offline Uncorrectable und UNC-Fehler: fehlgeschlagene Lesevorgänge, bei denen die Fehlerkorrektur nicht ausreichte; UNC kann im Fehlerprotokoll erscheinen und ist kein einzelnes universelles Zahlenfeld.
Ausstehende Sektoren, neue UNC-Fehler oder eine steigende Zahl neu zugeordneter Sektoren sind ein Grund, weder einen Wiederherstellungsscan noch einen langen Selbsttest zu starten. Eine alte, unveränderte Zahl neu zugeordneter Sektoren sagt allein nicht voraus, wann das Laufwerk ausfällt. Auch der Status „PASSED“ schließt einen Defekt nicht aus. Ein USB-Adapter kann den Zugriff auf S.M.A.R.T. einschränken, und NVMe-Laufwerke verwenden andere Kennzahlen.
Warum CHKDSK nicht dasselbe wie Datenrettung ist
Laut der Microsoft-Dokumentation repariert chkdsk /f logische Fehler im Dateisystem. Dabei werden Änderungen vorgenommen; es handelt sich nicht um eine reine Prüfung. Der Parameter chkdsk /r schließt /f ein, sucht nach fehlerhaften Sektoren und versucht, lesbare Daten wiederzugewinnen. Dabei wird das Volume umfangreich gelesen.
Das Ziel ist ein konsistentes Dateisystem, nicht die Erhaltung aller für eine Wiederherstellung benötigten Spuren. Microsoft weist ausdrücklich darauf hin, dass Reparaturen an FAT die Zuordnungstabelle verändern und mitunter Datenverluste verursachen.
Für die Datenrettung folgt daraus: Führen Sie diese Reparaturen nicht am Originallaufwerk aus, wenn ein Hardwaredefekt vermutet wird. Sie verbinden Schreibzugriffe auf Strukturen mit einer hohen Lesebelastung, ohne die Hardware zu reparieren. Auf einem intakten Laufwerk mit vorhandener Sicherung kann CHKDSK ein geeignetes Wartungswerkzeug sein. Bei einer Datenrettung haben jedoch das Erstellen einer Kopie und das Auslesen der Dateien Vorrang.
SSD und TRIM: Löschen kann mehr als freien Speicher bedeuten
Mit TRIM kann das System einer SSD mitteilen, welche Blöcke nicht mehr benötigt werden. Der Controller kann aufhören, diese in ihrer ursprünglichen Form zurückzugeben, noch bevor sie physisch gelöscht wurden. Die anschließende interne Bereinigung, die Garbage Collection, gibt die Speicherblöcke frei. Deshalb kann eine Wiederherstellung scheitern, obwohl der Benutzer keine neuen Dateien geschrieben hat. Den Mechanismus beschreiben sowohl die Microsoft-Dokumentation zu fsutil behavior als auch R-Tools Technology.
Das nachträgliche Deaktivieren von TRIM macht bereits verarbeitete Befehle nicht rückgängig. Lassen Sie die SSD nicht unnötig eingeschaltet, da die Bereinigung auch im Leerlauf stattfinden kann. Beenden Sie bei einem Systemlaufwerk den normalen Betrieb und schalten Sie den Computer aus.
Es lässt sich jedoch nicht pauschal behaupten, dass jeder Löschvorgang auf jeder SSD unwiderruflich ist. Das Ergebnis hängt vom Controller, Betriebssystem, Anschluss und der tatsächlichen Verarbeitung von TRIM ab. Bei USB-Sticks und SD-Karten kann nicht automatisch dasselbe Verhalten vorausgesetzt werden. Weitere Zusammenhänge finden Sie im Artikel zur Datenrettung von SSDs.
Verschlüsseltes Volume: Ein Klon allein genügt nicht
Bei BitLocker oder FileVault benötigen Sie gültige Entsperrdaten oder einen Wiederherstellungsschlüssel sowie ausreichend erhaltene Verschlüsselungsmetadaten. Ein gewöhnlicher Scan einer gesperrten Kopie liefert keine lesbaren Dokumente. Der Schlüssel muss dabei nicht zwangsläufig verloren sein: Eine Sicherung kann im Benutzerkonto oder beim Administrator der Organisation hinterlegt sein. Die Möglichkeiten hängen von der jeweiligen Konfiguration ab.
Bei verschlüsselten freigegebenen Ordnern auf Synology- und QNAP-Systemen wird außerdem das Passwort oder die zugehörige Schlüsseldatei benötigt. Allein durch die Rekonstruktion des RAID wird die Verschlüsselung nicht aufgehoben. Das konkrete Vorgehen hängt vom System und der Verschlüsselungsmethode ab, wie die Dokumentation von SysDev Laboratories zeigt.
Hardwareverschlüsselte SSDs – selbstverschlüsselnde Laufwerke mit Opal – speichern den kryptografischen Schlüssel im Controller und erfordern das Entsperren des Geräts. Ein gewöhnliches Wiederherstellungsprogramm kann diesen Schutz nicht ersetzen. Gehen Sie daher weder davon aus, dass die Kenntnis des Passworts einen gleichzeitigen Elektronikdefekt in jedem Fall löst, noch davon, dass ein Labor einen fehlenden Schlüssel umgehen kann.
Was tun, wenn Sie bereits einen Scan durchgeführt haben?
Beenden Sie weitere Versuche und speichern Sie nichts auf dem Quelllaufwerk. Notieren Sie das verwendete Programm, mögliche Formatierungen oder Reparaturen sowie Veränderungen im Verhalten des Laufwerks. Bewahren Sie vorhandene Protokolle auf einem intakten Speichermedium auf. Ein abgeschlossener Scan bedeutet nicht automatisch, dass die Daten zerstört wurden. Entscheidend ist, ob Schreibzugriffe stattgefunden haben und ob sich der Hardwarezustand verschlechtert hat.
Arbeiten Sie bei einem stabilen Datenträger erst an einer Kopie weiter. Versuchen Sie bei Aussetzern oder Geräuschen keine weitere Rettung „mit einem anderen Programm“.
Wann ein Labor sinnvoll ist
Eine fachgerechte Vorgehensweise beginnt mit der Unterscheidung der Fehlerart, nicht mit dem tiefstmöglichen Scan. Je nach Zustand werden die Möglichkeiten zum kontrollierten Auslesen, zum Erstellen einer Kopie, zur Rekonstruktion der Struktur und zur Prüfung der geretteten Dateien bewertet. Nicht lesbare Bereiche oder fehlende Schlüssel lassen sich möglicherweise nicht wiederherstellen.
Ein Labor ist bei Hardware-Symptomen, einem unklaren Zustand oder unersetzlichen Daten sinnvoll. Bei einer intakten SD-Karte nach versehentlichem Löschen kann dagegen ein korrekt gewähltes Verfahren an einer Kopie ausreichen.
Häufig gestellte Fragen
Gibt es ein Programm zur Reparatur einer externen Festplatte?
Für die logische Wiederherstellung ja, doch ein USB-Anschluss ändert nichts an der Regel, mit einer Kopie zu arbeiten. Einen Defekt am Kabel, Adapter oder Laufwerk selbst kann Software nicht beheben. Die Unterschiede erläutert der Artikel Externe Festplatte reparieren und Daten retten.
Reicht ein kostenloses Datenrettungsprogramm?
Manchmal ja: TestDisk und PhotoRec sind kostenlose Werkzeuge für unterschiedliche Aufgaben. Entscheidend sind die Unterstützung des Dateisystems, der Zustand der Daten und das richtige Vorgehen, nicht allein die Frage, ob das Programm kostenlos oder kostenpflichtig ist.
Sollte ein RAW-Laufwerk vor der Wiederherstellung formatiert werden?
Formatieren Sie es nicht, auch wenn das System dies anbietet. Eine Formatierung verändert Strukturen, die für die Wiederherstellung wichtig sein können. Analysieren Sie stattdessen eine Kopie des ursprünglichen Zustands.
Das Programm hat Dateien gefunden. Sind sie gerettet?
Noch nicht. Möglicherweise wurden nur ihre Einträge oder unvollständige Inhalte gefunden. Speichern Sie die Ergebnisse auf einem anderen intakten Datenträger und prüfen Sie bei wichtigen Dateien sowohl das Öffnen als auch den tatsächlichen Inhalt.
Im ITHOPE-Labor in Brno beurteilen wir den Zustand des Datenträgers sowie die Möglichkeiten zur Erstellung einer Kopie und zur anschließenden Wiederherstellung. Den Leistungsumfang finden Sie auf der Seite Datenrettung. Die Übergabe können Sie über die Beauftragung einer Datenrettung einleiten.
Quellen
- Microsoft Learn: CHKDSK
- Microsoft Learn: fsutil behavior und TRIM
- GNU: ddrescue-Handbuch
- CGSecurity: Kopieren eines beschädigten Laufwerks
- CGSecurity: TestDisk
- CGSecurity: PhotoRec
- R-Tools Technology: R-Studio
- R-Tools Technology: Grundlagen der Dateiwiederherstellung
- R-Tools Technology: Laufwerke vor der Dateiwiederherstellung klonen
- R-Tools Technology: Besonderheiten der Dateiwiederherstellung bei SSDs
- smartmontools: offizielle smartctl-Dokumentation
- Microsoft Learn: Übersicht zur BitLocker-Wiederherstellung
- Apple: Daten mit FileVault schützen
- SysDev Laboratories: Verschlüsselte NAS-Ordner und eCryptfs
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).