Partition gelöscht: Rettung nach diskpart clean

Kurz gesagt: Eine gelöschte Partition und auch ein vollständig ausgeführtes diskpart clean löschen die eigentlichen Dateien normalerweise nicht. Überschrieben wird lediglich die Partitionstabelle, sodass Windows nicht mehr weiß, wo das Volume beginnt. Schalten Sie den Computer sofort aus, schreiben Sie nichts auf den Datenträger, erstellen Sie keine neue Partition und setzen Sie die Windows-Installation nicht fort. Eine Ausnahme ist clean all: Dieser Befehl schreibt laut Microsoft Nullen in jeden Sektor. Aus den bereits überschriebenen Bereichen kann niemand mehr Daten wiederherstellen.

Nicht zugeordneter Speicherplatz bedeutet nicht, dass der Datenträger leer ist

Ein typischer Unfall: Bei der Windows-Installation löschen Sie die Partitionen auf dem falschen Datenträger, wählen in diskpart die falsche Datenträgernummer und führen clean aus oder bestätigen in der Datenträgerverwaltung die Initialisierung. Anschließend wird der Datenträger als „Nicht zugeordnet“ angezeigt.

Das bedeutet jedoch nur, dass die aktuelle Partitionstabelle kein Volume beschreibt. Das Dateisystem (NTFS, exFAT, ext4) und die Dateien befinden sich normalerweise weiterhin auf dem Datenträger. Entscheidend sind der genaue Befehl, die Art des Datenträgers und alle danach ausgeführten Schritte.

Was die einzelnen Vorgänge tatsächlich überschreiben

Laut Microsoft-Dokumentation zum Befehl diskpart clean werden bei MBR-Datenträgern lediglich die Informationen zur Datenträgeraufteilung und die verborgenen Sektoren überschrieben. Bei GPT-Datenträgern werden die Partitionsinformationen einschließlich des schützenden MBR überschrieben. Der Parameter all setzt dagegen jeden Sektor auf null.

Was passiert istWas normalerweise überschrieben wirdWas das für die Wiederherstellung bedeutet
Löschen einer Partition (Windows-Installationsprogramm, Datenträgerverwaltung)Eintrag in der MBR- oder GPT-TabelleAuf einer HDD bleiben Dateisystem und Dateien erhalten, bis neue Daten geschrieben werden
diskpart cleanMBR-Partitionstabelle oder GPT einschließlich des schützenden MBRDie Daten werden nicht genullt; die Grenzen der ursprünglichen Partitionen müssen erneut ermittelt werden
Initialisierung als MBR oder GPTNeue Partitionstabelle; bei GPT Metadaten am Anfang und Ende des DatenträgersEin Teil der Metadaten wird überschrieben, die Datenbereiche bleiben erhalten
SchnellformatierungNeue Dateisystemstrukturen (Dateitabelle, Stammverzeichnis)Überschreibt nicht den gesamten Datenträger, zerstört aber ursprüngliche Metadaten; bei SSDs droht zusätzlich TRIM
diskpart clean allNullen in jedem SektorAus dem vollständig überschriebenen Bereich lässt sich nichts wiederherstellen; bei einem Abbruch können unberührte Bereiche verbleiben

Eine Initialisierung ist also keine harmlose „Bestätigung“, greift aber weiterhin wesentlich weniger ein als das Erstellen und Formatieren einer neuen Partition. Der Artikel Datenträger oder Speicherkarte versehentlich formatiert: Wie stehen die Chancen? behandelt die Situation nach einer Formatierung ausführlicher.

Was Sie unmittelbar nach dem Vorfall tun sollten

  • Brechen Sie die Windows-Installation ab und schalten Sie den Computer aus.
  • Erstellen Sie im nicht zugeordneten Speicherplatz keine neue Partition.
  • Bestätigen Sie keine Initialisierung des Datenträgers als GPT oder MBR.
  • Führen Sie weder eine Schnell- noch eine vollständige Formatierung aus.
  • Starten Sie weder CHKDSK noch „Laufwerk reparieren“ oder eine automatische Reparatur.
  • Installieren Sie kein Wiederherstellungsprogramm auf dem betroffenen Datenträger und speichern Sie gefundene Daten nicht darauf.
  • Trennen Sie externe SSDs oder NVMe-Laufwerke auch von der Stromversorgung.

Notieren Sie genau, was passiert ist: Löschen einer Partition im Installationsprogramm, clean, clean all, Initialisierung oder Formatierung, den Zeitpunkt des Vorfalls, ob der Befehl vollständig ausgeführt wurde und ob es sich um eine HDD, SATA-SSD, NVMe oder einen Datenträger in einem USB-Gehäuse handelt. Diese Angaben bestimmen das weitere Vorgehen stärker als alles andere.

HDDs und SSDs verhalten sich nach dem Löschen unterschiedlich

Bei einer intakten HDD verändert das Löschen einer Partition nur die Metadaten, nicht den Inhalt der Dateien. Solange an denselben Stellen keine neuen Daten geschrieben werden, lassen sich das ursprüngliche NTFS- oder exFAT-Dateisystem auffinden und die Dateien daraus extrahieren. Eine ausgeschaltete HDD verschlechtert sich nicht von selbst.

SSDs und NVMe-Laufwerke sind weniger vorhersehbar. Unter Windows ist TRIM für NTFS standardmäßig aktiviert: Das System meldet dem Controller, welche Blöcke nicht mehr benötigt werden, und der Controller kann sie bei der internen Speicherbereinigung löschen. Beim Auslesen werden dann Nullen zurückgegeben. Das Löschen einer Partition allein muss noch nicht bedeuten, dass TRIM ihren gesamten Bereich erfasst hat. Eine Schnellformatierung, ein neues Dateisystem oder jede weitere Arbeit mit der angeschlossenen SSD erhöhen das Risiko jedoch erheblich. Entscheidend sind außerdem der Controller, die Firmware und die Frage, ob ein USB-Adapter TRIM-Befehle überhaupt weiterleitet. Weitere Einzelheiten erklärt der Artikel Datenrettung von SSDs: Warum sie schwieriger ist als bei HDDs.

Wann TestDisk helfen kann

Das kostenlose Programm TestDisk kann anhand erhaltener Dateisystemstrukturen nach verlorenen Partitionen suchen (Analyse, Quick Search und gegebenenfalls Deeper Search). Bei unterstützten Dateisystemen lässt sich mit der Taste P prüfen, ob die gefundene Partition die erwarteten Ordner enthält.

Die eigentliche Falle lauert im letzten Schritt. Die Option Write schreibt die gefundene Struktur in die Partitionstabelle des Datenträgers (TestDisk-Dokumentation). Wurden die Grenzen falsch bestimmt, können sich Partitionen überschneiden oder ein beschädigtes Volume eingebunden werden, auf das Windows anschließend Daten schreibt.

TestDisk ist vor allem bei einer physisch intakten HDD sinnvoll, wenn:

  • Sie genau wissen, was gelöscht wurde;
  • der Datenträger keine ungewöhnlichen Geräusche verursacht und sich fehlerfrei lesen lässt;
  • Sie mit einem bitgenauen Abbild und nicht mit dem einzigen Original arbeiten;
  • die gefundenen Partitionen sich nicht überschneiden und die richtigen Dateien anzeigen;
  • Sie die wiederhergestellten Daten auf einem anderen Medium speichern.

Bei Buchhaltungsdaten, Datenbanken, der einzigen Kopie wichtiger Dokumente, SSDs, BitLocker oder Datenträgern mit mehreren früheren Partitionen ist das direkte Schreiben auf das Original ein unnötiges Risiko. Eine Übersicht weiterer Werkzeuge und ihrer Grenzen finden Sie im Artikel Programme zur Datenrettung: Wann sie helfen und wann sie Schaden anrichten.

Was im Labor gemacht wird

Das erste Ziel besteht nicht darin, den Datenträger zu „reparieren“, sondern seinen aktuellen Zustand zu erhalten. Das Medium wird schreibgeschützt angeschlossen und ein sektorweises Abbild auf einem anderen Speicher erstellt. Weist eine HDD Lesefehler auf, werden zunächst die leicht lesbaren Bereiche kopiert und erst danach die problematischen Stellen. Warum der Kopiervorgang nicht bei jedem Versuch von vorn gestartet werden sollte, erklärt der Artikel ddrescue: Bitgenaues Abbild eines ausfallenden Datenträgers und Mapfile.

Auf der Kopie werden anschließend die ursprünglichen Partitionsgrenzen, die primäre und die Sicherungs-GPT, der NTFS-Bootsektor, die MFT und ihre Spiegelkopie, Sicherungsstrukturen von exFAT oder ext4, Header verschlüsselter Volumes sowie Spuren neuer Partitionen oder Formatierungen gesucht, die bereits Teile der Daten überschrieben haben. Die Partition wird auf einer Arbeitskopie rekonstruiert oder die Dateien werden auf ein drittes Medium extrahiert. Die Kontrolle endet nicht bei der Anzahl gefundener Dateinamen: Es wird überprüft, ob sich die Dateien öffnen lassen und ob die Ordnerstruktur stimmt.

BitLocker: Die Partition zu finden reicht nicht aus

Die Wiederherstellung der Partitionsgrenzen hebt die Verschlüsselung nicht auf. Für den Zugriff auf die Dateien werden die Entsperrinformationen benötigt, in der Regel der 48-stellige Wiederherstellungsschlüssel. Er kann im Microsoft-Konto, in der Geräteverwaltung eines Unternehmens, auf einem USB-Stick oder als Ausdruck gespeichert sein. Microsoft kann einen verlorenen Schlüssel nicht neu erstellen (wo Sie den BitLocker-Wiederherstellungsschlüssel finden). Ohne Schlüssel können die verschlüsselten Sektoren gerettet werden, nicht aber deren Inhalt.

Wann Sie nichts Weiteres versuchen sollten

SSDs und NVMe-Laufwerke, Unternehmensdaten ohne Sicherung, verschlüsselte Datenträger, Medien mit Lesefehlern sowie Fälle, in denen unklar ist, ob clean, clean all oder eine Formatierung ausgeführt wurde, gehören ins Labor. Das gilt auch, wenn das Windows-Installationsprogramm bereits neue Partitionen erstellt und mit dem Kopieren des Systems begonnen hat.

Wenn clean all den gesamten Datenträger vollständig durchlaufen hat, kann niemand die überschriebenen Sektoren wiederherstellen – und wir sagen Ihnen das sofort. Wenn Sie jedoch nicht sicher sind, welcher Befehl ausgeführt wurde, oder der Vorgang abgebrochen wurde, sollte zunächst der Zustand geprüft werden, statt weitere Versuche zu unternehmen.

Die übliche Erstdiagnose einer gängigen HDD oder SSD kann kostenlos sein. Das Löschen von Partitionen, eine Formatierung oder das Überschreiben gehören jedoch zu den Fällen, in denen die Diagnose 1.210 Kč einschließlich Mehrwertsteuer (1.000 Kč ohne Mehrwertsteuer) kosten kann – darüber werden Sie vorab informiert. Einen Richtwert für die Wiederherstellung bei logischen Schäden bietet die Preisliste für Datenrettung; der genaue Betrag richtet sich nach dem Medium und dem Ausmaß der Beschädigung.

Welche Angaben in die Anfrage gehören

Geben Sie im Kontaktformular für die Datenrettung die Art und Kapazität des Datenträgers (HDD, SATA-SSD, NVMe), den genauen ausgeführten Befehl oder Schritt, den Abschluss oder Abbruch des Vorgangs, eine mögliche BitLocker-Verschlüsselung sowie die wichtigsten Ordner oder Dateitypen an. Schalten Sie den Datenträger bis zur Auswertung nicht wieder ein.

FAQ

Kann eine bei der Windows-Installation gelöschte Partition wiederhergestellt werden?

Bei HDDs häufig ja, sofern die Installation nach dem Löschen nicht fortgesetzt wurde. Hat das Installationsprogramm bereits neue Partitionen erstellt und das System kopiert, wurde ein Teil der ursprünglichen Daten überschrieben und das Ergebnis wird unvollständig sein.

Wie erkenne ich, ob clean oder clean all ausgeführt wurde?

Anhand des eingegebenen Befehls und der Dauer des Vorgangs. clean ist innerhalb eines Augenblicks abgeschlossen. clean all muss dagegen die gesamte Kapazität des Datenträgers durchlaufen, was bei großen HDDs mehrere Stunden dauert. Die Anzeige „Nicht zugeordnet“ lässt den Unterschied nicht erkennen.

Bedeutet nicht zugeordneter Speicherplatz, dass der Datenträger leer ist?

Nein. Es bedeutet lediglich, dass die Partitionstabelle kein Volume beschreibt. Das ursprüngliche Dateisystem und die Dateien können weiterhin auf dem Datenträger vorhanden sein.

Soll ich TestDisk die gefundene Partition schreiben lassen?

Prüfen Sie zunächst, ob die gefundene Partition die richtigen Ordner anzeigt, und arbeiten Sie möglichst mit einem bitgenauen Abbild. Die Option Write verändert die Partitionstabelle. Wurden die Partitionsgrenzen falsch erkannt, verschlimmert sie die Situation.

Lassen sich Daten aus einer BitLocker-Partition ohne Schlüssel wiederherstellen?

Die verschlüsselten Sektoren können gerettet werden, ihr Inhalt jedoch nicht ohne einen gültigen Wiederherstellungsschlüssel. Prüfen Sie zuerst das Microsoft-Konto, die Geräteverwaltung Ihres Unternehmens sowie ausgedruckte oder anderweitig gespeicherte Aufzeichnungen.

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).