Hier zeige ich, wie ich an einem Laptop mehrere tausend Dateien wiederherstellen konnte, nachdem das Betriebssystem auf den Werkszustand zurückgesetzt wurde. Ich habe für die Wiederherstellung das Program PhotoRec verwendet. Prinzipiell würde ich aber empfehlen, auch noch ein zweites Rettungs-Programm zu verwenden.

Der Laptop lief mit Windows 7 32-Bit und die Festplatte war mit NTFS formatiert.

Generell gilt: Wenn Dateien versehentlich gelöscht wurden, sollten auf dem Datenträger möglichst keinerlei Schreibzugriffe mehr stattfinden - denn das erhöht das Risiko, dass die alten Daten durch neue Zugriffe überschrieben werden.

Für die Wiederherstellung habe ich den Rechner deshalb von einer Live-CD gestartet, in diesem Fall Knoppix. An den Rechner habe ich zusätzlich eine externe Festplatte angeschlossen, um dorthin später die wiederhergestellten Daten zu kopieren.

Rettungssystem booten

Wer wie ich nicht auf die 3D-Effekte der Knoppix Live-DVD steht, kann das System mit dem Parameter “knoppix no3d” booten:

…ansonsten einfach “Enter” drücken.

Jetzt öffnen wir ein Terminal und starten PhotoRec:

sudo photorec

Die genaue Bedienung von PhotoRec werde ich hier nicht erkären, diese Infos gibt es zum Beispiel in einer Schritt-für-Schritt Anleitung auf der offiziellen Webseite:

http://www.cgsecurity.org/wiki/PhotoRec_Step_By_Step

Ich habe jedenfalls unter “[File Opt]” nur die Dateiformate ausgewählt, die auch von Relevanz waren. Also z.B. bmp, doc, jpg, m2ts, kmv, mov, mp3, mpg, pdf, png. Vor der Wiederherstellung wird man auch gefragt, ob man nur den freien Speicherplatz durchsuchen lassen will, oder den Kompletten. In meinem Fall habe ich komplett (“Whole”) gewählt.

Bei der Wiederherstellung werden die Dateien in viele verschiedene Ordner zurückgespielt, die die Bezeichnung “recup_dir.[Nummer]” tragen. Die Dateinamen blieben dabei meist nicht erhalten, sondern erhielten eine zufällig generierte Bezeichnung.

Dateien aus Images wiederherstellen

Photorec kann auch mit RAW-Images umgehen. Hat man also eine Sicherung der betroffenen Platte erstellt - z.B. mit dd - kann man auch dieses Image direkt nach verloren gegangenen Dateien durchsuchen lassen. Dazu einfach photorec aufrufen, und als Parameter den Pfad zum Image mitgeben:

sudo photorec /mnt/hdd/image.img

Dateistruktur anlegen

Um die wiederhergestellten Dateien zumindest mal nach dem Dateiformat zu sortieren, habe ich einfach für Endung erstmal einen entsprechenden Unterordner auf meiner externen Festplatte angelegt.

mkdir /media/extern/Restored/DOC
mkdir /media/extern/Restored/JPG
mkdir /media/extern/Restored/MP3
...

Danach können wir die Dateien aus den PhotoRec-Verzeichnissen dorthin rein verschieben. Am einfachsten geht das über einen kleinen Shell-Befehl. Wenn man also alle .DOC-Dateien in den gerade neu angelegten DOC-Ordner verschieben möchte, geht das so:

knoppix@Microknoppix:~$ sudo find . -type f -name *.doc -exec mv {} /media/extern/Restored/DOC \;

Das wiederholt man einfach mit jedem Dateiformat einmal.

Alternative: Sortieren mit PhotoRec Sorter

Wenn man die Festplatte unter Windows anschließt, kann man auch das Tool “PhotoRec Sorter” verwenden. Das macht das Ganze mit nur einem Klick.

“Mist” entfernen

Meist sind bei den wiederhergestellten Bildern auch sehr viele kleine Dateien vorhanden, z.B. aus dem Cache-Verzeichnis der Webbrowser. Um diese auszufiltern, kann man z.B. alle JPG-Dateien die kleiner als 80KB sind, direkt löschen:

knoppix@Microknoppix:~$ cd /media/extern/Restored/JPG
knoppix@Microknoppix:~$ sudo find . -size -80k -delete

Bilder sortieren

Nun hat man alle Bilder in dem Ordner “JPG” liegen - leider ohne Dateiname oder sonstige Sortierung. Hier hilft das Programm “exiftool” weiter, denn es kann die EXIF-Informationen von Bildern auslesen um diese anschließend in entsprechende Ordner einzusortieren. Voraussetzung ist natürlich, dass die Information auch in den Bildern hinterlegt ist.

In meinem Beispiel habe ich die Windows-Version verwendet, da ich auf die Schnelle keine Möglichkeit gefunden habe, es unter Knoppix nach zu installieren.

Diese Befehlszeile sortiert alle Bilder aus unserem vorher angelegten Ordner “JPG” in Unterordner mit dem Jahr, Monat und Tag:

exiftool.exe "-Directory<DateTimeOriginal" -d "%Y/%m/%d" JPG

Heraus kommt dann eine automatisch erstellte Ordnerstruktur wie diese hier:

Gerettete MP3-Dateien identifizieren

Die wiederhergestellten Dateien haben ja meist nicht den Original-Dateinamen, sondern einen zufällig generierten. Während das Umbenennen bei anderen Dateiformaten Handarbeit erfordert, hat man es mit MP3-Dateien etwas leichter. Aus den ID3-Tags (sofern dieser in der Datei hinterlegt ist) lässt sich im Nachhinein recht einfach der Dateiname rekonstruieren.

Ich benutzte dazu das Windows-Programm “MP3Tag”. Über den Befehl “Tag - Dateiname” lässt sich der ID3-Tag in den Dateinamen der Lieder übernehmen.

Daten prüfen (lassen)

Ich würde empfehlen, die geretteten Daten nicht gleich zurück auf den Rechner zu spielen. Es könnte ja sein, es fehlt doch noch was und ihr wollt einen weiteren Rettungsversuch starten. Würdet ihr die Dateien jetzt schon wieder auf die betroffene Platte zurückspielen, würdet ihr euch diese Möglichkeit evtl. verbauen.

Ich würde deshalb die Daten auf der externen Festplatte belassen und diese dem Betroffenen mitgeben. Er kann dann in aller Ruhe die Daten sichten, und - wenn das Wichtigste da ist - auf seinen Rechner zurück kopieren.