Gelöschte Datein sind weg (dringend !)
Georges
Irrtümlicherweise habe ich auf meinem Rechner einige Dateien (24)
gelöscht (Filesystem NTFS, Win2000). Da sie zu gross waren für den
Recycle Bin, waren sie natürlich futsch. An diesem Zeitpunkt habe ich
nicht mehr auf diese Partition geschrieben!
Ich habe "GetDataBack for NTFS" und "RECOVERY for Windows" gestartet um
die Suche zu beginnen. Erstaunlicherweise blieben 4 Dateien
verschollen., was ich nicht so recht verstehe, da sicher kein
Schreibzugriff nach dem "Unfall" erfolgte.
Beide Recovery Tools zeigen die 4 Files an, die Filegrösse ist jedoch 0
Bytes und der erste Cluster wurde nicht gefunden.
Kann mir jemand weiterhelfen?
Grüße,
--
Georges
Alan Tiedemann
^^^^^^^ Ein vollständiger Realname gilt als höflich. Danke!
> Irrtümlicherweise habe ich auf meinem Rechner einige Dateien (24)
> gelöscht (Filesystem NTFS, Win2000). Da sie zu gross waren für den
> Recycle Bin, waren sie natürlich futsch. An diesem Zeitpunkt habe ich
> nicht mehr auf diese Partition geschrieben!
Das ist ja schonmal gut.
> Ich habe "GetDataBack for NTFS" und "RECOVERY for Windows" gestartet um
> die Suche zu beginnen. Erstaunlicherweise blieben 4 Dateien
> verschollen., was ich nicht so recht verstehe, da sicher kein
> Schreibzugriff nach dem "Unfall" erfolgte.
Tja, Wunder können solche Tools auch nicht bewirken...
> Beide Recovery Tools zeigen die 4 Files an, die Filegrösse ist jedoch 0
> Bytes und der erste Cluster wurde nicht gefunden.
Dann sind sie wohl weg.
> Kann mir jemand weiterhelfen?
Ganz einfach: Backup einspielen.
Wenn's kein Backup gibt, waren die Dateien auch nicht wichtig.
Ansonsten ein professionelles Datenrettungsunternehmen beauftragen. Das
ist aber in der Regel richtig teuer.
Gruß,
Alan
--
Bitte nur in die Newsgroup antworten! Re:-Mails rufe ich nur selten ab.
http://www.schwinde.de/webdesign/ ~ http://www.schwinde.de/cdr-info/
Mail: at__0815<at>hotmail<punkt>com ~ news-2003-10<at>schwinde<punkt>de
Georges Heinesch
> ...
>>Kann mir jemand weiterhelfen?
>
> Ganz einfach: Backup einspielen.
> Wenn's kein Backup gibt, waren die Dateien auch nicht wichtig.
;))) LOL !!! Sehr gut!
Ok ... also, die Dateien sind Tat nicht SO wichtig. Trotzdem würde ich
gerne verstehen was da passiert ist. Da kein Schreibzugriff mehr auf die
Platte stattfand, müssen sie doch noch irgendwie erreichbar sein. Die
meisten sind es ja, diese 4 aber nicht.
Filesystems sind ja keine schwarze Magie. Wenn ich 20 von 24
zurückbekomme, warum nicht 24/24?
Grüße,
--
Georges
Rene Beer
> Ich habe "GetDataBack for NTFS" und "RECOVERY for Windows" gestartet um
> die Suche zu beginnen. Erstaunlicherweise blieben 4 Dateien
> verschollen., was ich nicht so recht verstehe, da sicher kein
> Schreibzugriff nach dem "Unfall" erfolgte.
Woher willst Du das wissen? Kann man unter Windows Partitionen nur lesend
einbinden? Wenn nein, dann haben sicher mehrfach schreibzugriffe
stattgefunden, was das Resultat der Recovery Tools erklärt.
René
Georges Heinesch
> ...
>> Beide Recovery Tools zeigen die 4 Files an, die Filegrösse ist jedoch
>> 0 Bytes und der erste Cluster wurde nicht gefunden.
>
> Eine derartige Beobachtung habe ich bei W2k schon öfters machen müssen.
> In einer Dualbootumgebung habe ich W98SE und W2k laufen. Lösche ich nun
> unter W98 auf einer Fat32-Partition Daten, dann kann ich die problemlos
> mit den üblichen Tools wiederherstellen. Lösche ich dagegen auf genau
> derselben Partition Daten, und habe dabei W2k laufen, dann meckern
> dieselben Tools über fehlende Daten am Anfang der gelöschten Datei oder
> finden sie gar nicht. Unnötig zu erwähnen, dass auf dieser Partition
> hach dem Löschvorgang keine weiteren Schreiboperationen unternommen wurden.
>
> Wer hat dafür ein Erklärung.
Sehr interessant zu sehen dass das hier auch schon anderen Leuten
passiert ist! Sind es vielleicht die Tools die etwas übersehen ?!
> ps. Den Tip zum Backup hast du ja schon bekommen.
Irgendwann hört das mit dem Backup auf. Wenn ich RAID-5 wegen
Plattenverlustsrisiko habe, nächtliche Backups automatisch fahre und ich
meinen Fingertrouble auch noch absichern soll, dann brauche ich
Terabytes Kapazität und 48 Stunden Tage ;).
Ich bin nicht "backupfaul", aber irgendwo ist Schluss. Dieses ungewollte
Delete fällt in die Kategorie "shit happens". Backups bieten ein
gewisses Mass an Sicherheit, aber gegen alle "Dummheiten" (wie hier) ist
ein Backup auch machtlos.
Grüße,
--
Georges
Georges Heinesch
Hmmm ... die Partition ist eine reine Datenpartition. Es liegen
keinerlei Configurations Files, Program Files oder noch schlimmer System
Files auf der Platte. Es fällt mir nichts ein was Zugriff auf die Platte
gehabt hätte, zumal ich das Backuptool eine Minute nach dem "Unfall"
startete.
Zwischenzeitlich habe ich GetDataBack bereits 5x drüber laufen lassen.
Immer noch sind die gleichen Files nicht wiederbelebbar. Wenn Windows
(oder eine andere Software) auf irgend einer anderen Form auf die
partition zugreifen würde, wären zwischenzeitlich wahrscheinlich noch
mehr Files unlesbar. Dies ist aber nicht der fall.
Stimmt ... rein lesend (ro) konnte ich die Partition nicht einbinden,
aber ich bezweifele daß etwas an der Partition verändert wurde.
Grüße,
--
Georges
Rene Beer
> Rene Beer wrote:
>
>> Georges wrote:
>>
>>>Ich habe "GetDataBack for NTFS" und "RECOVERY for Windows" gestartet um
>>>die Suche zu beginnen. Erstaunlicherweise blieben 4 Dateien
>>>verschollen., was ich nicht so recht verstehe, da sicher kein
>>>Schreibzugriff nach dem "Unfall" erfolgte.
>>
>> Woher willst Du das wissen? Kann man unter Windows Partitionen nur lesend
>> einbinden? Wenn nein, dann haben sicher mehrfach schreibzugriffe
>> stattgefunden, was das Resultat der Recovery Tools erklärt.
>
> Hmmm ... die Partition ist eine reine Datenpartition. Es liegen
> keinerlei Configurations Files, Program Files oder noch schlimmer System
> Files auf der Platte. Es fällt mir nichts ein was Zugriff auf die Platte
> gehabt hätte,
Windows? Es wird z.B. für jede Datei der letzte (lese-) Zugriff direkt ins
Dateisystem geschreiben. Außerdem gibt es diese desktop.ini Dateien, die
häufiger geschrieben werden. Dann gibt es noch einen Indizierungsdienst,
der einiges zu schreiben hat; Überwachungen, Kontingente, Virenscanner,
Thumbnails, ...
Zugegeben, wenn Du das Tool gleich danach gestartet hast, ist es zumindest
unwahrscheinlich, dass die Daten schon wieder überschrieben wurden. Woran
es dann liegt, weiss ich dann leider auch nicht.
René
Georges Heinesch
> ...
> Windows? Es wird z.B. für jede Datei der letzte (lese-) Zugriff direkt ins
> Dateisystem geschreiben. Außerdem gibt es diese desktop.ini Dateien, die
> häufiger geschrieben werden. Dann gibt es noch einen Indizierungsdienst,
> der einiges zu schreiben hat; Überwachungen, Kontingente, Virenscanner,
> Thumbnails, ...
Virenscanner lief nicht, es handelt sich um eine reine Datenpartition ->
desktop.ini IMHO auch nicht, ... kann sein dass ich etwas übersehen
habe. Kann man eine Partition eigentlich nach dem Booten als read-only
deklarieren?
> Zugegeben, wenn Du das Tool gleich danach gestartet hast, ist es zumindest
> unwahrscheinlich, dass die Daten schon wieder überschrieben wurden. Woran
> es dann liegt, weiss ich dann leider auch nicht.
In GetDataBack gibt es den "Lost Files" Folder. Hier liegen in der tat
Files, die von der Grösse her den 4 verlorenen Files entsprächen. Die
Extension ist zwas .bmp (sollte .mpg sein), aber auch eine Recovery mit
anschliessender Extension Änderung bringt nur Datenmüll!
Irgendwie finden die Recovery Tools den ersten Cluster nicht '#*"§$%!
Grüße,
--
Georges
Raphael Baum
> Ok ... also, die Dateien sind Tat nicht SO wichtig. Trotzdem würde ich
> gerne verstehen was da passiert ist. Da kein Schreibzugriff mehr auf
> die Platte stattfand, müssen sie doch noch irgendwie erreichbar sein.
> Die meisten sind es ja, diese 4 aber nicht.
Woher willst Du denn wissen, dass keine Schreibzugriffe mehr erfolgt sind?
Hellseher?
> Filesystems sind ja keine schwarze Magie. Wenn ich 20 von 24
> zurückbekomme, warum nicht 24/24?
Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th Edition,
Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe mehr
erfolgt, ziemlich aus der Luft gegriffen ist.
Gruß,
Raphael
Ralf Bartzke
lesen lassen, die Win2000 selbst als defekt/Größe 0 bezeichnet.
Man kann folgendes versuchen:
- Dateien mit Linux-Linux-NTFS-Treibern lesen (hierfür Knoppix besorgen)
Wenn's nicht klappt, z.B. mit Knoppix über den dd-Befehl ein
physikalisches 1:1-Backup der Platte machen (hierfür 2. Platte
besorgen). Unbedingt kontrollieren, dass das Backup in der richtigen
Richtung erfolgen wird, bevor man den dd-Befehl absetzt.
Dannach Win2000-Chkdsk mit maximaler Restaurierungsstufe(!) über die
Platte laufen lassen und anschließend erneut probieren, die Platte unter
Linux zu lesen.
Ralf
Christian Dürrhauer
>> Filesystems sind ja keine schwarze Magie. Wenn ich 20 von 24
>> zurückbekomme, warum nicht 24/24?
>
> Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
> Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th Edition,
> Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
> feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe mehr
> erfolgt, ziemlich aus der Luft gegriffen ist.
danke, Du sprichst mir aus der Seele.
--
mit freundlichen Grüßen/with kind regards
Christian Dürrhauer, Institute of Geography, FU Berlin
You carry the fate of us all little one. - Boromir
Georges Heinesch
> ...
>>Filesystems sind ja keine schwarze Magie. Wenn ich 20 von 24
>>zurückbekomme, warum nicht 24/24?
>
> Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
> Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th Edition,
> Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
> feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe mehr
> erfolgt, ziemlich aus der Luft gegriffen ist.
>
> Gruß,
> Raphael
Gut. Wir hören ...
(Auszüge, Stichworte, ... genügen vollkommen)
Wie gesagt ... es ist eine reine Daten Partition. Schreibzugriffe im
Sinn von leeren Clusters überschreiben. Wenn ein Datum oder ein Fileflag
geändert wird, stört das nicht gelöschte Clusters bzw. Vektoren dorthin.
Grüße,
--
Georges
Sascha Wuestemann
z.B. wenn man das indexing (wofuer ist das noch? Achja, fuer Windowser
ohne Langzeitgedaechtnis, wovon M$ annimmt, und zu recht, dass alle
Windowskaeufer davon betroffen sind) nicht abgeschaltet hat, und das
gilt auch fuer "reine Datenpartitionen". Cool, nicht? :-)
cu
Sascha
Juergen Kiesheyer
> Ich bin nicht "backupfaul", aber irgendwo ist Schluss. Dieses ungewollte
> Delete fällt in die Kategorie "shit happens". Backups bieten ein
> gewisses Mass an Sicherheit, aber gegen alle "Dummheiten" (wie hier) ist
> ein Backup auch machtlos.
Nee, da helfen Volumenschattenkopien :)
Bis die Tage, Jürgen
PGP public key available on demand.
Juergen Kiesheyer
> Gut. Wir hören ...
> (Auszüge, Stichworte, ... genügen vollkommen)
Nee, lesen musst Du schon selbst.
Georges Heinesch
>>Woher willst Du das wissen? Kann man unter Windows Partitionen nur lesend
>>einbinden? Wenn nein, dann haben sicher mehrfach schreibzugriffe
>>stattgefunden, was das Resultat der Recovery Tools erklärt.
>
> z.B. wenn man das indexing (wofuer ist das noch? Achja, fuer Windowser
> ohne Langzeitgedaechtnis, wovon M$ annimmt, und zu recht, dass alle
> Windowskaeufer davon betroffen sind) nicht abgeschaltet hat, und das
> gilt auch fuer "reine Datenpartitionen". Cool, nicht? :-)
Aber werden da gelöschte Cluster überschrieben, oder lediglich Daten in
der Datentabellen, die sowieso bestehen und auf der Platte nicht
"verrutschen" oder sich ausdehnen verändert?
--
Georges
Georges Heinesch
Juergen Kiesheyer wrote:
>>Gut. Wir hören ...
>>(Auszüge, Stichworte, ... genügen vollkommen)
>
> Nee, lesen musst Du schon selbst.
Klar, aber man muss wissen wo bzw. nach was man suchen soll. Das hier
ist nicht einfach in Google zu spezifizieren.
Raphael und Christian scheinen ja gut Bescheid zu wissen; also wäre es
gut wenigstens ein paar Stichwörter zu bekommen, denn meiner Meinung
nach wurde nichts mehr auf die Platte geschrieben. Kein File (nicht
einmal lesend) wurde angefasst. GetDataBack for NTFS hat die Platte
sofort gescannt.
Ich kann mir vorstellen dass Daten in den Organisationsstrukturen des
Filesystems verändert wurden (bestehende Cluster wurden verändert), was
jedoch nicht mit dem Überschreiben gelöschter Cluster gleichkommt. Ein
Beispiel wäre was "swap" File des Betriebssystems (pagefile.sys). Es hat
ja einen fest zugewiesenen Bereich, der wohl beschrieben wird, aber
keine immer nur in den reservierten Bereich, der sich physikalisch auf
der Platte nicht verschiebt.
Falls mir jetzt hier niemand sagen kann (was bedauerlich wäre) warum
(und was) möglicherweise auf die Platte geschrieben wurde, würde mich
als nächstes interessieren was zu tun ist falls einem das Missgeschick
noch einmal passiert?
Grüße,
--
Georges
Georges Heinesch
> ...
>>Filesystems sind ja keine schwarze Magie. Wenn ich 20 von 24
>>zurückbekomme, warum nicht 24/24?
>
> Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
> Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th Edition,
> Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
> feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe mehr
> erfolgt, ziemlich aus der Luft gegriffen ist.
Raphael ... bitte gib mir einen Anhaltspunkt! Was kann da geschrieben
worden sein?!
Grüße,
--
Georges
Raphael Baum
"Georges Heinesch" <nos...@domain-not-valid.com> schrieb im Newsbeitrag
news:42fb...@news.vo.lu...
> Raphael Baum wrote:
>> Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
>> Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th
>> Edition,
>> Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
>> feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe
>> mehr
>> erfolgt, ziemlich aus der Luft gegriffen ist.
>
> Raphael ... bitte gib mir einen Anhaltspunkt! Was kann da geschrieben
> worden sein?!
Ich möchte das mal von einer anderen Seite aus betrachten:
Du wirst bei Microsoft seit der Einführung von NTFS immer wieder die
Behauptung finden, dass ein undelete, wie es bei FAT16 unter MSDOS sogar
noch mitgeliefert wurde, nicht machbar ist. Microsoft sagt über NTFS:
gelöscht ist gelöscht! (Im übrigen ist das unter allen brauchbaren
Dateisystemen so.)
Warum können denn dann deine tollen Tools trotzdem etwas wiederherstellen?
Tja, wenn man NTFS (sehr gut) kennt (wie die Tool-Hersteller es hoffenlich
tun), kann man VERSUCHEN, Dateien wiederherzustellen. Wie Du gemerkt hast
gibt es aber keine Garantie dafür. Genau deshalb gibt es auch kein "undelete
for NTFS" von Microsoft.
Was jetzt da deine Dateien so zerstört hat, dass auch vermeintlich
unfehlbare Tools sie nicht mehr wiederfinden können?
Windows NT und seine Nachfolger bieten eine Filesystem Architektur (ich
meine damit die Teile des Betriebssystems, die oberhalb des eigenlichen NTFS
und IDE/SCSI-Treibers angesiedelt sind), bei der man nicht garantieren kann,
dass alle Zugriffe sequentiell erfolgen. Stichworte sind hier "lazy writing"
bzw. asynchrone Dateizugriffe.
Microsoft hat sich schon was dabei gedacht, kein "undelete" für NTFS/FAT32
unter NT/W2K/XP zu programmieren. Ganz einfach weil hier der undelete auch
schiefgehen kann, wenn der Benutzer glaubt, er habe nichts mehr auf die
Platte geschrieben.
Nimm es als gatesgegeben hin;)
Raphael
P.S.: Ich möchte hier übrigens keinesfalls den Eindruck erwecken ich sei ein
Filesystem Spezialist. Davon gibt es (betreffend NTFS) nur seeehr wenige.
Raphael Baum
> "Georges Heinesch" <nos...@domain-not-valid.com> schrieb im
> Newsbeitrag news:42fb...@news.vo.lu...
>> Raphael Baum wrote:
Nachtrag:
Wenn Du übrigens wissen willst was Windows so alles treibt, sieh dir mal die
folgenden Tools an. Du wirst erstaunt sein, was unter der Haube so alles
abgeht ;)
(Beide sind übrigens von Mark Russinovich, dessen Buch ich ja schon
empfohlen habe).
Auf Filesystemebene:
http://www.sysinternals.com/Utilities/Filemon.html
Auf Harddiskebene:
http://www.sysinternals.com/Utilities/Diskmon.html
Georges Heinesch
>>>Magie ist sicher nicht dabei, aber wenn Du dich mal mit dem Windows
>>>Filesystem beschäftigst (Sehr zu empfehlen: Windows Internals, 4th
>>>Edition,
>>>Microsoft Press von Mark Russinovich, David Solomon), wirst du schnell
>>>feststellen, dass deine Feststellung, da wären ja keine Schreibzugriffe
>>>mehr
>>>erfolgt, ziemlich aus der Luft gegriffen ist.
>>
>>Raphael ... bitte gib mir einen Anhaltspunkt! Was kann da geschrieben
>>worden sein?!
>
>
> Ich möchte das mal von einer anderen Seite aus betrachten:
> ...
Ok ! ;(
> Nimm es als gatesgegeben hin;)
Scheint mir wohl nichts anderes übrig zu bleiben.
> Raphael
>
> P.S.: Ich möchte hier übrigens keinesfalls den Eindruck erwecken ich sei ein
> Filesystem Spezialist. Davon gibt es (betreffend NTFS) nur seeehr wenige.
Jedenfalls decken sich deine Artikel hier mit anderen (englischen)
Artikeln, die ich in den letzten Tagen gelesen habe. Scheint wirklich
ein etwas komplexeres Thema zu sein. Jedenfalls hast du mich überzeugt
dass es write access zum Laufwerk gibt (auch wenn's eine Datenpartition
ist), die nicht vum User kontrolliert wird/werden kann.
Danke für die Mühe!
Grüße,
--
Georges
Sascha Wuestemann
IMHO werden auf der untersuchten Partition die Indexdateien mit den
neuen Ergebnissen geschrieben. Wie _genau_ das vor sich geht, weiss M$.
Hast du mal in der Explorer/Ansicht _alle_ Dateien anzeigen eingestellt?
Da wirst du dann versteckte Systemordner mit Dateien finden. Da werden
die Indexdateien wohl dabei sein, vermute ich.
Zumindest liegt es nahe, dass das Indexing von M$ analog wie das von
Bildbetrachterprogrammen funktioniert und da werden ja auch .thumbs und
.index Dateien erzeugt.
cu
Sascha