Technische Referenz
exFAT verstehen: Aufbau und Löschverhalten
Das Dateisystem, auf dem fast jede Kamerakarte arbeitet — und warum sein Aufbau über deine Rettungschancen entscheidet.
Die kurze Antwort
exFAT verwaltet Dateien in vier Strukturen.
Bootregion, File Allocation Table, Allocation Bitmap und Verzeichniseinträge. Wer versteht, welche dieser Strukturen beim Löschen verändert wird und welche nicht, versteht auch, warum gelöschte Aufnahmen meist noch vorhanden sind und warum ausgerechnet lange Videoclips am schwierigsten sind.
01 / Grundlage
Wo exFAT vorkommt und warum
exFAT steht für Extensible File Allocation Table und wurde für Wechselmedien mit Flash-Speicher entworfen. Die SD Association schreibt es für SDXC- und microSDXC-Karten vor, also für praktisch alle Karten ab 64 Gigabyte. Kameras, Drohnen, Action-Cams und Audiorecorder schreiben deshalb fast immer auf exFAT.
Gegenüber dem älteren FAT32 hebt exFAT die Grenze von vier Gigabyte pro Datei auf. Das ist der Grund, warum es sich bei Videoaufnahmen durchgesetzt hat: Ein einzelner 4K-Clip überschreitet diese Grenze mühelos.
Microsoft hat die Spezifikation offiziell veröffentlicht. Eine Auswertung muss deshalb nicht auf Reverse Engineering beruhen, sondern kann sich auf die dokumentierten Strukturen stützen.
02 / Aufbau
Die vier Strukturen im Überblick
Die letzte Zeile ist der Grund, warum Datenrettung überhaupt funktioniert. Der Cluster-Heap wird beim Löschen nicht angefasst. Die Aufnahme liegt weiter dort, wo sie lag — nur weiß das Dateisystem nichts mehr davon.
| Struktur | Aufgabe | Beim Löschen |
|---|---|---|
| Bootregion | Beschreibt Sektorgröße, Clustergröße und die Lage aller anderen Strukturen | Unverändert |
| Allocation Bitmap | Vermerkt je Cluster, ob er belegt oder frei ist | Bit wird auf frei gesetzt |
| File Allocation Table | Verkettet die Cluster fragmentierter Dateien | Kette wird gelöst |
| Verzeichniseinträge | Enthalten Name, Zeitstempel, Größe und Startcluster | Als gelöscht markiert |
| Cluster-Heap | Enthält die eigentlichen Dateidaten | Bleibt physisch erhalten |
03 / Bootregion
Was im Volume Boot Record steht
exFAT legt zusätzlich eine vollständige Sicherung dieser Bootregion in Sektor 12 an. Ist die Hauptregion beschädigt, lässt sich der Aufbau daraus rekonstruieren. Diese Redundanz ist ein Grund, warum ein exFAT-Datenträger auch nach einer Beschädigung des Anfangs oft noch auswertbar bleibt.
- Die Kennung EXFAT an Offset 3, an der sich das Dateisystem eindeutig erkennen lässt.
- Sektorgröße und Clustergröße, jeweils als Zweierpotenz gespeichert.
- Offset und Länge der File Allocation Table sowie die Anzahl der FATs.
- Der Beginn des Cluster-Heaps und die Gesamtzahl der Cluster.
- Der Startcluster des Wurzelverzeichnisses als Einstiegspunkt in die Ordnerstruktur.
- Die Bootsignatur 0x55AA am Ende des Sektors.
04 / Löschen
Was beim Löschen tatsächlich geschieht
Für eine Rekonstruktion bedeutet das: Bei einer zusammenhängend gespeicherten Datei genügen Startcluster und Größe aus dem Verzeichniseintrag, um sie vollständig zu lesen. Bei einer fragmentierten Datei fehlt dagegen die Verkettung, weil sie in der FAT gelöst wurde. Genau deshalb sind lange, fragmentierte Videoclips der schwierigste Fall.
- 1
Der Verzeichniseintrag wird als nicht mehr in Gebrauch markiert. Name, Größe, Zeitstempel und Startcluster bleiben dabei zunächst lesbar.
- 2
In der Allocation Bitmap werden die zugehörigen Cluster als frei gekennzeichnet.
- 3
War die Datei fragmentiert, wird ihre Verkettung in der FAT aufgelöst.
- 4
Der Inhalt im Cluster-Heap bleibt unverändert liegen, bis etwas Neues an dieselbe Stelle geschrieben wird.
Flash-Speicher ordnet logische Adressen intern frei den physischen Zellen zu. Bei Medien, die TRIM unterstützen und deren Controller freigegebene Bereiche aktiv löscht, können Daten bereits kurz nach dem Löschen physisch weg sein. Bei klassischen SD-Karten in Kameras ist das seltener als bei internen SSDs, aber nicht ausgeschlossen.
05 / Praxis
Was daraus für die Rettung folgt
- Sofort aufhören zu schreiben. Der Cluster-Heap ist die einzige Quelle; jede neue Aufnahme kann ihn teilweise überschreiben.
- Keine Dateisystemreparatur ausführen. CHKDSK und ähnliche Werkzeuge schreiben in genau die Strukturen, die für die Rekonstruktion gebraucht werden.
- Ein unkomprimiertes Image erstellen. Danach lässt sich beliebig oft und mit beliebigen Werkzeugen analysieren, ohne den Datenträger erneut zu belasten.
- Ergebnisse gegen die Formatstruktur prüfen, nicht nur gegen den Dateianfang. Bei fragmentierten Dateien entscheidet sich erst dort, ob ein Clip vollständig ist.
Quellen und technische Hinweise
Häufige Fragen
Woran erkenne ich, ob meine Karte exFAT ist?
SDXC- und microSDXC-Karten ab 64 Gigabyte sind ab Werk exFAT. Unter Windows zeigen es die Laufwerkseigenschaften, unter macOS das Festplattendienstprogramm. Bei einem Image kannst du es mit dem Bootsektor-Werkzeug auf dieser Website prüfen.
Warum sind Videos schwieriger zu retten als Fotos?
Ein Foto ist klein und meist zusammenhängend gespeichert. Ein langer Videoclip ist um ein Vielfaches größer und häufig fragmentiert. Weil die Verkettung fragmentierter Dateien beim Löschen in der FAT aufgelöst wird, muss sie rekonstruiert werden — das ist der aufwendigste Teil.
Hilft die Backup-Bootregion bei beschädigten Karten?
Sie hilft, wenn die Hauptbootregion beschädigt ist, die restlichen Strukturen aber intakt sind. Sie ersetzt keine Rekonstruktion der Verzeichniseinträge und keine physische Reparatur eines defekten Datenträgers.
Ist exFAT sicherer oder unsicherer als andere Dateisysteme?
exFAT ist bewusst schlank gehalten und kennt kein Journal. Ein Journal kann nach einem Stromausfall helfen, den letzten konsistenten Zustand wiederherzustellen. Ohne Journal ist ein Aufnahmeabbruch bei exFAT deshalb etwas kritischer.
Theorie klar, Praxis dran?
Lies den Bootsektor deines Images direkt im Browser.