Lexikon der Datenrettung

Begriffe

Von Allocation Bitmap bis Wear Leveling

Cluster

Die kleinste Einheit, in der ein Dateisystem Speicherplatz an Dateien vergibt. Eine Datei belegt immer ganze Cluster, auch wenn sie kleiner ist. Bei exFAT sind Clustergrößen von 4 KB bis 32 MB üblich.

Sektor

Die kleinste physisch adressierbare Einheit eines Datenträgers, meist 512 oder 4096 Byte. Mehrere Sektoren bilden zusammen einen Cluster.

Carving

Ein Verfahren, das den Rohdatenstrom nach bekannten Dateianfängen durchsucht und von dort aus Dateien herausschneidet. Es funktioniert ohne Dateisystem, verliert dafür aber Dateinamen, Zeitstempel und Ordnerstruktur.

Fragmentierung

Der Zustand, in dem eine Datei nicht zusammenhängend, sondern über mehrere getrennte Bereiche verteilt gespeichert ist. Fragmentierte Dateien sind für Carving besonders schwierig, weil die Fortsetzung nicht direkt hinter dem Anfang liegt.

DCIM

Digital Camera Images: der genormte Ordnername, in dem Kameras ihre Aufnahmen ablegen. Ein leerer DCIM-Ordner bedeutet nicht zwingend, dass die Daten physisch fehlen.

exFAT

Extensible File Allocation Table: das Dateisystem, mit dem SDXC- und microSDXC-Karten ab Werk formatiert sind. Die Spezifikation ist offiziell veröffentlicht.

FAT (File Allocation Table)

Eine Tabelle, die für fragmentierte Dateien festhält, welcher Cluster auf welchen folgt. Bei exFAT wird sie nur für fragmentierte Dateien benötigt; zusammenhängende Dateien nutzen stattdessen ein Kennzeichen im Verzeichniseintrag.

Allocation Bitmap

Eine Bitkarte, in der exFAT für jeden Cluster vermerkt, ob er belegt oder frei ist. Beim Löschen wird hier das Bit zurückgesetzt, während die Daten selbst zunächst erhalten bleiben.

Volume Boot Record

Der erste Sektor eines Dateisystems. Er enthält alle Kennwerte des Aufbaus: Sektorgröße, Clustergröße, Lage der FAT, Beginn des Cluster-Heaps und den Startcluster des Wurzelverzeichnisses.

Backup-Bootregion

Eine Kopie der Bootregion, die exFAT in Sektor 12 anlegt. Ist die Hauptbootregion beschädigt, kann die Kopie die Struktur wiederherstellen.

Cluster-Heap

Der Bereich eines exFAT-Datenträgers, in dem die eigentlichen Dateidaten liegen. Seine Startposition steht im Volume Boot Record.

Schnellformatierung

Eine Formatierung, die nur die Verwaltungsstrukturen neu anlegt und die Datenbereiche unberührt lässt. Aufnahmen bleiben deshalb oft rekonstruierbar, solange nichts Neues geschrieben wurde.

Vollständige Formatierung

Eine Formatierung, die zusätzlich den Datenbereich überschreibt oder prüft. Danach ist eine Wiederherstellung in aller Regel nicht mehr möglich.

Überschreiben

Das Beschreiben eines Speicherbereichs mit neuen Daten. Überschriebene Inhalte sind endgültig verloren; keine Software kann sie zurückholen.

Datenträger-Image

Eine unkomprimierte, sektorgenaue Kopie eines ganzen Datenträgers als Datei, üblich mit den Endungen IMG, DD, RAW oder BIN. Sie ist nicht mit RAW-Fotodateien zu verwechseln.

Wear Leveling

Ein Verfahren im Controller von Flash-Speicher, das Schreibvorgänge gleichmäßig über die Speicherzellen verteilt. Es bewirkt, dass logische Adressen nicht dauerhaft denselben physischen Zellen entsprechen.

TRIM

Ein Befehl, mit dem ein Betriebssystem dem Speicher mitteilt, welche Bereiche nicht mehr benötigt werden. Betroffene Bereiche können danach sofort gelöscht werden, was eine Wiederherstellung stark erschwert oder unmöglich macht.

MBR

Master Boot Record: die klassische Partitionstabelle im ersten Sektor eines Datenträgers. Sie beschreibt bis zu vier primäre Partitionen und deren Startpositionen.

GPT

GUID Partition Table: die modernere Partitionstabelle ohne die Beschränkungen des MBR. Sie legt zusätzlich eine Sicherungskopie am Ende des Datenträgers ab.

Dateisignatur

Eine feste Bytefolge am Anfang einer Datei, an der sich ihr Format erkennen lässt. JPEG beginnt beispielsweise mit FF D8 FF, WAV mit der Zeichenfolge RIFF.

Container

Ein Dateiformat, das mehrere Datenströme zusammenfasst, etwa Bild und Ton eines Videos. MP4, MOV und MXF sind Container; der eigentliche Videoinhalt darin ist mit einem Codec kodiert.

Codec

Das Verfahren, mit dem Bild- oder Tondaten kodiert und dekodiert werden. Ein intakter Container garantiert noch nicht, dass die enthaltenen Codec-Daten vollständig sind.

Demuxing

Das Auftrennen eines Containers in seine einzelnen Datenströme. Gelingt das über die volle Laufzeit, ist das ein starker Hinweis auf eine vollständige Datei.

Ergänzung .UNVERIFIED

Eine Kennzeichnung im Dateinamen für ein Ergebnis, dessen Vollständigkeit nicht bestätigt werden konnte. Es handelt sich um ein technisches Dateisuffix, das nicht übersetzt wird.

FOUND.000 und CHK

Ein Ordner, den eine Windows-Dateisystemreparatur anlegt, sowie die darin abgelegten Fragmentdateien. Sie entstehen durch CHKDSK und sind keine regulären Mediendateien.

RAW (Fotoformat)

Das unbearbeitete Sensorformat einer Kamera, etwa CR3 bei Canon oder ARW bei Sony. Eine RAW-Datei enthält meist eine eingebettete Vorschau, deren Anzeige noch nicht beweist, dass die Sensordaten vollständig sind.