Recovery-Methode für das exFAT-Quelle oder Image
Dateisignatur-Scan: nach Löschung einsetzen
Wann ist Dateisignatur-Scan nach dem Löschen sinnvoll?
Kurzantwort
Meist als zweiter Weg: Solange die gelöschten Verzeichniseinträge erhalten sind, liefern sie Namen und Größen zuverlässiger. Die Signatursuche lohnt sich, wenn diese Einträge schon überschrieben sind oder Dateien fehlen. Sie erkennt Formatheader im freien Bereich, Ende und Fragmentierung ergeben sich erst aus der Formatstruktur.
Der Befund
Datenobjekte wurden bewusst gelöscht und sind nicht mehr im normalen Verzeichnis feststellbar.
Nach dem Löschen ist die Signatursuche der zweite Weg, nicht der erste. Solange die exFAT-Einträge noch stehen, liefern sie Name und Größe genauer. Interessant wird der Scan, sobald diese Einträge überschrieben sind oder einzelne Dateien in der Trefferliste der Metadatenauswertung fehlen.
01 / Einordnen
Was wahrscheinlich passiert ist
Beim Löschen verschwindet der Verweis, nicht der Inhalt. Die Signatursuche findet den Dateianfang deshalb unabhängig davon, ob der Verzeichniseintrag noch existiert. Sie weiß aber nicht, wie lang die Datei war und ob ihre Cluster am Stück lagen. Diese Angaben standen im Eintrag; ohne ihn muss die Formatstruktur der Datei selbst die Grenze liefern.
Dateisystemverweise können entfernt sein, bevor Nutzdaten überschrieben werden. Beim konkreten Thema „Dateisignatur-Prüflauf: nach Löschung einsetzen“ kommt der Formatkontext hinzu: Signaturen können Dateianfänge erkennen, doch Ende, Fragmentierung und Formatstruktur müssen zusätzlich bestimmt werden.
Prüfe den letzten Pfad, Zielordner und Backups. Schreibe nichts auf den betroffenen Datenträger.
02 / Sofortmaßnahmen
So schützt du die verbliebenen Daten
- 1
Stoppe jede weitere Nutzung des Mediums und halte fest, wann gelöscht wurde und was seitdem geschrieben wurde.
- 2
Sieh zuerst nach, ob die Verzeichniseinträge noch Namen liefern, und schalte die Signatursuche erst danach zu.
- 3
Beschränke die Suche auf die Formate der gelöschten Dateien, damit die Trefferliste überschaubar bleibt und die Zuordnung gelingt.
- 4
Exportiere die Funde auf ein anderes Laufwerk und vergleiche sie mit dem, was die Metadatenauswertung geliefert hat.
Lege keine neuen Dateien auf dem Medium ab, auch keine Exporte und kein Rettungsprogramm. Erwarte auch keinen Papierkorb: Bei Wechseldatenträgern legt Windows keinen an. Und lass keine Systemprüfung laufen, die freie Bereiche neu einordnet und dabei schreibt.
03 / Scan
Die Methode muss zur Quelle passen
Für stabil lesbares exFAT, NTFS und FAT16/FAT32 oder unkomprimierte IMG-, DD-, RAW- und BIN-Images.
Die Formatstruktur wird geprüft. Unbestätigte Exporte tragen .UNVERIFIED.
Ohne Verzeichniseintrag gibt es keinen Originalnamen, und auf SSDs mit aktivem TRIM sind freigegebene Blöcke oft schon gelöscht, bevor ein Scan sie erreicht. File Recovery Hero liest exFAT, NTFS und FAT nur lesend; Exporte gehören immer auf ein anderes Laufwerk.
04 / Ergebnis
Woran du eine brauchbare Wiederherstellung erkennst
Ein Fund ist brauchbar, wenn seine Größe zur gelöschten Datei passt und er sich vollständig öffnen lässt. Tauchen mehrere Treffer auf, die denselben Clip zu enthalten scheinen, ist meist einer der vollständige und der Rest ein Bruchstück; das klärt sich nur durch Abspielen.
Bewahre die Quelle bis zu zwei geprüften Kopien auf. Eine Vorschau allein genügt nicht.
Quellen und technische Hinweise
Häufige Fragen
Fragen zu diesem Fall
Kann das exFAT-Quelle oder Image in diesem Fall gerettet werden?+
Nach dem Löschen ist die Signatursuche der zweite Weg, nicht der erste. Solange die exFAT-Einträge noch stehen, liefern sie Name und Größe genauer. Interessant wird der Scan, sobald diese Einträge überschrieben sind oder einzelne Dateien in der Trefferliste der Metadatenauswertung fehlen. Entscheidend bleibt, was auf der Quelle noch lesbar ist.
Was sollte ich vor dem Scan vermeiden?+
Lege keine neuen Dateien auf dem Medium ab, auch keine Exporte und kein Rettungsprogramm.
Wird auf meine Speicherkarte geschrieben?+
Deine Speicherkarte wird nur gelesen. Nichts wird darauf gespeichert.
Woran erkenne ich ein vollständiges Ergebnis?+
Ein Fund ist brauchbar, wenn seine Größe zur gelöschten Datei passt und er sich vollständig öffnen lässt.