Recovery-Methode für das IMG/DD/RAW/BIN-Image
Datenträger-Image: nach Löschung einsetzen
Wann ist Datenträger-Image nach dem Löschen sinnvoll?
Kurzantwort
Meist dann, wenn du mehrere Scans planst oder die Karte bald wieder brauchst: Das Image hält die gelöschten, noch nicht überschriebenen Daten fest, und alle weiteren Analysen laufen ohne Zugriff auf die Karte. Erstelle es möglichst direkt nach dem Löschen und notiere, was seitdem geschrieben wurde.
Der Befund
Datenobjekte wurden bewusst gelöscht und sind nicht mehr im normalen Verzeichnis angezeigt.
Nach dem Löschen lohnt ein Abbild vor allem dann, wenn du das Medium bald wieder brauchst oder mehrere Suchläufe planst. Es hält den gelöschten Bestand fest, während die Karte nach der Kopie wieder in den Einsatz gehen kann, ohne dass Material verloren geht.
01 / Einordnen
Was wahrscheinlich passiert ist
Gelöschte Dateien verschwinden aus dem Verzeichnis, ihre Inhalte bleiben zunächst liegen. Dieser Zwischenzustand hält nur so lange, wie nichts Neues geschrieben wird — bei einer Kamera, die weiterläuft, sind das Minuten. Wer stattdessen sofort ein Abbild zieht, verschiebt den Zeitdruck: Die Analyse darf dann Tage dauern, weil sie auf einer unveränderlichen Kopie arbeitet.
Dateisystemverweise können entfernt sein, bevor Nutzdaten überschrieben werden. Beim konkreten Thema „Datenträger-Image: nach Löschung einsetzen“ kommt der Formatkontext hinzu: Ein sektorgetreues Image fixiert den analysierten Zustand und erlaubt wiederholbare Scans ohne weitere Zugriffe auf die Originalkarte.
Prüfe den letzten Pfad, Zielordner und Backups. Schreibe nichts auf den betroffenen Datenträger.
02 / Sofortmaßnahmen
So schützt du die verbliebenen Daten
- 1
Trenne das Medium sofort von dem Gerät, das darauf aufgezeichnet hat, und schließe es an einen Computer mit genug Speicherplatz an.
- 2
Notiere Löschzeitpunkt, Anzahl und Art der betroffenen Dateien sowie jeden Schreibvorgang, der seitdem stattgefunden hat.
- 3
Ziehe ein unkomprimiertes Abbild der gesamten Quelle auf ein anderes Laufwerk und sichere dir dessen Bytegröße und Prüfsumme.
- 4
Suche danach im Abbild nach den gelöschten Dateitypen und exportiere die Treffer in einen dritten Ordner außerhalb der Abbilddatei.
Nimm nichts mehr auf dem Medium auf, solange das Abbild nicht fertig ist, auch keine Probeaufnahme zur Funktionskontrolle. Verzichte ebenso auf Wiederherstellungsversuche direkt auf der Quelle, denn jeder Export dorthin belegt genau die Bereiche, in denen die gelöschten Dateien liegen.
03 / Scan
Die Methode muss zur Quelle passen
Für stabil lesbares exFAT, NTFS und FAT16/FAT32 oder unkomprimierte IMG-, DD-, RAW- und BIN-Images.
Die Formatstruktur wird geprüft. Unbestätigte Exporte tragen .UNVERIFIED.
Ein Abbild kann nur sichern, was im Moment der Kopie noch vorhanden ist. Wurde nach dem Löschen weiter geschrieben oder gibt eine SSD die Blöcke per TRIM frei, bleibt auch die sektorgetreue Kopie leer. Für eine defekte Quelle ist das Verfahren nicht gedacht.
04 / Ergebnis
Woran du eine brauchbare Wiederherstellung erkennst
Ein gutes Abbild erkennst du daran, dass es die volle Kapazität abdeckt und bei einem zweiten Durchlauf dieselbe Prüfsumme liefert. Der eigentliche Erfolg zeigt sich danach: Die gelöschten Aufnahmen tauchen im Suchlauf über das Abbild auf und lassen sich vollständig abspielen.
Bewahre die Quelle bis zu zwei geprüften Kopien auf. Eine Vorschau allein genügt nicht.
Quellen und technische Hinweise
Häufige Fragen
Fragen zu diesem Fall
Kann das IMG/DD/RAW/BIN-Image in diesem Fall gerettet werden?+
Nach dem Löschen lohnt ein Abbild vor allem dann, wenn du das Medium bald wieder brauchst oder mehrere Suchläufe planst. Es hält den gelöschten Bestand fest, während die Karte nach der Kopie wieder in den Einsatz gehen kann, ohne dass Material verloren geht. Entscheidend bleibt, was auf der Quelle noch lesbar ist.
Was sollte ich vor dem Scan vermeiden?+
Nimm nichts mehr auf dem Medium auf, solange das Abbild nicht fertig ist, auch keine Probeaufnahme zur Funktionskontrolle.
Wird auf meine Speicherkarte geschrieben?+
Deine Speicherkarte wird nur gelesen. Nichts wird darauf gespeichert.
Woran erkenne ich ein vollständiges Ergebnis?+
Ein gutes Abbild erkennst du daran, dass es die volle Kapazität abdeckt und bei einem zweiten Durchlauf dieselbe Prüfsumme liefert.