Speichermedien für das read-only Laufwerks-Image
exFAT-Image schreibgeschützt analysieren
Wie gehe ich bei „exFAT-Image schreibgeschützt analysieren“ sicher vor?
Kurzantwort
Zuerst die Image-Datei sperren: Setze sie im Dateisystem auf schreibgeschützt und notiere eine Prüfsumme. So startet jeder weitere Scan vom selben Zustand, und abweichende Ergebnisse liegen am Scan, nicht an veränderten Daten. Die Originalkarte bleibt währenddessen ungenutzt, Exporte gehen auf ein anderes Laufwerk.
Der Befund
Mehrere Scanversuche sollen denselben Ausgangszustand gebrauchen.
Mehrere Scanläufe sind nur vergleichbar, wenn die Grundlage sich nicht ändert. Ein schreibgeschütztes Image liefert genau das: denselben Sektorinhalt bei jedem Durchgang. Unterschiede zwischen zwei Läufen liegen dann an den Sucheinstellungen und nicht daran, dass sich die Quelle zwischendurch verändert hat.
01 / Einordnen
Was wahrscheinlich passiert ist
Der Fall verlangt Wiederholbarkeit, etwa weil verschiedene Formate, Suchtiefen oder Zeitfenster nacheinander geprüft werden sollen. Jeder Zugriff auf das Originalmedium birgt das Risiko, dass ein Betriebssystem Indexdateien anlegt oder eine Wiederherstellungsroutine anspringt. Ein gesperrtes Image schließt das aus und entlastet zugleich das Ausgangsmedium.
Prüfe den letzten Pfad, Zielordner und Backups. Schreibe nichts auf den betroffenen Datenträger.
02 / Sofortmaßnahmen
So schützt du die verbliebenen Daten
- 1
Lege das Image auf einem Laufwerk ab, das nur für diesen Fall verwendet wird, und trenne danach das Original.
- 2
Setze die Image-Datei im Dateisystem auf schreibgeschützt und bilde eine Prüfsumme, die du getrennt notierst.
- 3
Führe jeden Scanlauf gegen diese Datei aus und halte pro Lauf die Einstellungen und die Trefferzahl fest.
- 4
Vergleiche vor jedem weiteren Lauf die Prüfsumme und exportiere Funde auf ein anderes Laufwerk.
Hebe den Schreibschutz nicht auf, um das Image einzuhängen und darin aufzuräumen, und lege keine Arbeitskopien daneben, die du später verwechselst. Ein verändertes Image macht jeden früheren Befund wertlos, weil sich die Ausgangslage nicht mehr belegen lässt.
03 / Scan
Die Methode muss zur Quelle passen
Für stabil lesbares exFAT, NTFS und FAT16/FAT32 oder unkomprimierte IMG-, DD-, RAW- und BIN-Images.
Die Formatstruktur wird geprüft. Unbestätigte Exporte tragen .UNVERIFIED.
Ein Schreibschutz im Dateisystem ist eine Vereinbarung, kein Hardwareschutz; ein Programm mit ausreichenden Rechten kann ihn aufheben. Der Zustand im Image bleibt außerdem so gut, wie das Original beim Ziehen war: Später verlorene Daten holt kein weiterer Lauf zurück.
04 / Ergebnis
Woran du eine brauchbare Wiederherstellung erkennst
Sauber gearbeitet hast du, wenn die Prüfsumme nach allen Läufen unverändert ist und zwei Durchgänge mit gleichen Einstellungen dieselbe Trefferliste ergeben. Weichen die Ergebnisse trotzdem ab, liegt es an den Einstellungen, und die schreibst du für den nächsten Lauf mit.
Bewahre die Quelle bis zu zwei geprüften Kopien auf. Eine Vorschau allein genügt nicht.
Quellen und technische Hinweise
Häufige Fragen
Fragen zu diesem Fall
Kann das read-only Laufwerks-Image in diesem Fall gerettet werden?+
Mehrere Scanläufe sind nur vergleichbar, wenn die Grundlage sich nicht ändert. Ein schreibgeschütztes Image liefert genau das: denselben Sektorinhalt bei jedem Durchgang. Unterschiede zwischen zwei Läufen liegen dann an den Sucheinstellungen und nicht daran, dass sich die Quelle zwischendurch verändert hat. Entscheidend bleibt, was auf der Quelle noch lesbar ist.
Was sollte ich vor dem Scan vermeiden?+
Hebe den Schreibschutz nicht auf, um das Image einzuhängen und darin aufzuräumen, und lege keine Arbeitskopien daneben, die du später verwechselst.
Wird auf meine Speicherkarte geschrieben?+
Deine Speicherkarte wird nur gelesen. Nichts wird darauf gespeichert.
Woran erkenne ich ein vollständiges Ergebnis?+
Sauber gearbeitet hast du, wenn die Prüfsumme nach allen Läufen unverändert ist und zwei Durchgänge mit gleichen Einstellungen dieselbe Trefferliste ergeben.