Produktgrenzen für die Linux-Festplatte mit Ext4
Ext4 unter Linux: erst aushängen, dann ein Abbild
Wie rette ich gelöschte Dateien von einer Ext4-Partition?
Kurzantwort
Zuerst die Partition aushängen oder höchstens mit -o ro,noload einhängen, dann ein Abbild erstellen: Jedes schreibende Einhängen spielt das Journal ab und verändert die Reststrukturen. Weil Ext4 beim Löschen die Blockverweise im Inode leert, bleiben meist nur Signatursuche oder Journal-Auswertung am Abbild. File Recovery Hero liest keine Ext4-Metadaten.
Der Befund
Dateien wurden auf einem Linux-Datenträger gelöscht, oder die Partition lässt sich nicht mehr normal einhängen.
Zwei Dinge entscheiden hier über den Ausgang, und beide passieren in den ersten Minuten. Erstens: Hänge die Partition aus. Ein schreibend eingehängtes Ext4 spielt beim nächsten Einhängen sein Journal ab und verändert damit genau die Struktur, aus der noch etwas zu lesen wäre; ist Aushängen nicht möglich, hilft ein erneutes Einhängen mit -o ro,noload. Zweitens: Zieh ein unkomprimiertes Abbild, etwa mit dd oder ddrescue, und arbeite nur noch mit dieser Datei. Erst danach ist die Frage nach dem Werkzeug überhaupt sinnvoll — und sie fällt bei Ext4 auf ext4-kundige Programme wie extundelete, ext4magic oder, wenn die Metadaten nichts mehr hergeben, auf eine reine Signatursuche im Abbild.
01 / Einordnen
Was wahrscheinlich passiert ist
Kläre zuerst, ob überhaupt gelöscht wurde. Eine Partition, die nicht mehr einhängt, ist oft kein Datenverlust, sondern ein beschädigter Superblock — dumpe2fs listet die Sicherungskopien, und ein Einhängeversuch mit einem Ersatz-Superblock ist rein lesend möglich. Wurde dagegen wirklich gelöscht, entscheidet der Zeitpunkt: Ext4 leert beim Löschen die Blockverweise im Inode, weshalb der Weg über das Journal nur dann trägt, wenn das Journal die alten Verweise noch enthält.
Ext4 ist ein journalführendes Dateisystem und darauf ausgelegt, nach einem Absturz schnell wieder konsistent zu sein — nicht darauf, Gelöschtes rekonstruierbar zu halten. Jeder schreibende Zugriff, auch das bloße Einhängen, kann das Journal abspielen und Metadaten fortschreiben. Deshalb ist die Reihenfolge „aushängen, abbilden, dann suchen“ bei Ext4 wichtiger als die Wahl des Programms.
Prüfe den letzten Pfad, Zielordner und Backups. Schreibe nichts auf den betroffenen Datenträger.
02 / Sofortmaßnahmen
So schützt du die verbliebenen Daten
- 1
Hänge die betroffene Partition sofort aus; ist das unmöglich, hänge sie mit
-o ro,noloaderneut nur lesend ein. - 2
Erstelle mit
ddoderddrescueein unkomprimiertes Abbild auf ein anderes physisches Laufwerk. - 3
Arbeite ausschließlich mit dem Abbild und lass den Originaldatenträger unberührt liegen.
- 4
Speichere jeden Fund auf ein drittes Ziel, nie in dieselbe Partition und nie in das Abbild hinein.
Führe fsck oder e2fsck nicht auf dem Originaldatenträger aus, solange du die Daten noch brauchst — die Reparatur schreibt. Hänge die Partition nicht schreibend ein, auch nicht „nur kurz zum Nachsehen“. Installiere kein Rettungsprogramm auf demselben Datenträger, von dem gerettet werden soll.
03 / Scan
Die Methode muss zur Quelle passen
Für stabil lesbares exFAT, NTFS und FAT16/FAT32 oder unkomprimierte IMG-, DD-, RAW- und BIN-Images.
Die Formatstruktur wird geprüft. Unbestätigte Exporte tragen .UNVERIFIED.
File Recovery Hero liest Ext4-Metadaten nicht. Die unterstützte Basis sind lesbare exFAT/NTFS/FAT16/FAT32-Datenträger sowie unkomprimierte IMG-, DD-, RAW- und BIN-Images, jeweils ausschließlich lesend. Ein Ext4-Abbild lässt sich damit auf Signaturen durchsuchen, aber Verzeichnisbaum, Dateinamen und Rechte kommen aus den Ext4-Metadaten und bleiben dabei außen vor. Physische Defekte und verschlüsselte Datenträger gehören ebenfalls nicht dazu.
04 / Ergebnis
Woran du eine brauchbare Wiederherstellung erkennst
Öffne jede zurückgeholte Datei vollständig und vergleiche die Größe mit dem Erwarteten. Ergebnisse aus einer Signatursuche tragen keine Namen und keine Ordnerstruktur mehr; ein Bild, das die Vorschau zeigt, kann in der unteren Hälfte trotzdem aus fremden Blöcken bestehen. Prüfe deshalb bis zum Dateiende.
Bewahre die Quelle bis zu zwei geprüften Kopien auf. Eine Vorschau allein genügt nicht.
Quellen und technische Hinweise
Häufige Fragen
Fragen zu diesem Fall
Kann die Linux-Festplatte mit Ext4 in diesem Fall gerettet werden?+
Zwei Dinge entscheiden hier über den Ausgang, und beide passieren in den ersten Minuten. Erstens: Hänge die Partition aus. Ein schreibend eingehängtes Ext4 spielt beim nächsten Einhängen sein Journal ab und verändert damit genau die Struktur, aus der noch etwas zu lesen wäre; ist Aushängen nicht möglich, hilft ein erneutes Einhängen mit -o ro,noload. Zweitens: Zieh ein unkomprimiertes Abbild, etwa mit dd oder ddrescue, und arbeite nur noch mit dieser Datei. Erst danach ist die Frage nach dem Werkzeug überhaupt sinnvoll — und sie fällt bei Ext4 auf ext4-kundige Programme wie extundelete, ext4magic oder, wenn die Metadaten nichts mehr hergeben, auf eine reine Signatursuche im Abbild. Entscheidend bleibt, was auf der Quelle noch lesbar ist.
Was sollte ich vor dem Scan vermeiden?+
Führe fsck oder e2fsck nicht auf dem Originaldatenträger aus, solange du die Daten noch brauchst — die Reparatur schreibt.
Wird auf meine Speicherkarte geschrieben?+
Deine Speicherkarte wird nur gelesen. Nichts wird darauf gespeichert.
Woran erkenne ich ein vollständiges Ergebnis?+
Öffne jede zurückgeholte Datei vollständig und vergleiche die Größe mit dem Erwarteten.