6 Das Verständnis zu fortgeschrittenem Undelete-Prozess

Dieses Kapitel beschreibt verschiedene Prozesse der Anwendung. 

6.1. Der Überblick

Der Prozess der Dateienwiederherstellung besteht aus den Scan eines Laufwerkes oder Folder, durch den die gelöschte Eintragungen gefunden sind. Das wird im "Root Folder" (Wurzel-Folder, FAT-Dateisystem) oder im "Master File Table" (Stammdateitabelle, NT-Dateisystem) verzeichnet. Sobald eine gelöschte Eintragung gefunden worden ist, wird eine Kette der Dateiblöcke für Wiederherstellung definiert; dann wird der Inhalt dieser Blöcke in die neu geschaffene Datei geschrieben.

Zwar unterschiedliche Dateisysteme ihre eigenen spezifischen logischen Datenstrukturen unterstützen, aber folgt jedes Dateisystem auf diese Richtlinien im Allgemeinen:

• Eine Liste oder ein Katalog der Dateienobjekte und der gelöschten Dateien wird unterstützt. Man kann diese Liste scannen, um die markierte wie gelöschte Dateienobjekte zu finden.
• Für jedes Katalogobjekt wird eine Liste der Datenblockadressen unterstützt. Der aus die gelöschten Dateien bestehende Blöckesatz kann gefunden werden.

Nachdem man das gelöschte Dateienobjekt gefunden hat und den dazugehörigen Blöckesatz zusammengebaut hat, können diese Daten gelesen werden und in einer anderen Lokalisierung kopiert werden.

Es ist wichtig zu merken, daß nicht jede gelöschte Datei wiederherstellt werden kann. Um erfolgreich zu sein, soll man jede vorhandene Methode versuchen. Um jede mögliche Methode zu probieren, manchmal ist es notwendig, die folgende Schritte durchzuführen:

1. Bevor Sie anfangen, prüfen Sie bitte, ob die Dateieintragung noch existiert; ob die durch andere Daten nicht überschrieben worden ist. Je früher Wiederherstellung durchgeführt ist, desto bessere werden die Ergebnisse. Das verringert die Chance, neue Dateien auf die gelöschten Daten zu schreiben, und verbessert die Wahrscheinlichkeit einer Dateiwiederherstellung.
2. Die Dateieintragung der Tabelle ist genug zuverlässig, um auf die Position der Dateiblöcke zu zeigen. In einigen Fällen, insbesonders in Windows XP und in den größeren FAT32-Volumen, beschädigt das Betriebssystem die Tabellendateieintragungen, sofort nachdem eine Datei gelöscht worden ist. Der erste wichtige Datenblock wird unzugänglich und weitere Wiederherstellung kann nicht durchgeführt werden.
3. Die Datenblöcke-Dateien sind nicht beschädigt (sie sind durch anderen Daten nicht überschrieben worden). Je weniger Arbeitsvorgänge auf dem Laufwerk durchgeführt worden sind, in dem die gelöschte Datei war, desto mehr sind die Wahrscheinlichkeiten, dass den durch Datenblöcke besetzte Raum der gelöschten Datei für anderen Datenspeichern nicht verwendet wurde.

Hier sind allgemeine Anmerkungen, was Sie sofort nach dem Datenverlust machen sollen:

• SCHÜTZEN SIE DIE LAUFWERKSPOSITION, IN DER SIE EINE DATEI VERSEHENTLICH GELÖSCHT HABEN. Jedes mögliches Programm, das Daten auf dem Laufwerk schreibt, sogar die Installation von Datenwiederaufnahmen-Software, kann Ihren empfindlichen Daten beschädigen.
• SPEICHERN SIE DATEN AUF DEN GLEICHEN LAUFWERK NICHT, WO SIE GELÖSCHTE DATEN GEFUNDEN HABEN, DIE SIE WIEDERHERZUSTELLEN VERSUCHEN! Beim Speichern der wiederhergestellte Daten auf den gleichen Laufwerk, wo die empfindlichen Daten lokalisiert wurden, können Sie den Wiederherstellungsprozeß beschädigen, indem Sie Tabellenaufzeichnungen für diesen und anderen gelöschten Eintragungen überschreiben. Es ist besser, Daten auf einem anderen logischen, Fern- , Netz- oder Diskettenlaufwerk zu speichern.

Der Rest dieses Kapitels enthält die schrittweisen Beispiele zu diesen Themen:

Siehe weiter; Laufwerkscan

Siehe weiter; Definition der Kettenblöcke

Siehe weiter; Wiederherstellung der Kettenblöcke

  Previous < Contents > Next