Eine Datei zu löschen oder einen Datenträger zu formatieren, löscht sie nicht physisch: Auf einer Festplatte bleiben die Daten unversehrt auf den Platten, solange keine neuen Daten darüber geschrieben wurden. Ihre Chancen auf eine Datenrettung sind nach einem versehentlichen Löschen oder Formatieren daher oft gut, unter einer zwingenden Bedingung: Hören Sie sofort auf, den betroffenen Datenträger zu verwenden. Jede Minute, in der der Computer weiterläuft, kann das überschreiben, was Sie retten möchten, denn Updates und andere automatische Prozesse schreiben genau in den „freigegebenen" Speicherplatz. Bei einer SSD, wo der TRIM-Mechanismus gelöschte Daten schnell entfernt, müssen Sie noch schneller handeln.

Der folgende Text erklärt, warum ein Löschen kein Auslöschen ist, wo die wahre Gefahr lauert und warum die Wiederherstellungssoftware, die Sie herunterladen möchten, mehr schaden als nutzen kann.

Was wirklich passiert, wenn Sie eine Datei löschen

Unter Windows landet ein gewöhnliches Löschen nirgendwo: Es führt über den Papierkorb. Die Datei wird von ihrem Platz entfernt, aber in einer Art Pufferzone aufbewahrt, aus der man sie noch herausholen kann. Erst beim Leeren des Papierkorbs glaubt man, sie endgültig zu löschen.

Nur ist „endgültig" trügerisch. Wenn Sie den Papierkorb leeren, vermerkt das System, dass die Datei nicht mehr existiert, doch auf den Platten einer Festplatte bleiben die Daten physisch vorhanden. Warum? Weil das tatsächliche Löschen des Inhalts sehr lange dauern würde: Man müsste Sektor für Sektor darüber schreiben, was die Festplatte bei jedem Löschvorgang enorm beanspruchen würde. Das System macht sich diese Arbeit nicht; es streicht lediglich eine Zeile in seinem Verzeichnis.

Dieses Verzeichnis heisst Zuordnungstabelle oder Index: das Register, das dem System mitteilt, welche Dateien existieren und wo sich ihre Daten physisch auf dem Datenträger befinden. Um es zu verstehen, stellen Sie sich ein Buch vor. Die Zuordnungstabelle ist das Inhaltsverzeichnis. Jedes Kapitel entspricht einer Datei, und das Inhaltsverzeichnis gibt an, auf welcher Seite es beginnt, also wo sich die Daten auf dem Datenträger befinden. Wenn Sie eine Datei löschen, reisst das System nicht die Seiten heraus: Es löscht die entsprechende Zeile im Inhaltsverzeichnis. Die Seiten selbst sind noch da. Man muss sie nur wiederzufinden wissen.

Genau darin liegt der Grund, weshalb eine Datenrettung möglich ist. Solange niemand darüber geschrieben hat, wartet das gesamte Kapitel, unsichtbar, aber unversehrt.

Die wahre Gefahr: das Überschreiben

Wenn die Daten dort bleiben, was kann dann schiefgehen? Das Überschreiben.

Sobald die Datei gelöscht ist, betrachtet das System den von ihr belegten Speicherplatz als verfügbar. Bei der ersten Gelegenheit möchte es dort neue Daten schreiben. Wenn Sie gerade eine grosse Datei gelöscht haben und das System eine andere oder mehrere kleine speichern muss, wird dieser frisch „freigegebene" Speicherplatz sogar bevorzugt. Die neuen Daten setzen sich dann genau dorthin, wo die alten lagen, und überschreiben sie endgültig.

Die Tücke ist, dass Sie nichts tun müssen, um diesen Vorgang auszulösen. Ein eingeschalteter Computer arbeitet ununterbrochen, ohne Ihr Zutun. Windows oder macOS laden Updates herunter und installieren sie, die sich Platz dort suchen, wo welcher vorhanden ist, also in dem Speicherplatz, der Ihre gelöschten Daten enthält. Der Antivirus schreibt seine Dateien. Die automatische Defragmentierung ordnet den Datenträger neu. All diese unbeabsichtigten und unsichtbaren Prozesse konkurrieren um den freien Speicherplatz und können Stück für Stück überschreiben, was Sie zu retten hofften.

Daraus ergibt sich die absolute Regel: Sobald ein versehentliches Löschen stattgefunden hat, hören Sie auf, das Betriebssystem zu verwenden, das auf diesem Datenträger läuft. Speichern Sie nichts, installieren Sie nichts und schalten Sie das Gerät nach Möglichkeit aus. Dasselbe Prinzip gilt für ein Telefon: Es weiter zu verwenden bedeutet, die Hintergrundprozesse gegen sich arbeiten zu lassen.

Festplatte oder SSD: die Nuance, die alles verändert

Diese gute Nachricht, „die Daten bleiben dort", kennt eine wesentliche Ausnahme, und sie hängt vom Typ des Datenträgers ab.

Auf einer gewöhnlichen, mechanischen Festplatte ist das Schreiben relativ langsam. Kein System macht sich das Vergnügen, spontan Sektoren zu überschreiben, die frei erscheinen: Das wäre kontraproduktiv und unnötig langsam. Ihre gelöschten Daten können daher lange überdauern, solange sie nichts überschreibt.

Auf einer SSD ist das eine andere Geschichte. TRIM ist ein Befehl, der es der SSD ermöglicht, die als frei markierten Blöcke tatsächlich zu löschen, um ihre Schreibleistung zu erhalten. Konkret kann die SSD nach einem Löschvorgang Ihre Daten aus eigener Initiative innerhalb weniger Minuten physisch bereinigen. Das Zeitfenster für eine Datenrettung ist daher deutlich kürzer, und das Stilllegen des Datenträgers muss noch schneller erfolgen. Das ist einer der grossen Unterschiede zwischen der Datenrettung einer Festplatte und der einer SSD.

Formatieren, Neupartitionieren: schnell oder vollständig, hier entscheidet sich alles

Eine Datei oder einen Ordner zu löschen bedeutet, ihre Einträge einen nach dem anderen im Index zu löschen. Ein Formatieren geht anders vor: Statt die Zeilen des Inhaltsverzeichnisses einzeln zu entfernen, setzt es die gesamte Zuordnungstabelle auf einen Schlag zurück. Die Tabelle wird winzig, wie ein leeres Inhaltsverzeichnis.

Der alte Inhalt jedoch ist noch da, und oft auch die alte Zuordnungstabelle, auffindbar, weil sie grösser war. Genau das ermöglicht es, nach einem einfachen Formatieren die Struktur der Dateien vollständig zu rekonstruieren. Dasselbe Prinzip gilt für das Neupartitionieren: Man schreibt die Organisation neu, aber die zugrunde liegenden Daten bleiben bestehen.

Man muss allerdings zwei Arten des Formatierens unterscheiden, denn sie sind in keiner Weise vergleichbar:

	Schnellformatierung	Vollständige Formatierung
Was sie tut	Erstellt nur das Inhaltsverzeichnis (die Zuordnungstabelle) neu	Erstellt die Tabelle neu und setzt dann jeden Sektor auf null
Die Daten	Physisch weiterhin vorhanden	Tatsächlich gelöscht, Sektor für Sektor
Dauer	Nahezu augenblicklich	Mehrere Stunden bei einem Datenträger mit mehreren TB
Datenrettung	Oft möglich	Stark beeinträchtigt

Anders gesagt: Eine Schnellformatierung löscht fast nichts von Ihren Daten, während eine vollständige Formatierung sie methodisch überschreibt. Wenn Sie beim Formatieren die Wahl haben und im Zweifel sind, lässt die Schnellformatierung stets einen Ausweg offen.

Wiederherstellungssoftware: wann sie rettet, wann sie zerstört

Angesichts eines Löschvorgangs ist der Reflex, nach einer Wiederherstellungssoftware zu suchen. Es gibt viele davon, von sehr unterschiedlicher Zuverlässigkeit und mit sehr unterschiedlichen Prinzipien. Einige sind gut. Doch fast alle teilen denselben konzeptionellen Mangel: Sie frieren den Zustand des Datenträgers vor der Arbeit nicht ein. Sie beginnen nicht damit, eine Bit-für-Bit-Kopie anzufertigen, um auf der Kopie zu arbeiten; sie arbeiten direkt auf Ihrem Datenträger.

Hier ist das Szenario, das wir im Labor immer wieder eintreffen sehen. Ein Kunde löscht wichtige Daten und lädt dann eine Wiederherstellungssoftware herunter. Erster Fehler: Er installiert sie auf genau dem Datenträger, den er retten möchte. Ein Programm zu installieren bedeutet aber, Dateien in den freien Speicherplatz zu schreiben, also genau dorthin, wo die gelöschten Daten schlummern. Die erste Software überzeugt ihn nicht? Er probiert eine zweite, dann eine dritte, jede installiert sich am selben Ort und überschreibt die Daten ein wenig mehr. Währenddessen startet Windows im Hintergrund ein Update, das ebenfalls in diesen Speicherplatz schreibt.

Es folgt der zweite, noch verhängnisvollere Fehler. Eine Software findet schliesslich Dateien; erleichtert stellt der Kunde sie auf demselben Datenträger wieder her. Das Programm liest dann die Daten und schreibt sie dorthin, wo Platz ist: in den freien Speicherplatz, also auf die Daten, die es gerade rettet. Es zerstört, was es gerade gefunden hat. Das häufigste Ergebnis: der endgültige Verlust dessen, was hätte gerettet werden können.

Das heisst nicht, dass diese Programme schlecht sind. Sie können nützlich sein. Es kommt ganz auf die Vorgehensweise an: Hat man den Datenträger eingefroren? Hat man vorher eine Sicherungskopie angefertigt? Stellt man auf einen anderen Datenträger wieder her als den, der zu retten ist? Es ist die Handhabung, die zählt, nicht das Werkzeug. Ein Stechbeitel wird an jeden verkauft; er macht aus niemandem einen Bildhauer.

Was ein Labor an Ihrer Stelle tut

Unser Vorgehen beginnt dort, wo das der Verbrauchersoftware scheitert: beim Schutz des Datenträgers. Der erste Schritt ist eine Bit-für-Bit-Kopie des Datenträgers, schreibgeschützt erstellt; der Datenträger wird durch unsere Werkzeuge (einen Hardware-Schreibblocker) physisch schreibgeschützt, sodass kein System etwas darauf schreiben kann. So erhalten wir eine perfekte Kopie aller Sektoren und arbeiten anschliessend nur auf dieser Kopie. Ihre Originaldaten bewegen sich nicht mehr.

Auf dieser Kopie starten wir mehrere Scans, um die Verzeichnisstruktur aus den gelöschten Indizes zu rekonstruieren: das Inhaltsverzeichnis wiederzufinden, kurz gesagt, um jeder Datei ihren Namen und ihren Ordner zurückzugeben. Wenn die Indizes dafür zu beschädigt sind, arbeiten wir direkt an den Dateien selbst, mit einer Technik namens Carving: der Wiederherstellung von Dateien anhand ihrer binären Signatur, ohne den Umweg über den Index. Wir suchen in den Rohdaten nach den charakteristischen Bytes, mit denen jeder Dateityp beginnt, ein JPG, ein PDF und so weiter. Diese Methode stellt Dateien wieder her, die keinen Index mehr haben, um den Preis einer Einschränkung: Der ursprüngliche Name und der Ort in der Verzeichnisstruktur gehen verloren.

Wir gehen oft noch weiter. Bei ohne Namen wiederhergestellten Fotos nutzen wir die in jedes Bild eingebetteten EXIF-Daten, um ihnen verständliche Namen zurückzugeben, mit Datum und Aufnahmeinformationen. Und für seltenere Formate wie DICOM, das in der medizinischen Bildgebung verwendet wird, haben wir mitunter eigene Erkennungssoftware entwickelt, um diese Dateien zu extrahieren, die Standardwerkzeuge übergehen.

Häufige Fragen

Ist eine gelöschte Datei wirklich ausgelöscht?

Nein. Auf einer Festplatte entfernt das Löschen einer Datei (selbst beim Leeren des Papierkorbs) nur ihren Eintrag im Index: Die Daten bleiben physisch auf den Platten vorhanden, solange keine neuen Daten darüber geschrieben wurden. Genau das macht eine Datenrettung möglich.

Was ist unmittelbar nach einem versehentlichen Löschen oder Formatieren zu tun?

Hören Sie auf der Stelle auf, den Datenträger zu verwenden: Speichern Sie nichts, installieren Sie nichts und schalten Sie das Gerät nach Möglichkeit aus. Jeder Schreibvorgang, einschliesslich der Updates und des Antivirus, die im Hintergrund laufen, kann die zu rettenden Daten überschreiben. Installieren Sie keine Wiederherstellungssoftware auf dem betroffenen Datenträger.

Kann man nach einem Formatieren Daten wiederherstellen?

Oft ja, vor allem nach einer Schnellformatierung, die nur die Zuordnungstabelle neu erstellt und die Daten sowie die alte Tabelle an Ort und Stelle belässt. Eine vollständige Formatierung, die jeden Sektor auf null setzt, beeinträchtigt die Datenrettung dagegen stark. Das Neupartitionieren folgt demselben Prinzip wie die Schnellformatierung.

Kann man eine gelöschte Datei auf einer SSD wiederherstellen?

Das ist viel ungewisser als auf einer Festplatte. Der TRIM-Mechanismus der SSD löscht die als frei markierten Blöcke tatsächlich, oft innerhalb weniger Minuten. Man muss die SSD daher sofort nicht mehr verwenden; nach einer kurzen Frist können die gelöschten Daten endgültig verloren sein.

Ist Software zur Datenrettung zuverlässig?

Sie kann helfen, doch ihr gemeinsamer Mangel ist, direkt auf dem zu rettenden Datenträger zu arbeiten, ohne ihn einzufrieren. Die Software zu installieren, zu scannen und dann die Dateien auf demselben Datenträger wiederherzustellen schreibt in den freien Speicherplatz, in dem gerade die zu rettenden Daten liegen, und zerstört sie. Wenn Sie eine verwenden, installieren Sie sie und stellen Sie auf einem anderen Datenträger wieder her.

Was ist Carving bei der Datenrettung?

Carving ist eine Technik, die Dateien anhand ihrer binären Signatur wiederherstellt, ohne den Index. Man identifiziert in den Rohdaten die Bytes, die den Beginn eines JPG, eines PDF usw. markieren. Sie ermöglicht es, Dateien zu retten, deren Index zerstört ist, lässt aber den ursprünglichen Namen und den Ort in den Ordnern verloren gehen.