Das Symptom
Zwei Datenträger sehen im Auswahlfenster gleich aus. Der eine sollte das Ziel
sein, der andere war die Quelle – und nach dem Klick auf Formatieren ist die
Speicherkarte mit den Urlaubsbildern leer. Oder das Sicherungsprogramm hat beim
Einrichten angeboten, das Zielmedium vorzubereiten, und das Zielmedium war die
falsche Platte. Der Datenträger meldet sich anschließend als frisch und leer,
sauber eingerichtet, mit dem vollen freien Speicherplatz.
Die „Layer 8“-Wahrheit
Die überraschend gute Nachricht zuerst: Formatieren löscht in aller Regel nicht,
was man darunter versteht. Microsoft beschreibt für die Schnellformatierung
wörtlich, was sie tut – sie entfernt die Dateitabelle und das Stammverzeichnis
eines zuvor formatierten Datenträgers und führt dabei keine sektorweise Prüfung
auf beschädigte Bereiche durch. Was sie nicht tut, steht in derselben Tabelle
gleich daneben: Das Nullen jedes einzelnen Sektors ist ein eigener,
ausdrücklich zu wählender Schalter. Eine Schnellformatierung nimmt also das
Inhaltsverzeichnis heraus und lässt den Text stehen. Genau deshalb funktioniert
Datenrettung überhaupt.
Und genau deshalb entscheidet sich alles in den nächsten Minuten, nicht in den
nächsten Tagen. Der Datenträger hält jetzt Blöcke für frei, die es nicht sind.
Alles, was ab jetzt darauf geschrieben wird, darf sie belegen: eine Datei, die
man versehentlich hinüberzieht, ein Systemdienst, der einen Index anlegt, ein
Installationsprogramm – und ganz besonders das Rettungsprogramm selbst, das der
verzweifelte Nutzer herunterlädt und auf demselben Laufwerk installiert. Der
Schaden, den ein Formatieren anrichtet, ist meist reparabel. Der Schaden, den die
darauffolgende Rettungsaktion anrichtet, ist es oft nicht.
Für den Rest gibt es zwei Werkzeuge mit zwei sehr verschiedenen Ansätzen, und man
sollte wissen, welches man wann braucht. TestDisk arbeitet an der Struktur: Es
prüft und stellt verlorene Partitionen wieder her, und es kann bei einigen
Dateisystemen gelöschte Dateien zurückholen. Die Handbuchseite ist dabei erfreulich
ehrlich, welche das sind – FAT12, FAT16, FAT32, Linux ext2 und NTFS. Wer ext4
erwartet, findet es dort nicht, und das ist eine wichtigere Information als jede
Erfolgsgeschichte aus einem Forum. Gelingt die Wiederherstellung der Partition,
kommen Ordner und Dateinamen im günstigen Fall vollständig zurück.
PhotoRec geht den umgekehrten Weg. Es ignoriert das Dateisystem und sucht direkt
nach den darunterliegenden Daten, und deshalb arbeitet es laut Handbuchseite auch
dann, wenn das Dateisystem schwer beschädigt oder formatiert ist. Der Preis ist
hoch, aber fair: Namen und Ordnerstruktur stehen im Dateisystem, und das ist ja
gerade weg. Zurück kommen Inhalte – Bilder, Dokumente, Videos – als
durchnummerierte Fundstücke, dazu Bruchstücke und Dubletten. Für die Urlaubsbilder
ist das ein voller Erfolg, für einen gewachsenen Projektordner mit
sprechenden Dateinamen eine mühsame Sortierarbeit.
Bemerkenswert an PhotoRec ist ein Satz aus seiner eigenen Dokumentation, an dem
sich jedes Rettungswerkzeug messen lassen sollte: Das Programm sei sicher in der
Anwendung, es werde niemals versuchen, auf den Datenträger zu schreiben, von dem
Daten gerettet werden sollen. Wer ein Werkzeug in die Hand nimmt, das diese
Zusage nicht gibt, sollte sich sehr gut überlegen, ob er es auf das Original
loslässt – oder ob nicht doch der Weg über ein Labor der billigere ist, sobald
die Daten wirklich unersetzlich sind.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Sofort aufhören, den Datenträger zu benutzen
Das ist der einzige Schritt, bei dem Zeit zählt. Betrifft es das Systemlaufwerk, gehört der Rechner ordentlich heruntergefahren; betrifft es einen Stick oder eine externe Platte, wird sie abgezogen. Jedes weitere Schreiben – auch das Herunterladen eines Rettungsprogramms, ein Windows-Update oder ein Indexlauf im Hintergrund – kann genau die Blöcke belegen, um die es geht.
2.Nachsehen, ob es eine Schnellformatierung war
Der Regelfall bei einem versehentlichen Klick ist die Schnellformatierung, und sie ist die gute Nachricht. Sie entfernt laut Microsoft die Dateitabelle und das Stammverzeichnis, prüft aber nicht sektorweise und überschreibt den Inhalt nicht. Erst der Schalter zum Nullen jedes Sektors überschreibt tatsächlich. Wer eine vollständige Formatierung mit Überschreiben angestoßen und durchlaufen lassen hat, muss dagegen ehrlich mit sich sein: Dort ist nichts mehr zu holen.
3.Von einem anderen System aus arbeiten
Ein Rettungssystem von einem USB-Stick oder ein zweiter Rechner, an den der betroffene Datenträger angeschlossen wird. Damit ist ausgeschlossen, dass das laufende Betriebssystem im Hintergrund auf das Laufwerk schreibt, das gerettet werden soll. Ein zweiter Datenträger für die geretteten Dateien muss vorher bereitliegen und mindestens so groß sein wie die erwartete Datenmenge.
4.Erst die Partition suchen, dann die Dateien
Wenn nach dem Formatieren die Struktur fehlt, ist TestDisk das erste Werkzeug: Es prüft und stellt verlorene Partitionen wieder her. Der Listenmodus zeigt zunächst nur an, welche Partitionen das Programm findet, und verändert dabei nichts. Ist die alte Partition noch auffindbar, kommen im günstigen Fall Ordner und Dateinamen vollständig zurück.
testdisk /list
5.Wenn die Struktur verloren ist, den Inhalt bergen
PhotoRec geht den anderen Weg: Es ignoriert das Dateisystem und sucht direkt nach den darunterliegenden Daten, weshalb es laut Handbuchseite auch bei schwer beschädigtem oder formatiertem Dateisystem arbeitet. Das Zielverzeichnis für die Funde gehört zwingend auf ein anderes Laufwerk. Das Programm schreibt selbst nie auf den Datenträger, von dem gerettet wird.
photorec /d /media/rettung/fundstuecke /dev/sdb
6.Die Ausbeute prüfen, bevor irgendetwas gelöscht wird
Aus einer inhaltsbasierten Rettung kommen viele Dateien zurück, aber ohne Namen und ohne Ordner, dafür mit Bruchstücken und Dubletten. Erst wenn Stichproben tatsächlich öffnen – Bilder anzeigen, Dokumente lesbar, Videos abspielbar –, ist die Rettung geglückt. Bis dahin bleibt der Originaldatenträger unangetastet, denn ein zweiter Versuch mit anderen Einstellungen ist oft nötig.
7.Bei unersetzlichen Daten früher aufhören als zu spät
Sind die Daten geschäftskritisch oder unwiederbringlich, ist jeder eigene Versuch ein Risiko, und ein zweiter Versuch nach einem schiefgegangenen ersten ist ein größeres. Ein Datenrettungslabor arbeitet an einer Kopie und nie am Original. Das kostet Geld und ist die einzige Vorgehensweise, die den Zustand garantiert nicht verschlechtert.
8.Danach den eigentlichen Fehler abstellen
Ein Formatieren statt Kopieren passiert, weil zwei Datenträger gleich aussehen. Aussagekräftige Datenträgernamen, das Trennen aller nicht benötigten Laufwerke vor solchen Aktionen und eine Sicherung, die den Vorfall ohnehin abgefangen hätte, sind die drei Maßnahmen, die verhindern, dass es ein zweites Mal spannend wird.