Datenrettung nachdem VM überschrieben wurde

[Sithys]

Moin moin zusammen...
ein Kollege hat auf seinem Rechner ein Update für eine Software zum Datenaustausch zwischen Rechenzentrum und seinem Laptop installiert. Nach der Installation hat er die Synchronisation angestoßen und wie das so ist... er hat in die falsche Richtung synchronisiert und schwupp, war die 18Gb große Windows VM (Parallels) durch die 10kb große aus dem RZ ersetzt worden und verschwunden.

Ich versuch seit 2 Tagen diese VM irgendwo wiederzufinden, habe aber langsam keine Ideen mehr. Wie war das denn überhaupt noch mal... generell ist es doch viel schwieriger, eine überschriebene Datei wiederherzustellen, als eine gelöschte, die dann durch einen andere ersetzt wurde, oder?

Welches sind so Eure Tools die gut funktionieren? Lohnt sich ein Deep-Scan?

Bin dankbar für jeden Tipp!

 

[Madnex]

Um was für einen Datenträger geht es? HDD oder SSD? Bei einer HDD hast du durchaus noch Chancen. Bei einer SSD kannst du es vergessen. Die automatische Trimmung erledigt den Rest.

Aber auch bei einer HDD gilt: Sektoren, die mit neuen Daten beschrieben wurden, lassen sich nicht mehr dazu überreden alte Daten preiszugeben. Diese Daten existieren dann nicht mehr. Jeder Sektor, der mit neuen Daten befüllt wurde, verliert unwiederbringlich den vorherigen Inhalt. Wenn eine 18 GB gelöscht und eine 10 KB Datei neu auf demselben Datenträger erstellt wurde, ist die 18 GB Datei entweder noch vollständig wiederherstellbar oder nur ein minimaler Bestandteil wurde durch die 10 KB Datei unwiederbringlich gelöscht. Das bedeutet aber auch, dass jeder weitere Schreibzugriff auf diesen Datenträger die 18 GB Datei weiter beschädigen kann. Deshalb sind bei Datenrettungsaktionen tunlichst jegliche Schreibzugriff zu unterbinden.

 

[Sithys]

... ich hab mal eben geschaut unter "Über diesen Mac" oder wie das heißt, da steht 251Gb Flash-Speicher... heißt das automatisch SSD? Kann ich das irgendwo detaillierter nachlesen auf der Kiste? Ich hab einen Quick-Scan laufen lassen und diverse Dateien finden können. Hab vor 5 Minuten den Deep-Scan angestoßen. Zuvor haben 2 Techniker versucht, da irgendwas zu retten, einen Deep-Scan hat noch keiner gemacht.

Wie läuft diese Trimmung? Die Datei wurde letzten Donnerstag überschrieben, der Laptop wurde seitdem mehrfach hoch und runtergefahren.

​Besten Dank Madnex für die Antwort!

 

[Bartmensch]

Der Controller der SSD entscheidet, welche Speicherzellen wenig beschrieben wurden und nutzt diese gleichmäßig ab.
Daher hat man keinen Einfluss, welche Speicherzellen genutzt werden.
Ergo ist es möglich, dass die Daten, wenn überhaupt noch vorhanden, stark fragmentiert sind.
Versuch es trotzdem mal mit den üblichen Freeware Toolz wie Recuva und Co.
Schaden kann es nicht.

 

[Sithys]

Also, wie bereits gesagt, war die VM vorher (schätzungsweise) 18Gb groß. Es war ein vollwertiges Windows 10 inkl. Warenwirtschaft und einigem an Software.

Der QuickScan hat eine VM zu Tage geführt, die 478Mb groß ist, was schon mal wesentlich mehr als 10Kb sind. Diese VM beinhaltet allerdings keine Daten sondern ein 470Mb großes .mem File, welches wohl zu Parallels gehört - bringt mir also leider auch nichts. Ich kann nur hoffen, dass der DeepScan weiteres zu Tage führt und wir damit eventuell Erfolg haben. Der braucht aber noch knapp 52 Minuten.

 

[Kokodieeeee]

Nach dem Überschreiben gibt es doch keine Chance zur Datenrettung...