Laptop Hdd Rettung unmöglich- Dateien sichtbar aber "genullt", ohne Inhalt

[Silbermanuel]

Hallo, ich habe ein aus meiner Sicht seltsames Problem. Im Halbschlaf habe ich meine ganze Laptopfestplatte gelöscht bis auf einen Ordner, was eigentlich hätte andersrum passieren sollen. Am Tag drauf habe ich es gemerkt und natürlich nichts mehr mit der Festplatte gemacht.
Ich habe jetzt einiges ausprobiert über die letzten Wochen, den besten Erfolg mit Winhex bisher, aber Winhex scheint generell am besten zu sein.

Mein Problem ist folgender:

Egal was ich wie tue, die Dateien werden angezeigt (bis auf einige "lost directory" Ordner) aber wenn ich auf diese klicke zeigt Winhex nur viele Nuller. Ich kann das absolut nicht nachvollziehen und egal was ich versuche zu retten, nicht ein Bild funktionierend Wiederhergestellt, nichts funktioniert, nur die Einträge/Header ohne echten Inhalt.
Es war nur ein ganz normaler "endgültig Löschen" Windows Befehl, nichts besonderes. Dabei wird doch nichts so wirklich gelöscht und wenn mit der Festplatte nicht gearbeitet wird sind doch die Daten alle noch da?
Habe schon des öfteren über die Jahre Festplatten wiederhergestellt, früher mit File Scavenger viele erfolge gehabt, bisher funktionierte alles ohne Problem, auch wenn die Festplatte nach dem löschen benutzt wurde konnte das meiste wiederhergestellt werden, aber sowas wie jetzt.. noch nie erlebt.

Die Daten waren alle gesichert bis auf ein kleiner Ordner bei dem ich sehen kann was drin ist und ich es gerne wieder hätte, aber es ist wirklich nicht wichtig, mir geht es hier wirklich darum das zu verstehen was los ist und mit dem besseren Verständnis in echten Notfällen die Daten wieder holen.
Wäre da wirklich Dankbar wenn jemand mir Tipps geben könnte. Ein Bekannter meinte ich sollte in Winhex einen Deepscan ausführen, aber ich finde dazu nichts, ich bin mir eigentlich sicher, dass es schon dieser ist, da es 6 Stunden in Anspruch nimmt. Festplatte mehrfach auslesen lassen, vollständige Kopie bzw. Klonen lassen, viele Optionen ausprobiert, nichts fruchtet.

 

[derlorenz]

Es wäre hilfreich, zumindest für mich, wenn du zu erst erklärst, was du überhaupt (im Halbschlaf, solltest du dich daran erinnern können ^^) überhaupt getan hast. Mir fällt es jedenfalls schwer, aus deinem Text irgendwelche Rückschlüsse zu ziehen.

 

[Incanus]

Willkommen im Computer Base Forum.

Reden wir wirklich von einer Festplatte oder einer SSD? Und mit

natürlich nichts mehr mit der Festplatte gemacht.

Meinst Du tatsächlich nichts mehr gemacht, sie stattdessen ausgebaut und mit einem anderen Computer ausschließlich lesend daraufhin zugegriffen?

 

[Silbermanuel]

Es wäre hilfreich, zumindest für mich, wenn du zu erst erklärst, was du überhaupt (im Halbschlaf, solltest du dich daran erinnern können ^^) überhaupt getan hast. Mir fällt es jedenfalls schwer, aus deinem Text irgendwelche Rückschlüsse zu ziehen.

Hatte ich doch geschrieben, alles gelöscht bis auf einen Ordner mit dem ganz normalen Windows Kontextmenü Befehl Löschen. Ich habe eingestellt, dass nichts in den Papierkorb verschoben wird, deshalb wurde es "endgültig gelöscht". Einzige zusätzliche Info ist, dass es nicht die Systemfestplatte war, deshalb überhaupt "alles" gelöscht werden kann. Ich lass mal außen vor, dass mit "alles" nicht recycle.bin und System Volume Information gemeint war.

 

[VIIV]

@Silbermanuel Bei Deinen Rettungsversuchen, hast Du versucht die Daten wieder auf DER Festplatte herzustellen, oder hast Du versucht die Daten auf eine ANDERE Festplatte wiederherzustellen?
Bei ersterem hast Du einen großen Fehler begangen! Die Daten sind dann endgültig futsch!
Bei der zweiten Möglichkeit sind die Daten noch da, Du müsstest dann nur irgendwie die
die Startsequenz wieder herstellen. (Komm gerade nicht drauf, wie das richtig heißt)

 

[Silbermanuel]

Reden wir wirklich von einer Festplatte oder einer SSD? Und mit

Meinst Du tatsächlich nichts mehr gemacht, sie stattdessen ausgebaut und mit einem anderen Computer ausschließlich lesend daraufhin zugegriffen?

Hi und Danke.
HDD, normale 2,5er 1TB Platte.
Genau, nichts mehr damit gemacht dann. Im Halbschlaf alles gelöscht, dann ins Bett, morgens gemerkt und da die Rettungsgeschichten sehr lange dauern habe ich die Platte aus dem Laptop ausgebaut in in einen kleinen "Server" im Keller eingebaut, dort die vielen Rettungsversuche durchgeführt mit 2 alten Festplatten in die ich die Wiederherstellungsversuche habe sichern lassen, auch einmal eine Platte verwendet um Winhex die Laptopplatte Klonen zu lassen. Dachte Winhex würde beim Klonen versuchen die gefundenen Daten wieder "sichbar" zu bekommen, aber war einfach nur ein nutzloser Klon da dort (habe versucht meine Daten vom Klon wiederherstellen zu lassen) auch nichts wieder hervorzubringen war.

Es ist, als wären die "Header" noch da, die meisten Dateien dementsprechend in der Auflistung vorhanden, aber 99% sind einfach ohne Inhalt, nur Nuller. Finds einfach sehr seltsam. Selbst wenn ich mit anderen Festplatten noch mit gearbeitet hatte konnte ich das meiste retten deshalb geht es mir gerade wirklich darum da zu verstehen wie das passiert ist. Ich war sogar kurz paranoid und dachte ich hätte ein Programm mal installiert und vergessen, welches im Kontextmenü "sicher Löschen" integriert hätte, aber sowas habe ich nicht..

Ergänzung (5. Dezember 2024)

@Silbermanuel Bei Deinen Rettungsversuchen, hast Du versucht die Daten wieder auf DER Festplatte herzustellen, oder hast Du versucht die Daten auf eine ANDERE Festplatte wiederherzustellen?

Ich komme wohl deutlich dämlicher rüber als ich es bin xD
Nein, ich habe ein paar alte Platten auf die ich hin sichern lasse.
Was mit der Startsequenz gemeint ist wüsste ich gerne. MBR? Register?

Achja noch was anderes:
Mir fehlen jetzt die richtigen Begriffe dafür, aber die Programme müssen doch riesige auslagerungsdateien dafür haben einfach nur um zu wissen wo die Fragmente der entsprechenden Dateien zu finden sind. Ich hab jetzt keine Ahnung wie groß das sein müsste, aber wenn Winhex eine 1TB Platte scant, dann muss doch die Auslagerung, die Adressierungs Daten? bestimmt auch locker 50GB oder so Groß sein oder deutlich mehr?
Konnte das bisher nicht finden wo man das einstellt. Die System-SSD sollte Groß genug sein, ist einiges frei, aber gewundert hat mich das ja schon.

 

[SuperHeinz]

Also Du hast die HDD, der Du den Löschbefehl verpasst hast, ausgebaut und in anderen PC (Server) eingebaut. Du hast jetzt aber nicht den Inhalt dieser HDD auf eine andere HDD/SSD kopiert und auf diesem Double dann Deine Rettungsversuche unternommen? Sondern auf/mit dem Original?

Ergänzung (5. Dezember 2024)

Mit welchem Windows operierst Du eigentlich?

 

[Silbermanuel]

Sondern auf/mit dem Original?

Ich habe ein mal, als unsinnigen Versuch, vom Klon versucht meine Daten zu retten, da kam aber exakt das Gleiche bei raus.
Das geht jetzt seit 2 oder 3 Wochen bei denen ich immer wieder versuche auf anderem Wege an die Daten zu kommen und an sich bin ich sehr versucht einfach aufzugeben weil ich nur einen kleinen Ordner der vermutlich nichts interessantes hat, nicht bereits gesichert hatte. Aber ich möchte kapieren was hier passiert ist und komme nicht drauf.
Bisher hatte das alles so gut funktioniert, dass ich über die Jahre eine gewisse Gleichgültigkeit entwickelt hatte weil das so easy war alles zu retten, hatte mir da garkeine Gedanken gemacht, externe Platte an den Laptop, Winhex scannen lassen und alles auf die externe wiederherstellen lassen aber dann das böse Erwachen Oo

Ergänzung: auf allen Systemen Win10 (habe hier auf 2 Laptops 11 und ich versuche an 10 festuhalten weil ich 11 nicht leiden kann). Wieso? Hat 11 ein Kontextmenü Eintrag der sowas hätte bewirken können? Löschprozess sollte doch identisch sein.

 

[SuperHeinz]

Und welches Windows hat nun der verwendete Laptop? Das wurde nämlich in Deiner blumenreichen Beschreibung vergessen zu erwähnen, war aber meine Frage.

Ergänzung (5. Dezember 2024)

Ich habe ein mal, als unsinnigen Versuch, vom Klon versucht meine Daten zu retten, da kam aber exakt das Gleiche bei raus.

Diesen Klon hast Du als allererstes angelegt, bevor Du irgendeinen Rettungsversuch gestartet hast?

 

[Silbermanuel]

Und welches Windows hat nun der verwendete Laptop? Das wurde nämlich in Deiner blumenreichen Beschreibung vergessen zu erwähnen, war aber meine Frage.

Diesen Klon hast Du als allererstes angelegt, bevor Du irgendeinen Rettungsversuch gestartet hast?

Und meine Antwort war "auf allen Systemen". Frage mich ja weiterhin welche Relevanz das hat, deshalb meine Frage welchen Unterschied das macht. Aber um es blumiger auszuführen: Auf allen in dieser Angelegenheit betroffenen Systemen, ist Win 10 =)

Klon wurde nicht als erstes angelegt, nein. Das hätte ich vielleicht getan, würde es hier um hochsensible Daten gehen, aber die ersten versuche waren Standartaktionen ("tiefes" auslesen und auf andere Festplatten wiederherstellen lassen).

 

[TorenAltair]

a) Rettungsversuche nicht mit einem Standard-Windows, da Windows üblicherweise die Platten inkl. Schreiben mountet und damit auch sämtliche Versuche einer Datenrettung torpediert. Die übliche Empfehlung ist eine Linux-Distribution bei der, der Datenträger nur lesend gemountet wird.
b) Als erstes einen Klon mittels DD/DDRescue anlegen, die Originalplatte in den Schrank legen und nur auf den Klonen arbeiten
c)

Ich komme wohl deutlich dämlicher rüber als ich es bin xD

Es hat nichts mit dämlich zu tun. Deine Beschreibung lässt auf fehlendes Grundlagenwissen wie Datenspeicherung funktioniert schließen (das ist nicht negativ gemeint, ich z.B. würde auch nicht an meinem Auto herumschrauben, weil ich das Wissen dazu nicht habe). Daher: Überlegen was die Daten einem Wert wären. Übersteigen diese ein paar hundert Euro, dann ab zum professionellen Datenretter, wie z.B. Kroll Ontrack.
Ist es das einem nicht wert, dann kann man selbst versuchen "herumzubasteln", aber NUR auf Klonen.

 

[Silbermanuel]

Toren, Danke erstmal, was du schreibst kann ich an sich auch nachvollziehen, aber mir gehts darum zu verstehen wieso nach einem einfachen Löschvorgang die Header (hoffe ich nutze die richtigen Begriffe) noch da sind, der Dateiinhalt aber alles Nuller sind, egal wie groß eine Datei ist. Ich verstehe, dass Linux sicher die bessere Wahl bei sowas ist, aber es ist doch keine Erklärung dafür, dass alle Dateien gefunden werden, nur fast jede, selbst kleine Bilder nicht wiederherstellbar sind, denn die sind ja nicht wirklich fragmentiert.
Ich weiss nicht ob ein einfaches "das liegt an Windows" wirklich die Lösung sein kann, wenn sowas selbst zu WinMe Zeiten nicht passiert ist, ich zu WinXp Zeiten schon einige Platten erfolgreich retten konnte, es immer wieder mal dazu kam, ganz unabhängig davon wieviele Scheiben die Platte hatte, ob IDE, Sata oder Scsi.
Klar, immer mit schlichter Methodik des Software Scan, aber immer erfolgreich. Nur ein mal musste ich kapitulieren weil die Platte einer bekannten einen mechanischen Schaden hatte und ich da mit meinen simplen mitteln nichts tun konnte.
Der Wert des ganzen liegt bei Null weil ich alles gesichert habe bis auf einen kleinen Ordner mit ein paar Videos die ich rein aus Neugierde zurückholen möchte.
Ich könnte verstehen, wenn da ein Datenbrei zustandekommen würde, die Software versucht ein Video zu retten bei dem die Zuordnung durcheinandergeraten ist und aus Fragmenten von Bildern und Textdokumenten und sowas besteht, aber Nuller? Als hätte ich BleachBit aus versehen laufen lassen und nur die Header oder das Register wäre noch da O.O

 

[Evil E-Lex]

Egal was ich wie tue, die Dateien werden angezeigt (bis auf einige "lost directory" Ordner) aber wenn ich auf diese klicke zeigt Winhex nur viele Nuller.

Welche Version von WinHex nutzt du?
Ich hätte gern zwei Screenshots des gesamten Programmfensters. Einmal die "Datei" bzw. "File"-Ansicht und einmal die "Details"-Ansicht. (Edit: Die Details-Ansicht gibt es in WinHex nicht.)

Ich hab das mal kurz nachgestellt:

• leere (genullte) 160 GB SATA-Platte genutzt
• GPT-Partitionstabelle und NTFS-Partition erstellt
• einige Verzeichnisse draufkopiert (Bildddateien und ein paar Treiber)
• ein Bild per Shift-Entf gelöscht
• mehrere Treiberdateien per Shift-Entf gelöscht

Ergebnis: Die Treiberdateien sind sichtbar, das Bild nicht.

Das Bild bekomme ich zurück, indem ich nach Dateien carven lasse. Dazu muss über Specialist > Refine Volume Snapshot > File Header Signature Search der passenden Dateityp ausgewählt werden (bei mir JPEG) und dann anschließend in das virtuelle Verzeichnis "Carved FIles" geschaut werden. Da befindet sich die JPEG-Datei:

Als Fazit zeigt sich: Die Funktion "endgültig Löschen" vom Windows-Explorer nullt die Dateien nicht. Hast du vielleicht ein Tool installiert, das diese Funktion unbewusst im Hintergrund übernimmt?