Vorgehensweise & beste Methode Datenrettung

[ph0be]

Hallo CBler,

ich habe während meiner Ausbildung zum Fachinformatiker im Bereich Systemintegration 2009 einen schweren Fehler begangen, den ich bis heute sehr bereue. In dem Jahr hatte ich einen einzigartigen Urlaub mit der Familie meines besten Freundes, den ich mit vielen Fotos dokumentierte. Die Fotos sind danach auf meinem Laptop (SL500) gelandet.
Zu der Zeit spielte ich gerade mit verschiedenen Betriebssystemen herum... Jedenfalls war ein Windows Vista drauf, das ich ohne drüber nachzudenken mit einem Ubuntu überbügelte - samt Bilder.

Ich meine mich daran erinnern zu können, dass ich danach in meinem jugendlichen Leichtsinn wieder ein Windows draufgespielt habe, um diverse Datenrettungsprogramme nutzen zu können (ist ja nicht so, dass es für Linux keine gibt...). Nach einigen Versuchen die Bilder sowohl von der HDD als auch den Speicherkarten wiederherzustellen (immerhin 679, aber nur vom 19.-20.07.2009 und 27.-29.07.2009), wurde die HDD zur späteren Datenwiederherstellung beiseite gelegt und nicht mehr benutzt.

Jetzt ist die Zeit und ein Anlass gekommen sich dem Thema noch einmal zu widmen. Daher meine Fragen an euch:

1. Selbst Hand anlegen oder lieber gleich zum Profi einschicken? Die Bilder wären es mir wert.
2. Welche Vorgehensweise ist am schlausten? (1:1 Abbild erstellen, TestDisk-Anleitung befolgen...)
3. Welche Methode ist in meinem Fall die beste? (alte Windows Vista Partition wiederherstellen? Bestimmte Programme verwenden?)

Ich würde mich über hoffnungsbringende Kommentare wirklich sehr freuen!


Danke im Voraus

ph0be

 

[cyberpirate]

Alles was überschrieben wurde ist wohl irreparabel. Ansonsten erstmal ein IMAGE der Platte machen und dann suchen. Testdisk wäre empfehlenswert.

https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/

 

[konkretor]

Platte ausbauen und in einem anderen Rechner mit dem Tools prüfen

https://www.r-studio.com/de/data-recovery-software/

 

[Arcturus]

Was überschrieben wurde ist weg, da hilft auch kein Profi.

 

[ph0be]

Danke euch schon mal. Werde mich nochmal an TestDisk wagen. R-Studio kannte ich damals noch nicht und wird mir heute hoffentlich noch ein paar mehr Bilder zurückbringen!

 

[Mickey Mouse]

ich hoffe mal, dass ich dir nichts neues erzähle...
mit "normalen" Tools kannst du Daten retten, deren Einträge im Verwaltungsbereich des Dateisystems gelöscht wurden, die Daten selber aber noch vorhanden sind. Am einfachsten war das früher mit FAT basierten Systemen, die in dieser Hinsicht wirklich einfach strukturiert sind.

das sollte erklären, warum jede Schreib-Aktion auf die Platte die Chancen zur Datenrettung schwinden lässt. Auf der einen Seite werden die Verwaltungsinformationen noch weiter verändert und immer mehr verwaiste aber noch "vorhandene" Datenblöcke überschrieben.
nach einer (oder sogar mehrerer) OS Neuinstallation(en) stehen die Chancen da eher schlecht.

NOCHMAL, auf jeden Fall sollte die Platte ausschließlich Read-Only eingebunden werden, völlig egal was du damit weiter machst! Zur Sicherheit sollte man natürlich eine 1:1 Kopie ziehen und nicht weiter mit dem Original arbeiten.

eine darauf spezialisierte Firma ist evtl. auch noch dazu in der Lage "in den Magnetschichten zu graben". Dazu bedarf es aber Spezial Hardware und das wird richtig(!) teuer...
das geht natürlich nur mit dem Original, das dazu (in einem Reinstraum) zerlegt werden muss und anschließend kaum wieder zusammen gebaut werden wird.

 

[ImpactBlue]

Ich fasse zusammen, die Bilder wurden:

1. durch Ubuntu überschrieben
2. durch Windows überschrieben
3. durch Datenrettungsprogramme auf der selben Platte vielleicht auch noch überschrieben

Wenn die Kohle über ist, ab zum Profi damit aber nicht Zuviel erwarten.
Außer du kannst Kroll 5-6-stellig zahlen, dann könnten die vielleicht was ala flugzeugabsturz-Blackbox-zamkleben zaubern.

 

[gaym0r]

Außer du kannst Kroll 5-6-stellig zahlen, dann könnten die vielleicht was ala flugzeugabsturz-Blackbox-zamkleben zaubern.

Nein, Kroll kann nicht zaubern. Sind die dateien überschrieben, sind sie überschrieben. Wo soll Kroll die herzaubern?

 

[ImpactBlue]

@gaym0r darum die relativierenden Worte "könnten" und "vielleicht" .. oh und "zaubern".

Keine Ahnung, bin kein Datenrettungsanalysespezialist.
Ich wollte damit hauptsächlich den beträchtlichen Geldaufwand hervorheben, der vielleicht nötig wäre um zu versuchen etwas mehr als das bisherige rauszukitzeln.
Die Chance hierfür wird verschwindend gering sein, aber mit etwas Glück ist sie nicht Null. Sondern n 6er im Lotto.

Edit @Mickey Mouse unter mir: irgendwie hab ich deinen Beitrag über meinem total ignoriert. Aber genau darauf wollte ich im Grunde auch raus.

 

[Mickey Mouse]

wie gesagt, es gibt da schon Möglichkeiten die "Historie" der Magnetisierung zumindest ansatzweise zu rekonstruieren.
nicht umsonst gibt das BSI unter Datenschutzgerechter Löschung von Daten vor: "Daten, die sicher gelöscht werden sollen, müssen durch physikalische Maßnahmen (mechanische oder thermische Zerstörung, magnetische Durchflutung des Datenträgers) oder durch mehrmaliges Überschreiben unkenntlich gemacht werden."
ein "einfaches" Überschreiben reicht definitiv nicht aus

 

[Scirca]

Da hat aber einer in seiner Ausbildung gut aufgepasst wenn solche Fragen kommen.

 

[Dr. McCoy]

Die Fotos sind danach auf meinem Laptop (SL500) gelandet.

Gut, allerdings sind sie ja dann immer noch auf den Quelldatenträgern, von denen aus sie auf dem Laptop kopiert wurden. Und sie sind -- normalerweise -- in mindestens einem Backup vorhanden, das man quasi zur gleichen Zeit des ursprünglichen Datentransfers angelegt hat.

Jedenfalls war ein Windows Vista drauf, das ich ohne drüber nachzudenken mit einem Ubuntu überbügelte - samt Bilder.

Selbst dann wären die Fotos ja noch aus dem Backup zu holen gewesen. So gesehen also eigentlich das noch größere Problem: Keine Backups erstellt! Das solltest Du für die Zukunft jedoch unbedingt beherzigen.

[...] dass ich danach in meinem jugendlichen Leichtsinn wieder ein Windows draufgespielt habe, um diverse Datenrettungsprogramme nutzen zu können (ist ja nicht so, dass es für Linux keine gibt...).

Auch die Installation und Nutzung etwaiger Datenrettungsprogramme direkt unter dem installierten Linux wäre ein Fehler gewesen, da Du ja damit selbst weitere Schreibzugriffe auf die Platte ausgeführt hättest, was im Datenrettungsfall jedoch unter keinen Umständen passieren darf!

Nach einigen Versuchen [...], wurde die HDD zur späteren Datenwiederherstellung beiseite gelegt und nicht mehr benutzt.

IMO zu spät. Sie hätte sofort bei Seite gelegt werden müssen, und dann später ausschließlich, wie hier bereits im Thread geschrieben, nur lesend und ohne jegliche Schreibberechtigung eingebunden werden dürfen.

1. Selbst Hand anlegen oder lieber gleich zum Profi einschicken? Die Bilder wären es mir wert.

Wenn Du noch selbst etwas versuchen möchtest, dann ausschließlich im Lesemodus! Bitte auch nicht unter dem laufenden Windows einstöpseln o.Ä.!

2. Welche Vorgehensweise ist am schlausten? (1:1 Abbild erstellen, TestDisk-Anleitung befolgen...)

-> https://www.caine-live.net/

Von diesem Live-System booten. Es ist erstens auf Datenrettung spezialisiert, und bindet Datenträger standardmäßig auch nur im Lesemodus ein.

3. Welche Methode ist in meinem Fall die beste? (alte Windows Vista Partition wiederherstellen? Bestimmte Programme verwenden?)

Nein, auch bei "Wiederherstellungsversuchen" auf dem Datenträger selbst würden ja erneut Schreibzugriffe auf diesen ausgeführt werden. Zur Datenrettung kannst Du ddrescue, das sich auf Caine Live befindet, verwenden. Du brauchst allerdings einen entsprechend großen Zieldatenträger, auf den etwaige Daten wiederhergestellt werden können.