Forum: PC Hard- und Software Versehentlich formatierten 64GB-Stick retten


Announcement: there is an English version of this forum on EmbDev.net. Posts you create there will be displayed on Mikrocontroller.net and EmbDev.net.
von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Ich habe eine µSD-Karte mit 64GB, wo ich etliche Daten draufhatte.

Datensicherung vorhanden, aber ca 1 Woche alt, ich müsste ca 4-5h 
investieren, um von der Sicherung auf den aktuellen verlorenen Stand zu 
kommen.

Ich hatte die Karte im Cardreader eingesteckt, wollte eigentlich
fsck /dev/sdc1
ausführen, aber durch die History-Funktion habe ich mir auf der 
Linux-Konsole mkfs.ext2 hergeholt, dieses nicht gemerkt (!!!!), und die 
anschließende Frage noch mit 'y' beantwortert (!!!!!), aber dann 
gewundert, wieso neuerdings beim Filesystem-check eine 
Sicherheitsabfrage kommt.
Aber dann war es schon zu spät.
Die Karte war mit exfat formatiert,
habe mkfs.ext2 sofort abgebrochen, und ein mkfs.exfat hintergeschickt, 
was in ein paar Sekunden fertig war, dann war die Karte leer.

Ok, gleich testdisk und photorec installiert und festgestellt, dass das 
gleich Programm ist.
Das Tool konnte sehr viel Dateien retten, d.h. laut Speicherplatz der 
Dateien: fast alles, aber Dateiname, Modification-Date, Pfad ist kaputt.
Ein Paar Archive getestet (zip, targz, luks, truecrypt), die waren alle 
in Ordnung.
Da würde ich sehr Zeit verlieren, um die alte Directory-Struktur wieder 
zu bekommen.
Gibt es bessere Tools, um das Dateisystem wieder zu bekommen?

Die nachträgliche Neuformatierung mit mkfs.exfat war wahrscheinlich ein 
großer Fehler?

von Eztof Lemmip (Gast)


Bewertung
2 lesenswert
nicht lesenswert
Einige oder viele der "geretteten" Dateien werden nur teilweise den 
alten Inhalt haben.
Kram das Backup hervor und vergleiche die Dateihashes dann weisst du was 
wirklich original ist, das löschste weg. Übrig bleiben dann neue evt. 
halbwiederhergestellte Dateien oder neuere Versionen. Die musste dann 
manuell prüfen ob die ok sind.

von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Ja, das hatte ich vorgehabt. Aber beim Lesen des anderen Threads über 
Datenverlust/Wiederherstellung dachte ich, es gibt Tools, die das 
Dateisystem besser wiederherstellen könnten.

von Icke ®. (49636b65)


Bewertung
0 lesenswert
nicht lesenswert
Ja, die gibt es durchaus. Ich nutze seit vielen Jahren dieses:

http://www.de.quetek.com/prod02.htm

Wird dir aber evtl. nicht gefallen, weil a) für Windows und b) nicht 
gratis. Dafür kann es sowohl Dateinamen als auch Ordnerstrukturen 
rekonstruieren, sofern die Platte nicht zu sehr beschädigt ist oder 
Daten überschrieben wurden.

von Schotter (Gast)


Bewertung
0 lesenswert
nicht lesenswert

von DPA (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Zuerst, mache ein Image des Datenträgers. Das ist bei der Datenrettung 
immer der erste schritt.

stm32 schrieb:
> und ein mkfs.exfat hintergeschickt

Dabei sind sicher noch mehr Daten vernichtet worden.

stm32 schrieb:
> Datensicherung vorhanden, aber ca 1 Woche alt

Ist diese Sicherung ein 1:1 Image, oder nur die Dateien? Falls es ein 
Image ist, könnte man versuchen nur die durch die Formatierung 
überschriebenen teile mit dem Image wiederherzustellen.

von oszi40 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
DPA schrieb:
> Zuerst, mache ein Image

Das ist schon mal eine gute Tat.
Dann könnte man mit einem Diskeditor vergleichen wieviel zerschossen ist 
oder nur etwas verbogen wurde. Wahrscheinlich dauert aber die ungeübte 
Fehlersuche Stunden länger als das alte Image auf einen frischen Stick 
spielen!

von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
> Ist diese Sicherung ein 1:1 Image, oder nur die Dateien?

Nur die Dateien, ich habe eine eigene Version von "rsync" geschrieben, 
um schnell Datei-Archive auf aktuellen Stand zu halten.

von Reinhard S. (rezz)


Bewertung
0 lesenswert
nicht lesenswert
stm32 schrieb:
> Datensicherung vorhanden, aber ca 1 Woche alt, ich müsste ca 4-5h
> investieren, um von der Sicherung auf den aktuellen verlorenen Stand zu
> kommen.

Ich glaube, das rumprobieren mit Tools und ähnlichem wird wohl nicht 
schneller sein.

von DPA (Gast)


Bewertung
1 lesenswert
nicht lesenswert
Reinhard S. schrieb:
> stm32 schrieb:
>> Datensicherung vorhanden, aber ca 1 Woche alt, ich müsste ca 4-5h
>> investieren, um von der Sicherung auf den aktuellen verlorenen Stand zu
>> kommen.
>
> Ich glaube, das rumprobieren mit Tools und ähnlichem wird wohl nicht
> schneller sein.

Ich hatte mal eine Seite versehentlich neu geladen, und und einen 
längeren Beitrag nicht abgeschickt. Danach habe ich einen Memorydump des 
Browserprozesses erstellt, und nach dem Beitrag gesucht. Es dauerte zwar 
länger, und ich konnte nur die Teile, die ich mal Markiert hatte, 
wiederherstellen, aber ich tat es trotzdem lieber als alles neu zu 
schreiben.

Wenn man etwas selbstgemachtes verliert, hat man immer dieses Gefühl, 
dass man das nie mehr so gut hin bekommt, wie es mal war. Und wenn man 
es neu macht, hat man immer dieses gefühl, dass es vorher doch irgendwie 
besser aussah...

von Peter M. (r2d3)


Bewertung
0 lesenswert
nicht lesenswert
Hallo stm32!

stm32 schrieb:
> Gibt es bessere Tools, um das Dateisystem wieder zu bekommen?

Ich kenne keine.

>
> Die nachträgliche Neuformatierung mit mkfs.exfat war wahrscheinlich ein
> großer Fehler?

Leider ja.

Ich bin mit diesen Linuxbefehlen nicht vertraut. Ich gehe davon aus, 
dass Du eine Schnellformatierung durchgeführt hast!

Wenn Du Dir die Struktur von exFat anguckst, musst Du davon ausgehen, 
dass nach dem Formatieren wesentliche Informationen weg sind:

1. Wurzelverzeichnis
2. Verwendung der Cluster durch die Dateien in der FAT

Was bleibt, sind alle Rohdaten auf der Platte und Unterverzeichnisse 
unterhalb des Wurzelverzeichnisse.

Die Informationen in den Unterverzeichnissen könnte ein Rettungsprogramm 
noch auswerten.
Die Rohdaten können anhand von erkannten Dateiheadern rekonstruiert 
werden.
Dabei wird aber stillschweigend die Annahme vorausgesetzt, dass diese 
Datei aufeinanderfolgende Cluster benutzt (also keine Defragmentierung 
vorhanden ist). Eine Datei endet dann, wenn ein neuer Dateiheader 
gefunden worden ist, oder der Datei aufgrund von 
Unterverzeichnisinformationen eine bestimmte Länge zugewiesen werden 
kann.

: Bearbeitet durch User
von Maxx (Gast)


Bewertung
0 lesenswert
nicht lesenswert
DPA schrieb:
> Wenn man etwas selbstgemachtes verliert, hat man immer dieses Gefühl,
> dass man das nie mehr so gut hin bekommt, wie es mal war. Und wenn man
> es neu macht, hat man immer dieses gefühl, dass es vorher doch irgendwie
> besser aussah...

Leider Offtopic, aber ich glaube zum eigentlichen Thema sind alle 
wirklichen Tipps durch.


Ich bin da offensichtlich sehr anders. Ich geh davon aus, wenn ich etwas 
Selbstgemachtes noch einmal neu erstellen muss, dass diese neue Version 
besser wird. Immerhin habe ich aus Fehlern gelernt oder den Prozess mit 
der Erfahrung und Übung bei der ersten Version verbessern können.
Ist das wirklich so, dass andere immer Zweifel haben ob das Neue mit 
Altem nicht mithalten kann?

von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
> dass nach dem Formatieren wesentliche Informationen weg sind

Ich hatte gedacht, dass die Information eventuell doppelt vorhanden ist.
Wenn man schnell genug auf Ctrl-C drückt, dann ist eventuell nur der 1. 
Datenblock weg.
Aber ich war ja leider so unüberlegt und habe "mkfs.extfat /dev/sdc1" 
hinterhergeschickt. Damit war die wesentlich Information dann komplett 
weg.

von oszi40 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
stm32 schrieb:
> µSD-Karte mit 64GB

Bevor Du alles wegwirfst wäre noch Recuva ein letzter Versuch, obwohl 
ich damit mehr Fotos repariert habe. 
http://www.chip.de/downloads/Recuva-Datenrettung-geloeschte-Dateien-wiederherstellen_23935261.html

von Baum (Gast)


Bewertung
0 lesenswert
nicht lesenswert
oszi40 schrieb:
> Bevor Du alles wegwirfst wäre noch Recuva ein letzter Versuch

Er benutzt Linux, das kann zwar "Gehen" (Wine, wer das möchte) muss aber 
nicht.

DPA schrieb:
> Zuerst, mache ein Image des Datenträgers. Das ist bei der Datenrettung
> immer der erste schritt.

oszi40 schrieb:
> Dann könnte man mit einem Diskeditor vergleichen wieviel zerschossen ist
> oder nur etwas verbogen wurde.

stm32 schrieb:
> Gibt es bessere Tools, um das Dateisystem wieder zu bekommen?

Mir wäre leider auch nichts bekannt.
Also nichts was du nicht schon probiert hast.

OT: Musste das mal mit einer Langsamen 2,5 Zoll HDD mit 1TB machen, 72 
stunden bis ich alles "Wiederhergestellt" hatte, das auswerten hat noch 
mal so lange in anspruch genommen.

von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Habe vom Backup wieder alles aufgespielt, die neueren Dateien von der 
testdisk-Rettung noch nicht ausgewertet.

Allerdings habe ich die Karte mit ext2 formatiert (statt exfat).
ext2 deshalb, weil die journalling FS ext3 ext4 mehr wearout 
verursachen.

> Er benutzt Linux, das kann zwar "Gehen" (Wine, wer das möchte) muss aber
nicht.

Ich hätte damit gerechnet, dass es für Windows mehr Daten-Rettungs-Tools 
gibt, und ich hatte ja ein MS-Format (exfat).

von stm32 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Es scheint so, dass die von testdisk geretteten Dateien länger sind, 
d.h. die Dateilänge auf 128k (0x20000) aufgerundet.
Das macht den Dateivergleich zwischen den beiden Archiven schwierig.

von Peter M. (r2d3)


Bewertung
0 lesenswert
nicht lesenswert
stm32 schrieb:
> Allerdings habe ich die Karte mit ext2 formatiert (statt exfat).
> ext2 deshalb, weil die journalling FS ext3 ext4 mehr wearout
> verursachen.

Zwar reduzierst Du die Anzahl der Schreibvorgänge, aber damit 
verzichtest Du auf zusätzliche auswertbare Informationen für eine 
Rettungssoftware.

stm32 schrieb:
> Ich hätte damit gerechnet, dass es für Windows mehr Daten-Rettungs-Tools
> gibt, und ich hatte ja ein MS-Format (exfat).

Bei den FAT-Dateisystemen läuft alles auf Raten hinaus, sobald die 
FAT-Strukturen unlesbar sind. Außerdem gibt es ausreichend 
leistungsfähige kostenlose Tools.

stm32 schrieb:
> Es scheint so, dass die von testdisk geretteten Dateien länger sind,
> d.h. die Dateilänge auf 128k (0x20000) aufgerundet.
> Das macht den Dateivergleich zwischen den beiden Archiven schwierig.

Wenn die Längeninformation zu einer Datei bei FAT aus einem 
(Unter)verzeichnis fehlt, müsste ein Rettungsprogramm vom erkannten 
Dateikopf bis zum Festplattenende alles in eine Datei kopieren, wenn 
nicht irgendetwas kommt, was ein Dateiende suggeriert, z.B. ein 
Unterverzeichnis.
Dann läuft der Recovery-Ordner aber schnell über.

Die Fragmentierung eines Datenträgers mindert die Rettungschancen.

von oszi40 (Gast)


Bewertung
0 lesenswert
nicht lesenswert
stm32 schrieb:
> Dateivergleich

Man könnte z.B. auch mal MD5-Prüfsummen vergleichen um einiges 
auszuschließen? https://www.heise.de/download/product/md5-41158 od. 
https://linux-club.de/wiki/opensuse/MD5SUM_-_Downloads_%C3%9Cberpr%C3%BCfen

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.
Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt.
Bitte hier nur auf die ursprüngliche Frage antworten,
für neue Fragen einen neuen Beitrag erstellen.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.