Löschen¶

Beim Löschen folgendes beachten:

• Überprüfen, welche Dateien man löscht

• beim Löschen nur in den Papierkorb verschieben

• vor dem Leeren des Papierkorbs ihn noch mal ansehen

Sicherungskopien¶

Regelmäßige Sicherungskopien anzulegen ist mittlerweile nicht mehr schwer. Es gibt eine Vielzahl an Programmen, die manuell oder automatisch Sicherungen anlegen.

ext3/ext4¶

Laut Wikipedia und anderen Seiten kann man unter ext3 sowie ext4 keine oder nur schwierig Daten retten. Beide Dateisysteme überschreiben bei Löschvorgängen die Block-Pointer der Inodes mit Nullen. Dies macht ein Wiederherstellen von Dateien nach einem angeforderten Löschvorgang vergleichsweise schwierig, verbessert aber die Wahrscheinlichkeit, dass die Integrität des Dateisystems nach einem Softwarefehler oder Hardwareausfall ohne Datenverlust wiederhergestellt werden kann (Quelle: Wikipedia).

Das Programm ext3rminator, das z.B. bei der Live-Linux-Distribution grml dabei ist, bietet jedoch eine gute Möglichkeit, verlorene Dateien, die größer als 48 KB waren, wiederherzustellen. Dazu bootet man von der Live-CD und greift von dort aus auf die betreffende ext3-Partition zu ^[4]. Außerdem sind manche Programme, die unter ext2 genannt wurden, auch unter ext3 zu verwenden. So gibt es zumindest die Möglichkeit, Dateien teilweise zu retten. Eine etwas umfangreiche, aber erfolgversprechende Anleitung gibt es hier: HOWTO recover deleted files on an ext3 file system .

extundelete ist ebenfalls ein Programm, um versehentlich gelöschte Dateien unter ext3 und ext4 wiederherzustellen. Auf der Internetseite ist ausführlich beschrieben, wie das Programm angewandt wird. Gefundene bzw. wiederhergestellte Dateien werden dem Verzeichnis RECOVERED_FILES abgelegt, dass im aktuellen Verzeichnis erstellt wird. Funktioniert auch einwandfrei mit einer LiveCD und einem externen Datenträger.

Ein weiteres interessantes Programm ist Ext4magic . Weitere Informationen sind der ausführlichen Dokumentation und diesem Blogartikel zu entnehmen.

ext2¶

Um mit den genannten Werkzeugen Zugriff auf das entsprechende Dateisystem zu haben, muss man dieses zuerst aushängen. Falls man mit der Root-Partition arbeiten möchte, ist der Einsatz einer Live-CD oder eines Live-USB-Sticks zwingende Voraussetzung!

Neben den folgenden Ansätzen lohnt sich evtl. ein Blick auf giis .

sudo apt-get install e2undel 

sudo aptitude install e2undel 

debugfs 

open /dev/sda3 

lsdel 

dump [INODE-NUMMER] [Zieldatei] 

dump 4711 /tmp/recovered 

quit 

debugfs -R lsdel /dev/sda3 > deletedfiles.txt 

mkdir /home/BENUTZERNAME/restored 

cat deletedfiles.txt | while read a b; do debugfs /dev/sda3 -R "dump -p <$a> /home/BENUTZERNAME/restored/file$a" ; done 

grep -a -B[ZAHL] -A[ZAHL] "[SUCHBEGRIFF]" /dev/sda* >[ZIELDATEI] 

grep -a -B200 -A600 "Doktorarbeit" /dev/sda3 >/tmp/recovered 

FAT¶

(FAT, FAT12/16/32, exFAT)

Fehler im FAT-Dateisystem lassen sich unter Windows mit chkdsk beheben. Beispiel für eine FAT-Partition mit dem Buchstaben D:

chkdsk D: /F /V 

NTFS¶

Fehler im NTFS-Dateisystem lassen sich unter Windows mit chkdsk beheben (siehe FAT).

Um Windows aufzufordern, beim nächsten Booten ein NTFS-Dateisystem zu reparieren, gibt es den Linux-Befehl ntfsfix. Dazu muss das Paket ntfsprogs (bis Ubuntu 11.04) installiert sein. Ab Ubuntu 11.10 ist ntfsprogs durch die Verschmelzung von 2 Projekten und somit einer neuere Version im Paket ntfs-3g enthalten.

Beispiel für eine NTFS-Partition auf einer Dual-Boot Festplatte. sda3 steht dabei für die 3. Partition auf der ersten Festplatte die bei einem Dual-Boot System meistens die Datenpartition für Windows darstellt.

sudo ntfsfix /dev/sda3 

Für Windows gibt es im Internet einige weitere brauchbare Programme, siehe Links.

Offene Dateien¶

Mit Hilfe des Befehls lsof (steht für list open files) ist es möglich, versehentlich gelöschte Daten wiederherzustellen, wenn diese zum Zeitpunkt des Löschens von einem anderen Programm geöffnet sind. Der Rettungsvorgang muss dann auch unmittelbar nach dem Löschen erfolgen, da die Datei - vereinfacht gesagt - für das System dann immer noch geöffnet ist, obwohl sie gerade gelöscht wurde. Da dieser Fall wohl eher selten vorkommt, wird an dieser Stelle auf eine weiterführende Erklärung verzichtet und stattdessen auf die sehr gute Erklärung auf dieser Seite verwiesen.

Tricks¶

In manchen Fällen wird kein Wiederherstellungsprogramm benötigt, weil ein Ordner entweder unwichtig ist oder durch ein Programm erneut angelegt werden kann.

Sehr oft sind auf einem Datenträger innerhalb einer erheblichen Datenmenge nur wenige Dateien verschmerzbar irreparabel beschädigt, z.B. nach einem Headcrash. In diesem Fall kann man schnell und unkompliziert mit dem Werkzeug rsync unter Verwendung der Option --ignore-errors die noch lesbaren Dateien eines Verzeichnisses kopieren. Unlesbare Daten werden dabei einfach ignoriert, ohne dass der Kopiervorgang abbricht.

rsync -av --ignore-errors QUELLE ZIEL 

Bei einem zweiten Durchlauf kann man sich ein Logfile anlegen lassen und erhält dann über diesen Umweg eine Liste der beschädigten Dateien.

rsync -av --log-file=FILE QUELLE ZIEL 

foremost¶

foremost ist ein Kommandozeilen-Programm, das gelöschte Daten anhand der verbliebenen Header- und Footer-Daten rekonstruieren kann.

Gelöschte/defekte Partitionstabelle retten¶

Ist, aus welchem Grund auch immer, die Partitionstabelle beschädigt oder wurden Partitionseinträge gelöscht, kann man eine Rettung mit TestDisk probieren. Das Programm installiert man mit dem gleichnamigen Paket ^[1]:

• testdisk (universe)

mit apturl

sudo apt-get install testdisk 

sudo aptitude install testdisk 

Das Programm startet man einfach:

sudo testdisk 

Es bietet ein intuitiv zu bedienendes Text-Menü. Um TestDisk auf ein Festplattenabbild (Image) anzuwenden, stellt man dieses dem Befehl hinten an:

sudo testdisk /pfad/zum/image.img 

Eine andere Variante wird im Artikel Festplatten Problembehebung beschrieben. Weitere Informationen findet man auch in den offiziellen TestDisk- Dokumentation .

Haupt-Partition reparieren lassen, wenn nur noch Lese-Zugriff¶

Wenn plötzlich Meldungen folgender Art erscheinen:

• "Prozess Erstellung des Ein-/Ausgabemoduls nicht möglich: Read-only file system kann nicht gestartet werden."

• "Einrichtungsdatei /home/BENUTZERNAME/.kde/share/config/systemsettingsrc lässt sich nicht speichern."

• "/dev/sda3: Unexpected inconsistency fsck died exit status 4" (beim Versuch neu zu booten)

dann enthält die Haupt-Partition einen Schreibfehler und wurde daher automatisch auf "Nur-Lesbar" gestellt.

Abhilfe ist die Überprüfung für die Haupt-Partition (die meistens sda1 heißt und vom Typ ext3 ist). Dazu startet man per KNOPPIX oder einer anderen Live-CD und kann nun die Haupt-Partition in Ordnung bringen, denn die Partition darf nicht gemountet sein. Dazu gibt man folgenden Befehl im Terminal ^[2] ein:

sudo fsck.ext3 -v -f /dev/sda1 

Wenn sehr viele Fragen mit "j" beantwortet werden müssen, kann man mit Strg + C abbrechen und den Befehl mit dem folgenden Parameter noch einmal starten: "-y".

Partitionen retten, wenn Reparatur nicht mehr möglich ist¶

Ist eine komplette Partition nicht mehr lesbar, weil z.B. Teile des Dateisystems beschädigt sind, so gibt es auch hier die Möglichkeit, die noch "guten" Daten mit Hilfe des Programms dd_rescue zu retten. Wenn man die Wahl hat sollte gddrescue benutzt werden.

Ist die Boot-Partition defekt, so muss man ddrescue bzw. dd_rescue natürlich von einer Live-CD aus ausführen.

Dateien aus Image extrahieren¶

Nachdem ein Image mit dd bzw. ddrescue erstellt wurde, kann man nun damit beginnen, Dateien aus dem Image zu extrahieren. Dazu gibt es mehrere Werkzeuge.

tsk_recover¶

Das Programm tsk_recover ist im folgenden Paket enthalten ^[1]:

• sleuthkit (universe)

mit apturl

Paketliste zum Kopieren:

sudo apt-get install sleuthkit 

sudo aptitude install sleuthkit 

Nach der Installation kann man gleich beginnen, Dateien aus dem dd-Image zu extrahieren:

tsk_recover -a dd_image_datei.img Ausgabeordner  

Wobei der Ausgabeordner zuvor selber erstellt worden sein muss. Die Option -a bewirkt, dass lediglich ungelöschte Dateien u. Ordner in den Ausgabeordner kopiert werden, mit -e wird alles kopiert und ganz ohne Optionen werden nur die gelöschten Inhalte kopiert.

Weitere Informationen findet man in einem ausführlichen Linux-Magazin-Artikel sowie in der Man-Page.

PhotoRec

sudo apt-get install testdisk 

sudo aptitude install testdisk 

sudo photorec dd_image_datei.img 

sudo photorec 

sudo -i
apt-get install odt2txt
find ordner -type f -name "*.odt" -exec bash -c 'odt2txt '{}' 2>/dev/null | egrep -i "dIpLoM|abrechnung" && echo -e "## Quelle: '{}'\n"' ';'
exit 

sudo -i
apt-get install antiword
find ordner -type f -name '*.doc' -exec bash -c 'antiword '{}' 2>/dev/null | egrep -i "Abrechnung|Diplomarbeit" && echo -e "## Quelle: '{}'\n"' ';'
exit 

recoverjpeg¶

recoverjpeg dient ausschließlich dazu, JPEG-Dateien auf Wechseldatenträgern oder Festplatten wiederherzustellen. Es eignet sich daher sehr gut, um gelöschte Bilder auf dem Speicherchip einer Digitalkamera wiederherzustellen. Das Programm ist den Paketquellen von Ubuntu enthalten und kann über das folgende Paket installiert ^[1] werden:

• recoverjpeg (universe)

mit apturl

sudo apt-get install recoverjpeg 

sudo aptitude install recoverjpeg 

Anschließend kann man es über ein Terminal ^[2] auf einen ganzen Datenträger oder eine Partition ansetzen.

# Allgemein
recoverjpeg DATENTRÄGER
# Beispiel 1
recoverjpeg /dev/sdc
# Beispiel 2
recoverjpeg /dev/sda3 

recoverjpeg versucht nun gelöschte Bilder auf dem Datenträger zu finden und speichert sie als image<nummer>.jpg im aktuellen Verzeichnis ab.

safecopy

safecopy¶

safecopy bietet die Möglichkeit, Daten von defekten Datenträgern zu retten. Es liest Disketten blockweise aus und schreibt die fehlerfreien Daten in eine Ausgabedatei. Fehlerhafte Blöcke versucht das Programm auszulesen – sofern keine Rettung möglich ist, überspringt safecopy den defekten Block und fährt mit der Datenrettung fort.

Es ist über das folgende Paket zu installieren ^[1]:

• safecopy (universe)

mit apturl

sudo apt-get install safecopy 

sudo aptitude install safecopy 

Es wird über das Terminal ^[2] aufgerufen.

Um das Programm in allen Möglichkeiten nutzen zu können sollte man die Man-Page durchlesen.

Intern¶

• Notfall Was tun in Notfällen?

Extern¶

• Data Recovery - in der englischen Ubuntu-Dokumentation

• PhotoRec

• The Sleuth Kit / Autopsy Browser - Forensik-Werkzeug

  • Allin1

• safecopy - Datenrettungsprogramm, in den offiziellen Paketquellen enthalten

• Datarecovery - umfangreiche Linkliste, Datenwiederherstellung unter Linux u.a.

• Hachoir - Forensic and data recovery - Übersicht nützlicher Werkzeuge

• Datenrettung unter Ubuntu - Merkblatt, 04/2014

• Automatisiertes Wiederherstellen von Dateien mit Sleuthkit 3.2 – Linux-Magazin, 03/2011

• Datenrettung mit Knoppix - c't 06/2008 (Februar 2008)

• Retten gelöschter Dateien unter ext2 - Blogbeitrag, 07/2002

Windows-Programme¶

• Linux Ext2/Ext3 data recovery for Windows - Komfortable Rettung gelöschter Dateien/Verzeichnisse

• Programmsuche im heise Software-Verzeichnis

• Datenrettung - Giga Software (früher Winload.de)