Gelöschte Dateien unter Windows-Betreibsystemen wiederherzustellen ist dank der Symantec Norton Utilities heutzutage das Einfachste der Welt.
Bei UNIX respektive Macintosh 10er Betriebssystemen sieht die Sache schon schwieriger aus, denn die Dateisysteme der Betreibssysteme unterscheiden sich grundsätzlich vom FAT bzw. NTFS Dateisystem unter Windows.
Ein Erklärungsversuch am Beispiel der Dateisysteme HFS+ und FAT/NTFS: HFS+ von Mac OS X löscht Dateien etwas besser als FAT/NTFS von Windows
FAT16, FAT32 & NTFS
Bei FAT32 (ebenso FAT16/NTFS) wird eine Tabelle mit allen Dateien und Verzeichnissen geführt. Innerhalb dieser Tabelle wird die Addresse gespeichert, die angibt wo auf der Festplatte welche Datei beginnt. Ist die Datei fragmentiert (weil z.B. nicht genügend Platz am Stück frei war) so zeigt diese Addresse auf den ersten Teil der Datei. Am Ende des ersten Teils der Datei befindet sich die Addresse des zweiten Teils und so weiter und so fort…
Wird im FAT-Dateisystem eine Datei normal gelöscht, so wird der Eintrag in der Tabelle, der auf den ersten Teil der Datei zeigt, gelöscht und der erste Buchstabe des Dateinamens des ersten Teils der Datei wird gegen ein Fragezeichen ausgetauscht.
Möchte man diese Datei wiederherstellen, muss man also nur den ersten Teil der Datei finden und dieser zeigt einem dann den Weg zu den weiteren Dateifragmenten und die Datei lässt sich so einfach wiederherstellen.
HFS+
Bei HFS+ sieht das Ganze etwas komplizierter aus: Alle Daten über die Positionen der einzelnen Dateien werden in einer Struktur gespeichert, die sich B-Baum nennt. Der Name Baum kommt nicht von ungefähr: in diesem Baum befindet sich ein Knoten, der auf die Datei zeigt, falls die Datei fragmentiert ist hat dieser Knoten mehrere Kinder, die jeweils auf die einzelnen Teile der Datei verweisen.
Am Ende des jeweiligen Teils befindet sich nicht wie bei FAT– und NTFS-Dateisystemen die Addresse des nächsten Teils.
Wenn nun im HFS+-Dateisystem eine Datei gelöscht wird, wird im B-Baum der komplette Knoten mitsamt seiner Kinder entfernt.
Also in diesem Fall alles ab Datei 1 und darunter. So bleibt der eigentliche Dateiinhalt wie bei FAT und NTFS zwar noch auf der Festplatte, aber der Zusammenhang zwischen den einzelnen Dateifragmenten ist im Gegensatz zu FAT-Dateisystemen nicht mehr rekonstruierbar.
Fazit
Nur damit es jetzt nicht so scheint, als wäre das HFS+-Dateisystem schlechter als FAT. Keines Wegs. Die Speicherung der Dateiinformation in einem B-Baum hat viele Vorteile, besonders was die Geschwindigkeit bei der Suche nach einer einzelnen Datei betrifft, gegenüber dem sehr alten FAT-Dateisystem, an dem immerhin schon seit 1983 verschlimmbessert wird.
Wie rekonstruiere ich die Daten?
Um nun unter Windows die Daten wiederherstellen zu können bedeint man sich am Einfachsten der Norton-Software aus dem Hause Symantec.
Bei Macintosh Dateisystemen gibt es, wie bei Windows auch, unzählige Programme, doch nur eines davon kann ich wirklich empfehlen.
Auch dieses kostet ein Bißchen, ist dafür aber auch wirklich gut, denn es benutzt als Zwischenspeicher nicht die Platte auf der sich die Daten noch befinden. Als zusätzlicher Speicherplatz für die Wiederherstellungsdaten können eine zweite Festplatte, USB-Sticks oder gemountete MO-Disks herhalten.
Die Software heißt Data Rescue.