Evtl. gelöschte Daten mit Testdisk wiederfinden?

Ich habe eine Kundin, die einen Ordner mit Bildern auf Ihrer Festplatte sucht.
Sie sagt sie hat ihn nicht gelöscht und vor einigen Tagen war er auch noch da.
Zwischenzeitlioch war Ihre Schwester am PC - was die gemacht hat und ob sie was damit zu tun hat, weiss man nicht.

Verschoben scheinen die Dateien nicht zu sein, jedenfalls finde ich nirgendwo auf der Platte etwas.
Wenn die Dateien gelöscht wurden, müsste ich doch mit der undelete Funktion von Testdisk irgendwas finden können.
Ich finde aber absolut gar nichts - keine einzige dieser Bilddateien _ dafür aber andere z.T. uralte Dateien.
Genau das gleiche Ergebnis mit Recuva.

Die Festplatte ist nicht defekt - die Smart Werte sind i.O.
Die HDD wird im BIOS und im System erkannt.
Bei der Analyse mit Testdisk kamen allerding merkwürdige Meldungen, die ich nicht so zuordnen kann. Siehe anhängendes Log.

Wie würdert ihr vorgehen um noch was zu retten?
Tips?

Achso: Ja, das Backup ist natürlich(!) 2 Jahre alt. Ein Image der Platte hbe ich bereits gemacht.

Ich hätt auch Recuva vorgeschlagen... meistens kommt bei mir aber nur Datenmüll raus, selbst wenn sich die Daten 'recovern' lassen.

Kennt jemand wirklich gute Tools? Oder sind die Resultate von einem professionellen Service wirklich besser?


Ausserdem: wenn du ein Image gemacht hast, sind die gelöschten Daten i.d.R. dann nicht auf dem Image. D.h. wenn die Datendiskt weiterverwendet wird, ist die Chance gross, dass die gelöschten Daten überschrieben werden/bereits überschrieben wurden. Gerade auf Systemdisks wird viel hin und her geschreiben...

Ich verwende schon seit längerer Zeit immer R-Studio von rtt: http://www.r-studio.com/de/.
Die Demo ist kostenlos, kannst damit aber nur kleine Dateien wiederherstellen. Das wird für Fotos nicht gehen.
Wenn du die Daten findest, muss deine Kundin entscheiden, ob es ihr das Geld wert ist.
Ein professioneller Datenretter kostet ab dem 10fachen aufwärts.

Mit R-Studio oder Photorec schaffe ich es aber immer nur, das er zwar Dateien findet, die dann aber nach Dateityp geordnet in irgendwelche Ordner wiederhergestelltz werden. Die Dateien (z.B. Bilder) haben dann auch irgendwelche Zufallsnamen mit der Endung .jpg. Man weiss dann aber nicht mehr, wie das Bild vorher hieß und wie der Dateipfad war, also wo es abgespeichert war.
Ist das immer so? Kann ich nicht irgendwie die Ordnerstruktur erhalten?

Wahrscheinlich scannen diese Programme die Festplatte stur nach bekannten Dateitypen.
Du könntest einen Scan z.B. mit GetDataBack machen. Falls Sie noch nicht überschrieben wurden, findet dieses Programm auch die Einträge in der MFT, um die Dateinamen/Ordnerstruktur wiederherzustellen.

die Orginal-Dateinamen bei PhotoRec wiederherzustellen ist schwierig.

http://www.cgsecurity.org/wiki/Nach_dem_Gebrauch_von_PhotoRec

Allerdings sind die Bilddaten viel wichtiger als die Dateinamen.

Solange das MFT noch intakt ist und die Sektoren nicht neu beschrieben wurden, hat man mit GetDataBack for NTFS gute Changen, die Dateien mit Orginalpfad wiederherzustellen. GetDataBack ist allerdings nicht kostenlos.

Also ich weiss nicht, was die gute Frau gemacht hat, aber ich finde keinerlei der gelöschten Daten, die ich suche - auch mit GetData Back nicht.

was ich schon mal erlebt hab, dass ein Virus alle Bilddateien ohne Extend gesetzt und die Dateien das Attribut System/Versteckt bekommen haben. Der Explorer behandelt dann diese wie einen versteckten Systemordner.

Mal anders gefragt, wo befand sich der Ordner?

Auch mit anzeiger aller versteckter Dateien und auch unter Linux ist nichts zu sehen/ finden.
Der Ordner war im Benutzerprofil im Documents-Ordner.

sicher, das es ein Ordner war und keine Junction?

Manche verwechseln gerne die Bibliotheken mit normalen Ordnern.