Sephe schrieb:
Oh man.. Ich denke du hast dich noch nicht mit den Basics beschäftigt.
Grundsätzlich ist es so, dass Dateinamen und Dateipfade GETRENNT von dem Dateiinhalt abgespeichert werden.
Vereinfachtes Beispiel im Dateisystem:
Dateiname: "abc.txt"
Ort: [ID des des Ordners]
Daten beginnen im Sektor: 15234
Das ist etwas zu stark vereinfachend: Die Daten, die zu einem Eintrag im Inhaltsverzeichnis ("directory") liegen nicht notwendigerweise hintereinander, sondern können kreuz und quer auf der Festplatte liegen.
Sephe schrieb:
Das Dateisystem verwaltet sich ähnlich wie Telefonbuch und zeigt auf einen Sektor (eine Telefonnummer).
Im Telefonbuch steht die Telefonnummern direkt neben den Namen. Für's Verständnis besser ist die Vorstellung einer alte Bibliothek, die noch mit Karteikarten arbeitet. Auf den Karteikarten stehen die Standorte der Bücher.
Die Bücher selber haben aber keine Umschläge, man weiß also nicht, was im Buch enthalten ist, selbst wenn man vor dem Buch steht. Reingucken lässt einen erahnen, was es sein könnte.
Sephe schrieb:
Wenn nun eine Datei GELÖSCHT wird, dann werden diese 3 Informationen Dateiname, Ort, Datenbeginn gelöscht. Die physische Datei liegt noch so lange in den Sektoren ab 15234 bis dort neue Daten hingeschrieben werden.
(Die Telefonnummer ist immer noch existent und gleich geblieben, aber die Rückwärtssuche funktioniert nicht mehr. --> "Welche Datei liegt in Sektor 15234" / "Wem gehört Rufnummer 15234?")
Die Datenrettungsprogramme durchforsten stumpf diese Sektoren, wo laut Dateisystem keine aktiven Dateien mehr liegen, und stoßen dann auf den Sektor 15234, schauen was für eine Datei das gewesen sein könnte und stellt die wieder her. (die Sektoren bis vermeintlich eine andere Datei beginnt)
Ein Beispiel für ein solches Datenrettungsprogramm ist die Software PhotoRec aus dem Testdisk-Paket. Mit der Methode lässt sich aber nicht herausfinden, wo der zweite Band des Brockhaus in der Bibliothek steht.
Sephe schrieb:
--> Aber: Dateiname und Ort sind WEG, egal welches Tool du benutzt.
Nein, nicht notwendigerweise. Bei FAT16 und FAT32 Dateisystemen lassen eventuell Unterverzeichnisse finden und damit sind Dateinamen und Speicheranfangsort gegeben (nicht aber der komplette Pfad).
Bei anderen Dateisystem gibt es noch Logdateien des Dateisystems, die man auswerten kann.
Bei NTFS wird nur der Verzeichniseintrag als gelöscht gekennzeichnet und die Sektoren, bzw. Cluster, in denen sich die Daten befinden freigegeben. Werden diese Cluster nicht durch andere geschriebene Dateien in Beschlag genommen, lässt die Datei komplett inklusive Dateinamen wiederherstellen.
Einfache Datenrettungsprogramme arbeiten wie PhotoRec und können niemals Dateinamen und -pfade ermitteln. Typischerweise sind diese Programme auch schlechter als PhotoRec.
Gute kommerzielle Programme können auch bei teilweisen Beschädigungen des Dateisystems eventuell vorhanden Daten auffinden, die die Zuordnung von Dateinamen möglich machen.
