Datenrettung - weiß MFT - wie komme ich hin?

[diket]

auf meiner ext Festplatte sind inhalte eines ordners mit fotos verschwunden, mglw auch überschrieben, hab das erst nach 2 wochen gemerkt

aus den checks der vorhandenen dateien entnehme ich, dass sich die fehlenden Dateien sehr wahrscheinlich bei den MFT entries zw 84356 und 84960 befinden könnten,

bin ein ziemlicher laie,
ich will nicht die gesamte ext festplatte mit 160gb nach verlorenen/gelöschten durchsuchen lassen, hab schon begonnen und wieder aufhören (müssen), weil das stunden gedauert hätte ...
kann ich gleich direkt auf die vermuteten mft entries zugreifen und schauen, ob die fehlenden dateien noch zu finden/retten sind?
wenn ja, wie und ggf mit welchem programm?

diket

 

[Mueli]

Du kannst mal probieren, ob Du mit NFI (als Download bei M$ zu bekommen) weiter kommst, es stellt zumindest die Verknüpfung File <-> Cluster / MFT Record her. Man kann entweder ermitteln wo File / Verzeichnis XYZ liegt oder was von Block # xxxxxx belegt wird.
Wenn Du allerdings verlorene Dateien wieder herstellen willst, wirst Du u. U. um das scannen der ganzen Disk nicht umhin kommen.

 

[Uridium]

WinHex ist ein forensischer Hexeditor.

 

[Fiona]

Schaue dir auch mal das an;
https://www.computerbase.de/artikel...it_testdisk_geloeschte_daten_wiederherstellen
Speziell für NTFS.
Wenn der Ordner oder Daten nicht vorhanden sind, hilft PhotoRec.
Wenn es sich um Bilder handelt, lade dir Testdisk 6.12WIP in der neuesten beta.
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Nach dem dekomprinieren findest du den Testdisk-Companion PhotoRec.
Bestätige durch, wähle deine Festplatte und bis du die Option File Opt siehst.
Öfnne File Opt und drücke s (select) um alls Dateitypen abzuwählen.
Wähle dann explizit nur die Dateitypen aus, die du benötigst.
Spart unmengen an Arbeit, da keine anderen Dateien mit wiederhergestellt werden.
Wähle zum scannen Free Space only und nicht whole drive.
Hiermit scannst du nur den freien Speicherplatz und nicht die gesamte Festplatte mit auch den vorhandenen Dateien und spart auch Arbeit und Zeit.
Infos zu PhotoRec auch hier;
http://www.cgsecurity.org/wiki/PhotoRec_Schritt_für_Schritt

Teile es insoweit mal mit.
PhotoRec behält die Dateienamen nicht bei, dafür aber das Erstellungsdatum in den Exif-Daten.
Ist bei Bilder zumeist ausreichend!

Viele Grüße

Fiona