Maximale Datenmengen bei HDDs

[etoo]

Hallo,

Mal eine Frage an Experten und Diskussionslustige:

Heute hatte ein Kollege mir berichtet dass er von einer 1TB HDD nach einer semiprofessionellen Datenrettung ca. 2 TB an Daten ausgelesen hatte …

Das ist doch nicht möglich oder?
Hatten daraufhin eine hitzige Diskussion, ich weigerte mich aber einzusehen dass sowas möglich ist.

Frage an die Experten. Geht das? 🤪

 

[bisy]

Naja, Daten werden gespeichert, gelöscht überschrieben, gelöscht usw

Es werden da ja auch die schon teilweise überschrieben gefunden.

Die Frage ist, ob das 2TB funktionsfähig Daten sind, oder halt viele unvollständige Daten, mit den man nicht mehr so wirklich was anfangen kann.

 

[PegasusHunter]

nehmen wir mal an du hast ein Heft mit 1000 Seiten sehr dünn mit kugelschreiber beschrieben. Als das Heft voll war und du das geschriebene nicht mehr benötigt hast, hast Du mit Füller erneut das Buch voll geschrieben. Danach mit Gelstift. wieviele Seiten könntest du zur Not wieder lesbar herstellen ?
Und das ist nur "Analog" 🤓

 

[floklo4]

Ja, geht ohne Probleme, da auf Festplatten Daten nicht direkt gelöscht werden und wiederherstellbar sind. Gibt ja mehr als genug Programme (Recurva, TestDisk, Ontrack), die die Festplatte nach allen möglichen Resten durchsuchen können. Unter Umständen können auch alte Partitionen wiederhergestellt werden. Erst, wenn Sektoren überschrieben sind, ist die alte Datei nicht mehr wiederherstellbar.

Bei SSDs läuft der Trim plus Active Garbage Collection Befehl ab, der gelöscht Daten auch wirklich löscht.
https://www.crucial.de/articles/about-ssd/what-is-trim

 

[Ltcrusher]

...semiprofessionellen Datenrettung...

Da würde ich selbst schon hellhörig werden. Klingt für mich eher so..."gemaggelt".

Auch wenn die anderen schlüssige Argumente liefern, hege ich da auch Zweifel.

Wenn du eine Datei X per Papierkorb löscht, ist diese noch immer an dieser Stelle vorhanden - nur das Betriebssystem weiß, daß es neue Dateien dort abspeichern kann.

Nur eine Festplatte hat doch nur eine bestimmte Anzahl an Sektoren. Die werden ja nicht mehr, weil man etwas vorher löscht.

Aber ich bin kein Techniker, sondern nur Einzelhandelskaufmann.

 

[GrumpyCat]

nehmen wir mal an du hast ein Heft mit 1000 Seiten sehr dünn mit kugelschreiber beschrieben. Als das Heft voll war und du das geschriebene nicht mehr benötigt hast, hast Du mit Füller erneut das Buch voll geschrieben. Danach mit Gelstift. wieviele Seiten könntest du zur Not wieder lesbar herstellen ?

Ja klaro! Und die Volldeppen von Festplattenherstellern kommen selbst nicht drauf, das auszunutzen, und verschenken so wertvollen Speicherplatz! "Welche Wahrheit Festplattenhersteller nicht hören wollen"!

Die quasianalogen Eigenschaften von Magnetoberflächen werden schon seit Jahrzehnten ausgenutzt, Stichwort PRML (siehe Wikipedia).

Der "Kollege" hat einfach Unsinn erzählt (oder es war ein komprimiertes Dateisystem drauf, und entpackt war das größer als der rohe Plattenplatz. Spannend. Oder Hardlinks vielleicht: Ein Dateiinhalt taucht unter mehreren unterschiedlichen Dateinamen auf)

 

[BFF]

Heute hatte ein Kollege mir berichtet dass er von einer 1TB HDD nach einer semiprofessionellen Datenrettung ca. 2 TB an Daten ausgelesen hatte …

Ja klar.
Wenn die Daten darauf komprimiert waren.

Andererseits gibt es auch den Fall das die Verzeichnis/Dateiinformationen so kaputt sind das dem spaeter lesenden OS voellig falsche Informationen geliefert werden.

 

[madmax2010]

Es kommt auch vor, dass mehrere Alternativen zu defekten Dateien ausprobiert werden. An 2tb Funktionsfähigen zweifle ich, an sehr vielen defekten Fragmenten hingegen nicht

 

[BFF]

"Welche Wahrheit Festplattenhersteller nicht hören wollen"

Ist ja nicht so das schlaues Volk sich nicht daran versucht haette. Per Software.
DoubleSpace damals war ja der Renner als Platz auf Scheiben kostbar war.

https://de.wikipedia.org/wiki/DriveSpace

Oder dieses VGA Copy was auf 1.44 durchaus bis zu 1.7 unterbrachte.

https://en.wikipedia.org/wiki/VGA-Copy

Heute hatte ein Kollege mir berichtet dass er von einer 1TB HDD nach einer semiprofessionellen Datenrettung ca. 2 TB an Daten ausgelesen hatte

Frag ihn mal womit er das getan hat.

 

[Incanus]

Beide Verfahren haben aber den physikalisch vorhandenen Speicherplatz nicht vergrößert, sondern wie schon erwähnt wurde Daten komprimiert oder von der Norm abweichende Verfahren genutzt, um durch ein anderes Verhältnis von Nutz- zu Steuerdaten mehr Platz verwenden zu können.

Sektoren einer Festplatte können also nicht mehrfach genutzt werden, überschrieben ist überschrieben. Entweder sind wie schon erwähnt die 2TB an geretteten Daten nicht mehr vollständig nutzbar, da sie sich Sektoren geteilt haben oder es waren komprimierte Daten, die entpackt dann mehr Platz benötigen.

 

[GrumpyCat]

DoubleSpace damals war ja der Renner als Platz auf Scheiben kostbar war.
...
Oder dieses VGA Copy was auf 1.44 durchaus bis zu 1.7 unterbrachte.

Komprimierung ist heutzutage eigentlich abseits der Windows-Welt ziemlich normal. Z.B. wird kaum jemand ZFS ohne Kompression benutzen. Aber mehr Sektoren bekommt die Platte dadurch eben nicht. Eine 1TB-Platte hat dem Rechner gegenüber rund 2 Milliarden 512-Byte-Sektoren, fertig. Daran ändern auch komprimierende Dateisysteme (oder viele ZIP-Dateien auf der Platte...) nichts.

VGA Copy und Konsorten haben auf Diskette weitere Spuren außerhalb der Herstellerspezifikation geschrieben, in der Hoffnung, dass die Diskettenoberfläche das hergibt. Bei heutigen HDDs geht sowas nicht, u.a. weil deren Firmware alles an Kopfbewegungen etc. selbst regelt und die dem Rechner/OS was hustet, wenn eine ungültige Sektornummer angefordert wird.

 

[Purche]

Das muss mit Komprimierung nicht viel zu tun
haben. Beispiel:

• Bild 1 lag an Adresse 1.000.000 bis Adresse 8.000.000, war also ca. 7 MB groß.
• Bild 1 wurde gelöscht.
• Bild 2 wurde später an Adresse 2.000.000 abgelegt und ging bis 9.000.000, war also auch 7 MB groß und hat große Teile des Rests von Bild1 überschrieben.

Wenn nun die Datenrettung per File carving (also ohne Zugriff auf Dateisysteminformationen) erfolgt, findet das Tool an Adresse 1.000.000 einen Bild-Header mit der Info "hier beginnt ein Bild mit 7 MB". Diese 7 MB ab hier speichert er dann "gefundenes" Bild ab.
Etwas weiter hinten bei Adresse 2.000.000 findet er einen weiteren Bild-Header, der auch sagt "hier beginnt ein Bild mit 7 MB". Da der Carver oft nicht wissen kann welcher Header neuer ist, speichert er also einfach beide Bilder ab. Und schwupps, wurden aus 8 MB Daten 14 MB rekonstruierte Dateien.
Wenn man die öffnet, wird natürlich mindestens eines der beiden Bilder nicht richtig darstellbar sein ... Real sind die Platten und Dateien ein Vielfaches großer. Denkt nur mal an das gefundene Relikt des Headers eines Archivs, das mal 100 GB groß war... Je nach Dateiformat enthält der Header auch gar keine Größenangabe, da muss der File Carver dann eine Maximalgröße schätzen und wird ggf. mehr Daten in die Datei speichern als eigentlich dazu gehören...

Und wenn das Dateisystem zudem fragmentiert war, wird man selbst Dateien, die nie mit etwas anderem überschrieben wurden, mit File carving oft nicht mehr richtig wiederherstellen können, da man da i.d.R. nur eine Chance hat anzunehmen, dass sie mit Glück zusammenhängend, also am Stück, abgespeichert wurden... Blind zu versuchen Sektoren von unterschiedlichen Positionen semantisch korrekt aneinanderzupuzzeln geht nur unter idealen Voraussetzungen und mit viel Detailwissen über den internen Aufbau des Dateiformats, teils ist es selbst dann aussichtslos...

 

[BFF]

ab. Und schwupps, wurden aus 8 MB Daten 14 MB rekonstruierte Dateien.

Dennoch wird man, ohne Komprimiertes zu entpacken, maximal das an Bits runter carven was die Platte maximal an Sektoren fasst.

Anyway.
Mich interessiert immer noch was der Kollege von @etoo gemacht hat konkret.

In Theorie kann ja auch „Müll“ wiederhergestellt worden sein welcher durch ein Windows falsch zusammengezählt wurde.

Passierte ja auch öfters beim „Ziehen“ von Bildern von Telefonen auf einen PC.

 

[Purche]

Dennoch wird man, ohne Komprimiertes zu entpacken, maximal das an Bits runter carven was die Platte maximal an Sektoren fasst.

Nein, eben nicht. Jeder einzelne Sektor kann am Ende in mehrere verschiedene "wiederhergestellte" Dateien eingeflossen sein.

Hier bei Recuva im Forum ist auch so ein Fall, wo die Software für die auf einer 1 TB Platte gefundenen Dateikandidaten in Summe ca. 2 TB an Speicherplatz auf dem Zielmedium veranschlagt: https://community.ccleaner.com/topic/52821-recovered-files-larger-than-original-size/