Software für Datenwiederherstellung

[BFF]

Liest Du überhaupt? @Data2006

In dem mehrfach getippten ist keine Rede von Partitionen suchen.

Das ist die vollständige Anleitung mit R-Studio wie es geht an die EXT4 heran zu kommen.

https://www.computerbase.de/forum/threads/software-fuer-datenwiederherstellung.2246401/post-30778245

Voraussetzung das nach der Erstellung der NTFS mit gparted nix auf die NTFS geschrieben wurde.

Ergänzung (27. Juli 2025)

Bringt es etwas den forensischen Modus zu aktivieren?

Erkläre lieber wieso schon Ordner angelegt sind auf der 6TB.

Kann durchaus sein, das dadurch und das Schreiben von weiteren Daten alles Wichtige zu der EXT4 verloren ging.

Der Forensic Modus wird Daten zusammen kratzen so wie sie rein kommen. Es gibt keine Garantie das man damit was anfangen kann. Forensic ist dafür da Inhalte in Fragmenten wieder zu finden. Dateirettung ist da mehr nebensächlich.

 

[Data2006]

Ja sorry. Ich hatte versucht ein Image von der 320 GB Festplatte anzulegen, das war ja das eigentliche Anliegen. Dann ist mir eingefallen das ich die Daten von der 6 TB Festplatte doch noch brauche. Da habe ich kurz nicht aufgepaßt. Dann aber abgebrochen.
Wenn ich Pech habe, kann ich jetzt gar nix mehr wiederherstellen ne?

LG
Heiko

 

[BFF]

Wenn R-Drive keine Ext4 findet mit dem bereits Beschriebenen auf/in der NTFS Partition wird es sehr schwer.

Wenn ich Pech habe, kann ich jetzt gar nix mehr wiederherstellen ne?

Jupp. Ueberschrieben ist ueberschrieben. Und wenn es nur die Informationen zum Ext4 sind. Sind diese weg, findet eine forensische Software nur blanke Daten und versucht zu raten was das Gefundene sein koennte.

Anyway.
Hast Du wenigstens einmal die bebilderte Anleitung von mir korrekt abgearbeitet?

 

[Evil E-Lex]

Der Forensic Modus wird Daten zusammen kratzen so wie sie rein kommen. Es gibt keine Garantie das man damit was anfangen kann. Forensic ist dafür da Inhalte in Fragmenten wieder zu finden. Dateirettung ist da mehr nebensächlich.

So wie ich R-Studio kenne, wird da nur ein erweitertes Logfile mit Prüfsummen usw. mitgeschrieben und man kann Fallinformationen eingeben. Für die Datenrettung bringt das nichts. Das Carving ist davon unabhängig.

 

[BFF]

Soweit weg/auseinander sind wir beide nicht. @Evil E-Lex

Und ja. Fuer Datenrettung bringt das wirklich nix.

Ich lass gerade Autopsy ueber meine kleine Test-SSD rennen die ich weiter oben verwendet habe um mal zu sehen was fuer diesen recht speziellen Fall noch gefunden wird. Im Moment noch viel Musekohl weil die Analyse noch nicht fertig ist.

 

[Data2006]

Moin.

Doch, doch, ich lese schon richtig.
Habe jetzt noch mal scannen lassen. Ext4 findet er nirgendwo. Kann man nicht gezielt nach Dateimustern wie .img suchen? Im RAW-Modus?

LG Heiko

 

[BFF]

Kannst Du versuchen.
Aber nicht mit R-Studio. Eher mit Autopsy (kostenlos aber rein englisch und erfordert einlesen)

Wieviel hast Du auf das NTFS geschrieben?
Also an Gigabyte.

Und bist Du ganz sicher das auf der 6TB jemals eine EXT4 war?

Ich hab gestern schlappe 10 Gbyte auf meine Test SSD geschrieben. R-Studio findet immer noch die EXT4.

 

[Data2006]

Weiß nicht mehr wie viele GBs es waren.

Lese gerade im Autopsy-Handbuch. Ist ja kompliziert. Brauche ich Solr-8 und/oder ZooKeeper? Ich habe doch keinen Server.

LG Heiko

Ergänzung (28. Juli 2025)

PS: Ja, ich hatte vorher Ext4. Ich schätze mal die wurde mit NTFS überschrieben.

 

[Data2006]

Was ist von Recoverit zu halten?

 

[BFF]

Brauche ich Solr-8 und/oder ZooKeeper? Ich habe doch keinen Server.

Du brauchst den freien Download von Autopsy. Mehr nicht.

Ich schätze mal die wurde mit NTFS überschrieben.

Die meisten Inhalte, die Info das da mal EXT4 war so schnell nicht.

Anyway.
Recoverit kenne ich nicht.

 

[Evil E-Lex]

Ja, G: ausgewählt. Wenn ich dann Partitionssuche starte, kommt nach kurzer Zeit:
Anhang anzeigen 1641515

Jetzt erst gesehen. Du hast nur innerhalb der NTFS-Partition gesucht. Das ist falsch. Innerhalb der NTFS-Partition wird R-Studio niemals eine Ext4-Partititon finden, da sich diese Informationen nur außerhalb der Partition finden ließen, so sie existent wären. Hier angenommen, dass die Ext4-Partition genauso groß war wie die NTFS-Partition. Du solltest bei Partitionssuchen daher immer den Datenträger selbst auswählen. In deinem Screenshot also WDC WD60NDZW.

 

[BFF]

Das ist falsch. Innerhalb der NTFS-Partition wird R-Studio niemals eine Ext4-Partititon finden,

Wenn er den Scan so gemacht hat wie ich in #57 getippt geht das über das gesamte LW. Und das EXT4 wird gezeigt. Vorausgesetzt es wurden die Informationen nicht doch überschrieben bei seinem Backup von der 320 Gb Platte. HDD wird ja von Anfang nach Ende Beschrieben. SSD wird anders sein. Vielleicht deshalb bei mir Ergebnis und bei ihm nicht.

 

[Data2006]

Moin.

Habe beides laufen lassen. Er findet keine Ext4.

Lasse gerade mal Recoverit laufen. Die 320GB-Festplatte.img hat er gefunden. Ist 21,82 GB. Dürfte somit von der 6TB noch nicht alles überschrieben worden sein?!

LG Heiko

Ergänzung (29. Juli 2025)

Kann es sein das die Programme die Dateimuster der ddrescue-Images nicht findet/kennt?

 

[BFF]

Das 320 Image ist das was Du zuletzt gemacht hast? Wo der Ordner entstanden ist in der NTFS?
Dann wären schlappe 22 GByte geschrieben worden. Was da mal war ist überschrieben.

Ergänzung (29. Juli 2025)

das die Programme die Dateimuster der ddrescue-Images nicht findet/kennt?

Es ist eher keine Information mehr da dazu.

 

[Data2006]

Ja, das war das letzte.

LG Heiko

 

[Evil E-Lex]

Kann es sein das die Programme die Dateimuster der ddrescue-Images nicht findet/kennt?

Es gibt kein Dateimuster. Das ist ein Rohimage. Die Daten landen exakt so im Image, wie sie auf dem Quelldatenträger vorhanden sind.

 

[Data2006]

Kann ich denn mit den Dateinamen *.img weiter kommen?
Allerdings, das Recoverit hat auch nix gefunden. Ich glaube langsam ich kann das Ganze knicken.

Versuche noch mal Autopsy aus.

LG Heiko

 

[BFF]

Kann ich denn mit den Dateinamen *.img weiter kommen?

Nein.

Das einzige Dateisystem was das wusste war das EXT4. Das hast Du erfolgreich mit NTFS ersetzt und dann noch mit 22 GByte Daten beschrieben. Damit sind vermutlich auch die Einträge weg vom EXT4 wo beschrieben stand welche Datenblöcke zueinander gehören.

Autopsy würde Dir nur helfen wenn Du z.B. Inhalte in Dateifragmenten wieder finden musst. Es wird Dir nicht helfen aus Rohdaten eine Datei zusammenzufügen.

 

[Data2006]

Also dann kann ich mir Autopsy sparen oder?

LG Heiko

 

[BFF]

Wenn Du das Stück Lebenserfahrung mitnehmen willst, probiere es.

Es haben Dir zwei Leute getippt das Du mit Forensischen Tools nicht weiterkommst. Und das bevor man wusste das der zu untersuchende Datenträger massiv beschrieben/überschrieben wurde.