Windows logdatei

[Katusch]

Hallo, gibt es bei win 10 eine logdatei wo man sehen kann welche Dateien vor Kurzem gelöscht wurden?

Meine Feundin hat einfach mal Dateien von mir gelöscht und den Papierkorb geleert um Platz zu machen weil die Festplatte voll war aber Sie weiss nicht mehr was das war.
*facepalm*

 

[Piak]

Recuva probieren

 

[BFF]

Nein. Das muesste erst extra aktivert werden.

Warum spielst Du die Dateien nicht einfach aus dem Backup zurueck, oder schausst in den Schattenkopien?

BFF

 

[phil.]

Wüßte nicht, daß es eine Logdatei dafür gibt. Letztendlich kannst du hoffen, daß diese Dateien noch nicht wieder überschrieben wurden und mit einem Wiederherstellungstool gerettet werden können.
z. B.: https://www.ccleaner.com/recuva

 

[cumulonimbus8]

M.W. nach: Nein.
CN8

 

[BFF]

@phil.
Fuer das Ueberwachen von Computern oder Verzeichnissen muss man lokale Richtlinien einstellen bzw. an die Ueberwachungseinstellungen der Verzeichnisse ran. Dann landen die Ueberwachungsergebnisse im Ereignisprotokoll.

Ein Beispiel wo das recht gut erklaert wird ist hier. Allerdings sind die Bilder recht alt. Die Einstellungen selbst finden sich auch im W10 Pro.

https://de.watchdirectory.net/wdhelp/plugins/wdopAuditInfoConf_deu.html#enaudc

Schoenes RestWE!
BFF

 

[andy_m4]

Alternative könntest Du ein Undelete probieren.

Meine Feundin hat einfach mal Dateien von mir gelöscht und den Papierkorb geleert um Platz zu machen weil die Festplatte voll war aber Sie weiss nicht mehr was das war.

Sie hat Deine Pornosammlung gelöscht. Aus Eifersucht. Wenn sie Dir weismachen will das sie nicht weiß, was sie gelöscht hat glaub ihr kein Wort! :-)

 

[Katusch]

Was is ein undelete?

 

[BFF]

Vermutlich spielt er auf das damalige UNDELETE von MS-DOS oder DR-DOS an.

MS-DOS

DR-DOS

Wenn nicht, gib einfach "undelete" in einer Suchmaschine Deiner Wahl ein.

BFF

 

[Micha45]

Meine Frau nimmt mir immer Geld aus dem Portemonnaie, ohne mir was zu sagen und ich stehe dann im Supermarkt an der Kasse wie ein begossener Pudel. Wir Männer haben halt alle unser Päckchen zu tragen. :-)

Meiner Erfahrung nach kann man Recuva o.ä. Tools vergessen. Eine Wiederherstellung von gelöschten Daten funktioniert nur mit professioneller Software, die allerdings für die meisten, aufgrund der hohen Kosten, nicht rentabel ist. Undelete funktioniert leider auch nicht.

Entweder, es ist ein Backup vorhanden, mit dem man das System zurückspielen kann (das wäre der Idealfall), oder man wendet sich, falls vorhanden, an einen Laden, der sich auf das Wiederherstellen von verlorenen Daten spezialisiert hat.
Das kostet aber natürlich auch. Kommt halt drauf an, wie wichtig einem die Daten sind, die da ins Nirvana gegangen sind.

 

[areiland]

@BFF
Die Überwachung der Objektzugriffe ist aber wohl nur in Verbindung mit einer Domäne möglich. Hier: https://www.windowspro.de/wolfgang-...zugriff-auf-dateien-verzeichnisse-ueberwachen die modernere Beschreibung dazu.

 

[Smurfy1982]

@Micha45: Recuva, PhotoRec und die anderen Programme funktionieren nach meiner Erfahrung sehr gut, sofern die Dateien noch nicht überschrieben wurden. Jeder (Schreib)zugriff auf den betroffenen Datenträger mindert die Chance.

Wenn die Dateien auf einer SSD liegen, ist in 99% der Fälle bereits nach wenigen Sekunden nichts mehr möglich, da TRIM die Flashzellen genullt hat.

 

[Micha45]

@Smurfy1982
Das stimmt. Die Chancen, auf einer HDD gelöschte Daten wiederherzustellen, sind weitaus höher als auf einer SSD. Das Problem ist aber generell, dass auf dem System ständig Schreibzugriffe, vornehmlich vom System selbst, stattfinden und somit die Wahrscheinlichkeit, alle Daten vollständig wiederzubekommen, sehr gering ist.
Mit Recuva o.ä. ist es sicher möglich, zumindest einen Teil wiederherzustellen. Wenn man nach dem Löschvorgang keine Zeit verliert. Das ist aber keine befriedigende Lösung.
Ich hatte es letzens erst versucht, als bei mir plötzlich ganze Verzeichnisse durch einen Systemfehler gelöscht wurden und konnte nur einen Bruchteil der Daten wiederherstellen lassen. Und dieser Bruchteil war auch nicht mehr zu gebrauchen, weil diese zurückgeholten Daten zum größten Teil nur noch aus Dateifragmenten bestand.

 

[Smurfy1982]

@Micha45: Meine Zustimmung Wir wissen hier bis jetzt nicht, ob die Dateien auf dem Systemlaufwerk oder einer Datenplatte lagen. Und ob HDD oder SSD...

Davon hängt es jetzt ab, wie hoch die Chancen für eine erfolgreiche Wiederherstellung sind

 

[andy_m4]

Das Problem ist aber generell, dass auf dem System ständig Schreibzugriffe, vornehmlich vom System selbst, stattfinden und somit die Wahrscheinlichkeit, alle Daten vollständig wiederzubekommen, sehr gering ist.

Exakt. Bei nem undelete-Versuch darf man nicht zu lange warten. Am besten sofort alle Schreibzugriffe einstellen.
Wenn man sein Festplattenspeicher noch sinnvoll in Volumes unterteilt hat, bestehen dann noch relativ gute Chancen.

Ein Backup ist natürlich immer vorzuziehen. Wenn keines vorliegt oder zu alt ist (und Backups sind eigentlich immer zu alt :-)), dann kann man es aber wenigstens versuchen. Man verliert ja nix beim Versuch. Man kann nur gewinnen.

Ergänzung (27. Januar 2019)

Meiner Erfahrung nach kann man Recuva o.ä. Tools vergessen.

Besonders lustig wird es, wenn die Leute dann erst mal noch Recuva runterladen und installieren und so mit schön weiter Schreibzugriffe auf die Platte produzieren. :-)

 

[Katusch]

Is ne HDD. Und ein backup hab ich auch. Aber is mir zu aufwändig, denn wichtig können die Dateien nich gewesen sein. Wollte nur wissen was es war das sie gelöscht hat wenn es auf die Schnelle möglich gewesen wäre. Danke euch.

 

[Smurfy1982]

Wie hast Du das Backup erstellt? Einfach rüberkopiert? Dann Verzeichnisses vergleichen, z.B. mit WinMerge

 

[BFF]

Hi,

Die Überwachung der Objektzugriffe ist aber wohl nur in Verbindung mit einer Domäne möglich.

Nein. Das Ganze laesst sich sehr wohl lokal auf einer Maschine ohne Domaenenmitgliedschaft realisieren.
Mit einem W10 Pro hast Du Gpedit und kannst die Objektueberwachung in den lokalen Richtlinien einstellen. Der Rest ist Datei-Explorer und Ereignisanzeige. Wenn alles richtig gemacht, hat man am Ende im Eventlog Eintraege wie diesen. Da habe ich in einem zu ueberwachenden Ordner die Datei "bbb.txt" geloescht.

Zugegeben. Das Lesen des Ereignisprotokolles beim Loeschen von 1000 Dateien in 10 Ordnern ist schlichtweg grausam. Deswegen ueberwachen wir z.B. mit WatchDirectory. Das "ueberrsetzt" das fuer uns in "menschlich lesbar".

BFF

 

[areiland]

@BFF
Ok, das kann man dann ja auf die wesentlichen Informationen gefiltert aus der Ereignisanzeige lesen. Muss ich mir mal genauer ansehen.

 

[BFF]

@areiland
Das Filtern ist eine Notwendigkeit. Und das Vergroessern des Logfiles.

Schau Dir auch mal das Tool "Lauschangriff" von SoftwareOK an.

BFF