Schatzgräber: Datenrettungssoftware im Test
Wer plötzlich seine liebsten Fotos vermisst, muss nicht in Panik geraten: Eine taugliche Datenrettungssoftware kann sie in vielen Fällen zurückholen – und schon die kostenlosen Produkte haben gute Erfolgsquoten.
- Karsten Violka
Der Markt für Datenrettungsprogramme ist auf den ersten Blick recht unübersichtlich. Eine Internet-Recherche fördert unzählige kommerzielle wie kostenlose Produkte zu Tage, die versprechen, verlorene Dateien aufzuspüren. Darunter finden sich viele kleinere Tools, die sich etwa auf die Wiederbeschaffung gelöschter Fotos spezialisiert haben – eine gute Auswahl bietet hier unser Software-Verzeichnis.
Für den Vergleichstest haben wir zehn Retter herausgepickt, die uns besonders interessant erscheinen, weil sie auch andere Dokumente – etwa bearbeitete Photoshop-Dateien auf der Festplatte – wieder hervorzaubern können. Die getesteten Produkte bieten nicht nur eine Undelete-Funktion, die vorhandene Dateisystemstrukturen nutzt, um Dateien wiederherzustellen, sondern sie können auch die Rohdaten der Festplatte durchsuchen, um Dateien anhand typischer Signaturen aufzuspüren.
Das funktioniert auch dann noch, wenn das Dateisystem nicht mehr intakt ist oder die gesuchten Einträge bereits überschrieben wurden (natürlich nicht die Daten selbst). Der Rohdatenscan ist stets Dateityp-spezifisch: Das Rettungsprogramm muss etwa eine JPEG-Datei an ihrem Datei-Header erkennen und in der ursprünglichen Größe rekonstruieren können.
Die wichtigste Regel lautet auf jeden Fall, auf dem betroffenen Datenträger keine weiteren Daten mehr abzuspeichern. Wurden zum Beispiel auf einer Speicherkarte Fotos versehentlich gelöscht, kann auch die beste Software nichts mehr richten, sobald die für das Dateisystem freigegebenen Daten überschrieben wurden.
Notfallübung
Wir konfrontierten die Programme mit reproduzierbaren Testfällen und fühlten damit jeweils einer spezifischen Funktion auf den Zahn. Um vergleichbare Ergebnisse zu erzielen, haben wir für die Tests weitgehend ideale Bedingungen geschaffen, sodass die Rettungsprogramme gute Chancen hatten, die Daten wiederherzustellen.
Zum Repertoire der meisten Kandidaten gehört eine Undelete-Funktion, die jüngst entfernte Dateien wiederbeschaffen kann, deren Dateisystem-Einträge lediglich als gelöscht markiert sind. Auf diese Weise sollten sich die Dateien in ihrer ursprünglichen Grüße unter ihrem originalen Namen rekonstruieren lassen -- vorausgesetzt, ihre Inhalte wurden noch nicht überschrieben.
Bei NTFS-Laufwerken klappt das auch mit fragmentierten Dateien: Der Verzeichniseintrag enthält die komplette "Run List", die Liste der Cluster, in denen zugeordnete Inhalte zu finden sind. Bei FAT-Laufwerken hat man dagegen schlechte Karten, gelöschte Dateien wiederzuerlangen, die fragmentiert waren. Zusammen mit dem FAT-Eintrag wird auch die Liste der Cluster getilgt, die zu einer bestimmten Datei gehören. Nur wenn die Datei an einem Stück auf der Platte liegt, sind die Rettungschancen gut, denn im Verzeichniseintrag ist vermerkt, wo sie beginnt.
Um die Undelete-Funktionen auf die Probe zu stellen, kopierten wir einen Ordner mit einer bunten Mischung von Testdateien auf zwei verschiedene Laufwerke, die frisch mit NTFS und FAT32 formatiert waren. Mit dem Tool FragExt (siehe Link am Ende des Artikels) überzeugten wir uns, dass die Dateien allesamt nicht fragmentiert waren, und löschten anschließend mit dem Windows Explorer den komplettem Ordner.
Vom NTFS-Laufwerk konnten alle getesteten Programme, die ein Undelete anbieten, die Löschung rückgängig machen. Bei FAT32 dagegen fanden nur R-Studio sowie GetDataBack alle 46 Dateien wieder, die meisten anderen sahen derer nur 38.
Das Rätsel der 38 Dateien lüftete schließlich der "DiskExplorer for FAT" von Runtime Software, der einen Einblick in die Dateisystemstrukturen verschafft: Windows hatte die Verzeichnisdaten nicht am Stück gespeichert, sondern in zwei Hälften fragmentiert. Die erste Hälfte beherbergte die leicht rekonstruierbaren 38 Dateien. Das Verzeichnis fragmentierte jedes Mal, wenn wir den Testordner mit dem Windows-Explorer unter XP auf das frische FAT-Laufwerk kopierten -- in freier Wildbahn ist dies also durchaus zu erwarten. Die beiden Programme, die sich davon nicht beirren ließen, ernten in der Ergebnistabelle Pluspunkte bei der Zuverlässigkeit.
Aber selbst wenn sich Dateien per Undelete wiederherstellen lassen, bedeutet das noch lange nicht, dass ihre Inhalte intakt sind: Beim Testen beobachteten wir mehrfach das Phänomen, dass die Prüfsummen einzelner geretteter Dateien nicht mehr stimmten -- was sich aber nicht zuverlässig reproduzieren ließ. Offenbar schreibt Windows eben doch hin und wieder ungefragt auf die Laufwerke, was wir beim Testen tunlichst zu vermeiden suchten.
Mit Format
Als nächste Hürde ließen wir die Programme auf Laufwerke los, die wir gleich nach der Befüllung wieder formatiert hatten. Beim Formatieren eines NTFS-Laufwerks schreibt Windows zunächst lediglich eine leere MFT auf die Platte, die weniger Platz belegt als die alte. Die MFT-Einträge, die zu den gesuchten Dateien gehören, lassen sich also weiterhin aufspüren. Bei FAT-Laufwerken gehen mit der Formatierung die Cluster-Zuordnungen für alle Dateien verloren, sodass sich nur noch Dateien retten lassen, die am Stück gespeichert sind.
Bei beiden Dateisystemen ist es unerheblich, ob man beim Formatieren den Haken bei "Schnellformatierung" gesetzt hat. Bei der langwierigen Variante liest Windows lediglich nach dem Anlegen der Dateisystemstrukturen das Laufwerk Sektor für Sektor komplett ein. Das Ergebnis auf der Platte ist bei beiden Formatierungsarten dasselbe -- es sei denn, die Platte besitzt defekte Sektoren: Die werden bei der "gründlichen" Formatierung gleich als solche gekennzeichnet.
Wir erwarteten von den Rettungsprogrammen, dass sie auf den überformatierten Laufwerken die alten Dateisystem-Einträge finden und die Dateien unter ihren ursprünglichen Namen wiederherstellen. Nur dann verdienten sich die Kandidaten in der Ergebnistabelle den Haken bei "Test: Formatiertes Laufwerk retten". Ein Rohdatenscan, der nur durchnummerierte Fundstücke liefert, zählte hier nicht.
Die meisten Programme, die das Undelete beherrschen, konnten die Dateien auch von formatierten Laufwerken retten. "Recover My Files" und O&Os FormatRecovery scheiterten an den FAT32-Laufwerken, obwohl die Hersteller sie auch für dieses Format anpreisen. Easy Recovery und das kostenlose Recuva entdeckten auf unserem FAT-Laufwerk, wie schon beim Undelete, nur 38 Dateien wieder.
Relativ undramatisch ist eine Rettungsaktion, wenn lediglich der Eintrag in der Partitionstabelle des Master Boot Record (MBR) beschädigt ist. Für die Rettungsprogramme sollte es ein Leichtes sein, die verlorenen Dateisysteme wiederzuentdecken. Ob dies gelang, haben wir in der Zeile "MBR gelöscht" dokumentiert. Bei diesem Test war das NTFS-Dateisystem vollständig intakt.
O&Os DiskRecovery machte sich trotzdem nicht die Mühe, danach zu suchen, sondern begann einen Rohdatenscan, was in diesem Fall nicht unbedingt wünschenswert ist. Bei PC Inspector File Recovery und Recuva lässt sich das Laufwerk, das Windows für unformatiert hält, nicht auswählen. In diesen Fällen kann man aber zum bewährten Freeware-Tool testdisk greifen, das verlorene Dateisysteme findet und wieder in die Partitionstabelle einträgt.
Weiter auf Seite 2: Produkttest, Teil 1
