Gelöschte Verzeichnisstruktur und Datenrettung von TS Dateien bei einer Festplatte mit ext4

    Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

    • Schau mal in den Thread "Ultimo löscht mindestens 2 HDDs"
      da ging es um ein ähnliches Thema
      ACHTUNG!!!! Hier folgt eine Signatur:


      Die Benutzung der Suche ist NICHT verboten! D:

      "Hilfe!!!" ist kein sinnvoller Titel für einen neuen Thread, ebensowenig "VU+Zero" oder vergleichbares.

      Keine Hilfe ohne ausgefülltes Profil!
      Kein Netzwerksupport bei manueller IP-Adress-Vergabe :-)
      Kein Support bei portforwardings/ Portfreigaben

      Profil extra angepasst für die arme Emma, die sonst nichts im Leben hat :happy1:

    • Mein Zwischenfazit der Datenrettung bei einer Festplatte mit ext4 Format.

      Letztendlich ist die effektivste Methode die Platte auszubauen
      Mit den Programm Recuva sowie auch Photorec kann man die FP auch unter Windows (in meinem Fall Win7) scannen und Daten auch wiederherstellen.

      Auf jeden Fall stelle ich fest, dass der Löschbefehl des Pfades ganze Arbeit geleistet hat und das Filesystem stark beschädigt wurde. Eine Wiederherstellung der Verzeichnisstruktur und des Filesystems scheint mir derzeit nicht möglich, zumindest nicht mit meinem Wissenstand und den mir zur Verfügung stehenden Mitteln.

      Bei der Datenrettung meiner TS Dateien sieht das schon etwas besser aus.
      Von Recuva wurden über 55.000 Dateien gefunden. Leider war nur bei 7 Filmen die korrekte Dateistruktur noch vorhanden und intakt, sprich es gab eine TS Datei mit Namen und die dazugehörenden Dateien wie die EIT, meta usw...
      Danach gibt es nur noch eine riesige Sammlung von gefundenen Dateien mit neu vergebenen Namen und ohne jede Dateikennung. Müsste ich nun Dokumente oder ähnliches finden und Wiederherstellen, würde ich spätestens jetzt dieses Unterfangen aufgeben.

      Glücklicherweise geht es hier aber um die Wiederherstellungvon TS Dateien (also Filme, Dokus, Serien usw..), so dass man sich sehr gut an der Filegröße orientieren kann, da alle weiteren Dateien max. im kleinen Megabyte Bereich liegen. Somit ragen die TS Dateien Aufgrund ihrer Größe hervor. Danach weiß man zwar nicht welche TS welcher Film oder Sendung ist, aber dies lässt sich mit einem noch vertretbaren Aufwand beheben.

      Zumindest besser als meine erste Befürchtung, die Sendungen nur in Teilstücken zu bekommen und auch noch zusammensetzten zu müssen. Noch eine Stunde und alle intakten TS wurden mit Recuva (freeware) wiederhergestellt. Danach werde ich auch einen Scan mit Photorec starten. Mal sehen welches Ergebnis ich damit erziele.

      Für diese Aktion (scannen der Platte und wiederherstellen der Dateien) war mein PC bisher ca. 18 Stunden im Einsatz. Als Ergebnis stehen dem ca. 135 aufgenommene Filme und Sendungen entgegen, womit auch nahezu alle TS Dateien gerettet sein dürften. Der Rest ist vor allem gefundener Datenmüll von den bereits gelöschten Sendungen der letzten Jahre.

      Vielleicht hilft meine Erfahrung irgendwann jemanden anderen, der auch ein Problem mit seiner internen oder externen FP im ext4 Format hat.

      Weitere Tipps (z.B. Programmvorschläge für die Datenrettung) und Anregungen sind nach wie vor willkommen.

    • Huch, Recuva kann das auch

      die wichtigsten Tips bei ext3/4 stehen hier:

      http://www.linupedia.org/opensuse/Verlorene_Dateien_wiederherstellen_ext3_ext4 schrieb:



      Ich habe gerade all meine Daten gelöscht, Erste Hilfe

      Selbstverständlich hat ja jeder immer ein aktuelles Backup all seiner Betriebssysteme und all seiner Daten und hat es auch schon erfolgreich getestet, dass er damit jederzeit alles wiederherstellen kann. Deshalb das folgende hier nur theoretischer Art. ;)
      Jeder hat etwas anders auf dem Rechner und nicht jeder Rechner hat die selbe Nutzung, deshalb erstmal allgemeine Vorgehensweise unmittelbar nach dem man bemerkt hat, "hier sind wohl eben versehentlich wichtige Daten gelöscht worden". Ziel ist es hier sicherzustellen, das man morgen wieder an die Daten kommt, die man heute gelöscht hat, auch wenn man heute noch überhaupt keine Ahnung davon hat, wie das gehen soll.
      1. zuerst möglichst keine vorschnellen unüberlegten Aktionen starten. Nicht ausschalten, nicht Platte ziehen, keine größeren Programme, Scripte oder Befehle nach starten
      2. besser erstmals 3 Minuten lang nur den Kopf benutzen und versuchen überhaupt erst mal zu begreifen, was eventuell schief gelaufen sein könnte: wann ging es noch ; was habe ich "falsch" gemacht ; was könnte betroffen sein? Letzte Befehle anschauen, letzte Fehlermeldungen verstehen.
      3. Was hier zuerst einmal ganz wichtig ist: jetzt unbedingt verhindern das dieser Datenstand automatisch als Backup gesichert wird und uns damit vielleicht noch das letzte vollständige Backup überschreibt.
      4. als nächstes mit "kleinen Befehlen" möglichst herausfinden: Geht überhaupt noch was? Welches Filesystem, welcher Verzeichnisbaum ist betroffen? was sind/waren dort für Dateien und Daten? Welche Prozesse/User/Dienste/Server greifen dort zu, welche davon könnten dort auch schreiben? Kann/darf ich diese Programme beenden, oder noch schlimmer, muss ich sie etwa beenden, weil ihnen Dateien unter dem Hintern weggelöscht wurden und sie jetzt deshalb nur noch Fehler produzieren und die Logdateien vollmüllen?
      5. Wichtig nachdem klar ist was in etwa alles gelöscht wurde: das entsprechenden Filesystem so gut es geht vor weiteren Schreibaktionen schützen: Wenn möglich Rechner beruhigen (zB Singleusermodus wenn man genügend Konsolenrfahrung dafür hat), ansonsten: Programme die schreibend zugreifen möglichst beenden, nicht benötigte Programme und Fenster schließen, keine weiteren Programme starten die auf dieses Filesystem zugreifen könnten. Bei betroffenen Homeverzeichnissen eventuell, neuen User anlegen dessen Home dann auf dem Rootfilesystem angelegt wird und als dieser User weiterarbeiten, Ziel ist möglichst das entsprechende Filesystem auf readonly zu remounten noch besser wenn möglich das Filesystem komplett umounten. Vorsichtshalber in der /etc/fstab Schreiberlaubnis für die betroffene Partition auch vorläufig entfernen.
      6. Was oftmals übersehen wird. Es handelt sich um ein Journalfilesystem. Das Journal wird auch weiterhin benutzt auch wenn man nichts in das Filesystem schreibt. ZB. wenn Dateien gelesen werden, dabei wird ein neuer a-time Zeitstempel in die Inode eingetragen. Auch solche Aktionen laufen über das Journal. Würde jetzt zB mit einem "find" der Rest des Filesystems durchsucht werden, würde je nachdem wie viel vom Filesystem nach dem Löschen noch übrig ist, eventuell eine ganze Menge ins Journal geschrieben. Jede dieser Schreibaktionen im Journal wird dabei alte Journaldaten überschreiben. Und es gibt Recoverprogramme die aus alten Journaldaten hervorragend wiederherstellen können. Also sollte man sich die alten Journaldaten nicht noch unnötig überschreiben, wenn man ein solches Programm nutzen möchte. Je früher man das Filesystem oder zumindestens das Journal jetzt aushängt und nicht weiter benutzt, desto mehr Dateien werden solche Programme finden können.
      7. Informationen sammeln: Parititionsgrößen, Mountpoints, Filesystemtyp, wie viel ist im Moment belegt, wie viel könnte es vorher gewesen sein, Datentypen, Homeverzeichnisse anderer User betroffen? Dann diese auch informieren und auch dort Informationen sammeln. Wenn möglich welche Verzeichnisstruktur war auf der Platte, bzw. was ist davon verschwunden. Wo habe ich im Rechner eventuell noch Platz, um temporär Dateien zwischenzuspeichern. Eventuell muss man sich Prioritäten setzen: was brauche ich an Dateien unbedingt wieder; auf was kann ich notfalls verzichten; was wäre eventuell ganz unwichtig.
      8. Ist das betroffene Filesystem soweit beruhigt, dass möglichst nichts mehr neu geschrieben werden kann (auch nicht nach einem eventuellem reboot) und die wichtigsten Informationen eingesammelt sind, erst dann geht es weiter.
      9. Möglichst an dieser Stelle jetzt eine Kopie der Partition als Image oder auf eine andere Platte erzeugen. (1 zu 1, nicht komprimiert). Eine solche Kopie kann mit dd erzeugt werden, wichtig hierbei die Partition sollte möglichst umountet sein, maximal aber Readonly. Mit einer solchen Kopie zB auf einer USB-Platte hat man jetzt theoretisch unendlich viel Zeit und unendlich viele Versuche die wichtigen Dateien wieder herzustellen. Dazu muss aber entweder das Original, oder die Kopie vom Original, von jeglichen Versuchen kategorisch ausgeschlossen werden. Dieses wird immer nur zum Lesen benutzt und zwar um wieder eine neue Kopie davon zu machen, für den nächsten Versuch die Dateien wieder herzustellen.

    • Also mein Fazit nach dem ich auch einen Scan mit photorec gestartet habe (und kurze Zeit später diesen auch wieder abgebrochen habe).

      Testdisk und Photorec scheinen mir nicht geeignet um TS Dateien in einem vernünftigen Maße wiederherzustellen.
      Photorec findet zwar relativ schnell TS-Files und stellt diese auch wieder her aber in derart kleinen Fragmenten, dass das Zusammenfügen einer Lebensaufgabe gleicht.

      Mit Recuva hat der Scan zwar wirklich lange gedauert, aber mein PC hat der wegen der letzten Nachtschicht keine Beschwerde eingelegt.
      Danach musste ich noch die Dateien zur Wiederherstellung auswählen und einige Zeit später waren so gut wie alle TS Dateien wieder vorhanden.

      Bei einem normalen "Problemfall" dürfte auch das Filesystem der Festplatte nicht so zerschossen sein, wie in meinem Fall, so dass die Erkennung dann auch sehr einfach sein dürfte.
      Derzeit scheint es so, dass ich bis auf eine Aufnahme alles retten konnte.

      Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von sekota ()

    • Da wir beide aber photorect abgebrochen haben, weil wir nicht warten wollten, werden wir jetzt nie erfahren, ob das Programm am Ende nicht eventuell doch einen Versuch unternimmt, die Dateien zusammen zu setzen. Ich hatte gehofft, daß du etwas mehr Geduld beim Testen hast. Aber gut :D

      Das automatisierte Zusammenkopieren von ts-Dateien anhand von timstamps ist relativ simpel umzusetzen.
      Sowas kann man sich selbst basten ... mich hätte es nicht gewundert, wenn so eine Funktion sogar eingebaut wäre.

    • Da hast Du Recht, wäre vielleicht interessant gewesen, aber diese Schnipsel sahen doch sehr verdächtig aus. :/
      Dazu kommt dann noch die Tatsache, dass man die Dateien wahrscheinlich auch noch hätte umbenennen müssen.
      Nee, da kann ich mit dem jetzigen Ergebnis gut leben. :)

      Vielen Dank noch mal für Deine Hilfe.