Utilsigtet sletning af filer, formateret SD-kort og fotogendannelse¶

At indse, at du lige har formateret det forkerte kamera-SD-kort, tømt papirkurven eller papirkurven på et eksternt arbejdsdrev eller ved et uheld slettet en hel partition af uerstattelige familiebilleder, er en akut teknisk krise. Når en fil slettes, eller et lagermedie hurtigt formateres, sletter operativsystemet sjældent de rå binære data inde i hukommelsescellerne med det samme. I stedet fjerner den filsystemets biblioteksmarkør og markerer de logiske blokadresser som "fri plads", der kan overskrives. Om du gendanner 100 procent af dine data eller mister dem for altid, afhænger helt af, hvad der sker i løbet af de første 60 sekunder efter sletning. Hvert sekund forbliver drevet monteret i læse-skrivetilstand, indeksering af baggrundsoperativsystem, swap-filer, browsercaches og SSD-rutiner (Solid State Drive)TRIM / UNMAP) kan permanent nulstille de underliggende sektorer.

Hvis den utilsigtede sletning eller formatering involverer medicinsk telemetri, juridiske beviser i en aktiv forbrydelse eller en fejl i livssikkerhedssystemet, skal du ringe til dit lokale alarmnummer (911 i USA og Canada, 112 i hele EU, 999 i Storbritannien) eller se vores katalog over internationale alarmnumre før du rører ved hardwaren. For alle forbruger-, fotografiske, akademiske og virksomhedsdatatabshændelser skal du stoppe al diskaktivitet med det samme og følge den retsmedicinske gendannelsesworkflow nedenfor.

Gør dette nu¶

1. Træk straks det flytbare SD-kort, CFexpress-kort eller USB-drev ud: Hvis du lige har formateret et kamerahukommelseskort eller slettet filer på et eksternt USB-drev, skal du straks slukke for kameraets afbryder eller tage det eksterne USB-kabel ud af computeren. Tag ikke "et testbillede" for at se, om kortet virker, og tillad ikke Windows (chkdsk) eller macOS (fsck_apfs) for at "scanne og reparere" drevet.
2. Hvis du har slettet filer fra din computers interne systemdrev (C: drev eller macOS Macintosh HD), skal du trække strømmen eller tvinge en hård slukning: Luk ikke apps normalt, download ikke datagendannelsessoftware til den berørte computer, og klik ikke på "Sluk" (hvilket skriver gigabyte af dvalefiler, arkiverer i din sessionslogbog over dine hives og slettede sessionslogfiler). Hold den fysiske tænd/sluk-knap nede i 5 til 10 sekunder, indtil maskinen slukker helt, eller tag stikket ud af skrivebordets netledning, hvis det er et ikke-batterisystem.
3. Skub den fysiske skrivebeskyttelseskontakt på SDHC/SDXC-kort i fuld størrelse til LOCK-positionen: Se på venstre kant af et standard SD-kort på 32 millimeter gange 24 millimeter (1,26 tommer gange 0,94 tommer) og skub den lille plastiktap ned mod den nederste kant (væk fra guldkontaktstifterne kan ved et uheld ikke skrives) .DS_Store, System Volume Information, eller Spotlight-indeksfiler, når du tilslutter det senere.
4. Forstå SSD TRIM-fælden, før du tænder en intern SSD igen: Moderne NVMe- og SATA Solid State-drev udfører hardware-niveau TRIM (ATA) eller Deallocate (NVMe) kommandoer inden for sekunder til minutter efter filsletning eller formatering. Når først SSD-controlleren kører affaldsopsamling i baggrunden på trimmede sider, vil rå udskæringssoftware kun læse nuller (0x00). Hvis du holder strømmen slukket, stopper den interne SSD-mikroprocessor i at afslutte affaldsopsamlingen i baggrunden.
5. Forbered en separat, ren sekundær computer og et større destinationsdrev: Installer aldrig genoprettelsesværktøjer på det drev, der har mistet data, og gendan aldrig gendannede filer tilbage på det samme kildedrev under scanningen. Brug en anden computer (eller start den berørte pc fra et eksternt Ubuntu Linux Live USB-flashdrev), og tilslut en tom ekstern harddisk med mindst dobbelt så stor lagerkapacitet som det berørte drev.
6. Opret et sektor-for-sektor rå binært billede (.img eller .dd) før du kører nogen filgendannelsesparser: Før du kører PhotoRec, R-Studio, DMDE eller UFS Explorer, skal du bruge ddrescue eller HDDSuperClone for at klone hver sektor på SD-kortet eller drevet til en enkelt billedfil på dit backup-drev. Du kan derefter køre flere gendannelsesalgoritmer sikkert mod billedfilen uden nogensinde at risikere yderligere slid eller utilsigtet skrivning på det originale medie.

Beslutningstræ: valg af den rigtige gendannelsesstrategi efter lagermedier og filsystem¶

Brug dette retsmedicinske triage-flowchart til at bestemme, om dine slettede data kan gendannes via logisk fil-tabel-rekonstruktion, råfilsignaturudskæring eller specialiseret chip-off-analyse:

flowchart TD
    A["Utilsigtet sletning af filer eller drevformat fundet"] --> B["Sluk straks for enheden, eller skub flytbare medier ud"]
    B --> C{"Hvilken type fysisk lagerhardware er berørt?"}
    C -->|"Kamera SD / MicroSD / CFexpress / USB Flash"| D["Aktiver fysisk skrivebeskyttelseskontakt eller brug skrivebeskyttet USB-blokering"]
    C -->|"Ekstern eller intern mekanisk harddisk (HDD)"| E["Ingen TRIM-risiko: Høj sandsynlighed for gendannelse, hvis der er nul nye skrivninger"]
    C -->|"Intern eller ekstern SSD / NVMe / Mac / Smartphone"| F{"Hvilket filsystem og OS-forbindelse blev brugt?"}
    F -->|"NTFS, APFS eller ext4 på intern NVMe/SATA SSD"| G["Høj TRIM-risiko: Boot via Linux Live USB med libata.force=noncqtrim"]
    F -->|"exFAT eller FAT32 over standard USB-masselager"| H["Moderat/Lav TRIM-risiko: Mange USB-broer passerer ikke TRIM på exFAT"]
    F -->|"iOS / Android internt lager"| I["Hardware filbaseret kryptering (FBE): Nøgler ødelagt ved sletning, tjek cloud/lokale sikkerhedskopier med det samme"]
    D --> J["Opret fuld bitstrømsklon (.img) ved hjælp af GNU ddrescue på separat drev"]
    E --> J
    G --> J
    H --> J
    J --> K{"Blev filer slettet individuelt, eller blev drevet formateret?"}
    K -->|"Individuel sletning/hurtigt format (metadata intakt)"| L["Kør logisk metadata rekonstruktion (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Overskrevet filtabel / kamera in-kropsformat"| M["Kør Raw File Signature Carving + Fragmented Video Rebuilder (PhotoRec, GoPro/MP4 Repair)"]

Fysikken ved sletning: HDD magnetiske plader vs. SSD NAND flash og kamera SD-kort¶

For at undgå at ødelægge genskabelige data, skal du forstå, hvordan forskellige lagerarkitekturer håndterer sletning og formatering under hætten.

1. Mechanical Hard Disk Drives (HDD) og Shingled Magnetic Recording (SMR)¶

På en traditionel konventionel magnetisk optagelse (CMR) roterende harddisk tager det mindre end to sekunder at slette en fil eller køre et "hurtigt format", fordi læse-/skrivehovederne kun ændrer hovedbiblioteksindekset, som f.eks. $MFT (Master File Table) på NTFS, Allocation Bitmap og Catalog B-Tree på HFS+/APFS eller Filallokeringstabellen på FAT32/exFAT. De faktiske magnetiske fluxvendinger, der repræsenterer dine JPEG'er, PDF'er og regneark, forbliver uberørte på koboltlegeringspladerne, indtil operativsystemet vælger at skrive en helt ny fil over de nøjagtige logiske blokadresser (LBA'er).

Imidlertid bruger mange moderne højkapacitets eksterne harddiske til forbrugere (typisk 2 terabyte til 5 terabyte i 2,5-tommer bærbare kabinetter) Shingled Magnetic Recording (SMR) sammen med et internt firmware-oversættelseslag kaldet en Media Cache. Nogle moderne SMR-harddiske understøtter faktisk TRIM kommando ligesom en SSD. Hvis du sletter en stor mappe på en TRIM-aktiveret SMR-harddisk og lader den være tilsluttet inaktiv i 20 minutter, kan drevets interne firmware omorganisere sine shingled-bånd og permanent nulstille de ikke-allokerede sektorer i baggrunden. Afbrydelse af stikket til drevet forhindrer straks denne interne rengøringscyklus.

2. Solid State Drives (SSD), NVMe og TRIM / Deallocate Udførelsesvindue¶

NAND-flashhukommelse inde i SSD'er kan ikke overskrive eksisterende data direkte på plads. Før en NAND-flashcelle kan acceptere nye data, skal en hel flashblok (typisk 4 megabyte til 16 megabyte stor) først gennemgå en langsom elektrisk Program/Slet (P/E) cyklus. Hvis SSD'en ventede, indtil du gemte en ny fil for at slette gamle blokke, ville skrivehastigheden falde.

For at holde SSD'er hurtige, moderne operativsystemer (Windows 7 til Windows 11, macOS 10.10+ og Linux-kerner med fstrim eller discard) send en straks TRIM (SATA) eller Dataset Management: Deallocate (NVMe) kommando til SSD-controlleren i det øjeblik, du tømmer papirkurven/papirkurven eller udfører et hurtigt format:

1. Deterministisk læsning af nul efter TRIM (DZAT / DRAT): Næsten alle moderne forbruger-NVMe- og SATA-SSD'er håndhæver deterministisk nulstilling efter TRIM. Det nøjagtige millisekund SSD-controlleren modtager TRIM kommando for en række sektorer, fjerner dets interne Flash Translation Layer (FTL) disse logiske adresser fra de fysiske NAND-sider.
2. Straks nulretur: Selv før den fysiske elektriske ladning er slettet fra siliciumcellerne, hvis der er nogen software (inklusive ddrescue, PhotoRec eller R-Studio) beder SSD'en om at læse de trimmede sektorer via standard SATA- eller NVMe-kommandoer, opfanger SSD-controlleren anmodningen og returnerer rene hexadecimale nuller (00 00 00 00) uden selv at tjekke de fysiske NAND-chips.
3. Når SSD-gendannelse stadig er mulig:
   • Eksterne USB-kabinetter uden UASP/TRIM-pass-through: Ældre USB 3.0-brochips, der bruger den ældre BOT (Bulk-Only Transport)-protokol i stedet for UASP (USB Attached SCSI Protocol) kan ikke oversætte operativsystemet TRIM kommandoer over USB-kablet.
   • FAT32- og exFAT-volumener på visse OS-versioner: Historisk set er flere operativsystembygninger kun sendt automatisk i realtid TRIM kommandoer på native journaliserede filsystemer (NTFS, APFS, ext4) og udsendte ikke øjeblikkelig realtid TRIM på aftagelig FAT32 eller exFAT skillevægge.
   • Aftørring af skillebord (diskpart clean eller utilsigtet sletning af partition) uden formatering: Sletning af en partitionsindgang fra GUID Partition Table (GPT) eller Master Boot Record (MBR) efterlader nogle gange de underliggende sektorer ubeskåret, indtil et nyt filsystem er formateret oven på det.

3. Kamera In-Body Formatering og Sony / Canon / Nikon SD_ERASE Fælde¶

Fotografer og videografer antager ofte, at formatering af et SD-, microSD- eller CFexpress-kort inde i et digitalkamera er identisk med et "Quick Format" på en stationær computer. Selvom det var sandt for ti år siden, opfører moderne spejlløse kameraer sig meget forskelligt afhængigt af producenten:

Fase 1: Øjeblikkelig OS-indeslutning og blokering af automatiske skrivninger¶

Før du forsøger at gendanne filer fra et internt drev eller tilslutte et eksternt drev til en computer, skal du neutralisere operativsystemets mekanismer, der stille overskriver slettet plads.

1. Gendannelse fra et internt Windows-drev (C: Drev)¶

Hvis du har slettet en vigtig mappe fra dit Windows-skrivebord, mappen Dokumenter eller Downloads og tømt papirkurven:

1. Bliv IKKE ved med at bruge Windows på det drev: Selv at lade Windows sidde inaktivt på skrivebordet tillader det SearchIndexer.exe, Windows Defender-baggrundsscanninger, Chrome/Edge-cacheopdateringer, Volume Shadow Copy-rotation og Windows-sidefilen (pagefile.sys) for at skrive hundredvis af megabyte i minuttet direkte over dine nyligt frigivne klynger.
2. Hvis du ikke kan slukke med det samme (f.eks. på en fjernarbejdsstation uden fysisk adgang), deaktiver TRIM øjeblikkeligt via administratorkommandoprompt:
   • Tryk på Win + X, klik på Terminal (Admin) eller Command Prompt (Admin), og udfør:

     fsutil behavior set DisableDeleteNotify 1
     

   • Dette forhindrer Windows i at sende * yderligere* TRIM meddelelser for NTFS- og ReFS-volumener, selvom det ikke kan fortrydes TRIM kommandoer sendt sekunder tidligere.
3. Tjek, om en Volume Shadow Copy (Previous Versions) eksisterer allerede før nedlukning (tager 15 sekunder):
   • Højreklik på den overordnede mappe, der indeholdt dine slettede filer, klik på Egenskaber -> Tidligere versioner.
   • Eller løb vssadmin list shadows i en administratorkommandoprompt. Hvis der findes et skyggesnapshot fra tidligere i dag eller i går, kan du montere denne skyggekopi skrivebeskyttet (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) og kopier dine intakte filer direkte til et eksternt USB-drev.
4. Hvis der ikke findes nogen Shadow Copy, skal du lukke ned og starte fra en Linux Live USB: Opret et Ubuntu- eller SystemRescue USB-flashdrev på en anden computer, boot den berørte pc fra det USB-drev i Prøv Ubuntu (Live RAM-tilstand) uden at montere det interne drev rw, og afbild eller udpak filerne uden for Windows.

2. Gendannelse fra et macOS-systemdrev (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

Moderne Apple-computere, der kører macOS på APFS (Apple File System) præsenterer to strenge arkitektoniske forhindringer:

1. Aggressiv APFS TRIM: macOS sender TRIM kommandoer umiddelbart efter tømning af papirkurven på interne Apple SSD'er.
2. Hardware FileVault / Secure Enclave Encryption: På alle Mac'er med en Apple T2-chip eller Apple Silicon (M1, M2, M3, M4) er den interne SSD hardwarekrypteret i hvile som standard ved hjælp af nøgler knyttet til Secure Enclave, selvom FileVault er slået "Fra" i Systemindstillinger.
   • Øjeblikkelig kontrol 1: Lokale tidsmaskine-øjebliksbilleder (tmutil): Selvom dit eksterne Time Machine-sikkerhedskopidrev var koblet fra på tidspunktet for sletningen, opretter macOS automatisk skjulte APFS Local Snapshots på den interne SSD, hvis Time Machine er konfigureret. Åbn Terminal med det samme og kør:

     tmutil listlocalsnapshots /
     

     Hvis du ser snapshots på listen (f.eks com.apple.TimeMachine.2026-10-31-091522.local), åbn mappen, hvor filen boede, og start Time Machine-appen fra Programmer for at gendanne filen på få sekunder.
   • Øjeblikkelig kontrol 2: Cloud Sync Papirkurv (iCloud Drive, OneDrive, Dropbox, Google Drive): Fordi macOS Desktop og Dokumenter-mapper ofte synkroniseres til iCloud Drive, sletter en fil fra din Mac Desktop den via iCloud-synkronisering i stedet for kun lokalt. Åbn en browser på din telefon eller en anden pc, log ind icloud.com -> Drev -> Slettet for nylig (nederste højre hjørne), hvor slettede filer opbevares i 30 dage fuldstændig uberørt af lokal SSD TRIM.

3. Blokering af macOS og Windows fra at forurene et tilsluttet SD-kort eller eksternt drev¶

Når du tilslutter et kameras SD-kort eller eksternt USB-drev til en computer for at gendanne filer, forsøger værtsoperativsystemet straks at skrive skjulte metadatafiler til roden af drevet (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes på macOS; System Volume Information og $Recycle.Bin på Windows). Disse små skrifter lander lige i begyndelsen af ​​den ledige plads bitmap, og ødelægger ofte de nøjagtige mappeheadere, du forsøger at gendanne.

• På Linux (Safest Forensic Method): Linux skriver ikke automatisk skjulte indeksmapper, hvis du deaktiverer automatisk montering eller monterer blokenheden strengt skrivebeskyttet (ro,noload).
• I Windows (Aktiver skrivebeskyttet diskattribut via DiskPart FØR du indsætter drevet, eller brug Registry WriteBlocker):
  • Åbn regedit.exe som administrator skal du navigere til HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (opret StorageDevicePolicies nøgle, hvis den ikke findes), og opret en DWORD (32-bit) værdi navngivet WriteProtect indstillet til 1. Tilslut din USB-kortlæser bagefter, og Windows vil behandle alt flytbart USB-lager som hardware-skrivebeskyttet.
• På macOS (Monter via Disk Arbitrator): Download og start open source-værktøjet Disk Arbitrator, før du tilslutter din SD-kortlæser eller eksterne drev. Indstil Disk Arbitrator til Block Mounts eller Mount Read-Only, så macOS ikke kan skrive .DS_Store eller Spotlight indekserer på den beskadigede partition.

Fase 2: Oprettelse af en retsmedicinsk sektor-for-sektor-klon (ddrescue)¶

Kør aldrig filgendannelsesscanninger direkte på en defekt harddisk, et slidt microSD-kort eller den eneste kopi af en formateret partition. Oprettelse af en rå binær billedfil (.img eller .dd) garanterer, at du har et fastfrosset, bit-for-bit øjebliksbillede af hver sektor, som den eksisterede i det øjeblik, du tog stikket ud af drevet.

Trin-for-trin kloning med GNU ddrescue (Linux / macOS) eller HDDSuperClone¶

1. Identificer den nøjagtige enheds-id for dit kildekort eller drev:
   • Kør på Linux lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT før og efter tilslutning af kortlæseren. Antag, at dit 64 gigabyte (59,6 gibibyte) kamera SD-kort vises som /dev/sdc (sørg for, at den ikke er monteret; hvis den er monteret, så kør sudo umount /dev/sdc1).
   • Kør på macOS diskutil list for at finde disknummeret (f.eks. /dev/disk4), afmonter derefter dens volumener uden at skubbe hardwaren ud: diskutil unmountDisk /dev/disk4.
2. Monter dit store destinationslagerdrev: Antag, at dit eksterne 2 terabyte backupdrev er monteret på /mnt/backup (eller /Volumes/BackupDrive på macOS). Bekræft, at det har nok ledig plads til at rumme hele den rå kapacitet af kildedrevet (et 64 gigabyte SD-kort producerer en 64 gigabyte .img fil, selvom der kun var 10 gigabyte billeder på den).
3. Udfør ddrescue med en mapfil (logfil):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d bruger direkte diskadgang (omgå operativsystemets kernesidecache for nøjagtige sektorlæsninger; på macOS-brug /dev/rdisk4 i stedet for -d).
   • -r3 fortæller ddrescue for at kopiere alle sunde sektorer på tværs af hele drevet ved den første hurtige passage, skal du springe over eventuelle langsomme eller beskadigede flashblokke med det samme, så kortet ikke overophedes eller låser sig, og prøv derefter dårlige sektorer igen op til 3 gange til sidst.
   • sdcard_rescue.map gemmer dine nøjagtige fremskridt med få sekunders mellemrum. Hvis USB-læseren afbrydes, eller strømmen går ud, genoptages kørsel af nøjagtig samme kommando problemfrit fra det sted, hvor den stoppede uden at genlæse allerede reddede sektorer.
4. Lav en arbejdskopi eller monter .img fil skrivebeskyttet: Én gang sdcard_raw_clone.img slutter kl 100.00% rescued, tag dit fysiske SD-kort ud og opbevar det i en sikker skuffe. Du vil udføre 100 procent af dit genopretningsarbejde på sdcard_raw_clone.img.

Fase 3: Udførelse af filgendannelse (Logical Metadata Reconstruction vs. Raw Carving)¶

Når du har et pengeskab .img fil (eller et hardware skriveblokeret drev), er der to helt forskellige tekniske metoder til at udtrække dine slettede data. Du bør altid prøve Metode A (Logical File System Reconstruction) først, før du falder tilbage til Metode B (Raw Signature Carving).

Trin-for-trin 1: Gendannelse af en slettet partition eller beskadiget opstartssektor med TestDisk¶

Hvis dit eksterne drev eller SD-kort pludselig spørger "Du skal formatere disken i drev E: før du kan bruge den" eller vises som RAW/Uallokeret i Diskhåndtering efter at være blevet taget ud af stikket uden at blive sikkert skubbet ud, blev dine filer slet ikke slettet. I stedet er Master Boot Record (MBR), GUID Partition Table (GPT) eller Boot Sector (BPB) var beskadiget.

1. Kør TestDisk mod din klonede billedfil:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Vælg Fortsæt -> bekræft partitionstabeltypen (Intel/PC til MBR SD-kort under 2 terabyte, eller EFI GPT til moderne store drev).
3. Vælg Analyse -> Hurtigsøgning.
4. TestDisk vil scanne for backup-partitionsoverskrifter (såsom den automatiske backup NTFS-opstartssektor, der er gemt i den allersidste sektor af en NTFS-diskenhed, eller backup-FAT32-bootsektoren i sektor 6).
5. Fremhæv den opdagede partition og tryk på P (Liste filer). Hvis du straks ser alle dine mapper og filer intakte inde i terminalvinduet:
   • Gider ikke engang omskrive partitionstabellen, hvis du kun vil have filerne. Du skal blot trykke på C på de mapper, du ønsker, og kopier dem direkte ud til dit sunde destinationsdrev med 100 procent originale filnavne og mappestrukturer.

Trin-for-trin 2: Logisk metadatascanning ved hjælp af DMDE, R-Studio eller UFS Explorer¶

Når filer blev slettet via Shift + Delete, tømmes fra papirkurven eller slettes via et standard Quick Format:

1. Åbn din .img fil inde i DMDE (gratis udgave gendanner op til 4.000 filer pr. mappehandling; fuld licens er billig), R-Studio eller UFS Explorer Standard Recovery.
2. Tjek først det eksisterende virtuelle filsystemtræ:
   • På NTFS-drev har hver fil en 1.024-byte (1 kilobyte) post i masterfiltabellen ($MFT). Selv når en fil slettes, er dens $MFT slot forbliver markeret med et inaktivt flag (0x00 i stedet for 0x01) indeholdende det nøjagtige filnavn, overordnede mappe-id og nøjagtige startklynge og længdekørsler, indtil en ny fil genbruger den $MFT slot. Desuden lagres filer mindre end ~700 bytes (såsom korte tekstnoter, kryptonøgler eller små scripts) resident helt inde i $MFT optager sig selv og bliver sjældent overskrevet hurtigt.
   • Se i $Root eller Deleted / Found virtuel mappe genereret inden for de første 5 sekunder efter åbning af partitionen. Hvis dine filer vises med en rød x eller papirkurv og vis en sund størrelse, vælg dem og klik på Gendan til dit separate destinationsdrev med det samme.
3. Kør en fuld volumenscanning, hvis mappehovedet blev overskrevet:
   • Hvis et hurtigt format overskrev rodmappen eller de første par megabyte af $MFT, kør en Fuld Volume Scan. Softwaren scanner hele billedet for overlevende undermappeindeksnoder (INDX buffere på NTFS, underbiblioteksklyngekæder på FAT32/exFAT eller ældre transaktionskontrolpunkter på APFS/ext4) og kombinere logiske metadata med detektering af råfilsignatur.

Trin-for-trin 3: Raw File Carving med PhotoRec (Når metadata er fuldstændig ødelagt)¶

Når filallokeringstabellen (FAT) eller $MFT er blevet fuldstændig nulstillet af et format, er logiske mappepointere væk, så kun det rå filindhold sidder i ikke-allokerede dataklynger. PhotoRec (bundtet sammen med TestDisk, helt gratis, open source og tilgængelig til Windows, macOS og Linux) udmærker sig ved at skære over 480 filformater (inklusive Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX lynlåsbeholdere, og .SQLITE databaser):

1. Start PhotoRec mod dit diskbillede:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Vælg målpartitionen (eller Whole disk hvis partitionstabellen blev slettet).
3. Inden du starter, gå til [File Opt] nederst på skærmen:
   • Tryk på s for at fravælge alle 480 filtyper, hvis du kun bekymrer dig om specifikke filer (f.eks. kun markere jpg, cr2/cr3, tif for rå billeder, mov/mp4, og zip/docx), som drastisk fremskynder genopretning og forhindrer falsk-positive skraldfragmenter.
4. Vælg [Options] -> behold Keep corrupted files : No medmindre beskadigede videostreams gendannes.
5. Vælg [Search], vælg filsystemtype [Other] (for FAT/exFAT/NTFS/HFS+), og vælg [Free] (hvis du kun har slettet filer på en aktiv partition) eller [Whole] (hvis partitionen blev formateret).
6. Vælg en destinationsmappe på dit separate store backupdrev og tryk på C for at begynde udskæringen.
7. Post-Recovery Sortering for PhotoRec Output: Fordi PhotoRec gemmer filer som f123456.jpg på tværs af snesevis af recup_dir mapper, kan du automatisk omorganisere alle gendannede fotos til rene YYYY/MM-Month/ mapper med deres nøjagtige kameratidsstempelfilnavne ved hjælp af det gratis kommandolinjeværktøj ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Specialiseret gendannelse: fragmenterede kamera MP4/MOV-videoer (GoPro, DJI Drones, Sony, Canon)¶

En af de hyppigste frustrationer efter at have kørt PhotoRec eller standard filgendannelsessoftware på et formateret kamerakort er at opdage, at 100 procent af de gendannede .JPG og .RAW billeder åbner perfekt, men hver enkelt gendannes .MP4 eller .MOV videofil nægter at afspille (0:00 varighed eller sort skærm).

Hvorfor standardgendannelsessoftware bryder moderne kameravideoer¶

1. Interleaved Stream-optagelse: Moderne actionkameraer (GoPro Hero-serien, DJI Air/Mavic/Mini-droner, Insta360) og spejlløse biografkameraer skriver ikke en eneste .MP4 fil sekventielt fra start til slut. Mens kameraet optager 4K eller 5,3K video, skriver kameraet samtidig en høj opløsning .MP4 stream, en forhåndsvisning i lav opløsning .LRV stream, en lydbuffer og telemetri-metadata til alternerende klynger på exFAT/FAT32-kortet (f.eks.: 4 megabyte højopløselig video, efterfulgt af 512 kilobyte .LRV preview, efterfulgt af 4 megabyte højopløselig video).
2. Mangler moov Atom i uafsluttede optagelser: Hvis din drone styrtede ned i vand, dit kamerabatteri døde midt under optagelsen, eller SD-kortet blev afbrudt, før du trykkede på knappen Stop Record, skrev kameraet aldrig moov atom (masterindekstabellen skrevet til allersidst i en MP4/MOV-fil, der fortæller medieafspillere, hvor hver videoramme og lydklump sidder).

Sådan genopbygges uspillelige eller fragmenterede kameravideoer¶

1. Case A: Uafsluttet video efter batteritab eller nedbrud (filen findes på kortet, viser en størrelse på flere GB, vil ikke afspilles):
   • Klyngerne er intakte i filsystemet, kun moov indeksoverskrift mangler.
   • Brug det gratis open source-værktøj untrunc (specifikt anthwlock/untrunc gaffel) eller recover_mp4 (slydiman). Give untrunc med én sund, spilbar reference .MP4 optaget på det præcis samme kamera med nøjagtig samme opløsning og billedhastighed, sammen med din ødelagte .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc læser codec-parametrene (avcC/hvcC og lydsporlayouts) fra arbejdsreferencevideoen, scanner de rå H.264/H.265/HEVC NAL-enheder i din beskadigede fil og syntetiserer en helt ny moov atom på få sekunder.
2. Case B: Formateret SD-kort med interleaved/fragmenteret video (GoPro, DJI, Sony, Canon):
   • Fordi FAT/exFAT-klyngekortet blev slettet under formatering, griber en standardudskærer ftyp/mdat headeren på din 4K-video og derefter blindt kopierer .LRV preview-klynger og thumbnail-klynger lige ind i midten af din videofil, hvilket ødelægger hvert eneste sekund af optagelserne.
   • I stedet for standardudskærere skal du scanne din sdcard_raw_clone.img ved hjælp af en fragmenteringsbevidst videorekonstruktor, der genkender kameraspecifikke klyngeallokeringskadencer, såsom SanDisk RescuePRO Deluxe (som inkluderer specifikke GoPro/drone-fragmenterede videosamlingsalgoritmer), Klennet Carver eller Disk Drill 5+ (som inkluderer en dedikeret DJI-refragmenteret GoPro/video).

Smartphone fotosletning: iOS (iPhone) og Android hardware kryptering realiteter¶

En almindelig og farlig misforståelse er, at du kan tilslutte en moderne iPhone eller Android smartphone til en bærbar computer via USB og køre traditionel diskudskæringssoftware (som Recuva eller PhotoRec) på telefonens interne lager.

Hvorfor traditionel sektorudskæring ikke kan læse moderne telefoner¶

Hver iPhone siden iPhone 3GS (og alle nuværende iOS-enheder) bruger Databeskyttelse (filbaseret kryptering) drevet af en dedikeret hardware AES-kryptomotor mellem flash-lageret og hovedsystemets hukommelse. Tilsvarende bruger alle Android-enheder, der er sendt siden Android 7.0+ (og obligatorisk siden Android 10) File-Based Encryption (FBE) understøttet af hardware Keystore/Titan M/Knox-chippen.

På begge platforme er hvert enkelt foto og fil på det interne lager krypteret med sin egen unikke kryptografiske nøgle pr. fil. Når en fil slettes permanent fra telefonens filsystem, behøver telefonen ikke engang at slette de multi-megabyte fotoblokke; det ødelægger øjeblikkeligt 256-bit per-fil krypteringsnøglen i metadatatabellen. Uden den nøgle indeholder de rå NAND-blokke kryptografisk ubrydelig tilfældig støj. Selv top-tier offentlige retsmedicinske laboratorier kan ikke "skære" permanent slettede billeder fra den interne flash på en moderne iPhone eller Android, når først nøglen pr. fil er slettet.

De faktiske gendannelsesstier for slettede smartphone-fotos¶

Fordi hardwarekryptering blokerer for rå udskæring, er gendannelse af slettede fotos fra en iPhone eller Android afhængig af gendannelse af kopier, før opbevaringstimere udløber, eller udtrækning af cachelagrede miniaturedatabaser:

1. Tjek straks albummet "Slettet for nylig" på enheden (30-dages vindue):
   • iOS (iPhone / iPad): Åbn Fotos -> rul ned til Hjælpeprogrammer -> tryk på Slettet for nylig (kræver Face ID / Touch ID / Adgangskode). Billeder bliver her i 30 dage før permanent nøgledestruktion.
   • Android (Google Fotos/Samsung Galleri): Åbn Google Fotos -> Bibliotek/samlinger -> Affaldsspand (opbevares i 60 dage hvis sikkerhedskopieret, 30 dage hvis kun enhed). Tjek også Samsung Gallery -> Menu (tre linjer) -> Papirkurv (opbevares i 30 dage), og åbn Files by Google eller My Files-appen -> Trash, som har en separat 30-dages papirkurvsmappe.
2. Hvis du har slettet billeder fra "Slettet for nylig" på iPhone, skal du ringe til Apple-support for en nødgendannelse på iCloud-serversiden:
   • Mange brugere er ikke klar over, at selv efter at du manuelt klikker på "Slet fra alle enheder" / "Tøm nyligt slettet" i iCloud Photos, beholder Apples backend-servere en soft-deleted servergendannelsesbuffer i et kort tidsrum (typisk op til 7 til 14 dage efter permanent sletning).
   • Kontakt Apple Support med det samme via telefon eller chat, bed om at tale med en Senior Advisor, og bed dem om at udløse en iCloud Photo Library Server-Side Recovery på din Apple-konto. De kan ofte vende en serverswitch, der dumper nyligt rensede iCloud-fotos direkte tilbage i dit album inden for 15 minutter.
3. Gendan fra en ældre usynkroniseret enhed eller krypteret lokal sikkerhedskopi:
   • Trick i flytilstand på sekundær iPad/Mac: Hvis din iPhone synkroniserede en sletning med iCloud, skal du tage fat i din iPad eller MacBook inden den opretter forbindelse til Wi-Fi (sluk for din Wi-Fi-hjemmerouter ved først at tage netledningen ud, hvis iPad'en ligger i dvale på dit skrivebord). Tænd for iPad'en i total radioisolation, kopier de stadig tilstedeværende billeder via USB-kabel eller AirDrop til en anden enhed, før iPad'en modtager iCloud-sletnings-push-kommandoen.
   • Tjek iCloud Backup vs. iCloud Photos: Hvis du havde iCloud Photos slået FRA (Settings -> [Your Name] -> iCloud -> Photos -> Off), er din kamerarulle inkluderet i din natlige iCloud Device Backup. Du kan slette en gammel reserve-iPhone (eller midlertidigt sikkerhedskopiere og nulstille din nuværende iPhone) og gendanne den natlige iCloud-sikkerhedskopi fra før det øjeblik, du slettede billedet.
   • Tjek Local Finder / iTunes-sikkerhedskopier på din pc eller Mac: Tjek ~/Library/Application Support/MobileSync/Backup/ på macOS eller %APPDATA%\Apple Computer\MobileSync\Backup\ på Windows. Du kan gennemse og udtrække billeder fra gamle lokale sikkerhedskopier uden at overskrive din telefon ved hjælp af iMazing eller iBackup Viewer.
4. Tjek beskedapps lokale caches (WhatsApp, iMessage, Telegram, Signal):
   • Har du nogensinde sms'et det slettede billede eller video til en ægtefælle, ven eller familiegruppechat? Messaging-apps gemmer uafhængige kopier af medier i deres egne applikationssandkasser (Media/WhatsApp Images/Sent på Android eller i chatvedhæftede filer i iMessage). Selvom du sletter et billede fra din hovedkamerarulle og tømmer papirkurven, er kopien inde i din WhatsApp Sent mappe- eller iMessage-trådhistorie forbliver fuldstændig uberørt.

Cloud-drev og gendannelse af utilsigtet sletning af virksomheder (Google Drive, OneDrive, Dropbox)¶

Når en hel delt mappe forsvinder eller overskrives på et cloud-drev (eller når ransomware eller en synkroniseringsfejl sletter lokale filer og synkroniserer sletningen til skyen), er lokal diskgendannelse ofte unødvendig, fordi virksomhedens og forbrugernes cloud-platforme opretholder multi-tier versionshistorier:

1. Microsoft OneDrive & SharePoint Online:
   • Første trin papirkurv (onedrive.live.com): Bevarer slettede filer i 30 dage på personlige konti og 93 dage på arbejds-/skolekonti.
   • Sideindsamling af anden trins papirkurv (arbejde/skole): Selvom en medarbejder eller hacker tømmer den primære OneDrive-papirkurv, skal du klikke på linket nederst på papirkurvssiden mærket "Anden trins papirkurv", hvor slettede filer forbliver gendannes i resten af ​​93-dages vinduet.
   • Gendan dit OneDrive (Point-in-Time Rollback): Microsoft 365-abonnenter kan klikke på Indstillinger (tandhjulsikon) -> Indstillinger -> Gendan dit OneDrive, som bruger en visuel histogramskyder til at rulle hver enkelt fil, omdøbe og slette på tværs af hele clouddrevet tilbage til et hvilket som helst nøjagtigt minut inden for de **sidste 30 dage.
2. Google Drev og Google Workspace:
   • Google Drev Papirkurv (drive.google.com/drive/trash): Bevarer slettede filer i 30 dage.
   • Google Workspace Admin Post-Trash Recovery (25-Day Grace Window): Selv efter en bruger klikker på "Slet for evigt" og tømmer deres Google Drive Trash, kan en Google Workspace-administrator (eller en individuel bruger, der kontakter Google Drive Support på personlige Google One-konti) åbne Google Admin Console (admin.google.com) -> Bibliotek -> Brugere -> [Vælg bruger] -> Flere muligheder -> Gendan data, og gendan permanent slettede Google Drev-filer og Gmail-beskeder i op til 25 ekstra dage efter papirkurven blev tømt.
3. Dropbox:
   • Slettede filer (dropbox.com/deleted_files): Bevarer slettede filer og mapper i 30 dage på basis-/plus-/familieabonnementer og 180 dage til 1 år på professionelle/forretningsabonnementer.
   • Dropbox spole tilbage (dropbox.com/rewind): Giver mulighed for at rulle en hel mappe eller hele kontoen tilbage for at fortryde massesletninger, utilsigtede træk-og-slip eller krypteringshændelser.

Ofte stillede spørgsmål¶

Kilder tjekket¶

• National Institute of Standards and Technology (NIST, USA): Speciel publikation 800-88 Revision 1, Guidelines for Media Sanitization (ATA TRIM, NVMe Deallocate og NAND Flash Translation Layer-adfærd) og Computer Forensics Tool Testing (CFTT) Program Disk Imaging Specifications (csrc.nist.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, USA): Retningslinjer for sikkerhedskopiering af data, retsmedicinsk bevaring og hændelseshåndtering (cisa.gov).
• GNU Project / Antonio Diaz Diaz (International): Officiel GNU ddrescue Manual: Data Recovery Tool og Block Device Mapfile Algorithms (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (International): TestDisk & PhotoRec officiel dokumentation: Partitionsgendannelse og filudskæringssignaturer (cgsecurity.org).
• Apple Platform Security (USA): FileVault, databeskyttelsesklasser, per-fil krypteringsnøgler og APFS Trim Architecture på Apple Silicon og T2-systemer (support.apple.com/guide/security).
• Android Open Source Project (AOSP, International): Filbaseret kryptering (FBE) og metadatakrypteringsarkitektur (source.android.com/docs/security/features/encryption).
• SD Association (International): SD-specifikationer Del 1: Forenklet fysisk lagspecifikation (slet kommandoer CMD32, CMD33, CMD38 og skrivebeskyttet mekanisk switch) (sdcard.org).

Relaterede guider¶

• Harddiskfejl og datagendannelse
• Computersikkerhedskopiering: 3-2-1 strategi og gendannelse efter katastrofer
• Ransomware og malware
• Ødelagt eller vandskadet telefon
• Linux-systemstartfejl og GRUB-reparation
• Windows Blue Screen (BSOD) og bootreparation