Versehentliches Löschen von Dateien, formatierte SD-Karte und Wiederherstellung von Fotos¶

Zu erkennen, dass Sie gerade die falsche Kamera-SD-Karte formatiert, den Papierkorb auf einem externen Arbeitslaufwerk geleert oder versehentlich eine ganze Partition mit unersetzlichen Familienfotos gelöscht haben, ist eine akute technische Krise. Wenn eine Datei gelöscht oder ein Speichermedium schnell formatiert wird, löscht das Betriebssystem selten die rohen Binärdaten in den Speicherzellen sofort. Stattdessen wird der Dateisystemverzeichniszeiger entfernt und diese logischen Blockadressen als „freier Speicherplatz“ markiert, der zum Überschreiben verfügbar ist. Ob Sie 100 Prozent Ihrer Daten wiederherstellen oder sie für immer verlieren, hängt ganz davon ab, was in den ersten 60 Sekunden nach dem Löschen passiert. Das Laufwerk bleibt jede einzelne Sekunde im Lese-/Schreibmodus, in der Betriebssystemindizierung im Hintergrund, in Auslagerungsdateien, Browser-Caches und Speicherbereinigungsroutinen für Solid-State-Laufwerke (SSD) gemountet (TRIM / UNMAP) kann die zugrunde liegenden Sektoren dauerhaft auf Null setzen.

Wenn es sich bei dem versehentlichen Löschen oder Formatieren um medizinische Telemetrie, rechtliche Beweise für ein aktives Verbrechen oder einen Ausfall des Lebenssicherheitssystems handelt, rufen Sie Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder konsultieren Sie unser internationales Verzeichnis Notrufnummern bevor Sie die Hardware berühren. Stoppen Sie bei allen Datenverlustvorfällen im Verbraucher-, Foto-, Bildungs- und Unternehmensbereich sofort alle Festplattenaktivitäten und befolgen Sie den unten aufgeführten forensischen Wiederherstellungsworkflow.

Tun Sie dies jetzt¶

1. Ziehen Sie sofort die herausnehmbare SD-Karte, CFexpress-Karte oder das USB-Laufwerk heraus: Wenn Sie gerade eine Kamera-Speicherkarte formatiert oder Dateien auf einem externen USB-Laufwerk gelöscht haben, schalten Sie sofort den Netzschalter der Kamera aus oder ziehen Sie das externe USB-Kabel vom Computer ab. Machen Sie nicht „ein Testfoto“, um zu sehen, ob die Karte funktioniert, und lassen Sie Windows nicht zu (chkdsk) or macOS (fsck_apfs), um das Laufwerk zu „scannen und reparieren“.
2. Wenn Sie Dateien vom internen Systemlaufwerk Ihres Computers (Laufwerk C: oder macOS Macintosh HD) gelöscht haben, schalten Sie den Computer aus oder erzwingen Sie ein hartes Ausschalten: Schließen Sie Apps nicht normal, laden Sie keine Datenwiederherstellungssoftware auf den betroffenen Computer herunter und klicken Sie nicht auf „Herunterfahren“ (wodurch Gigabyte an Ruhezustandsdateien, Registrierungsstrukturen und Sitzungsprotokollen über Ihre gelöschten Blöcke geschrieben werden). Halten Sie den physischen Netzschalter 5 bis 10 Sekunden lang gedrückt, bis sich das Gerät vollständig ausschaltet, oder ziehen Sie das Desktop-Netzkabel ab, wenn es sich um ein System ohne Batterie handelt.
3. Schieben Sie den physischen Schreibschutzschalter bei SDHC/SDXC-Karten in voller Größe in die LOCK-Position: Sehen Sie sich die linke Kante einer Standard-SD-Karte mit den Maßen 32 mm x 24 mm (1,26 Zoll x 0,94 Zoll) an und drücken Sie die kleine Plastiklasche nach unten in Richtung Unterkante (von den goldenen Kontaktstiften weg), damit kein Leser versehentlich schreiben kann .DS_Store, System Volume Information, or Spotlight index files when you plug it in later.
4. Understand the SSD TRIM trap before powering an internal SSD back on: Modern NVMe and SATA Solid State Drives execute hardware-level TRIM (ATA) or Deallocate (NVMe) commands within seconds to minutes of file deletion or formatting. Once the SSD controller runs background garbage collection on trimmed pages, raw carving software will read only zeros (0x00). Keeping power off stops the internal SSD microprocessor from finishing background garbage collection.
5. Prepare a separate, clean secondary computer and a larger destination drive: Never install recovery tools onto the drive that lost data, and never restore recovered files back onto the same source drive during the scan. Use a second computer (or boot the affected PC from an external Ubuntu Linux Live USB flash drive) and attach a blank external hard drive with at least twice the storage capacity of the affected drive.
6. Create a sector-by-sector raw binary image (.img oder .dd) before running any file recovery parser: Before running PhotoRec, R-Studio, DMDE, or UFS Explorer, use ddrescue or HDDSuperClone to clone every sector of the SD card or drive into a single image file on your backup drive. You can then run multiple recovery algorithms safely against the image file without ever risking further wear or accidental writes on the original media.

Decision tree: choosing the right recovery strategy by storage media and file system¶

Use this forensic triage flowchart to determine whether your deleted data can be recovered via logical file-table reconstruction, raw file signature carving, or specialized chip-off analysis:

flowchart TD
    A["Accidental File Deletion or Drive Format Detected"] --> B["Immediately Power Off Device or Eject Removable Media"]
    B --> C{"What type of physical storage hardware is affected?"}
    C -->|"Camera SD / MicroSD / CFexpress / USB Flash"| D["Engage Physical Write-Protect Switch or Use Read-Only USB Blocker"]
    C -->|"External or Internal Mechanical Hard Drive (HDD)"| E["No TRIM Risk: High Recovery Probability if Zero New Writes Occurred"]
    C -->|"Internal or External SSD / NVMe / Mac / Smartphone"| F{"What File System and OS Connection Was Used?"}
    F -->|"NTFS, APFS, or ext4 on Internal NVMe/SATA SSD"| G["High TRIM Risk: Boot via Linux Live USB with libata.force=noncqtrim"]
    F -->|"exFAT or FAT32 over Standard USB Mass Storage"| H["Moderate/Low TRIM Risk: Many USB Bridges Do Not Pass TRIM on exFAT"]
    F -->|"iOS / Android Internal Storage"| I["Hardware File-Based Encryption (FBE): Keys Destroyed on Deletion, Check Cloud/Local Backups Immediately"]
    D --> J["Create Full Bitstream Clone (.img) Using GNU ddrescue onto Separate Drive"]
    E --> J
    G --> J
    H --> J
    J --> K{"Were Files Deleted Individually or Was the Drive Formatted?"}
    K -->|"Individual Deletion / Quick Format (Metadata Intact)"| L["Run Logical Metadata Reconstruction (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Overwritten File Table / Camera In-Body Format"| M["Run Raw File Signature Carving + Fragmented Video Rebuilder (PhotoRec, GoPro/MP4 Repair)"]

The physics of deletion: HDD magnetic platters vs. SSD NAND flash and Camera SD cards¶

To avoid destroying recoverable data, you must understand how different storage architectures handle deletion and formatting under the hood.

1. Mechanical Hard Disk Drives (HDD) and Shingled Magnetic Recording (SMR)¶

On a traditional conventional magnetic recording (CMR) spinning hard drive, deleting a file or running a "Quick Format" takes less than two seconds because the read/write heads only modify the master directory index, such as the $MFT (Master File Table) on NTFS, the Allocation Bitmap and Catalog B-Tree on HFS+/APFS, or the File Allocation Table on FAT32/exFAT. The actual magnetic flux reversals representing your JPEGs, PDFs, and spreadsheets remain untouched on the cobalt-alloy platters until the operating system chooses to write a brand-new file over those exact Logical Block Addresses (LBAs).

However, many modern high-capacity consumer external hard drives (typically 2 terabytes to 5 terabytes in 2.5-inch portable enclosures) use Shingled Magnetic Recording (SMR) alongside an internal firmware translation layer called a Media Cache. Some modern SMR hard drives actually support the TRIM command just like an SSD. If you delete a large folder on a TRIM-enabled SMR hard drive and leave it plugged in idle for 20 minutes, the drive's internal firmware may reorganize its shingled bands and permanently zero out the unallocated sectors in the background. Unplugging the drive immediately prevents this internal housekeeping cycle.

2. Solid State Drives (SSD), NVMe, and the TRIM / Deallocate Execution Window¶

NAND flash memory inside SSDs cannot overwrite existing data directly in place. Before a NAND flash cell can accept new data, an entire flash block (typically 4 megabytes to 16 megabytes in size) must first undergo a slow electrical Program/Erase (P/E) cycle. If the SSD waited until you saved a new file to erase old blocks, write speeds would plummet.

To keep SSDs fast, modern operating systems (Windows 7 through Windows 11, macOS 10.10+, and Linux kernels with fstrim oder discard) send an immediate TRIM (SATA) or Dataset Management: Deallocate (NVMe) command to the SSD controller the moment you empty the Recycle Bin/Trash or execute a Quick Format:

1. Deterministic Read Zero after TRIM (DZAT / DRAT): Almost all modern consumer NVMe and SATA SSDs enforce Deterministic Zeroing after TRIM. The exact millisecond the SSD controller receives the TRIM command for a range of sectors, its internal Flash Translation Layer (FTL) unmaps those logical addresses from the physical NAND pages.
2. Immediate Zero Return: Even before the physical electrical charge is erased from the silicon cells, if any software (including ddrescue, PhotoRec, or R-Studio) asks the SSD to read those trimmed sectors via standard SATA or NVMe commands, the SSD controller intercepts the request and returns pure hexadecimal zeros (00 00 00 00) without even checking the physical NAND chips.
3. When SSD Recovery IS Still Possible:
   • External USB Enclosures without UASP/TRIM pass-through: Older USB 3.0 bridge chips using the legacy BOT (Bulk-Only Transport) protocol rather than UASP (USB Attached SCSI Protocol) cannot translate operating system TRIM commands across the USB cable.
   • FAT32 and exFAT Volumes on Certain OS Versions: Historically, several operating system builds only sent automatic real-time TRIM commands on native journaled file systems (NTFS, APFS, ext4) and did not issue immediate real-time TRIM on removable FAT32 oder exFAT partitions.
   • Partition Table Wipe (diskpart clean or accidental partition deletion) without Formatting: Deleting a partition entry from the GUID Partition Table (GPT) or Master Boot Record (MBR) sometimes leaves the underlying sectors un-trimmed until a new file system is formatted on top of it.

3. Camera In-Body Formatting and the Sony / Canon / Nikon SD_ERASE Trap¶

Fotografen und Videofilmer gehen häufig davon aus, dass die Formatierung einer SD-, microSD- oder CFexpress-Karte in einer Digitalkamera mit einer „Schnellformatierung“ auf einem Desktop-Computer identisch ist. Während das vor zehn Jahren noch galt, verhalten sich moderne spiegellose Kameras je nach Hersteller sehr unterschiedlich:

Phase 1: Sofortige Eindämmung des Betriebssystems und Blockierung automatischer Schreibvorgänge¶

Bevor Sie versuchen, Dateien von einem internen Laufwerk wiederherzustellen oder ein externes Laufwerk an einen Computer anzuschließen, müssen Sie die Betriebssystemmechanismen neutralisieren, die gelöschten Speicherplatz stillschweigend überschreiben.

1. Wiederherstellung von einem internen Windows-Laufwerk (C: Laufwerk)¶

Wenn Sie einen wichtigen Ordner aus Ihrem Windows-Desktop, Dokumenten- oder Download-Ordner gelöscht und den Papierkorb geleert haben:

1. Verwenden Sie Windows NICHT weiterhin auf diesem Laufwerk: Auch wenn Windows im Leerlauf auf dem Desktop bleibt, ist dies möglich SearchIndexer.exe, Windows Defender-Hintergrundscans, Chrome/Edge-Cache-Updates, Volume Shadow Copy-Rotation und die Windows-Auslagerungsdatei (pagefile.sys), um Hunderte Megabyte pro Minute direkt über Ihre neu freigegebenen Cluster zu schreiben.
2. Wenn Sie das Gerät nicht sofort ausschalten können (z. B. auf einer Remote-Workstation ohne physischen Zugriff), deaktivieren Sie es TRIM sofort über die Administrator-Eingabeaufforderung:
   • Press Win + X, klicken Sie auf Terminal (Admin) oder Eingabeaufforderung (Admin) und führen Sie Folgendes aus:

     fsutil behavior set DisableDeleteNotify 1
     

   • Dadurch wird verhindert, dass Windows weitere TRIM Benachrichtigungen für NTFS- und ReFS-Volumes, können jedoch nicht rückgängig gemacht werden TRIM Befehle, die Sekunden früher gesendet wurden.
3. Überprüfen Sie, ob eine Volumeschattenkopie (Previous Versions) existiert bereits vor dem Herunterfahren (dauert 15 Sekunden):
   • Klicken Sie mit der rechten Maustaste auf den übergeordneten Ordner, der Ihre gelöschten Dateien enthielt, und klicken Sie auf Eigenschaften -> Vorherige Versionen.
   • Oder laufen vssadmin list shadows in einer Administrator-Eingabeaufforderung. Wenn ein Schatten-Snapshot von heute oder gestern vorhanden ist, können Sie diese Schattenkopie schreibgeschützt bereitstellen (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) und kopieren Sie Ihre intakten Dateien direkt auf einen externen USB-Stick.
4. Wenn keine Schattenkopie vorhanden ist, fahren Sie hart herunter und booten Sie von einem Linux Live USB: Erstellen Sie ein Ubuntu- oder SystemRescue-USB-Flash-Laufwerk auf einem anderen Computer, starten Sie den betroffenen PC von diesem USB-Laufwerk in Versuchen Sie Ubuntu (Live-RAM-Modus), ohne die interne Laufwerkszeile zu mounten, und erstellen Sie ein Image oder extrahieren Sie die Dateien von außerhalb von Windows.

2. Wiederherstellung von einem macOS-Systemlaufwerk (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

Moderne Apple-Computer, auf denen macOS auf APFS (Apple File System) läuft, weisen zwei strenge architektonische Hürden auf:

1. Aggressiver APFS-TRIM: macOS sendet TRIM Befehle sofort beim Leeren des Papierkorbs auf internen Apple SSDs.
2. Hardware-FileVault-/Secure-Enclave-Verschlüsselung: Auf allen Macs mit einem Apple T2-Chip oder Apple Silicon (M1, M2, M3, M4) wird die interne SSD im Ruhezustand standardmäßig mit an die Secure Enclave gebundenen Schlüsseln hardwareverschlüsselt, auch wenn FileVault in den Systemeinstellungen auf „Aus“ gestellt ist.
   • Sofortige Prüfung 1: Lokale Zeitmaschinen-Snapshots (tmutil): Auch wenn Ihr externes Time Machine-Sicherungslaufwerk zum Zeitpunkt des Löschvorgangs vom Stromnetz getrennt war, erstellt macOS automatisch stündlich versteckte APFS Local Snapshots auf der internen SSD, wenn Time Machine konfiguriert ist. Öffnen Sie sofort das Terminal und führen Sie Folgendes aus:

     tmutil listlocalsnapshots /
     

     Wenn Snapshots aufgelistet sind (z. B com.apple.TimeMachine.2026-10-31-091522.local), öffnen Sie den Ordner, in dem sich die Datei befand, und starten Sie die Time Machine-App unter „Anwendungen“, um die Datei in Sekundenschnelle wiederherzustellen.
   • Sofortige Überprüfung 2: Cloud-Synchronisierungs-Papierkörbe (iCloud Drive, OneDrive, Dropbox, Google Drive): Da macOS-Desktop- und Dokumentenordner häufig mit iCloud Drive synchronisiert werden, wird beim Löschen einer Datei von Ihrem Mac-Desktop diese über die iCloud-Synchronisierung und nicht nur lokal gelöscht. Öffnen Sie einen Browser auf Ihrem Telefon oder einem anderen PC und melden Sie sich an icloud.com -> Laufwerk -> Zuletzt gelöscht (unten rechts), wo gelöschte Dateien 30 Tage lang aufbewahrt werden, völlig unberührt von der lokalen SSD TRIM.

3. Blockieren Sie, dass macOS und Windows eine angeschlossene SD-Karte oder ein externes Laufwerk verschmutzen¶

Wenn Sie eine Kamera-SD-Karte oder ein externes USB-Laufwerk an einen Computer anschließen, um Dateien wiederherzustellen, versucht das Host-Betriebssystem sofort, versteckte Metadatendateien in das Stammverzeichnis des Laufwerks zu schreiben (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes auf macOS; System Volume Information und $Recycle.Bin unter Windows). Diese winzigen Schreibvorgänge landen direkt am Anfang der Bitmap des freien Speicherplatzes und beschädigen häufig genau die Verzeichnis-Header, die Sie wiederherstellen möchten.

• Unter Linux (sicherste forensische Methode): Linux schreibt versteckte Indexordner nicht automatisch, wenn Sie die automatische Bereitstellung deaktivieren oder das Blockgerät ausschließlich schreibgeschützt bereitstellen (ro,noload).
• Unter Windows (aktivieren Sie das schreibgeschützte Festplattenattribut über DiskPart, BEVOR Sie das Laufwerk einlegen, oder verwenden Sie Registry WriteBlocker):
  • Offen regedit.exe Navigieren Sie als Administrator zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (Erstellen Sie die StorageDevicePolicies Schlüssel, falls er nicht vorhanden ist) und erstellen Sie einen DWORD (32-bit) Wert benannt WriteProtect eingestellt auf 1. Schließen Sie anschließend Ihren USB-Kartenleser an und Windows behandelt alle entfernbaren USB-Speicher als Hardware-schreibgeschützt.
• Unter macOS (Mount über Disk Arbitrator): Laden Sie das Open-Source-Dienstprogramm Disk Arbitrator herunter und starten Sie es, bevor Sie Ihren SD-Kartenleser oder Ihr externes Laufwerk anschließen. Stellen Sie Disk Arbitrator auf Mounts blockieren oder Mount Read-Only ein, damit macOS nicht schreiben kann .DS_Store oder Spotlight-Indizes auf die beschädigte Partition.

Phase 2: Erstellen eines forensischen Sektor-für-Sektor-Klons (ddrescue)¶

Führen Sie Dateiwiederherstellungsscans niemals direkt auf einer fehlerhaften Festplatte, einer abgenutzten microSD-Karte oder der einzigen Kopie einer formatierten Partition durch. Erstellen einer rohen Binärbilddatei (.img oder .dd) garantiert, dass Sie einen eingefrorenen, Bit-für-Bit-Schnappschuss jedes Sektors haben, der in dem Moment vorhanden war, als Sie das Laufwerk aussteckten.

Schritt-für-Schritt-Klonen mit GNU ddrescue (Linux / macOS) oder HDDSuperClone¶

1. Identifizieren Sie die genaue Gerätekennung Ihrer Quellkarte oder Ihres Quelllaufwerks:
   • Führen Sie unter Linux Folgendes aus: lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT vor und nach dem Einstecken des Kartenlesers. Angenommen, die SD-Karte Ihrer Kamera mit 64 Gigabyte (59,6 Gibibyte) erscheint als /dev/sdc (Stellen Sie sicher, dass es nicht gemountet ist; wenn es gemountet ist, führen Sie es aus sudo umount /dev/sdc1).
   • Führen Sie unter macOS Folgendes aus: diskutil list um die Festplattennummer zu finden (z. B. /dev/disk4), dann die Volumes aushängen, ohne die Hardware auszuwerfen: diskutil unmountDisk /dev/disk4.
2. Mounten Sie Ihr großes Zielspeicherlaufwerk: Angenommen, Ihr externes 2-Terabyte-Sicherungslaufwerk ist unter gemountet /mnt/backup (oder /Volumes/BackupDrive auf macOS). Stellen Sie sicher, dass genügend freier Speicherplatz für die gesamte Rohkapazität des Quelllaufwerks vorhanden ist (eine 64-Gigabyte-SD-Karte ergibt 64 Gigabyte). .img Datei, auch wenn nur 10 Gigabyte Fotos darauf waren).
3. Ausführen ddrescue mit einem Mapfile (Logdatei):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d Verwendet direkten Festplattenzugriff (unter Umgehung des Kernel-Seitencaches des Betriebssystems für genaue Sektorlesevorgänge; unter macOS). /dev/rdisk4 statt -d).
   • -r3 erzählt ddrescue Um beim ersten Schnelldurchlauf alle fehlerfreien Sektoren auf dem gesamten Laufwerk zu kopieren, überspringen Sie alle langsamen oder beschädigten Flash-Blöcke sofort, damit die Karte nicht überhitzt oder blockiert, und versuchen Sie es am Ende bis zu dreimal mit fehlerhaften Sektoren.
   • sdcard_rescue.map Speichert alle paar Sekunden Ihren genauen Fortschritt. Wenn das USB-Lesegerät getrennt wird oder der Strom ausfällt, wird die Ausführung genau desselben Befehls nahtlos an der Stelle fortgesetzt, an der er gestoppt wurde, ohne dass bereits gerettete Sektoren erneut gelesen werden müssen.
4. Erstellen Sie eine Arbeitskopie oder mounten Sie die .img Datei schreibgeschützt: Einmal sdcard_raw_clone.img endet um 100.00% rescued, werfen Sie Ihre physische SD-Karte aus und bewahren Sie sie in einer sicheren Schublade auf. Sie werden 100 Prozent Ihrer Wiederherstellungsarbeit leisten sdcard_raw_clone.img.

Phase 3: Dateiwiederherstellung durchführen (logische Metadatenrekonstruktion vs. Raw Carving)¶

Sobald Sie einen Safe haben .img Wenn Sie eine Datei (oder ein durch Hardware schreibgeschütztes Laufwerk) löschen, gibt es zwei völlig unterschiedliche technische Methoden, um Ihre gelöschten Daten zu extrahieren. Sie sollten immer zuerst Methode A (Rekonstruktion des logischen Dateisystems) ausprobieren, bevor Sie auf Methode B (Raw Signature Carving) zurückgreifen.

Schritt-für-Schritt 1: Wiederherstellen einer gelöschten Partition oder eines beschädigten Bootsektors mit TestDisk¶

Wenn Ihr externes Laufwerk oder Ihre SD-Karte plötzlich fragt: „Sie müssen den Datenträger in Laufwerk E: formatieren, bevor Sie ihn verwenden können“* oder in der Datenträgerverwaltung als RAW/Nicht zugeordnet angezeigt wird, nachdem Sie den Stecker gezogen haben, ohne ihn sicher auszuwerfen, wurden Ihre Dateien überhaupt nicht gelöscht. Stattdessen werden der Master Boot Record (MBR), die GUID-Partitionstabelle (GPT) oder der Boot-Sektor (BPB) war beschädigt.

1. Führen Sie TestDisk für Ihre geklonte Image-Datei aus:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Wählen Sie Weiter -> bestätigen Sie den Typ der Partitionstabelle (Intel/PC für MBR-SD-Karten unter 2 Terabyte, oder EFI GPT für moderne Großantriebe).
3. Wählen Sie Analysieren -> Schnellsuche.
4. TestDisk sucht nach Backup-Partitionsheadern (z. B. dem automatischen Backup-NTFS-Bootsektor, der im allerletzten Sektor eines NTFS-Volumes gespeichert ist, oder dem Backup-FAT32-Bootsektor in Sektor 6).
5. Markieren Sie die erkannte Partition und drücken Sie P (Dateien auflisten). Wenn Sie sofort sehen, dass alle Ihre Ordner und Dateien im Terminalfenster intakt aufgelistet sind:
   • Machen Sie sich nicht einmal die Mühe, die Partitionstabelle neu zu schreiben, wenn Sie nur die Dateien haben möchten. Drücken Sie einfach C auf die gewünschten Ordner und kopieren Sie sie direkt auf Ihr fehlerfreies Ziellaufwerk mit 100 % ursprünglichen Dateinamen und Ordnerstrukturen.

Schritt-für-Schritt 2: Logischer Metadaten-Scan mit DMDE, R-Studio oder UFS Explorer¶

Wenn Dateien über gelöscht wurden Shift + Delete, aus dem Papierkorb geleert oder über ein Standard-Schnellformat gelöscht:

1. Öffnen Sie Ihr .img Datei in DMDE (kostenlose Edition stellt bis zu 4.000 Dateien pro Verzeichnisaktion wieder her; Volllizenz ist kostengünstig), R-Studio oder UFS Explorer Standard Recovery.
2. Überprüfen Sie zuerst den vorhandenen virtuellen Dateisystembaum:
   • Auf NTFS-Laufwerken verfügt jede Datei über einen 1.024 Byte (1 Kilobyte) großen Datensatz in der Master File Table ($MFT). Selbst wenn eine Datei gelöscht wird, bleibt sie bestehen $MFT Steckplatz bleibt mit einem inaktiven Flag markiert (0x00 statt 0x01), die den genauen Dateinamen, die ID des übergeordneten Verzeichnisses sowie den genauen Startcluster und die Länge der Läufe enthält, bis eine neue Datei diese wiederverwendet $MFT Steckplatz. Darüber hinaus werden Dateien, die kleiner als ~700 Byte sind (z. B. kurze Textnotizen, Kryptoschlüssel oder kleine Skripte), vollständig resident im gespeichert $MFT zeichnet sich selbst auf und wird selten schnell überschrieben.
   • Schauen Sie in die $Root oder Deleted / Found Virtueller Ordner, der innerhalb der ersten 5 Sekunden nach dem Öffnen der Partition erstellt wird. Wenn Ihre Dateien mit einem roten Symbol angezeigt werden x oder Papierkorbsymbol und zeigen eine gesunde Größe an, wählen Sie sie aus und klicken Sie auf Sofort auf Ihrem separaten Ziellaufwerk wiederherstellen.
3. Führen Sie einen vollständigen Volume-Scan durch, wenn der Verzeichnis-Header überschrieben wurde:
   • Wenn eine Schnellformatierung das Stammverzeichnis oder die ersten paar Megabyte des überschrieben hat $MFT, führen Sie einen Full Volume Scan durch. Die Software durchsucht das gesamte Image nach überlebenden Unterverzeichnis-Indexknoten (INDX Puffer auf NTFS, Unterverzeichnis-Clusterketten auf FAT32/exFAT oder ältere Transaktionsprüfpunkte auf APFS/ext4) und kombinieren logische Metadaten mit der Erkennung von Rohdateisignaturen.

Schritt-für-Schritt 3: Rohdateischnitzen mit PhotoRec (Wenn Metadaten vollständig zerstört sind)¶

Wenn die Dateizuordnungstabelle (FAT) oder $MFT durch ein Format vollständig auf Null gesetzt wurde, sind die logischen Verzeichniszeiger verschwunden, so dass nur noch der rohe Dateiinhalt in nicht zugeordneten Datenclustern verbleibt. PhotoRec (zusammen mit TestDisk gebündelt, völlig kostenlos, Open Source und verfügbar für Windows, macOS und Linux) zeichnet sich durch das Schnitzen von über 480 Dateiformaten (einschließlich Canon) aus .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX Zip-Behälter und .SQLITE Datenbanken):

1. Starten Sie PhotoRec für Ihr Disk-Image:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Wählen Sie die Zielpartition (oder Whole disk wenn die Partitionstabelle gelöscht wurde).
3. Bevor Sie beginnen, gehen Sie zu [File Opt] am unteren Bildschirmrand:
   • Press s um alle 480 Dateitypen abzuwählen, wenn Sie sich nur für bestimmte Dateien interessieren (z. B. „Nur aktivieren“) jpg, cr2/cr3, tif für Rohfotos, mov/mp4, Und zip/docx), was die Wiederherstellung drastisch beschleunigt und falsch-positive Müllfragmente verhindert.
4. Wählen Sie [Options] -> behalten Keep corrupted files : No es sei denn, beschädigte Videostreams werden wiederhergestellt.
5. Wählen Sie [Search], Dateisystemtyp wählen [Other] (für FAT/exFAT/NTFS/HFS+) und wählen Sie [Free] (wenn Sie nur Dateien auf einer aktiven Partition gelöscht haben) oder [Whole] (wenn die Partition formatiert wurde).
6. Wählen Sie einen Zielordner auf Ihrem separaten großen Sicherungslaufwerk und drücken Sie C um mit dem Schnitzen zu beginnen.
7. Sortierung nach der Wiederherstellung für die PhotoRec-Ausgabe: Da PhotoRec Dateien speichert als f123456.jpg über Dutzende von recup_dir Ordner können Sie alle wiederhergestellten Fotos automatisch in saubere Dateien umorganisieren YYYY/MM-Month/ Ordner mit ihren genauen Kamera-Zeitstempel-Dateinamen mithilfe des kostenlosen Befehlszeilentools ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Spezialisierte Wiederherstellung: fragmentierte Kamera-MP4/MOV-Videos (GoPro, DJI Drones, Sony, Canon)¶

Eine der häufigsten Frustrationen nach dem Ausführen von PhotoRec oder einer Standard-Dateiwiederherstellungssoftware auf einer formatierten Kamerakarte ist die Feststellung, dass 100 Prozent der Daten wiederhergestellt wurden .JPG und .RAW Fotos lassen sich perfekt öffnen, aber jedes einzelne wurde wiederhergestellt .MP4 oder .MOV Die Videodatei lässt sich nicht abspielen (Dauer 0:00 oder schwarzer Bildschirm).

Warum Standard-Wiederherstellungssoftware moderne Kameravideos kaputt macht¶

1. Interleaved Stream Recording: Moderne Actionkameras (GoPro Hero-Serie, DJI Air/Mavic/Mini-Drohnen, Insta360) und spiegellose Kinokameras schreiben kein einziges .MP4 Datei nacheinander von Anfang bis Ende. Während der Aufnahme von 4K- oder 5,3K-Videos zeichnet die Kamera gleichzeitig ein hochauflösendes Bild auf .MP4 Stream, eine Vorschau mit niedriger Auflösung .LRV Stream, einen Audiopuffer und Telemetriemetadaten in abwechselnde Cluster auf der exFAT/FAT32-Karte (zum Beispiel: 4 Megabyte hochauflösendes Video, gefolgt von 512 Kilobyte .LRV Vorschau, gefolgt von 4 Megabyte hochauflösendem Video).
2. Fehlt moov Atom in nicht finalisierten Aufnahmen: Wenn Ihre Drohne ins Wasser stürzte, der Akku Ihrer Kamera während der Aufnahme leer war oder die SD-Karte getrennt wurde, bevor Sie die Taste „Aufnahme stoppen“ gedrückt haben, hat die Kamera das nicht geschrieben moov Atom (die Master-Indextabelle, die ganz am Ende einer MP4/MOV-Datei geschrieben wird und Media-Playern mitteilt, wo sich jedes Videobild und jeder Audioblock befindet).

So erstellen Sie nicht abspielbare oder fragmentierte Kameravideos neu¶

1. Fall A: Nicht finalisiertes Video nach Batterieverlust oder Absturz (Datei existiert auf der Karte, zeigt Multi-GB-Größe an, wird nicht abgespielt):
   • Die Cluster sind im Dateisystem intakt, nur die moov Der Index-Header fehlt.
   • Verwenden Sie das kostenlose Open-Source-Tool untrunc (speziell die anthwlock/untrunc Gabel) oder recover_mp4 (slydiman). Bereitstellen untrunc mit einer gesunden, spielbaren Referenz .MP4 aufgenommen mit derselben exakten Kamera mit genau denselben Auflösungs- und Bildrateneinstellungen, zusätzlich zu Ihrer defekten Kamera .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc liest die Codec-Parameter (avcC/hvcC und Audiospurlayouts) aus dem funktionierenden Referenzvideo, scannt die rohen H.264/H.265/HEVC NAL-Einheiten in Ihrer beschädigten Datei und synthetisiert eine brandneue moov Atom in Sekunden.
2. Fall B: Formatierte SD-Karte mit interleaved/fragmentiertem Video (GoPro, DJI, Sony, Canon):
   • Da die FAT/exFAT-Clusterkarte während der Formatierung gelöscht wurde, greift ein Standard-Carver darauf zu ftyp/mdat Header Ihres 4K-Videos und kopiert ihn dann blind .LRV Vorschaucluster und Miniaturbildcluster direkt in die Mitte Ihrer Videodatei, wodurch jede einzelne Sekunde des Filmmaterials beschädigt wird.
   • Scannen Sie anstelle von Standardschnitzern Ihre sdcard_raw_clone.img Verwendung eines fragmentierungsfähigen Videorekonstruktors, der kameraspezifische Clusterzuordnungsrhythmen erkennt, wie z. B. SanDisk RescuePRO Deluxe (das spezielle GoPro/Drohnen-fragmentierte Videoassemblierungsalgorithmen enthält), Klennet Carver oder Disk Drill 5+ (das einen dedizierten GoPro/DJI-Rekonstruktor für fragmentierte Videosignaturen enthält).

Löschen von Smartphone-Fotos: Realität der iOS- (iPhone) und Android-Hardwareverschlüsselung¶

Ein weit verbreiteter und gefährlicher Irrglaube ist, dass man ein modernes iPhone oder Android-Smartphone über USB an einen Laptop anschließen und herkömmliche Disk-Carving-Software (wie Recuva oder PhotoRec) auf dem internen Speicher des Telefons ausführen kann.

Warum traditionelle Sektorenschnitzereien moderne Telefone nicht lesen können¶

Jedes iPhone seit dem iPhone 3GS (und alle aktuellen iOS-Geräte) verwendet Datenschutz (dateibasierte Verschlüsselung), der von einer dedizierten Hardware-AES-Krypto-Engine zwischen dem Flash-Speicher und dem Hauptsystemspeicher unterstützt wird. Ebenso verwendet jedes Android-Gerät, das seit Android 7.0+ ausgeliefert wird (und seit Android 10 obligatorisch ist), File-Based Encryption (FBE), unterstützt durch den Hardware-Keystore/Titan M/Knox-Chip.

Auf beiden Plattformen wird jedes einzelne Foto und jede einzelne Datei im internen Speicher mit einem eigenen, einzigartigen kryptografischen Schlüssel pro Datei verschlüsselt. Wenn eine Datei dauerhaft aus dem Dateisystem des Telefons gelöscht wird, muss das Telefon nicht einmal die Multi-Megabyte-Fotoblöcke löschen; Es zerstört sofort den 256-Bit-Verschlüsselungsschlüssel pro Datei in der Metadatentabelle. Ohne diesen Schlüssel enthalten die rohen NAND-Blöcke kryptografisch unzerbrechliches Zufallsrauschen. Selbst hochrangige forensische Labore der Regierung können dauerhaft gelöschte Fotos nicht aus dem internen Flash eines modernen iPhones oder Android-Geräts „herausschneiden“, sobald der Dateischlüssel gelöscht wurde.

Die tatsächlichen Wiederherstellungspfade für gelöschte Smartphone-Fotos¶

Da die Hardware-Verschlüsselung das Rohschnitzen blockiert, ist die Wiederherstellung gelöschter Fotos von einem iPhone oder Android auf die Wiederherstellung von Kopien vor Ablauf der Aufbewahrungsfristen oder auf das Extrahieren zwischengespeicherter Miniaturbilddatenbanken angewiesen:

1. Überprüfen Sie sofort das „Zuletzt gelöschte“ Album auf dem Gerät (30-Tage-Fenster):
   • iOS (iPhone / iPad): Öffnen Sie Fotos -> scrollen Sie nach unten zu Dienstprogramme -> tippen Sie auf Zuletzt gelöscht (erfordert Face ID/Touch ID/Passcode). Fotos bleiben 30 Tage hier, bevor der Schlüssel endgültig zerstört wird.
   • Android (Google Fotos/Samsung Galerie): Öffnen Sie Google Fotos -> Bibliothek/Sammlungen -> Papierkorb (bei Sicherung 60 Tage aufbewahrt, bei Nur-Gerät 30 Tage). Überprüfen Sie auch Samsung Gallery -> Menü (drei Zeilen) -> Papierkorb (für 30 Tage aufbewahrt) und öffnen Sie die App Dateien von Google oder Meine Dateien -> Papierkorb, die einen separaten 30-Tage-Papierkorbordner verwaltet.
2. Wenn Sie Fotos aus „Zuletzt gelöscht“ auf dem iPhone gelöscht haben, rufen Sie den Apple-Support für eine Notfallwiederherstellung auf der iCloud-Serverseite an:
   • Vielen Benutzern ist nicht bewusst, dass die Back-End-Server von Apple selbst nach dem manuellen Klicken auf „Von allen Geräten löschen“/„Zuletzt gelöschte Dateien leeren“ in iCloud-Fotos für einen kurzen Zeitraum (normalerweise bis zu 7 bis 14 Tage nach der endgültigen Löschung) einen vorläufig gelöschten Serverwiederherstellungspuffer beibehalten.
   • Kontaktieren Sie sofort den Apple-Support per Telefon oder Chat, bitten Sie um ein Gespräch mit einem Senior Advisor und bitten Sie ihn, eine Serverseitige Wiederherstellung der iCloud-Fotobibliothek auf Ihrem Apple-Konto auszulösen. Sie können häufig einen Serverschalter umlegen, der kürzlich gelöschte iCloud-Fotos innerhalb von 15 Minuten direkt wieder in Ihr Album speichert.
3. Wiederherstellung von einem älteren, nicht synchronisierten Gerät oder einem verschlüsselten lokalen Backup:
   • Flugzeugmodus-Trick auf sekundärem iPad/Mac: Wenn Ihr iPhone einen Löschvorgang mit iCloud synchronisiert hat, schnappen Sie sich Ihr iPad oder MacBook, bevor es sich mit dem WLAN verbindet (schalten Sie Ihren Heim-WLAN-Router aus und ziehen Sie zuerst das Netzkabel ab, wenn das iPad auf Ihrem Schreibtisch schläft). Schalten Sie das iPad in völliger Funkisolation ein und kopieren Sie die noch vorhandenen Fotos per USB-Kabel oder AirDrop auf ein anderes Gerät, bevor das iPad den Push-Befehl zum Löschen der iCloud erhält.
   • Überprüfen Sie iCloud-Backup im Vergleich zu iCloud-Fotos: Wenn Sie iCloud-Fotos deaktiviert hatten (Settings -> [Your Name] -> iCloud -> Photos -> Off), ist Ihre Kamerarolle in Ihrem nächtlichen iCloud-Geräte-Backup enthalten. Sie können ein altes Ersatz-iPhone löschen (oder Ihr aktuelles iPhone vorübergehend sichern und zurücksetzen) und das nächtliche iCloud-Backup vor dem Moment, in dem Sie das Foto gelöscht haben, wiederherstellen.
   • Überprüfen Sie den lokalen Finder/iTunes-Backups auf Ihrem PC oder Mac: Überprüfen Sie ~/Library/Application Support/MobileSync/Backup/ auf macOS bzw %APPDATA%\Apple Computer\MobileSync\Backup\ unter Windows. Mit iMazing oder iBackup Viewer können Sie Fotos aus alten lokalen Backups durchsuchen und extrahieren, ohne Ihr Telefon zu überschreiben.
4. Überprüfen Sie die lokalen Caches der Messaging-App (WhatsApp, iMessage, Telegram, Signal):
   • Haben Sie das gelöschte Foto oder Video jemals per SMS an einen Ehepartner, einen Freund oder einen Familiengruppenchat gesendet? Messaging-Apps speichern unabhängige Kopien von Medien in ihren eigenen Anwendungssandboxen (Media/WhatsApp Images/Sent auf Android oder in Chat-Anhängen in iMessage). Selbst wenn Sie ein Foto aus Ihrer Hauptkamerarolle löschen und den Papierkorb leeren, bleibt die Kopie in Ihrer WhatsApp Sent Der Ordner- oder iMessage-Thread-Verlauf bleibt völlig unberührt.

Wiederherstellung von Cloud-Laufwerken und Unternehmen nach versehentlichem Löschen (Google Drive, OneDrive, Dropbox)¶

Wenn ein ganzer freigegebener Ordner verschwindet oder auf einem Cloud-Laufwerk überschrieben wird (oder wenn Ransomware oder ein Synchronisierungsfehler lokale Dateien löscht und den Löschvorgang mit der Cloud synchronisiert), ist eine Wiederherstellung der lokalen Festplatte oft nicht erforderlich, da Unternehmens- und Verbraucher-Cloud-Plattformen mehrstufige Versionsverläufe pflegen:

1. Microsoft OneDrive und SharePoint Online:
   • Papierkorb der ersten Stufe (onedrive.live.com): Behält gelöschte Dateien 30 Tage bei Privatkonten und 93 Tage bei Arbeits-/Schulkonten.
   • Papierkorb der Websitesammlung der zweiten Stufe (Arbeit/Schule): Auch wenn ein Mitarbeiter oder Hacker den Hauptpapierkorb von OneDrive leert, klicken Sie unten auf der Seite „Papierkorb“ auf den Link mit der Bezeichnung „Papierkorb der zweiten Stufe“**, wo gelöschte Dateien für den Rest des 93-Tage-Fensters wiederherstellbar bleiben.
   • Ihr OneDrive wiederherstellen (Point-in-Time-Rollback): Microsoft 365-Abonnenten können auf Einstellungen (Zahnradsymbol) -> Optionen -> Ihr OneDrive wiederherstellen klicken. Dabei wird ein visueller Histogramm-Schieberegler verwendet, um jede einzelne Datei, Umbenennung und Löschung auf dem gesamten Cloud-Laufwerk auf jede genaue Minute innerhalb der letzten 30 Tage zurückzusetzen.
2. Google Drive und Google Workspace:
   • Google Drive-Papierkorb (drive.google.com/drive/trash): Behält gelöschte Dateien 30 Tage lang.
   • Google Workspace-Administrator-Wiederherstellung nach dem Papierkorb (25-tägiges Kulanzfenster): Selbst nachdem ein Benutzer auf "Endgültig löschen" geklickt und seinen Google Drive-Papierkorb geleert hat, kann ein Google Workspace-Administrator (oder ein einzelner Benutzer, der sich für persönliche Google One-Konten an den Google Drive-Support wendet) die Google Admin-Konsole öffnen (admin.google.com) -> Verzeichnis -> Benutzer -> [Benutzer auswählen] -> Weitere Optionen -> Daten wiederherstellen und dauerhaft gelöschte Google Drive-Dateien und Gmail-Nachrichten für bis zu 25 weitere Tage nach dem Leeren des Papierkorbs wiederherstellen.
3. Dropbox:
   • Gelöschte Dateien (dropbox.com/deleted_files): Behält gelöschte Dateien und Ordner 30 Tage bei Basic/Plus/Family-Plänen und 180 Tage bis 1 Jahr bei Professional/Business-Plänen.
   • Dropbox-Rücklauf (dropbox.com/rewind): Ermöglicht das Zurücksetzen eines gesamten Ordners oder des gesamten Kontos, um Massenlöschungen, versehentliches Ziehen und Ablegen oder Verschlüsselungsereignisse rückgängig zu machen.

Häufig gestellte Fragen¶

Sources checked¶

• National Institute of Standards and Technology (NIST, Vereinigte Staaten): Sonderveröffentlichung 800-88 Revision 1, Richtlinien zur Medienbereinigung (ATA TRIM, NVMe Deallocate und NAND Flash Translation Layer-Verhalten) und Computer Forensics Tool Testing (CFTT) Program Disk Imaging Specifications (csrc.nist.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, Vereinigte Staaten): Richtlinien für Datensicherung, forensische Aufbewahrung und Vorfallbehandlung (cisa.gov).
• GNU-Projekt / Antonio Diaz Diaz (International): Offizielles GNU ddrescue Manual: Data Recovery Tool und Block Device Mapfile-Algorithmen (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (International): Offizielle Dokumentation von TestDisk und PhotoRec: Partitionswiederherstellung und Dateischnitzsignaturen (cgsecurity.org).
• Apple-Plattformsicherheit (USA): FileVault, Datenschutzklassen, dateispezifische Verschlüsselungsschlüssel und APFS-Trim-Architektur auf Apple Silicon- und T2-Systemen (support.apple.com/guide/security).
• Android Open Source Project (AOSP, International): Dateibasierte Verschlüsselung (FBE) und Metadaten-Verschlüsselungsarchitektur (source.android.com/docs/security/features/encryption).
• SD Association (International): SD-Spezifikationen Teil 1: Vereinfachte Spezifikation der physikalischen Schicht (Löschbefehle CMD32, CMD33, CMD38 und mechanischer Schreibschutzschalter) (sdcard.org).

Verwandte Leitfäden¶

• Festplattenausfall und Datenwiederherstellung
• Computer backups: 3-2-1 strategy and disaster recovery
• Ransomware und Malware
• Defektes oder wassergeschädigtes Telefon
• Linux-Systemstartfehler und GRUB-Reparatur
• Windows Blue Screen (BSOD) und Boot-Reparatur