Per ongeluk verwijderen van bestanden, geformatteerde SD-kaart en fotoherstel¶

Het besef dat je zojuist de verkeerde SD-kaart van de camera hebt geformatteerd, de Prullenbak of de Prullenbak op een externe werkschijf hebt geleegd of per ongeluk een hele partitie met onvervangbare familiefoto's hebt gewist, is een acute technische crisis. Wanneer een bestand wordt verwijderd of een opslagmedium snel wordt geformatteerd, wist het besturingssysteem zelden meteen de onbewerkte binaire gegevens in de geheugencellen. In plaats daarvan verwijdert het de mapaanwijzer van het bestandssysteem en markeert het die logische blokadressen als "vrije ruimte" die beschikbaar is om te worden overschreven. Of u 100 procent van uw gegevens herstelt of voor altijd kwijtraakt, hangt volledig af van wat er gebeurt tijdens de eerste 60 seconden na verwijdering. Elke seconde blijft de schijf geactiveerd in de lees-schrijfmodus, indexering van het besturingssysteem op de achtergrond, wisselbestanden, browsercaches en Solid State Drive (SSD) garbage collection-routines (TRIM / UNMAP) kan de onderliggende sectoren permanent op nul zetten.

Als bij het per ongeluk verwijderen of formatteren sprake is van medische telemetrie, juridisch bewijsmateriaal bij een actieve misdaad of een storing in het levensveiligheidssysteem, bel dan uw lokale alarmnummer (911 in de Verenigde Staten en Canada, 112 in de hele Europese Unie, 999 in het Verenigd Koninkrijk) of raadpleeg onze internationale gids noodnummers voordat u de hardware aanraakt. Voor alle incidenten met gegevensverlies bij consumenten, fotografen, universiteiten en ondernemingen dient u onmiddellijk alle schijfactiviteiten stop te zetten en de onderstaande forensische herstelworkflow te volgen.

Doe dit nu¶

1. Trek de verwijderbare SD-kaart, CFexpress-kaart of USB-drive er onmiddellijk uit: Als u zojuist een camerageheugenkaart hebt geformatteerd of bestanden op een externe USB-drive hebt verwijderd, schakel dan onmiddellijk de aan/uit-schakelaar van de camera uit of koppel de externe USB-kabel los van de computer. Maak niet ‘één testfoto’ om te zien of de kaart werkt, en laat Windows niet toe (chkdsk) of macOS (fsck_apfs) om de schijf te "scannen en repareren".
2. Als u bestanden hebt verwijderd van de interne systeemschijf van uw computer (C: drive of macOS Macintosh HD), schakel dan de stroom uit of forceer een harde uitschakeling: Sluit apps niet normaal, download geen software voor gegevensherstel naar de getroffen computer en klik niet op "Afsluiten" (waardoor gigabytes aan slaapstandbestanden, registercomponenten en sessielogboeken over uw verwijderde blokken worden geschreven). Houd de fysieke aan/uit-knop 5 tot 10 seconden ingedrukt totdat het apparaat volledig is uitgeschakeld, of koppel het netsnoer van de desktop los als het een systeem zonder batterij is.
3. Schuif de fysieke schrijfbeveiligingsschakelaar op SDHC/SDXC-kaarten van volledige grootte naar de LOCK-positie: Kijk naar de linkerrand van een standaard SD-kaart van 32 millimeter bij 24 millimeter (1,26 inch bij 0,94 inch) en druk het kleine plastic lipje naar beneden richting de onderkant (weg van de gouden contactpinnen) zodat geen enkele lezer per ongeluk kan schrijven .DS_Store, System Volume Informationof Spotlight-indexbestanden wanneer u deze later aansluit.
4. Begrijp de SSD TRIM-trap voordat u een interne SSD weer inschakelt: moderne NVMe- en SATA Solid State-schijven werken op hardwareniveau TRIM (ATA) of Deallocate (NVMe)-opdrachten binnen enkele seconden tot minuten na het verwijderen of formatteren van bestanden. Zodra de SSD-controller op de achtergrond garbagecollection op bijgesneden pagina's uitvoert, leest de raw carving-software alleen nullen (0x00). Als u de stroom uitschakelt, stopt de interne SSD-microprocessor met het voltooien van de verzameling van afval op de achtergrond.
5. Prepare a separate, clean secondary computer and a larger destination drive: Never install recovery tools onto the drive that lost data, and never restore recovered files back onto the same source drive during the scan. Use a second computer (or boot the affected PC from an external Ubuntu Linux Live USB flash drive) and attach a blank external hard drive with at least twice the storage capacity of the affected drive.
6. Maak een onbewerkte binaire afbeelding per sector (.img of .dd) before running any file recovery parser: Before running PhotoRec, R-Studio, DMDE, or UFS Explorer, use ddrescue or HDDSuperClone to clone every sector of the SD card or drive into a single image file on your backup drive. You can then run multiple recovery algorithms safely against the image file without ever risking further wear or accidental writes on the original media.

Decision tree: choosing the right recovery strategy by storage media and file system¶

Use this forensic triage flowchart to determine whether your deleted data can be recovered via logical file-table reconstruction, raw file signature carving, or specialized chip-off analysis:

flowchart TD
    A["Accidental File Deletion or Drive Format Detected"] --> B["Immediately Power Off Device or Eject Removable Media"]
    B --> C{"What type of physical storage hardware is affected?"}
    C -->|"Camera SD / MicroSD / CFexpress / USB Flash"| D["Engage Physical Write-Protect Switch or Use Read-Only USB Blocker"]
    C -->|"External or Internal Mechanical Hard Drive (HDD)"| E["Geen TRIM-risico: hoge herstelkans als er geen nieuwe schrijfbewerkingen plaatsvinden"]
    C -->|"Interne of externe SSD / NVMe / Mac / Smartphone"| F{"What File System and OS Connection Was Used?"}
    F -->|"NTFS, APFS, or ext4 on Internal NVMe/SATA SSD"| G["High TRIM Risk: Boot via Linux Live USB with libata.force=noncqtrim"]
    F -->|"exFAT or FAT32 over Standard USB Mass Storage"| H["Moderate/Low TRIM Risk: Many USB Bridges Do Not Pass TRIM on exFAT"]
    F -->|"iOS / Android Internal Storage"| I["Hardware File-Based Encryption (FBE): Keys Destroyed on Deletion, Check Cloud/Local Backups Immediately"]
    D --> J["Create Full Bitstream Clone (.img) Using GNU ddrescue onto Separate Drive"]
    E --> J
    G --> J
    H --> J
    J --> K{"Were Files Deleted Individually or Was the Drive Formatted?"}
    K -->|"Individual Deletion / Quick Format (Metadata Intact)"| L["Run Logical Metadata Reconstruction (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Overwritten File Table / Camera In-Body Format"| M["Run Raw File Signature Carving + Fragmented Video Rebuilder (PhotoRec, GoPro/MP4 Repair)"]

The physics of deletion: HDD magnetic platters vs. SSD NAND flash and Camera SD cards¶

To avoid destroying recoverable data, you must understand how different storage architectures handle deletion and formatting under the hood.

1. Mechanical Hard Disk Drives (HDD) and Shingled Magnetic Recording (SMR)¶

On a traditional conventional magnetic recording (CMR) spinning hard drive, deleting a file or running a "Quick Format" takes less than two seconds because the read/write heads only modify the master directory index, such as the $MFT (Master File Table) on NTFS, the Allocation Bitmap and Catalog B-Tree on HFS+/APFS, or the File Allocation Table on FAT32/exFAT. The actual magnetic flux reversals representing your JPEGs, PDFs, and spreadsheets remain untouched on the cobalt-alloy platters until the operating system chooses to write a brand-new file over those exact Logical Block Addresses (LBAs).

However, many modern high-capacity consumer external hard drives (typically 2 terabytes to 5 terabytes in 2.5-inch portable enclosures) use Shingled Magnetic Recording (SMR) alongside an internal firmware translation layer called a Media Cache. Some modern SMR hard drives actually support the TRIM command just like an SSD. If you delete a large folder on a TRIM-enabled SMR hard drive and leave it plugged in idle for 20 minutes, the drive's internal firmware may reorganize its shingled bands and permanently zero out the unallocated sectors in the background. Unplugging the drive immediately prevents this internal housekeeping cycle.

2. Solid State Drives (SSD), NVMe, and the TRIM / Deallocate Execution Window¶

NAND flash memory inside SSDs cannot overwrite existing data directly in place. Before a NAND flash cell can accept new data, an entire flash block (typically 4 megabytes to 16 megabytes in size) must first undergo a slow electrical Program/Erase (P/E) cycle. If the SSD waited until you saved a new file to erase old blocks, write speeds would plummet.

To keep SSDs fast, modern operating systems (Windows 7 through Windows 11, macOS 10.10+, and Linux kernels with fstrim of discard) send an immediate TRIM (SATA) of Dataset Management: Deallocate (NVMe)-opdracht naar de SSD-controller op het moment dat u de Prullenbak/Prullenbak leegmaakt of een Quick Format uitvoert:

1. Deterministische Read Zero na TRIM (DZAT / DRAT): Bijna alle moderne NVMe- en SATA SSD's voor consumenten dwingen deterministische nulstelling af na TRIM. De exacte milliseconde die de SSD-controller ontvangt TRIM commando voor een reeks sectoren, ontkoppelt de interne Flash Translation Layer (FTL) die logische adressen van de fysieke NAND-pagina's.
2. Immediate Zero Return: Zelfs voordat de fysieke elektrische lading uit de siliciumcellen is verwijderd, kan eventuele software (inclusief ddrescue, PhotoRec of R-Studio) vraagt ​​de SSD om die bijgesneden sectoren te lezen via standaard SATA- of NVMe-opdrachten, de SSD-controller onderschept het verzoek en retourneert pure hexadecimale nullen (00 00 00 00) zonder zelfs maar de fysieke NAND-chips te controleren.
3. Wanneer SSD-herstel nog steeds mogelijk is:
   • Externe USB-behuizingen zonder UASP/TRIM pass-through: Oudere USB 3.0-bridgechips die het oudere BOT (Bulk-Only Transport)-protocol gebruiken in plaats van UASP (USB Attached SCSI Protocol) kunnen het besturingssysteem niet vertalen TRIM opdrachten via de USB-kabel.
   • FAT32- en exFAT-volumes op bepaalde besturingssysteemversies: historisch gezien verzonden verschillende builds van besturingssystemen alleen automatisch realtime TRIM opdrachten op native gejournaliseerde bestandssystemen (NTFS, APFS, ext4) en gaf niet onmiddellijk realtime uit TRIM op verwijderbaar FAT32 of exFAT partities.
   • Partitietabel wissen (diskpart clean of per ongeluk verwijderen van een partitie) zonder formatteren: het verwijderen van een partitie-item uit de GUID Partition Table (GPT) of Master Boot Record (MBR) laat soms de onderliggende sectoren niet bijsnijden totdat er een nieuw bestandssysteem bovenop wordt geformatteerd.

3. Camera-in-body-formattering en Sony / Canon / Nikon SD_ERASE Val¶

Fotografen en videografen gaan er vaak van uit dat het formatteren van een SD-, microSD- of CFexpress-kaart in een digitale camera identiek is aan een "Quick Format" op een desktopcomputer. Hoewel dat tien jaar geleden waar was, gedragen moderne spiegelloze camera's zich heel anders, afhankelijk van de fabrikant:

Phase 1: Immediate OS containment and blocking automatic writes¶

Before you try to recover files from an internal drive or attach an external drive to a computer, you must neutralize the operating system mechanisms that silently overwrite deleted space.

1. Recovering from an Internal Windows Drive (C: Drive)¶

If you deleted an important folder from your Windows Desktop, Documents, or Downloads folder and emptied the Recycle Bin:

1. Do NOT keep using Windows on that drive: Even leaving Windows sitting idle at the Desktop allows SearchIndexer.exe, Windows Defender background scans, Chrome/Edge cache updates, Volume Shadow Copy rotation, and the Windows Pagefile (pagefile.sys) to write hundreds of megabytes per minute directly over your newly freed clusters.
2. If you cannot power off immediately (for example, on a remote workstation with no physical access), disable TRIM instantly via Administrator Command Prompt:
   • Press Win + X, click Terminal (Admin) or Command Prompt (Admin), and execute:

     fsutil behavior set DisableDeleteNotify 1
     

   • This stops Windows from sending any further TRIM notifications for NTFS and ReFS volumes, though it cannot undo TRIM commands sent seconds earlier.
3. Check if a Volume Shadow Copy (Previous Versions) already exists before shutting down (takes 15 seconds):
   • Right-click the parent folder that held your deleted files, click Properties -> Previous Versions.
   • Or run vssadmin list shadows in an Administrator Command Prompt. If a shadow snapshot exists from earlier today or yesterday, you can mount that shadow copy read-only (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) and copy your intact files directly to an external USB thumb drive.
4. If no Shadow Copy exists, shut down hard and boot from a Linux Live USB: Create an Ubuntu or SystemRescue USB flash drive on a different computer, boot the affected PC from that USB drive in Try Ubuntu (Live RAM mode) without mounting the internal drive rw, and image or extract the files from outside Windows.

2. Recovering from a macOS System Drive (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

Moderne Apple-computers met macOS op APFS (Apple File System) bieden twee strikte architecturale hindernissen:

1. Agressieve APFS TRIM: macOS verzendt TRIM commando's onmiddellijk na het legen van de prullenmand op interne Apple SSD's.
2. Hardware FileVault / Secure Enclave Encryption: Op alle Macs met een Apple T2-chip of Apple Silicon (M1, M2, M3, M4) wordt de interne SSD in rust standaard hardware-gecodeerd met behulp van sleutels die zijn gekoppeld aan de Secure Enclave, zelfs als FileVault is uitgeschakeld in Systeeminstellingen.
   • Onmiddellijke controle 1: momentopnamen van lokale tijdmachines (tmutil): Even if your external Time Machine backup drive was unplugged at the time of deletion, macOS automatically creates hidden hourly APFS Local Snapshots on the internal SSD if Time Machine is configured. Open Terminal immediately and run:

     tmutil listlocalsnapshots /
     

     If you see snapshots listed (such as com.apple.TimeMachine.2026-10-31-091522.local), open the folder where the file lived and launch the Time Machine app from Applications to restore the file in seconds.
   • Immediate Check 2: Cloud Sync Trash Bins (iCloud Drive, OneDrive, Dropbox, Google Drive): Because macOS Desktop and Documents folders are frequently synced to iCloud Drive, deleting a file from your Mac Desktop deletes it via iCloud sync rather than just locally. Open a browser on your phone or another PC, log into icloud.com -> Schijf -> Onlangs verwijderd (rechtsonder), waarbij verwijderde bestanden 30 dagen bewaard blijven, volledig onaangetast door de lokale SSD TRIM.

3. Blocking macOS and Windows from Polluting a Plugged-in SD Card or External Drive¶

When you plug a camera SD card or external USB drive into a computer to recover files, the host operating system immediately tries to write hidden metadata files onto the root of the drive (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes on macOS; System Volume Information en $Recycle.Bin on Windows). Those tiny writes land right at the beginning of the free space bitmap, often corrupting the exact directory headers you are trying to recover.

• Op Linux (veiligste forensische methode): Linux schrijft niet automatisch naar verborgen indexmappen als u automatisch koppelen uitschakelt of het blokapparaat strikt alleen-lezen aankoppelt (ro,noload).
• Op Windows (schakel alleen-lezen schijfkenmerk in via DiskPart VOORDAT u de schijf plaatst, of gebruik Registry WriteBlocker):
  • Open regedit.exe as Administrator, navigate to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (create the StorageDevicePolicies key if it does not exist), and create a DWORD (32-bit) value named WriteProtect set to 1. Plug in your USB card reader afterward, and Windows will treat all removable USB storage as hardware write-protected.
• On macOS (Mount via Disk Arbitrator): Download and launch the open-source utility Disk Arbitrator before plugging in your SD card reader or external drive. Set Disk Arbitrator to Block Mounts or Mount Read-Only, so macOS cannot write .DS_Store or Spotlight indexes onto the damaged partition.

Phase 2: Creating a forensic sector-by-sector clone (ddrescue)¶

Never run file recovery scans directly on a failing hard drive, a worn-out microSD card, or the sole copy of a formatted partition. Creating a raw binary image file (.img of .dd) guarantees that you have a frozen, bit-for-bit snapshot of every sector as it existed the moment you unplugged the drive.

Step-by-Step Cloning with GNU ddrescue (Linux / macOS) or HDDSuperClone¶

1. Identify the exact device identifier of your source card or drive:
   • On Linux, run lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT before and after plugging in the card reader. Suppose your 64 gigabyte (59.6 gibibyte) camera SD card appears as /dev/sdc (make sure it is not mounted; if mounted, run sudo umount /dev/sdc1).
   • On macOS, run diskutil list to find the disk number (for example, /dev/disk4), then unmount its volumes without ejecting the hardware: diskutil unmountDisk /dev/disk4.
2. Mount your large destination storage drive: Suppose your external 2 terabyte backup drive is mounted at /mnt/backup (of /Volumes/BackupDrive on macOS). Verify it has enough free space to hold the entire raw capacity of the source drive (a 64 gigabyte SD card produces a 64 gigabyte .img file, even if only 10 gigabytes of photos were on it).
3. Execute ddrescue with a mapfile (log file):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d maakt gebruik van directe schijftoegang (waarbij de kernelpaginacache van het besturingssysteem wordt omzeild voor nauwkeurige sectorlezingen; bij macOS-gebruik /dev/rdisk4 in plaats van -d).
   • -r3 tells ddrescue to copy all healthy sectors across the entire drive on the first fast pass, skip over any slow or damaged flash blocks immediately so the card does not overheat or lock up, and then retry bad sectors up to 3 times at the end.
   • sdcard_rescue.map saves your exact progress every few seconds. If the USB reader disconnects or the power goes out, running the exact same command resumes seamlessly from where it stopped without re-reading already rescued sectors.
4. Make a working copy or mount the .img file read-only: Once sdcard_raw_clone.img finishes at 100.00% rescued, eject your physical SD card and store it in a safe drawer. You will perform 100 percent of your recovery work on sdcard_raw_clone.img.

Phase 3: Executing file recovery (Logical Metadata Reconstruction vs. Raw Carving)¶

Zodra je een kluis hebt .img -bestand (of een door hardware schrijfgeblokkeerde schijf), zijn er twee totaal verschillende technische methoden om uw verwijderde gegevens te extraheren. Probeer altijd eerst Methode A (Reconstructie van logisch bestandssysteem) voordat u terugkeert naar Methode B (Raw Signature Carving).

Step-by-Step 1: Restoring a Deleted Partition or Corrupted Boot Sector with TestDisk¶

Als uw externe schijf of SD-kaart plotseling vraagt ​​*"U moet de schijf in station E formatteren: voordat u deze kunt gebruiken"* of wordt weergegeven als RAW / Niet-toegewezen in Schijfbeheer nadat u deze hebt losgekoppeld zonder veilig uit te werpen, zijn uw bestanden helemaal niet verwijderd. In plaats daarvan worden de Master Boot Record (MBR), GUID Partition Table (GPT) of Boot Sector (BPB) was corrupted.

1. Voer TestDisk uit tegen uw gekloonde afbeeldingsbestand:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Selecteer Doorgaan -> bevestig het type partitietabel (Intel/PC for MBR SD cards under 2 terabytes, or EFI GPT for modern large drives).
3. Select Analyse -> Quick Search.
4. TestDisk will scan for backup partition headers (such as the automatic backup NTFS boot sector stored at the very last sector of an NTFS volume, or the backup FAT32 boot sector at sector 6).
5. Highlight the discovered partition and press P (List Files). If you immediately see all your folders and files listed intact inside the terminal window:
   • Doe niet eens de moeite om de partitietabel te herschrijven als u alleen de bestanden wilt. Druk gewoon op C op de gewenste mappen en kopieer ze rechtstreeks naar uw gezonde bestemmingsstation met 100 procent originele bestandsnamen en mapstructuren.

Stap voor stap 2: Scannen van logische metadata met DMDE, R-Studio of UFS Explorer¶

Wanneer bestanden werden verwijderd via Shift + Delete, geleegd uit de Prullenbak of gewist via een standaard Quick Format:

1. Open uw .img file inside DMDE (free edition recovers up to 4,000 files per directory action; full license is inexpensive), R-Studio, or UFS Explorer Standard Recovery.
2. Check the Existing Virtual File System Tree First:
   • On NTFS drives, each file has a 1,024-byte (1 kilobyte) record in the Master File Table ($MFT). Even when a file is deleted, its $MFT slot remains marked with an inactive flag (0x00 in plaats van 0x01) containing the exact filename, parent directory ID, and exact starting cluster and length runs, until a new file reuses that $MFT slot. Furthermore, files smaller than ~700 bytes (such as brief text notes, crypto keys, or small scripts) are stored resident entirely inside the $MFT record itself and rarely get overwritten quickly.
   • Look in the $Root or Deleted / Found virtual folder generated within the first 5 seconds of opening the partition. If your files appear with a red x or trash icon and show a healthy size, select them and click Recover to your separate destination drive immediately.
3. Run a Full Volume Scan if the Directory Header Was Overwritten:
   • If a Quick Format overwrote the root directory or the first few megabytes of the $MFT, run a Full Volume Scan. The software will scan the entire image for surviving subdirectory index nodes (INDX buffers on NTFS, subdirectory cluster chains on FAT32/exFAT, or older transaction checkpoints on APFS/ext4) and combine logical metadata with raw file signature detection.

Step-by-Step 3: Raw File Carving with PhotoRec (When Metadata Is Completely Destroyed)¶

When the File Allocation Table (FAT) or $MFT has been completely zeroed out by a format, logical directory pointers are gone, leaving only the raw file contents sitting in unallocated data clusters. PhotoRec (bundled alongside TestDisk, completely free, open-source, and available for Windows, macOS, and Linux) excels at carving over 480 file formats (including Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX zip containers, and .SQLITE databases):

1. Launch PhotoRec against your disk image:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Selecteer de doelpartitie (of Whole disk if the partition table was wiped).
3. Before starting, go to [File Opt] at the bottom of the screen:
   • Press s om alle 480 bestandstypen te deselecteren als u alleen om specifieke bestanden geeft (controleer bijvoorbeeld alleen jpg, cr2/cr3, tif voor onbewerkte foto's, mov/mp4, En zip/docx), wat het herstel drastisch versnelt en vals-positieve afvalfragmenten voorkomt.
4. Selecteer [Options] -> behouden Keep corrupted files : No tenzij beschadigde videostreams worden hersteld.
5. Selecteer [Search], kies bestandssysteemtype [Other] (voor FAT/exFAT/NTFS/HFS+) en selecteer [Free] (als u alleen bestanden op een actieve partitie hebt verwijderd) of [Whole] (als de partitie geformatteerd was).
6. Kies een doelmap op uw aparte grote back-upschijf en druk op C om te beginnen met snijden.
7. Post-Recovery Sorting for PhotoRec Output: Because PhotoRec saves files as f123456.jpg over tientallen recup_dir folders, you can automatically reorganize all recovered photos into clean YYYY/MM-Month/ folders with their exact camera timestamp filenames using the free command-line tool ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Specialized recovery: fragmented camera MP4/MOV videos (GoPro, DJI Drones, Sony, Canon)¶

One of the most frequent frustrations after running PhotoRec or standard file recovery software on a formatted camera card is discovering that 100 percent of the recovered .JPG en .RAW photos open perfectly, but every single recovered .MP4 of .MOV video file refuses to play (0:00 duration or black screen).

Why Standard Recovery Software Breaks Modern Camera Videos¶

1. Interleaved Stream Recording: Modern action cameras (GoPro Hero series, DJI Air/Mavic/Mini drones, Insta360) and cinema mirrorless cameras do not write a single .MP4 file sequentially from start to finish. While recording 4K or 5.3K video, the camera simultaneously writes a high-resolution .MP4 stream, a low-resolution preview .LRV stream, an audio buffer, and telemetry metadata into alternating clusters on the exFAT/FAT32 card (for example: 4 megabytes of high-res video, followed by 512 kilobytes of .LRV preview, followed by 4 megabytes of high-res video).
2. Missing moov Atom in Unfinalized Recordings: If your drone crashed into water, your camera battery died mid-recording, or the SD card disconnected before you pressed the Stop Record button, the camera never wrote the moov atom (the master index table written at the very end of an MP4/MOV file that tells media players where every video frame and audio chunk sits).

How to Rebuild Unplayable or Fragmented Camera Videos¶

1. Case A: Unfinalized Video After Battery Loss or Crash (File Exists on Card, Shows Multi-GB Size, Won't Play):
   • The clusters are intact in the file system, only the moov index header is missing.
   • Use the free, open-source tool untrunc (specifically the anthwlock/untrunc fork) or recover_mp4 (slydiman). Provide untrunc with one healthy, playable reference .MP4 recorded on that exact same camera with the exact same resolution and framerate settings, alongside your broken .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc reads the codec parameters (avcC/hvcC and audio track layouts) from the working reference video, scans the raw H.264/H.265/HEVC NAL units in your damaged file, and synthesizes a brand-new moov atom in seconds.
2. Case B: Formatted SD Card with Interleaved / Fragmented Video (GoPro, DJI, Sony, Canon):
   • Omdat de FAT/exFAT-clusterkaart tijdens het formatteren is gewist, pakt een standaardcarver de ftyp/mdat header van uw 4K-video en kopieert vervolgens blindelings de .LRV bekijk voorbeeldclusters en miniatuurclusters in het midden van uw videobestand, waardoor elke seconde aan beeldmateriaal wordt beschadigd.
   • In plaats van standaard carvers, scant u uw sdcard_raw_clone.img met behulp van een fragmentatiebewuste videoreconstructor die cameraspecifieke clustertoewijzingsfrequenties herkent, zoals SanDisk RescuePRO Deluxe (die specifieke GoPro/drone gefragmenteerde video-assemblage-algoritmen bevat), Klennet Carver of Disk Drill 5+ (die een speciale GoPro/DJI-reconstructor voor gefragmenteerde videohandtekeningen bevat).

Fotoverwijdering op smartphone: realiteit van iOS (iPhone) en Android-hardware-encryptie¶

Een veel voorkomende en gevaarlijke misvatting is dat je een moderne iPhone of Android-smartphone via USB op een laptop kunt aansluiten en traditionele schijfcarvingsoftware (zoals Recuva of PhotoRec) op de interne opslag van de telefoon kunt draaien.

Waarom traditionele sectorcarving moderne telefoons niet kan lezen¶

Elke iPhone sinds de iPhone 3GS (en alle huidige iOS-apparaten) maakt gebruik van Gegevensbescherming (bestandsgebaseerde codering), mogelijk gemaakt door een speciale hardware-AES-crypto-engine tussen de flashopslag en het hoofdsysteemgeheugen. Op dezelfde manier maakt elk Android-apparaat dat wordt geleverd sinds Android 7.0+ (en verplicht sinds Android 10) gebruik van File-Based Encryption (FBE), ondersteund door de hardware Keystore/Titan M/Knox-chip.

On both platforms, every single individual photo and file on the internal storage is encrypted with its own unique per-file cryptographic key. When a file is permanently purged from the phone's file system, the phone does not even need to erase the multi-megabyte photo blocks; it immediately destroys the 256-bit per-file encryption key in the metadata table. Without that key, the raw NAND blocks contain cryptographically unbreakable random noise. Even top-tier government forensic labs cannot "carve" permanently deleted photos from the internal flash of a modern iPhone or Android once the per-file key is wiped.

The Actual Recovery Paths for Deleted Smartphone Photos¶

Because hardware encryption blocks raw carving, recovering deleted photos from an iPhone or Android relies on recovering copies before retention timers expire or extracting cached thumbnail databases:

1. Check the On-Device "Recently Deleted" Album Immediately (30-Day Window):
   • iOS (iPhone / iPad): Open Foto's -> scrol omlaag naar Hulpprogramma's -> tik op Onlangs verwijderd (vereist Face ID / Touch ID / Toegangscode). Foto's blijven hier 30 dagen staan ​​voordat de sleutel definitief wordt vernietigd.
   • Android (Google Foto's / Samsung Gallery): Open Google Foto's -> Bibliotheek/collecties -> Prullenbak/prullenbak (bewaard gedurende 60 dagen indien er een back-up van wordt gemaakt, 30 dagen indien alleen op het apparaat). Controleer ook Samsung Gallery -> Menu (drie regels) -> Prullenbak (bewaard gedurende 30 dagen) en open de app Files by Google of Mijn bestanden -> Prullenbak, die een aparte prullenbakmap voor 30 dagen bijhoudt.
2. Als u foto's hebt verwijderd van "Recent verwijderd" op de iPhone, bel dan Apple Support voor een noodherstel via iCloud aan de serverzijde:
   • Veel gebruikers realiseren zich niet dat zelfs nadat u handmatig op "Verwijderen van alle apparaten" / "Onlangs verwijderd" in iCloud-foto's klikt, de backend-servers van Apple een voorlopig verwijderde serverherstelbuffer behouden voor een korte periode (doorgaans tot 7 tot 14 dagen na permanente verwijdering).
   • Neem onmiddellijk contact op met Apple Support per telefoon of chat, vraag om een ​​Senior Advisor te spreken en vraag hem of haar een iCloud Fotobibliotheek Server-Side Herstel te activeren voor uw Apple Account. Ze kunnen vaak een serverschakelaar omzetten die onlangs verwijderde iCloud-foto's binnen 15 minuten weer in uw album dumpt.
3. Restore from an Older Unsynced Device or Encrypted Local Backup:
   • Airplane Mode Trick on Secondary iPad / Mac: If your iPhone synced a deletion to iCloud, grab your iPad or MacBook before it connects to Wi-Fi (turn off your home Wi-Fi router unplugging the power cord first if the iPad is asleep on your desk). Power on the iPad in total radio isolation, copy the still-present photos via USB cable or AirDrop to another device before the iPad receives the iCloud deletion push command.
   • Check iCloud Backup vs. iCloud Photos: If you had iCloud Photos turned OFF (Settings -> [Your Name] -> iCloud -> Photos -> Off), your Camera Roll is included inside your nightly iCloud Device Backup. You can wipe an old spare iPhone (or temporarily back up and reset your current iPhone) and restore the nightly iCloud Backup from before the moment you deleted the photo.
   • Check Local Finder / iTunes Backups on Your PC or Mac: Check ~/Library/Application Support/MobileSync/Backup/ on macOS or %APPDATA%\Apple Computer\MobileSync\Backup\ on Windows. You can browse and extract photos from old local backups without overwriting your phone using iMazing or iBackup Viewer.
4. Check Messaging App Local Caches (WhatsApp, iMessage, Telegram, Signal):
   • Did you ever text the deleted photo or video to a spouse, friend, or family group chat? Messaging apps store independent copies of media inside their own application sandboxes (Media/WhatsApp Images/Sent on Android, or inside chat attachments in iMessage). Even if you delete a photo from your main Camera Roll and empty the Trash, the copy inside your WhatsApp Sent folder or iMessage thread history remains completely untouched.

Cloud drive and enterprise accidental deletion recovery (Google Drive, OneDrive, Dropbox)¶

When an entire shared folder disappears or is overwritten on a cloud drive (or when ransomware or a syncing glitch deletes local files and syncs the deletion to the cloud), local disk recovery is often unnecessary because enterprise and consumer cloud platforms maintain multi-tier version histories:

1. Microsoft OneDrive & SharePoint Online:
   • First-Stage Recycle Bin (onedrive.live.com): Retains deleted files for 30 days on personal accounts and 93 days on Work/School accounts.
   • Second-Stage Site Collection Recycle Bin (Work/School): Even if an employee or hacker empties the main OneDrive Recycle Bin, click the link at the bottom of the Recycle Bin page labeled "Second-stage recycle bin", where purged files remain recoverable for the remainder of the 93-day window.
   • Restore Your OneDrive (Point-in-Time Rollback): Microsoft 365 subscribers can click Settings (gear icon) -> Options -> Restore your OneDrive, which uses a visual histogram slider to roll every single file, rename, and deletion across the entire cloud drive back to any exact minute within the last 30 days.
2. Google Drive & Google Workspace:
   • Google Drive Trash (drive.google.com/drive/trash): Retains deleted files for 30 days.
   • Herstel na prullenbak van Google Workspace-beheerder (respijtperiode van 25 dagen): Zelfs nadat een gebruiker op "Voor altijd verwijderen" heeft geklikt en de Google Drive-prullenbak heeft geleegd, kan een Google Workspace-beheerder (of een individuele gebruiker die contact opneemt met Google Drive-ondersteuning via persoonlijke Google One-accounts) de Google-beheerdersconsole openen (admin.google.com) -> Directory -> Gebruikers -> [Selecteer gebruiker] -> Meer opties -> Gegevens herstellen en herstel permanent verwijderde Google Drive-bestanden en Gmail-berichten tot 25 extra dagen nadat de prullenbak is geleegd.
3. Dropbox:
   • Verwijderde bestanden (dropbox.com/deleted_files): Bewaart verwijderde bestanden en mappen gedurende 30 dagen bij Basic/Plus/Family-abonnementen, en 180 dagen tot 1 jaar bij Professional/Business-abonnementen.
   • Dropbox Terugspoelen (dropbox.com/rewind): Maakt het mogelijk een hele map of het hele account terug te draaien om massale verwijderingen, onbedoelde slepen en neerzetten of coderingsgebeurtenissen ongedaan te maken.

Veelgestelde vragen¶

Bronnen gecontroleerd¶

• National Institute of Standards and Technology (NIST, United States): Special Publication 800-88 Revision 1, Guidelines for Media Sanitization (ATA TRIM, NVMe Deallocate, and NAND Flash Translation Layer behavior) and Computer Forensics Tool Testing (CFTT) Program Disk Imaging Specifications (csrc.nist.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, Verenigde Staten): richtlijnen voor gegevensback-up, forensische bewaring en incidentafhandeling (cisa.gov).
• GNU Project / Antonio Diaz Diaz (Internationaal): Officiële GNU ddrescue-handleiding: Data Recovery Tool en Block Device Mapfile-algoritmen (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (Internationaal): TestDisk & PhotoRec Officiële documentatie: Partitieherstel en handtekeningen voor bestandscarving (cgsecurity.org).
• Apple Platform Security (United States): FileVault, Data Protection Classes, Per-File Encryption Keys, and APFS Trim Architecture on Apple Silicon and T2 Systems (support.apple.com/guide/security).
• Android Open Source Project (AOSP, internationaal): File-Based Encryption (FBE) en metadata-encryptiearchitectuur (source.android.com/docs/security/features/encryption).
• SD Association (International): SD Specifications Part 1: Physical Layer Simplified Specification (Erase Commands CMD32, CMD33, CMD38 and Write-Protect Mechanical Switch) (sdcard.org).

Gerelateerde handleidingen¶

• Storing in de harde schijf en gegevensherstel
• Computerback-ups: 3-2-1-strategie en noodherstel
• Ransomware and malware
• Defecte of waterbeschadigde telefoon
• Opstartfout van Linux-systeem en GRUB-reparatie
• Windows Blue Screen (BSOD) en opstartreparatie