Fotos wiederherstellen

Atzinator

Komplett-PC-Käufer(in)
Hallöchen allerseits,

folgendes Problem:

Mein Laptop besitzt zwei Partitionen, Windows und eine zweite mit mit 25 GB Speicherplatz. Auf der Zweiten habe ich im Laufe der Jahre allerhand Daten immer kurzzeitig zwischengespeichert.

Jetzt habe ich dort als LETZTE Tätigkeit einige Fotos zwischengespeichert die sich über Jahre angesammelt haben - von verschiedensten Handys, Kameras, Teils eingescannt. Das waren etwa 1000 Stück.

Da ich etwas später einige Dateien löschen wollte und nicht aufgepasst habe, habe ich mittels Umschalt+Entf auch die besagten Fotos mit gelöscht.


Nun habe ich mehrere Tools zur Wiederherstellung probiert, unter anderen EaseUs, etwas von Ashampoo und PhotoRec.

EaseUs findet die besagten Fotos und 10000e andere Dateien die definitiv Jahre alt sind. Eine Vorschau der Dateien die uralt sind ist problemlos möglich (Excel, Doc, PDF- alles dabei), lediglich bei den 1000 Fotos (die alle mit korrektem Dateinamen, Größe und Erstelldatum angezeigt werden) geht nichts.

Die Programme von Ashampoo und PhotoRec finden die Fotos gar nicht erst.

Habe mich ein viertes Programm getestet, das hat die Fotos ebenfalls gefunden und wiederhergestellt aber hier war ein Öffnen nicht möglich.


Gibt es irgendwelche Lösungen :(?


Vielen Dank!
 
  1. Backup wieder einspielen.
  2. Aufhören die Platte zu benutzen (jeder Schreibvorgang vernichtet flüchtige Daten)
  3. nur mit einer 1zu1 Kopie arbeiten
  4. Datenrettungsfirma beauftragen
 
Betrifft das Benutzen der Platte auch die andere Partition? Also die betreffende Partition ist ja mit zum Ablegen von Daten, das brauch ich momentan ja nicht. Aber booten und arbeiten über die Hauptpartition schon.

Was ich halt nicht verstehe - wieso werden viel ältere Daten nach denen die Platte weiter beschrieben wurde problemlos gefunden und funktionieren und die neuesten gelöschten Daten, nach denen nichts mehr verändert wurde, werden nur mit Name Datum und Größe erkannt, aber die Anzeige der jpg Dateien funktioniert nicht.
 
Betrifft das Benutzen der Platte auch die andere Partition? Also die betreffende Partition ist ja mit zum Ablegen von Daten, das brauch ich momentan ja nicht. Aber booten und arbeiten über die Hauptpartition schon.

Ja. Bei Windows ist ein separates Einhängen der Partitionen nicht möglich. Genauso wenig ist es möglich eine Partition unter Windows schreibgeschützt einzuhängen.

Ich würde raten mit einem LiveLinux und dd bzw. ddrescue ein Image zu ziehen und es dann darauf noch mal versuchen. Alles was auf der Platte drauf ist, ist dann im Image. Was nicht mehr auf der Platte drauf ist, ist aber dann natürlich auch nicht im Image.
dd › Wiki › ubuntuusers.de
gddrescue › Wiki › ubuntuusers.de

JPGs lassen sich normalerweise auch recht einfach über den Anfang "FFD8" und das Ende "FFD9" finden.
JPG_Header.png


Um zu sehen, was überhaupt auf dem Image drauf ist, würde ich als Tools Autopsy und Recovery Explorer empfehlen. Letzteres benötigt allerdings für die Extraktion der gefundenen Daten eine Lizenz. Allerdings kann man erst mal mit der Vorschau schauen, welche Bilder überhaupt gefunden werden. Wenn die Vorschau mal nicht geht, dann mit der HEX-Ansicht schauen, ob die Datei die oben gelisteten Merkmale aufweist.
Autopsy
Recovery Explorer Professional - Fortschrittliche Software-Loesung fuer Datenwiederherstellungsprofis
 
Zuletzt bearbeitet:
Bei der Datenträgerforensik hat man halt manchmal keine andere Möglichkeit, als solche Suchen manuell zu machen und dann muss man halt schauen, wie die gesuchten Dateien aufgebaut sind. Die Header der Bilddateien sind da dann doch immer noch sehr eindeutig. Ich kenne aber auch nur den Header von JPG auswendig, bei den anderen müsste ich dann auch noch mal nachschauen, wie da der Hexcode ist.
Aber zumindest erkennen ist recht einfach, da halt bei PNG und GIF die Typ-Bezeichnung in der Ascii-Darstellung enthalten ist.

Bei den ganzen MPEG-Formaten gibt es allerdings alle mögliche Header. Das ist recht kompliziert.
 
Also egal um welche Bild Datei es geht, im Hex Editor finden dich nur 00 00 00 00 00 wieder :(.

Kriegt da der Profi wirklich mehr raus
 
Also egal um welche Bild Datei es geht, im Hex Editor finden dich nur 00 00 00 00 00 wieder :(.

Kriegt da der Profi wirklich mehr raus

Oder auch nicht.

Es gibt zwei möglich Szenarien, die da jetzt vorliegen.
1.) Die Datei ist jetzt wirklich genullt.
2.) Der Verweis auf die Datei ist fehlerhaft. Dann liegt der Inhalt an anderer Stelle, kann aber jederzeit überschrieben werden. Auffinden ist nur durch carven möglich.

Auf was für einer Platte (SSD/HDD am besten mit Modell) wurden die Dateien gespeichert? Welches Betriebs- und welches Dateisystem kam zum Einsatz?
 
Zurück