Datenrettung mit TestDisk/PhotoRec

(quelloffen, Version 7.1 unter Linux Mint 22)

TestDisk unterstützt die Wiederherstellung einzelner Dateien nicht für das ext4-Dateisystem von Linux Mint. Dazu muss PhotoRec verwendet werden, das ein Bestandteil des TestDisk-Paketes ist.

Die Option zum Scannen lediglich von gelöschten Dateien steht für NTFS-Partitionen aber nicht für ext4-Partitionen zur Verfügung. Hier werden auch nicht gelöschte Dateien gesichert.

Es wird immer das gesamte Laufwerk gescannt, eine Option zur Auswahl von Unterverzeichnissen existiert nicht.

Die Namen der gelöschten Dateien können mit PhotoRec nicht wiederhergestellt werden. Stattdessen werden die Dateien automatisch neu benannt.

PhotoRec kann nur Dateien wiederherstellen, deren Format vom Programm erkannt wird (s. hier).

TestDisk und PhotoRec sind plattformunabhängige Programme zur Wiederherstellung von gelöschten Partitionen oder einzelnen Dateien diverser Dateisysteme. Die Programme sind in Linux Mint nicht vorinstalliert.

Installation aus den offiziellen Paketquellen:

sudo apt-get install testdisk

Installation per apturl

Gestartet werden die Programme dann im Terminal mit dem Kommando sudo testdisk bzw. sudo photorec. Sie können jederzeit mit Strg+C abgebrochen werden.

Bei der Verwendung der Programme ist darauf zu achten, zuerst das Ziellaufwerk für die wiederhergestellten Daten anzuschließen, dann im Terminal zu diesem Laufwerk zu wechseln und erst dann TestDisk bzw. PhotoRec zu starten. Dadurch wird sichergestellt, dass die wiederhergestellten Dateien auf dem Ziellaufwerk landen und nicht auf der aktuellen Partition. Beispielsweise:

cd /media/BENUTZERNAME/FlashDrive
sudo photorec

Versehentlich gelöschte Dateien wiederherstellen

Die bei diesem Vorgang wiederhergestellten Dateien sollten während der Wiederherstellung unbedingt auf eine andere Partition oder einen externen Datenträger (z. B. USB-Stick) kopiert werden, um zu verhindern, dass weitere wiederherzustellende Dateien überschrieben werden! Von dort können die Dateien dann nach Abschluss der Wiederherstellung an ihren ursprünglichen Ort verschoben werden.

Quelle: PhotoRec-Wiki

Normalerweise lassen sich gelöschte Dateien wiederherstellen, indem man im Dateimanager den Papierkorb wählt, die gewünschten Dateien (oder Ordner) dort markiert und dann auf den Button Ausgewählte Objekte wiederherstellen klickt. Sollte der Papierkorb aber bereits geleert worden sein, so lassen sich gelöschte Dateien nur noch mit zusätzlichen Werkzeugen wie PhotoRec wiederherstellen, sofern sie im Dateisystem nicht bereits durch neuere Dateien überschrieben worden sind. Daher sollte man in einer solchen Situation keine neuen Daten mehr auf der Festplatte speichern, sondern beispielsweise auf einem externen Laufwerk. Allerdings werden auch bei der Verwendung vieler Programme Dateien im Hintergrund gespeichert, weshalb die Datenrettung so schnell wie möglich vorgenommen werden sollte, um Datenverlust zu vermeiden.

Beim Aufruf von PhotoRec erscheint zunächst die unten abgebildete Ausgabe. Hier wählt man das Laufwerk aus, auf dem sich die wiederherzustellenden Dateien befinden.

Mit den Pfeiltasten (← → ↑ ↓) kann man zwischen den verfügbaren Optionen wechseln. Über die Eingabe-Taste wird eine Auswahl bestätigt. Mit Proceed gelangt man zur nächsten Ansicht und mit Quit wird das Programm abgebrochen.

PhotoRec 7.1, Data Recovery Utility, July 2019
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org

  PhotoRec is free software, and
comes with ABSOLUTELY NO WARRANTY.

Select a media (use Arrow keys, then press Enter):
>Disk /dev/sda - 256 GB / 238 GiB (RO) - TOSHIBA KSG60ZMV256G M.2 2280 256GB
 Disk /dev/sdb - 15 GB / 14 GiB (RO) - TS-RDF5A Transcend


>[Proceed ]  [  Quit  ]

Note:
Disk capacity must be correctly detected for a successful recovery.
If a disk listed above has an incorrect size, check HD jumper settings and BIOS
detection, and install the latest OS patches and disk drivers.

In der folgenden Ansicht wird die gewünschte Partition des zuvor gewählten Laufwerks ausgewählt. Über die Option File Opt kann das Scannen dieser Partition auf bestimmte Dateiformate beschränkt werden, was sehr zu empfehlen ist, da dies das Datenvolumen massiv reduziert.

Disk /dev/sda - 256 GB / 238 GiB (RO) - TOSHIBA KSG60ZMV256G M.2 2280 256GB

     Partition                  Start        End    Size in sectors
      Unknown                  0   0  1 31130 233 63  500118192 [Whole disk]
  1 P Windows Recovery Env     0  32 33    63 221 30    1024000 [Basic data partition]
  2 P EFI System              63 221 31   191  89 26    2048000 [EFI system partition]
  3 P MS Reserved            191  89 27   207 170 27     262144 [Microsoft reserved partition]
  4 P MS Data                207 170 28  6581 197 16  102400000 [Basic data partition] [Windows]
> 5 P Linux filesys. data   6581 197 17 31130 223  5  394381312 [Linux Mint]


 [ Search ]  [Options ] >[File Opt]  [  Quit  ]
                              Start file recovery

Durch Drücken der Taste S können alle unterstützten Dateiformate aus- oder abgewählt werden. Einzelne Formate wählt man durch Drücken der Leertaste. Möchte man die Auswahl für eine spätere Verwendung von PhotoRec speichern, kann man dazu B drücken. Ansonsten kehrt man mit Quit zu der vorigen Ausgabe zurück und wählt dort dann Search.

PhotoRec will try to locate the following files
    Previous
 [ ] info ZoomBrowser Thumbnail info
 [ ] iso  ISO
 [ ] it   Impulse Tracker
 [ ] itu  iTunes
 [ ] jks  Java Keystore
>[X] jpg  JPG picture
 [ ] jsonlz4 Mozilla bookmarks
 [ ] kdb  KeePassX
 [ ] kdbx KeePassX
 [ ] key  Synology AES key
 [ ] ldf  Microsoft SQL Server Log Data File
 [ ] lit  Microsoft ITOL/ITLS
 [ ] logic Apple Logic Studio
 [ ] lnk  MS Windows Link
    Next
Press s for default selection, b to save the settings
>[  Quit  ]
                              Return to main menu

Hier wählt man das Dateisystem der gewählten Partition (bei Linux Mint ist das ext4, bei Windows NTFS):

 5 P Linux filesys. data   6581 197 17 31130 223  5  394381312 [Linux Mint]

To recover lost files, PhotoRec needs to know the filesystem type where the
file were stored:
>[ ext2/ext3 ] ext2/ext3/ext4 filesystem
 [ Other     ] FAT/NTFS/HFS+/ReiserFS/...

Schließlich wählt man das Verzeichnis des Ziellaufwerks aus, in dem die wiederhergestellten Dateien gespeichert werden sollen. Möchte man nicht in ein Unterverzeichis wechseln, bestätigt man den obersten Eintrag der Liste, der am Ende einen einzelnen Punkt hat. Möchte man in ein Elternverzeichnis wechseln, wählt man den zweiten Eintrag mit zwei Punkten am Ende. Durch Drücken von C wird die Wiederherstellung dann gestartet, die durchaus mehrere Stunden dauern kann.

Da die gefundenen Dateien nicht mehr unter ihren ursprünglichen Namen gespeichert werden, können sie nur anhand ihres Änderungsdatums und der Dateigröße im Dateimanager identifiziert werden. Ansonsten bleibt einem nur, jede Datei einzeln öffnen.

Please select a destination to save the recovered files to.
Do not choose to write the files to the same partition they were stored on.
Keys: Arrow keys to select another directory
      C when the destination is correct
      Q to quit
Directory /media/loewenherz/16 GB
 drwxrwxrwx  1000  1000      4096 14-Nov-2024 14:34 .
 drwxr-x---     0     0      4096 14-Nov-2024 14:29 ..
>drwxrwxr-x  1000  1000      4096  4-Sep-2024 14:17 Recovery
 drwxr-xr-x  1000  1000         0 30-Nov-2021 13:09 DCIM
 drwxr-xr-x  1000  1000         0 10-Jun-2023 13:43 System Volume Information
 drwxr-xr-x  1000  1000         0  2-Mar-2023 21:01 Video
 drwxr-xr-x  1000  1000      4096 18-Jul-2021 12:01 archiv
 drwxr-xr-x  1000  1000      4096 21-Dec-2022 02:45 fonts