Vor kurzem hat sich die externe Festplatte einer Freundin verabschiedet. Nach dem Anschließen gibt sie nur noch ein leises Röcheln von sich und schaltet sich dann wieder ab. Die Ausgabe von dmesg sah auch wenig rosig aus. Wie immer in solchen Fällen gab es keine Sicherung wichtiger Daten, jedoch ein etwas ungewöhnliches „Backup“ in Form von gelöschten Dateien auf einer NTFS-Partition eines alten Laptops.Glücklicherweise bringt das Paket ntfsprogs unter Ubuntu das Programm ntfsundelete mit sich. MIt Hilfe dieses Kommandozeilentools lassen sich NTFS-Partitionen auf gelöschte Dateien untersuchen und des weiteren diese dann auch wieder herstellen. Unbedingt notwendig zum Wiederherstellen ist es, dass keine Daten überschrieben wurden. Also am besten die Festplatte direkt abklemmen/unmounten/was-auch-immer um jeglichen Schreibzugriff zu unterbinden.

Ist das gewährleistet, kann man zunächst mittels sudo ntfsundelete –scan nach gelöschten Dateien suchen. Zusätzlich lässt sich mit –match „regex“ die Suche einschränken. Es wird eine Tabelle nach folgendem Schema ausgegeben

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
1234     FN..   100%  2010-03-04      1234 foo.txt

Hat man die gesuchte Datei gefunden, lässt sie sich mit sudo ntfsundelete –undelete –inode „Inode der Datei“ –destination „Ziel der Wiederherstellung“ wiederherstellen. Alternativ kann man, indem man die inode-Option weglässt, — wie in meinem Fall — alle Dateien wiederherstellen, was aber unter Umständen viel Müll und auch evtl. Systemdateien etc. mit sich bringt.

UPDATE: Laut Holger Ohmacht stellt der folgende Befehl jegliche Datei auf /dev/sda1 her – und speichert diese in /root/recovery)

ntfsundelete -u -m "*" -d /root/recovery /dev/sda1
[UPDATE] Datenrettung mit ntfsundelete
Markiert in:             

2 Gedanken zu „[UPDATE] Datenrettung mit ntfsundelete

  • Freitag, der 18. März 2011 um Freitag, der 18. März 2011
    Permalink

    It is also possible without the inode parameter to undelete files:

    Example/Beispiel
    ntfsundelete -u -m „“*““ -d /root/recovery /dev/sda1

    will recover ANYfile on /dev/sda1 to directory /root/recovery
    (stellt jegliche Datei auf /dev/sda1 her – und speichert diese in /root/recovery)

    Deutsch: Es ist auch OHNE die Angabe von INodes möglich, Dateien wiederherzustellen

    (Holger Ohmacht, Co-Author von Linux NTFSUndelete)

    Antworten
  • Freitag, der 18. März 2011 um Freitag, der 18. März 2011
    Permalink

    Hallo Holger,

    danke für den Tipp.

    Gruß,
    Peter

    Antworten

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

6 + 1 =