[UPDATE] Datenrettung mit ntfsundelete

Vor kurzem hat sich die externe Festplatte einer Freundin verabschiedet. Nach dem Anschließen gibt sie nur noch ein leises Röcheln von sich und schaltet sich dann wieder ab. Die Ausgabe von dmesg sah auch wenig rosig aus. Wie immer in solchen Fällen gab es keine Sicherung wichtiger Daten, jedoch ein etwas ungewöhnliches „Backup“ in Form von gelöschten Dateien auf einer NTFS-Partition eines alten Laptops.Glücklicherweise bringt das Paket ntfsprogs unter Ubuntu das Programm ntfsundelete mit sich. MIt Hilfe dieses Kommandozeilentools lassen sich NTFS-Partitionen auf gelöschte Dateien untersuchen und des weiteren diese dann auch wieder herstellen. Unbedingt notwendig zum Wiederherstellen ist es, dass keine Daten überschrieben wurden. Also am besten die Festplatte direkt abklemmen/unmounten/was-auch-immer um jeglichen Schreibzugriff zu unterbinden.

Ist das gewährleistet, kann man zunächst mittels sudo ntfsundelete –scan nach gelöschten Dateien suchen. Zusätzlich lässt sich mit –match „regex“ die Suche einschränken. Es wird eine Tabelle nach folgendem Schema ausgegeben

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
1234     FN..   100%  2010-03-04      1234 foo.txt

Hat man die gesuchte Datei gefunden, lässt sie sich mit sudo ntfsundelete –undelete –inode „Inode der Datei“ –destination „Ziel der Wiederherstellung“ wiederherstellen. Alternativ kann man, indem man die inode-Option weglässt, — wie in meinem Fall — alle Dateien wiederherstellen, was aber unter Umständen viel Müll und auch evtl. Systemdateien etc. mit sich bringt.

UPDATE: Laut Holger Ohmacht stellt der folgende Befehl jegliche Datei auf /dev/sda1 her – und speichert diese in /root/recovery)

ntfsundelete -u -m "*" -d /root/recovery /dev/sda1