Vor kurzem hat sich die externe Festplatte einer Freundin verabschiedet. Nach dem Anschließen gibt sie nur noch ein leises Röcheln von sich und schaltet sich dann wieder ab. Die Ausgabe von dmesg sah auch wenig rosig aus. Wie immer in solchen Fällen gab es keine Sicherung wichtiger Daten, jedoch ein etwas ungewöhnliches „Backup“ in Form von gelöschten Dateien auf einer NTFS-Partition eines alten Laptops.Glücklicherweise bringt das Paket ntfsprogs unter Ubuntu das Programm ntfsundelete mit sich. MIt Hilfe dieses Kommandozeilentools lassen sich NTFS-Partitionen auf gelöschte Dateien untersuchen und des weiteren diese dann auch wieder herstellen. Unbedingt notwendig zum Wiederherstellen ist es, dass keine Daten überschrieben wurden. Also am besten die Festplatte direkt abklemmen/unmounten/was-auch-immer um jeglichen Schreibzugriff zu unterbinden.
Ist das gewährleistet, kann man zunächst mittels sudo ntfsundelete –scan nach gelöschten Dateien suchen. Zusätzlich lässt sich mit –match „regex“ die Suche einschränken. Es wird eine Tabelle nach folgendem Schema ausgegeben
Inode Flags %age Date Size Filename
---------------------------------------------------------------
1234 FN.. 100% 2010-03-04 1234 foo.txt
Hat man die gesuchte Datei gefunden, lässt sie sich mit sudo ntfsundelete –undelete –inode „Inode der Datei“ –destination „Ziel der Wiederherstellung“ wiederherstellen. Alternativ kann man, indem man die inode-Option weglässt, — wie in meinem Fall — alle Dateien wiederherstellen, was aber unter Umständen viel Müll und auch evtl. Systemdateien etc. mit sich bringt.
UPDATE: Laut Holger Ohmacht stellt der folgende Befehl jegliche Datei auf /dev/sda1 her – und speichert diese in /root/recovery)
ntfsundelete -u -m "*" -d /root/recovery /dev/sda1
It is also possible without the inode parameter to undelete files:
Example/Beispiel
ntfsundelete -u -m „“*““ -d /root/recovery /dev/sda1
will recover ANYfile on /dev/sda1 to directory /root/recovery
(stellt jegliche Datei auf /dev/sda1 her – und speichert diese in /root/recovery)
Deutsch: Es ist auch OHNE die Angabe von INodes möglich, Dateien wiederherzustellen
(Holger Ohmacht, Co-Author von Linux NTFSUndelete)
Hallo Holger,
danke für den Tipp.
Gruß,
Peter