Dateisystem- oder Rohdatenrettung?

Ein Datenträger speichert keine Dateien. Er speichert Blöcke. Welche Blöcke zusammengehören, wie die entstehende Datei heißt, in welchem Ordner sie liegt und wann sie zuletzt geändert wurde — all das steht in einer eigenen Verwaltungsstruktur, dem Dateisystem. NTFS führt dafür die Master File Table, APFS und HFS+ arbeiten mit Katalogbäumen, ext4 mit Inodes, exFAT und FAT32 mit Zuordnungstabellen.

Diese Verwaltung ist klein — oft weniger als ein Prozent der Kapazität — und sie liegt an festen Stellen. Genau das macht sie verwundbar: Ein kurzer Stromausfall im falschen Moment, ein abgebrochener Kopiervorgang oder ein paar defekte Sektoren an der falschen Position können sie unbrauchbar machen, während 99 Prozent der eigentlichen Daten unberührt sind.

Ist die Verwaltung nicht mehr zu retten, bleibt der Weg über die Inhalte selbst. Fast jedes Dateiformat hat eine charakteristische Signatur am Anfang — JPEG, PDF, ZIP, MP4 und Hunderte andere lassen sich an ihren ersten Bytes erkennen. Die Software durchsucht den gesamten Datenträger nach solchen Anfängen und schneidet von dort bis zum erkennbaren Ende heraus.

Das funktioniert erstaunlich gut — mit drei bekannten Einschränkungen. Namen und Ordner sind weg, weil sie nie im Inhalt standen, sondern in der Verwaltung. Zeitstempel fehlen aus demselben Grund. Und fragmentierte Dateien werden unvollständig oder falsch zusammengesetzt, weil die Suche nach Signaturen nicht wissen kann, wo eine Datei im Datenträger fortgesetzt wird.

Deshalb liefert eine Rohdatenrettung bei Fotos und Videos von Kameras oft sehr gute Ergebnisse — solche Karten werden groß und am Stück beschrieben, die Dateien liegen dadurch zusammenhängend. Auf einer jahrelang genutzten Systemplatte mit vielen kleinen, oft geänderten Dokumenten fällt das Ergebnis deutlich unruhiger aus.