Datenwiederherstellung durch Suche nach gelöschten MFT-Informationen

Die meisten Datenwiederherstellungsprogramme suchen nach MFT-Einträgen, um Dateien zu retten. Dabei laufen folgende Aktionen im Hintergrund ab: Der MFT-Eintrag einer gelöschten Datei wird lokalisiert, dann werden die weiteren Cluster, die ursprünglich von der nun als gelöscht markierten Datei in Anspruch genommen wurden, überprüft. Dabei wird kontrolliert, ob diese Cluster bereits mit neuen Dateiinhalten überschrieben wurden.

Ein Cluster kann nur Informationen einer Datei beinhalten, d.h. wenn eine andere (neue) Datei dieses Cluster bereits nutzt, sind die Informationen der wiederherzustellenden Datei mit sehr hoher Wahrscheinlichkeit überschrieben und damit permanent zerstört. Diese Art der Datenwiederherstellung geht sehr schnell, da ja nur die MFT Einträge und Cluster kontrolliert und die identifizierbaren Informationen wiederhergestellt werden. Ist die Dateizuordnungstabelle jedoch korrupt, defekt oder überschrieben worden , kann diese Technik keine Daten wiederherstellen, auch wenn sich die Dateiinformationen noch immer auf der Festplatte befinden. Hier hilft nur die Suche nach nicht zugeordneten Dateien, also ohne Hilfe der MFT-Einträge.

Eine gute Software zur Datenrettung sollte es ermöglichen, die Dateizuordnungstabelle MFT zu ignorieren und ebenfalls alle nicht zugewiesenen Cluster zu durchsuchen. Das bedeutet, dass man wissen muss, wie eine gelöschte Datei aussieht. Glücklicherweise haben die meisten Dateitypen einzigartige Kopf- und Fußzeilen. Diesen Aufbau macht sich die Software zu nutze und kann so die gesamte Festplatte nach den nicht zugeordneten Dateien durchsuchen. Dieser Suchvorgang dauert allerdings erheblich länger als die schnelle Suche in den MFT-Einträgen.

Wie schon in vorherigen Kapiteln beschrieben, belegt das Betriebssystem nur so viele Cluster auf der Festplatte, wie für eine Datei benötigt werden. Das kann bedeuten, dass die Originaldatei nur zum Teil überschrieben wurde und nur noch einen Teil des Inhalts wiederherstellt werden kann.

Leider ist auch dies manchmal nicht ausreichend, da die meisten Softwareanwendungen komplett intakte Dateien benötigen, um diese anzuzeigen. Die Wiederherstellung von teilweise korrupten Dateien ist ein weiterer, sehr spezieller Teilbereich der Datenrettung und setzt eine genaue Kenntnis der unterschiedlichen Dateitypen voraus.