Was genau passiert beim Löschen von Daten?

Wird unter Windows eine Datei gelöscht, so wird sie in den "Papierkorb" verschoben. Sie können sich den Windows ‚Papierkorb’ im Prinzip wie einen zusätzlichen Dateiordner vorstellen. Wirklich gelöscht ist die Datei, wenn der Papierkorb geleert oder die Datei ohne Zwischenstation Papierkorb gleich gelöscht wurde.

Wird eine Datei gelöscht, markiert das Betriebssystem den Dateinamen mit einem speziellen Zeichen in der Masterdateitabelle MFT, die bei Zugriff durch den Computer anzeigt, dass diese Datei gelöscht wurde. Das Betriebssystem markiert nun diese Cluster als freien, leeren Speicherplatz. Das bedeutet, dass dieser Speicherplatz nun von neuen Dateien genutzt werden kann. Das Betriebssystem löscht dabei nicht den Inhalt der einzelnen Cluster, er existiert also weiter und ist nur für das Betriebssystem als „frei“ markiert.

Das heißt: Dateien, die vom Betriebssystem nicht mehr lokalisiert werden können, aber in den „freigegebenen“ Clustern noch gespeichert sind, können von einer Datenrettungssoftware wieder hergestellt werden. Sind die betroffenen Cluster allerdings korrupt oder physisch beschädigt, ist eine Rettung eventuell nicht mehr möglich. Die meisten Programme zur Datenrettung gehen davon aus, dass Dateien in aufeinanderfolgenden Clustern gespeichert werden. Wenn jedoch die Dateizuordnungstabelle FAT und Masterdateitabelle MFT zerstört wurden, so ist damit auch die dort gespeicherte Information über die tatsächliche Fragmentierung, d.h. Verteilung der Informationen auf der Festplatte und der Speicherort der Datei verloren. Die gelöschte Datei ist also noch vorhanden, aber für wie lange?

Die einzige Möglichkeit, die gelöschten MFT-Daten oder die Inhalte der Datei selbst permanent zu löschen, ist diese durch andere, neue Dateien zu überschreiben. Das bedeutet, dass jegliche Nutzung des Computers und Speicherung von selbst kleinsten Dateien nach dem Datenverlust deren Wiederherstellung schwierig bis unmöglich machen kann.

Will man die Daten von der Festplatte retten, dann sollte der Wiederherstellungsprozess von einer zweiten Festplatte aus gestartet werden. Ansonsten kann es passieren, dass das Betriebssystem beim Versuch der Datenwiederherstellung, diese verlorenen Dateien überschreibt. Die Software zur Datenwiederherstellung sollte deshalb immer auf einer zweiten Festplatte und nicht auf der Festplatte, auf der sich die gelöschten Dateien befinden, installiert werden. Sie kann auch von CD oder einem externen Speichermedium (externe Festplatte, USB-Stick etc.) gestartet werden.