Anwendungs-Software und Apps 14.472 Themen, 73.380 Beiträge

Wiederherstellung per Image - geht das Rückgängig?

uspc / 21 Antworten / Baumansicht Nickles

Hallo, eine grundsätzliche Frage: ein Bekannter hat auf seinen relativ aktuellen Rechner irgendwann per Acronis ein Image angelegt. Kürzlich streikte das System, er setzt per Image den Rechner zurück. Dabei bemerkt er erst jetzt, dass dort ein wichtiges Programm war, dessen Daten er gern gesichert hätte. Ja und noch einige Dinge mehr. Jetzt die Frage: Kann man ein solches Überschreiben wieder rückgängig machen? Geht das überhaupt ? Ich hatte mal was mit testdisk gemacht, aber da kann man doch bestenfalls nur einzelne Dateien wie Bilder retten? Ganze Programme oder besser den Urzustand von Davor geht doch gar nicht - ODER ?

Ich rechne jetzt mit vielen "Nein, das geht nicht".
Aber: Gibt es Spezial-Firmen, die das können? Weil das ist ihm so wichtig, dass er das auch in Auftrag geben würde. Nur die Frage ist ja, geht denn das überhaupt?
Schon mal vielen Dank für Antworten!
Gruss uspc

bei Antwort benachrichtigen
gelöscht_238890 uspc „Wiederherstellung per Image - geht das Rückgängig?“
Optionen

Hi,

mit Hausmittel wird es schwierig.
Hier sind die Profis mit kostenloser Rufnummer.

http://www.krollontrack.de/datenrettung/datenrettung-services/datenrettung-festplatte/


Viel GlückLächelnd
bei Antwort benachrichtigen
mawe2 uspc „Wiederherstellung per Image - geht das Rückgängig?“
Optionen
Ich rechne jetzt mit vielen "Nein, das geht nicht".

Zu Recht!

Gibt es Spezial-Firmen, die das können?

Nein.

Dort, wo die früheren Daten auf der Festplatte gespeichert waren, befinden jetzt die Daten der (ungewollt) zurückgespielten Acronis-Sicherung.

Der alte Inhalt kann dann nicht auch noch zusätzlich vorhanden sein, denn das würde ja bedeuten, dass an einer "Speicherstelle" zwei verschiedene Bits gleichzeitig stehen können. Das ist aber nicht möglich. Sonst hätte eine 1000 GB-Platte ja 2000 GB Speicherkapazität.

Du wirst jetzt sicher noch irgendwelche Tipps bekommen, die ihren Ursprung im Geheimdienstmillieu haben. Aber realistisch betrachtet sind diese Daten einfach weg, leider!

Generell scheint hier aber auch eine fehlerhafte Verwendung von Imagesicherungen vorzuliegen: Mit solchen Images sichert man bevorzugt System- und Programmpartitionen aber keine Datenpartitionen mit individuellen Nutzerdaten. Die sichert man mit einer Backup-Software.

Gruß, mawe2
bei Antwort benachrichtigen
rill mawe2 „Zu Recht! Nein. Dort, wo die früheren Daten auf der ...“
Optionen
Dort, wo die früheren Daten auf der Festplatte gespeichert waren, befinden jetzt die Daten der (ungewollt) zurückgespielten Acronis-Sicherung.


Kann sein muß aber nicht! Deine Pauschalaussage ist so also nicht korrekt! Wenn der PC-Besitzer noch eventuell nicht überschriebene Daten retten will, darf er den PC nicht mehr mit Windows starten! Jeder Windows-Start verringert die Möglichkeiten der Datenwiederherstellung! Die betroffene Festplatte sollte nur noch in Systemen als reine Datenfestplatte betrieben werden - mit entsprechender Software kann man den Versuch einer Datenrekonstuktion unternehmen.

Mit technischen Ausrüstungen ist es auch möglich, unter bestimmten Umständen bereits überschriebene Daten zu rekonstruieren (Restmagnetismus der alten Daten auslesen) - wird z. B. in Fällen von Schwerstkriminalität und Terrorismusbekämpfung von Speziallaboren praktiziert ... alles eine Kostenfrage und eine Frage der Wichtigkeit der Daten! Nicht umsonst wird 7-maliges Überschreiben mit wechselnden Zeichen zum sicheren Löschen von Daten empfohlen bzw. bestimmte Tools haben dies so implementiert.


rill

bei Antwort benachrichtigen
gelöscht_265507 rill „Kann sein muß aber nicht! Deine Pauschalaussage ist so ...“
Optionen

Dem kann ich nur zustimmen.

Jedenfalls schreibt ein Image bei mir alles an den Anfang der Festplatte zurück.

bei Antwort benachrichtigen
mawe2 gelöscht_265507 „Dem kann ich nur zustimmen. Jedenfalls schreibt ein Image ...“
Optionen

Wenn tatsächlich die alten Daten am "Ende" der Partition lagen und das Image liegt jetzt am "Anfang" (und das Ganze überlagert sich nicht), dann hätte ja Testdisk die alten Inhalte schon zu Tage fördern können. Das wäre ja der Trivialfall.

bei Antwort benachrichtigen
mawe2 rill „Kann sein muß aber nicht! Deine Pauschalaussage ist so ...“
Optionen
Wenn der PC-Besitzer noch eventuell nicht überschriebene Daten retten will, darf er den PC nicht mehr mit Windows starten!

Er hat ein komplettes (altes) Image drübergezogen! Da ist egal, ob er den Rechner mit Windows oder mit einem anderen OS startet!

mit entsprechender Software kann man den Versuch einer Datenrekonstuktion unternehmen.

Das hältst Du für realistisch?

Mit technischen Ausrüstungen ist es auch möglich, unter bestimmten Umständen bereits überschriebene Daten zu rekonstruieren (Restmagnetismus der alten Daten auslesen) - wird z. B. in Fällen von Schwerstkriminalität und Terrorismusbekämpfung von Speziallaboren praktiziert ... alles eine Kostenfrage und eine Frage der Wichtigkeit der Daten!

Wie ich oben schon schrieb: Jetzt kommen die Tipps aus dem Geheimdienstmillieu...

Nenne mir mal einen konkreten Fall von Schwerstkriminalität, in dem das gemacht wurde! Bei uns werden doch in Fällen von Schwerstkriminalität nicht mal ganz normal lesbare Informationen auf Papier ausgewertet sondern stattdessen diese Informationen vernichtet. Wo bitte soll denn der Restmagnetismus "unterhalb" neu geschriebener Daten auf einer Festplatte ausgewertet worden sein?

Auch wenn James Bond aus seiner Armbanduhr eine Panzerabwehrrakete verschießt, muss das in der Realität noch lange nicht klappen! :-)

Nicht umsonst wird 7-maliges Überschreiben mit wechselnden Zeichen zum sicheren Löschen von Daten empfohlen

Doch, das wird völlig umsonst empfohlen!

Wenn 7-maliges Überschreiben wirklich nötig wäre, würden an einer "Speicherstelle" nicht nur ein Bit sondern 7 Bit stehen. Man könnte also auf einer 1000-GB-Platte 7000 GB speichern. Warum wird das dann in der Praxis nicht gemacht? Meinst Du, die Plattenhersteller verzichten absichtlich auf 6/7 der möglichen Plattenkapazität?

Ich halte es für wenig zielführend, uspc hier Hoffnungen zu machen, die völlig unrealistisch sind. Auch wenn unter extremen Laborbedingungen ein "Restmagnetismus" eines alten Bits unterhalb eines neuen Bits tatsächlich mal gefunden wurde. Eine saubere Wiederherstellung einer größeren Menge von Dateien bleibt in diesem Falle Wunschdenken.

Aber natürlich kann man die Platte zu den einschlägigen Laboren schicken, die Datenwiederherstellung anbieten. Die schauen sich das sicher gern an.

Aber wenn die dann eine Platte voller neuer Daten vorfinden - woher sollen die wissen, welcher der 7 vorhandenen Restmagnetismen der alten Daten nun der Gewünschte ist? Meinst Du, jedes der alten Bits hat einen eigenen Zeitstempel?
bei Antwort benachrichtigen
Kabelschrat mawe2 „Er hat ein komplettes (altes) Image drübergezogen! Da ist ...“
Optionen
Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
mawe2 Kabelschrat „Hallo mawe, weist Du überhaupt worüber du ...“
Optionen
weist Du überhaupt worüber du sprichts?

Ja, weiß ich.

Theoretisch könnte man sogar zum Mond fliegen.
Allerdings hat das schon 40 Jahre lang keiner mehr gemacht.
Und das, obwohl es sogar praktisch schon mal gemacht wurde!

(RTF-Dateien aus dem Internet öffne ich generell nicht.)

Gruß, mawe2
bei Antwort benachrichtigen
Kabelschrat mawe2 „Er hat ein komplettes (altes) Image drübergezogen! Da ist ...“
Optionen
Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
gelöscht_238890 rill „Kann sein muß aber nicht! Deine Pauschalaussage ist so ...“
Optionen
Doch, das wird völlig umsonst empfohlen! Wenn 7-maliges Überschreiben wirklich nötig wäre, würden an einer "Speicherstelle" nicht nur ein Bit sondern 7 Bit stehen. Man könnte also auf einer 1000-GB-Platte 7000 GB speichern. Warum wird das dann in der Praxis nicht gemacht? Meinst Du, die Plattenhersteller verzichten absichtlich auf 6/7 der möglichen Plattenkapazität?

Das ist doch jetzt wohl ein Witz, oder???  Willst Du hier deine Reputation verzocken?
bei Antwort benachrichtigen
mawe2 gelöscht_238890 „Das ist doch jetzt wohl ein Witz, oder??? Willst Du hier ...“
Optionen
Willst Du hier deine Reputation verzocken?

Ich habe ja die abenteuerliche Behauptung ("7 mal löschen...") nicht gemacht!

Wieso soll man ein und das selbe Bit 7 mal löschen? Wenn man es einmal löscht, ist die Information weg. Fertig. Und wo soll denn der erwähnte Restmagnetismus sein? Links und rechts von dem ehemaligen Bit? Wenn dort so viel Kapazität wäre, könnte man die auch zum Speichern von Nutzdaten verwenden und die Platte hätte ein Vielfaches der nominellen Kapazität.

Es mag ja durch irgendwelche Toleranzen links und rechts vom Bit noch ein paar Reste geben. Sinnvoll auswertbar sind die aber nicht, schon gar nicht, wenn es pro Bit 7 verschiedene Zustände sind!

Machen wir es doch mal anders:

Derjenige, der nach einmaligem Überschreiben seiner Platte nachträglich noch frühere Daten (gern auch drei, vier verschiedene frühere Stände) rekonstruieren konnte, möge sich doch bitte hier melden und das Verfahren beschreiben.

Gruß, mawe2
bei Antwort benachrichtigen
gelöscht_238890 mawe2 „Ich habe ja die abenteuerliche Behauptung ("7 mal ...“
Optionen
Ich habe ja die abenteuerliche Behauptung ("7 mal löschen...") nicht gemacht!
Diese nicht, aber hier diese:
Wenn 7-maliges Überschreiben wirklich nötig wäre, würden an einer "Speicherstelle" nicht nur ein Bit sondern 7 Bit stehen.

---------------------------

Und nein, Nickles funktioniert immer noch nicht richtig...Weinend

Habe ich jetzt 3x geschrieben.
bei Antwort benachrichtigen
hellawaits mawe2 „Ich habe ja die abenteuerliche Behauptung ("7 mal ...“
Optionen

Moin mawe2,

mmmh .... ohne Dir zu nahe treten zu wollen ... ich habe es in der Vergangenheit mal geschafft. Nachdem ich die Festplatte mit "Wipedisk" überschrieben hatte (weiß nicht mehr wie oft, da schon längere Zeit her), konnte ich noch einzelne Dateien (mit Hilfe von "Get data back") fehlerfrei wieder herstellen. Der Großteil der Daten war nur noch Müll, aber ein kleiner Teil konnte zu meiner Überraschung rekonstruiert werden.

Grüße
Hellawaits

bei Antwort benachrichtigen
mawe2 hellawaits „Moin mawe2, mmmh .... ohne Dir zu nahe treten zu wollen ... ...“
Optionen
ohne Dir zu nahe treten zu wollen

Machst Du nicht, ich habe je explizit danach gefragt!

Der Großteil der Daten war nur noch Müll, aber ein kleiner Teil konnte zu meiner Überraschung rekonstruiert werden.

So sind auch meine Erfahrungen.

Der Fall hier liegt aber anders: Es geht nicht um das Löschen mit Wipedisk sondern ein komplettes Alt-Image wurde über eine bestehende Installation drübergebügelt. Da liegen also jede Menge gut strukturierte und gut konditionierte Dateien auf der Platte, die alle lesbar sind.

Und da soll jemand "daneben" (oder "darunter") noch irgendwas anderes finden?

Und dann soll u.U. auch noch eine komplette Programminstallation mit allen beteiligten Dateien, Ordnern, Unterordnern, Registry-Einträgen usw. vollständig wiederhergestellt werden?

Versuchen kann man es. Es spricht nichts dagegen, alle möglichen Tools auf diese Partition loszujagen. Aber mir ist kein Tool bekannt, das bei vorhandenen, gut lesbaren fehlerfreien Dateien "nebenbei" auch noch was anderes (an der selben Stelle!) findet. Der Fall, dass die verlorene Installation komplett die zweite Hälfte der Partition belegt hatte und das Image jetzt komplett auf die erste Hälfte geschrieben wurde, ist natürlich nicht 100%ig auszuschließen.

Gruß, mawe2
bei Antwort benachrichtigen
gelöscht_152402 mawe2 „Ich habe ja die abenteuerliche Behauptung ("7 mal ...“
Optionen
Wieso soll man ein und das selbe Bit 7 mal löschen? Wenn man es einmal löscht, ist die Information weg. Fertig. Und wo soll denn der erwähnte Restmagnetismus sein? Links und rechts von dem ehemaligen Bit? Wenn dort so viel Kapazität wäre, könnte man die auch zum Speichern von Nutzdaten verwenden und die Platte hätte ein Vielfaches der nominellen Kapazität.

Weil ein gelöschtes Bit Spuren hinterlässt! Digital heißt nicht gleich, dass man eins und null beliebig setzen kann und nichts hätte Folgen. Denn diese Vorgänge sind analog!
Wir erinnern uns an den Physikunterricht und an die Eisenspäne auf dem Blatt Papier, die ein Magnet darunter in einem Muster ausrichtet. Genau so funktioniert auch eine Festplatte. Allerdings sind die magnetischen Kräfte (Stromstärken beim magnetisieren) beim lesen und schreiben nicht gleich. Beim schreiben wird also mehr Strom verwendet als beim lesen/löschen. Logisch- sonst würde man die geschriebene Information zu stark verändern.
Stellen wir uns nun einen Papierblock vor, auf dessen oberste Seite etwas mit Kuli geschrieben wurde. Dieses Blatt reissen wir nun ab. Darüber schraffieren wir mit einem Bleistift und voilá- da ist die Information wieder. Nicht mehr ganz so leserlich aber immerhin. So geht das auch mit dem Restmagnetismus. Reissen wir nun mehrere Blätter ab, sagen wir sieben, so ist auch mit der Bleistiftschraffur nix mehr rauszuholen.
Das ist die Praxis.

Dumm ist nur, dass weder der Mensch noch ein Programm, solche Fragmente konkret entziffern und wieder herstellen kann. Es nützt also wenig bis nichts, etwas zu wieder sichtbar zu machen, das aber nicht weiter interpretiert und somit wiederhergestellt werden kann. Schade auch. Da liegt der Hase im Pfeffer.

Allerdings ist löschen auch nicht gleich löschen! Löscht man eine Datei, so wird meist nur ihr Eintrag im Inhaltsverzeichnis gelöscht und als wieder frei markiert. Die Datei ist also immer noch physikalisch vorhanden. So lässt sie sich auch meist leicht wiederherstellen. Veranlasst man mittels Software, dass die physikalische Adresse überschrieben wird, findet an jener Stelle ein Schreibvorgang statt- üblicherweise mit NULL oder s.g. Datenschrott. Man nennt das schreddern. Bereits nach einmal überschreiben sind diese Dateifragmente (Cluster) nicht mehr sicher zu rekonstruieren. Und irgendjemand muss mal ausgerechnet haben, dass nach sieben Mal nix mehr geht. Daher kommt das.


Es werden also zum speichern von Daten keine zusätzlichen Bites benötigt noch sind sie vorhanden. Das ist reine Physik an einem ganz bestimmten Ort mit einer ganz bestimmten Intensität. Rein analog also. Lediglich geschrieben, gelesen und somit auch gelöscht wird digital aber das hebelt die analoge Physik nicht aus.

So erkennt z.b. die SMART-Software, welche physikalischen Bereiche sich noch magnetisieren lassen (Werkstoff/Widerstand) und blendet sie aus, wenn sie dazu nicht mehr in der Lage sind. Der Hersteller hat dazu eine Reserve verbaut, um dies auszugleichen. Wird diese überschritten, geht die Platte ihrem Ende zu. Reine und analoge Werkstofftechnik. Der Bereich lässt sich nicht mehr magnetisieren und es ist aus mit lesen/schreiben.

Ich hoffe damit ein wenig Klarheit in die Materie gebracht zu haben.
bei Antwort benachrichtigen
mawe2 gelöscht_152402 „Weil ein gelöschtes Bit Spuren hinterlässt! Digital ...“
Optionen
Das ist die Praxis.

Ja, beim Schreibblock!

Bei einer Festplatte ist das garantiert nirgendwo Praxis. Dort ist es Theorie.

Dumm ist nur, dass weder der Mensch noch ein Programm, solche Fragmente konkret entziffern und wieder herstellen kann. Es nützt also wenig bis nichts, etwas zu wieder sichtbar zu machen, das aber nicht weiter interpretiert und somit wiederhergestellt werden kann. Schade auch. Da liegt der Hase im Pfeffer.

Genau so habe ich es ja auch gemeint.

Allerdings ist löschen auch nicht gleich löschen! Löscht man eine Datei, so wird meist nur ihr Eintrag im Inhaltsverzeichnis gelöscht und als wieder frei markiert. Die Datei ist also immer noch physikalisch vorhanden. So lässt sie sich auch meist leicht wiederherstellen.

Das ist doch alles bekannt. Sonst müsste man ja solche Programme wie TestDisk oder Photorec gar nicht erst erwähnen.

Bereits nach einmal überschreiben sind diese Dateifragmente (Cluster) nicht mehr sicher zu rekonstruieren.

Eben.

Und irgendjemand muss mal ausgerechnet haben, dass nach sieben Mal nix mehr geht. Daher kommt das.

Wobei das eben eine sehr theoretische Rechnung ohne jeden Praxisbezug ist. Und nur um die Praxis geht es mir. Die Theorie, die niemand praktisch nutzen kann, bleibt Theorie.

Ich hoffe damit ein wenig Klarheit in die Materie gebracht zu haben.

Du hast das, was ich gemeint habe, nochmal mit anderen Worten und etwas konkreter beschrieben. Ob es die Zweifler und 7-fach-Löscher überzeugt, ist eine andere Frage.

Gruß, mawe2
bei Antwort benachrichtigen
mawe2 uspc „Wiederherstellung per Image - geht das Rückgängig?“
Optionen
Dabei bemerkt er erst jetzt, dass dort ein wichtiges Programm war, dessen Daten er gern gesichert hätte.

Ganze Programme oder besser den Urzustand von Davor geht doch gar nicht - ODER ?

Will Dein Bekannter nun Daten oder Programme wiederherstellen?

Ein Programm kann man doch neu installieren. Warum soll dafür ein (wie auch immer gearteter) extrem kostspieliger Wiederherstellungsaufwand betrieben werden?

Verlorene Individualdaten sind schon schlimmer. Und die Chancen stehen sehr schlecht...

Gruß, mawe2
bei Antwort benachrichtigen
uspc Nachtrag zu: „Wiederherstellung per Image - geht das Rückgängig?“
Optionen

Hallo, Danke und Auweia, da hab ich ja was losgetreten... Aber das ist für mich sehr viel Info, auch sehr gut argumentiert. Nochmal zusammengefasst: Er will die Partition so haben, dass alles wieder läuft. In einem Programm, was da drauf war, hat er viele seiner Firmendaten gespeichert. Man müsste das Programm wieder zum Laufen kriegen, natürlich mit den Daten. Niemand weiß genau, wie das Programm richtig hieß. Er hat es auch gar nicht mehr. Ja das kommt vor, das lief und lief.... Auch der Beitrag >Backup< war i.O., er hat das nun mal nicht gemacht. 
Zum Kostenfaktor: Er würde auch Geld für eine Wiederherstellung ausgeben, nur ist das begrenzt. Ich hatte mal von von "4-stellig" gehört, als jemand eine defekte Festplatte zu einer Spezialfirma einschickte. Und am Ende waren da einige Daten gerettet, aber ob es die waren, die man braucht... 
Ich ziehe jetzt den Schluss, dass man eventuell einige Dateien retten könnte, aber keinesfalls das System mit Programmen. Es bleibt der Versuch bei einer Spezialfirma, man kann sich ja ein Angebot einholen. Ich zitiere aus einem o.g. Link:  Solange die Daten nicht überschrieben wurden, sind die Daten, die sich einmal auf der Festplatte befanden, immer noch vorhanden. (http://www.datenrettung-etc.de/ueber-datenrettung.htm
Da ein Image die Partition überschreibt, sind die Daten weg. Gemeint ist, wenn ich z.B. einen Ordner lösche, auch aus dem Papierkorb, kriegt ich das wahrscheinlich wieder hin, solange ich nichts neues angelegt oder installiert habe. 
Also gut, das wird wohl nichts. Vielen vielen Dank an Euch!
Beste Grüsse von uspc

bei Antwort benachrichtigen
Kabelschrat uspc „Hallo, Danke und Auweia, da hab ich ja was losgetreten... ...“
Optionen

Hallo uspc

Da ein Image die Partition überschreibt, sind die Daten weg

völlig logisch??!! Wenn ihr viel Glück habt wurde der Bereich nicht überschrieben! Oder war die Partition randvoll als das Image erstellt wurde.

Gruß
Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
mawe2 uspc „Hallo, Danke und Auweia, da hab ich ja was losgetreten... ...“
Optionen
Ich hatte mal von von "4-stellig" gehört, als jemand eine defekte Festplatte zu einer Spezialfirma einschickte.

Mit vierstellig aufwärts muss man rechnen, wenn es sich um einen normalen Festplattendefekt handelt. Aber das ist ja hier nicht der Fall. Die sehr theoretischen Ausnahmefälle (Stichwort "Restmagnetismus") werden (falls dort überhaupt was zu retten ist) sicher noch viel teurer sein. Da muss man wirklich sehr wichtige Daten drauf haben, wenn einem das mehrere Mittelklassewagen wert sein soll.

Es bleibt der Versuch bei einer Spezialfirma, man kann sich ja ein Angebot einholen.

Natürlich. Da spricht ja nichts dagegen. Aber die werden Dir außer dem Preis auch ihre Vertragsbedingungen nennen und selbstverständlich können die nichts garantieren!

Solange die Daten nicht überschrieben wurden, sind die Daten, die sich einmal auf der Festplatte befanden, immer noch vorhanden.

Natürlich. Aber mit dem zurückgespielten Image wurden die Daten ja vermutlich überschrieben.

Du könntest ja auf alle Fälle die Platte mal als Datenplatte in einen anderen Rechner hängen und mal mit Testdisk oder PhotoRec Dein Glück versuchen. Dass Du komplett den Ausgangszustand wieder herstellen kannt, kann als ausgeschlossen gelten.

Gruß, mawe2
bei Antwort benachrichtigen
gelöscht_238890 uspc „Wiederherstellung per Image - geht das Rückgängig?“
Optionen

Hi,

Er will die Partition so haben, dass alles wieder läuft.
das würde an Zauberei grenzen...Lachend
bei Antwort benachrichtigen