Eine zerstörte Partitionstabelle, ein Laufwerksbuchstabe, der plötzlich verschwindet, aus Versehen gelöschte Fotos: diese Unfälle haben eine Gemeinsamkeit, denn je früher das Schreiben auf diese Platte aufhört, desto besser stehen die Chancen auf die Daten. TestDisk und PhotoRec sind ein Paar kostenloser Werkzeuge mit offenem Quellcode, das genau für diesen Moment gebaut ist. Die Seite führt beide in der stabilen Fassung 7.2, erschienen am 2024-02-22, unter der GNU General Public License, GPL v2 oder höher.

Die Arbeitsteilung: eines repariert Partitionen, eines fischt Dateien heraus

Es sind Begleitprogramme, und die Trennung ist sauber. TestDisk ist vor allem dafür da, verlorene Partitionen zurückzuholen und eine Platte wieder startfähig zu machen, wenn ein Virus oder eine versehentlich gelöschte Partitionstabelle das auf der Softwareebene weggenommen hat. Die Dokumentation betont einen Punkt ausdrücklich: eine Partitionstabelle mit TestDisk wiederherzustellen ist für sich genommen einfach. PhotoRec geht einen völlig anderen Weg. Es rührt die Partitionstabelle nicht an und holt Dateien stattdessen direkt aus den Rohdaten.

Was TestDisk repariert

Der zentralste Punkt der Funktionsliste ist die Reparatur der Partitionstabelle und das Zurückholen gelöschter Partitionen. Darüber hinaus kann es die MFT aus ihrem Spiegel reparieren, den NTFS-Startsektor neu aufbauen oder diesen Sektor aus einer Sicherung zurückspielen. Auf der Ebene der Dateien deckt die Wiederherstellung gelöschter Dateien FAT, exFAT, NTFS und ext2 ab, und Dateien innerhalb einer gelöschten Partition lassen sich direkt herauskopieren.

Es macht wenig aus, wenn sich die Partition gar nicht zurückholen lässt, denn TestDisk findet verlorene Partitionen in einer ganzen Reihe von Dateisystemen. Die offizielle Liste nennt APFS, XFS und Sun ZFS, und die Spanne reicht vom NTFS und exFAT, das Windows nutzt, bis zu den Dateisystemen, die auf Linux-Maschinen liegen.

Die Plattformen sind weit gestreut. Der offizielle Bereich umfasst DOS, Windows und Windows Server, Linux sowie die BSD-Familie, SunOS und MacOS X, und für vier dieser Plattformen werden Binärdateien samt Quellcode direkt angeboten.

PhotoRec: es liest keine Dateisysteme, es liest Signaturen

PhotoRec ist ein signaturbasiertes Werkzeug zur Dateiwiederherstellung, und der Gedanke dahinter ist, das Dateisystem zu umgehen und direkt auf den darunterliegenden Daten zu arbeiten. Es funktioniert auch dann weiter, wenn das Dateisystem auf dem Datenträger schwer beschädigt oder gleich neu formatiert worden ist. Die Seite beziffert die Formatabdeckung mit mehr als 440, die vollständige Liste auf der Seite reicht über 480 Dateiendungen, und die entsprechen grob 300 Dateifamilien.

Mit den Datenträgertypen wird genauso locker umgegangen: Festplatten, CD-ROM, Speicherkarten jeder Art und USB-Speicherlaufwerke liegen im Bereich, und auch Forensikformate wie rohe DD-Abbilder und E01-Beweisabbilder lassen sich verarbeiten. Die Seite hält außerdem Tests auf tragbaren Abspielgeräten fest.

Eines muss man vor dem Anfang wissen

PhotoRec greift auf das Laufwerk oder die Speicherkarte, aus der gerettet wird, nur lesend zu, und das ist eine Sicherheitsentscheidung. Der Vorbehalt dazu wiegt mehr: gerettete Dateien dürfen niemals in die Partition zurückgeschrieben werden, aus der sie stammen, weil frische Schreibvorgänge Material überschreiben können, das noch nicht herausgefischt ist. Die richtige Reihenfolge ist, eine zweite Platte oder eine andere Partition als Ziel vorzubereiten und erst dann die Suche zu starten.

Zur Systemabdeckung: PhotoRec unterstützt die Verbraucherreihe von Windows 11 zurück bis XP, die Serverreihe von Server 2022 zurück bis 2003, daneben Linux, die BSD-Familie, Sun Solaris und Mac OS X. Es richtet sich an gewöhnliche Nutzer und Fachleute zugleich, in dem Sinn, dass jemand ohne Erfahrung mit Datenrettung damit detaillierte Angaben über eine Platte sammeln und diese einem Spezialisten zur weiteren Untersuchung übergeben kann.

Was die beiden Werkzeuge tatsächlich tun, ist das Fenster zu verbreitern, in dem ein Fehler noch umkehrbar ist. Auf dem Datenträger ändert sich nichts, nur weil eine Partitionstabelle überschrieben wurde; geändert hat sich, dass das Betriebssystem den Weg hinein nicht mehr findet. Die rohen Strukturen zurückzulesen ist deshalb ein ganz anderes Anliegen als das Zurückspielen einer Sicherung, und es ist das einzige, das bleibt, wenn keine Sicherung existiert.

Für wen es taugt

Eine Maschine, die noch startet und bei der nur die Partitionstabelle durcheinandergeraten ist, geht an TestDisk. Eine formatierte Speicherkarte aus einer Kamera geht an PhotoRec. Beide bieten eine interaktive Kommandozeile, und die Dokumentation ist gründlich, mit eigenen Seiten für die schrittweise Wiederherstellung der Partitionstabelle und für den vollständigen Ablauf der Dateirettung, in mehreren Sprachen.

Das erste Prinzip der Datenrettung ändert sich nie: aufhören, sich zu bewegen. Sobald eine Partition fehlt oder eine Datei gelöscht ist, nichts mehr auf diese Platte schreiben und erst dann mit der Suche beginnen. TestDisk und PhotoRec sind beide kostenlos unter der GPL v2 oder höher veröffentlicht, und eine Suche kann starten, sobald sie heruntergeladen sind.