[MajorTom123]

Und wieso sollte das in diesem Fall bei JPEG besser gehen? Das ist auch nur ein Datenstrom von Bits und Bytes, genau wie Raw. Das kann man nicht einfach so wieder zusammen setzen. Nach dem Löschen von Dateien sind immer noch große Teile der FAT vorhanden, die zur Rekonstruktion herangezogen werden können.

Höchstens die größere Dateigröße von Raws könnte zum Problem werden.

[konzertpix.de]

Auf FAT-Datenträgern wird gelöscht, indem der erste Buchstabe des Dateinamens im Inhaltsverzeichnis des Datenträgers (den beiden File-Allocation-Tables - Original und Sicherungskopie am Ende des Datenträgers) durch einen Unterstrich _ ersetzt wird.

Das war es, mehr geschieht nicht

Damit sind die zur Datei gehörigen Datenblöcke auf dem Datenträger wieder als frei gekennzeichnet (der Aufbau ist im Prinzip so, daß mit dem Inhaltsverzeichnis-Eintrag der Beginn der Kette an Sektoren vermerkt ist und man sich dann von Sektor zu Sektor weiterhangelt, bis der letzte Sektor auf besondere Weise markiert ist). Alles weitere in Sachen löschen geschieht daher erst später, wenn Daten geschrieben werden sollen und dazu in den nun als frei erscheinenden Blöcken gespeichert werden.

Damit ist es auch verständlich, daß es sogar mit einem Disk Editor gelingt, Dateien wiederherzustellen, auch wenn die FAT verloren gegangen ist, wie es z.B. beim formatieren geschieht. Man muß nur nach der Ende-Zeichenkette suchen und wenn man diese hat, kann man dann bei Kenntnis aller Referenzen zwischen Sektoren untereinander an den Anfang zurückhangeln. Das Einlesen dieser ganzen Sektorenreferenzen dauert halt seine Zeit und was anschließend fehlt, ist der ursprüngliche Dateiname, was der Fall wäre, wenn man eben nicht formatiert, sondern nur gelöscht hat. So gehen übrigens die Datenrestaurierungsprogramme in der Regel vor.

Ich verstehe ohnehin nicht, warum diese Datenrettungsprogramme in der ersten Instanz bei FAT-Datenträgern dem Anwender nicht einfach die FAT mitsamt ihrer Unterstrich-Dateien präsentieren. Das funktioniert zwar nur auf FAT(32)-Datenträgern, geht dafür aber rasend schnell und führt bei Dateien, deren Verlust man sofort bemerkt ("Mist, jetzt habe ich diese Datei mit gelöscht, obwohl ich sie doch behalten wollte!") mit praktisch 100%iger Sicherheit nicht nur zu den ursprünglichen Dateien, sondern auch noch zum ursprünglichen _ateinamen. Und darüber hinaus werden keinerlei Dateien schreibenderweise geändert außer im dafür vorgesehenen Bereich des Inhaltsverzeichnis und die Datei ist damit schon wieder bearbeitbar - von wegen ohne Schreiben auf diesen Datenträger alles erstmal auf einen anderen kopieren...

DAS konnte sogar Microsofts leidiges Undelete von Anno-Dazumal-Uralt-MS-DOS und den darauf aufsetzenden Windows-Versionen bis ME. MS hat das aber irgendwann nicht mehr weitergeführt, als NTFS mehr und mehr in Mode kam. Der Aufbau dort unterscheidet sich grundsätzlich von dem eines FAT-Datenträgers und da machte es dann keinen Sinn mehr, auf diese Weise vorgehen zu wollen. Was dann wohl auch der Grund dafür ist, daß die Undelete-Hersteller nur einen Algorithmus einbauen, der auf allen unterstützten Formaten funktioniert, statt für FAT die superschnelle Ausnahme zu bauen

Obwohl man auf Speicherkarten nach wie vor FAT(32) nutzt!

[usch]

Zitat von konzertpix.de

Auf FAT-Datenträgern wird gelöscht, indem der erste Buchstabe des Dateinamens im Inhaltsverzeichnis des Datenträgers (den beiden File-Allocation-Tables - Original und Sicherungskopie am Ende des Datenträgers) durch einen Unterstrich _ ersetzt wird.

Faszinierend, wie man in einen so kurzen Satz so viele sachliche Fehler packen kann. Ich denke, du meinst das Richtige, aber es ist doch zumindest sehr unpräzise formuliert.

(1) In der FAT stehen keine Dateinamen, sondern nur Informationen darüber, welche Blöcke belegt und welche frei sind und in welcher Reihenfolge die belegten Blöcke hintereinander gehören. Die Namen der Dateien stehen davon getrennt im Directory, zusammen mit einem Vektor in die FAT, der angibt, wo die Datei beginnt.

(2) Zum Löschen einer Datei wird zunächst im Directory das erste Zeichen des Dateinamens unkenntlich gemacht, zusätzlich müssen aber in der FAT alle zu dieser Datei gehörenden Einträge ausgenullt werden, sonst wäre die Datei zwar verschwunden, aber der Speicherplatz trotzdem nicht freigegeben.

Danach sind aber sämtliche Informationen, wo sich die Datei einmal befunden hat, unwiederbringlich weg, bis auf den Vektor im Directory, aus dem man den Anfang der Datei rekonstruieren kann. Schon der zweite Block kann nur noch geraten werden, und da ist es natürlich doch hilfreich, den Dateityp zu kennen. Wenn ein Block z.B. nur ASCII-Text enthält, kann er unmöglich zu einer JPEG-Datei gehören, oder wenn die EXIF-Daten über eine Blockgrenze hinaus gehen, kann man vielleicht anhand des Inhaltes den zugehörigen Folgeblock finden. Da die meisten (oder sogar alle?) Raw-Formate eine TIFF-ähnliche Struktur haben, lassen die sich oft auch mit einem generischen Algorithmus rekonstruieren, ohne jetzt diesen speziellen Herstellerdialekt zu kennen, aber ein gewisses grundlegendes Wissen über das Dateiformat ist auch hier hilfreich. Wenn das fehlt, kann man halt nur hoffen, daß der freie Block unmittelbar hinter dem ersten dann derjenige ist, wo es weiter geht.

Das gilt jetzt nur für versehentlich oder absichtlich gelöschte Dateien. Beim Formatieren sieht das noch einmal anders aus. Da werden FAT und Root-Directory komplett ausgenullt, so daß auch die Verweise auf die Dateianfänge weg sind und man nur noch anhand des Inhaltes eines Blocks erraten kann "hier beginnt eine JPEG-Datei" oder "hier war mal ein Directory". Wenn man letzteres gefunden hat, kann man natürlich davon ausgehend wieder weitermachen wie oben.

Zu MS-DOS-Zeiten war es AFAIR so, daß beim Löschen einer Datei nur die erste FAT aktualisiert wurde, aber noch nicht die Sicherheitskopie. Auf Kopie hat dann UNDELETE zurückgegriffen und konnte auf diese Weise eine Datei ohne Ratespielchen zurückholen. Davon ist man aber wieder abgekommen, warum auch immer.

(3) Die Sicherheitskopie der FAT liegt nicht am Ende des Datenträgers, sondern unmittelbar hinter dem Original. Sonst wären Schreibzugriffe auf magnetische Medien unerträglich ineffizient, weil jedes Mal der Kopf einmal ganz an den Anfang und einmal ganz ans Ende fahren müßte.

Wenn man unter MS-DOS 5 oder 6 formatiert hat, dann wurden vom FORMAT-Programm vorher Stammverzeichnis und FAT ans Ende des Datenträgers in Sicherheit gebracht, so daß man sie mit UNFORMAT wieder herstellen konnte. Ob das beim Formatieren unter Windows oder gar beim Formatieren in der Kamera noch so ist, weiß ich nicht; vermutlich eher nicht.

(4) Und noch eben am Rande gesagt: Beim Löschen wird das erste Zeichen des Dateinamens nicht durch einen Unterstrich (hex 0x5F) ersetzt, sondern durch 0xE5. Sonst könnte Sony Dateien im AdobeRGB-Farbraum ja nicht _DSC1234.JPG nennen

Zitat von MajorTom123

Wenn die Speicherkarte nicht fragmentiert ist und keine anderen Dateien enthält, könnte man wohl tatsächlich JPEGs restaurieren, auch wenn die FAT total hinüber ist. Man könnte durch Versuch-und-Irrtum den ersten Sektor finden (der JPEG Marker im Header ist allerdings nur 2 Bytes groß, was es schon wieder schwierig macht) und dann Sektor für Sektor über die Speicherkarte rödeln und dekodieren, bis man am Ende ist. Dann macht man mit dem nächsten Bild weiter.

Das funktioniert aber eben nur, wenn nichts fragmentiert ist und keine anderen Dateien dazwischenfunken, die dann alles durcheinander würfeln würden.

Man könnte Bilddateien interaktiv rekonstruieren, indem man dem Benutzer das Ergebnis auf dem Bildschirm präsentiert und er klickt dann entweder auf Ok oder markiert die Stelle, an der es nicht stimmt. Dann könnte das Programm von da aus eine andere Fortsetzung suchen. Das ist natürlich eine mühsame Angelegenheit, aber für ein unersetzliches Bild würde das vielleicht mancher auf sich nehmen.

[wr2000]

Hallo,
versuch mal das Programm Testdisk, aktuelle Version 6.12. Damit habe ich schonmehrere, auch sonst nicht mehr lesbare Karten größtenteilswieder hergestellt.
Gruß
Wolfgang

[konzertpix.de]

Danke an Usch für die Richtigstellungen; mein Wissen über die FAT und das Format von MS stammt in der Tat aus den uralten Zeiten. Daher rührt z.B. auch die Meinung her, die Kopie stünde am Ende - du schreibst, beim Format würde die Kopie ans Ende gerettet werden. Pech für mich - genauso wie die Sache mit dem _. Dieses Zeichen wurde vom Undelete-Befehl als Vorgabe vorgeschlagen

Aber das ist nun sicherlich schon 15 Jahre her. Insofern hoffe ich auf Verzeihung !

[wwjdo?]

Schwieirg wird es, wenn Aufnahmen im RAW Format gerettet werden sollen.

TIFF ist dagegen unproblematischer...

Den PC Inspektor (convar, smart recovery) finde ich an sich sehr gut aber bei RAW muss er passen...

[Erster]

Zitat von MajorTom123

Und wieso sollte das in diesem Fall bei JPEG besser gehen?

Weil das JPEG-Format ein recht bekannter Standard ist und es so für das Programm einfacher ist, die Dateien wieder herzustellen? RAW hingegen als Standard gibt es nicht, da hat jeder Hersteller bei nahezu jeder Kamera ein eigenes Format.

[konzertpix.de]

André, meinen Ausführungen zufolge ist es vollkommen egal, was für Dateien wiederherzustellen sind.

Aber: die Kenntnis über den Dateityp erleichtert das Auffinden von diesen Daten im Wust an Sektoren sehr, weil damit dann auch die ersten Sektoren bekannt sind und man gerade nicht alle miteinander in Beziehung setzen muß. Bestimmte Dateitypen beginnen in der Regel mit einer definierten ersten Datenbyte-Folge und die findet man in jedem Fall. Und man kann dadurch gezielt nur ein paar Dateien statt einfach mal alle wiederherstellen - und diesen Dateien zwar einen Zufallsnamen, aber ihre korrekte Endung geben.

[maikel744]

Suche mal nach smartrecovery . Da findest Du ein Programm was alles von flashcards wieder herstellt oder rettet. Solange nicht wieder darauf geschrieben wurde .

[MajorTom123]

Wenn die Speicherkarte nicht fragmentiert ist und keine anderen Dateien enthält, könnte man wohl tatsächlich JPEGs restaurieren, auch wenn die FAT total hinüber ist. Man könnte durch Versuch-und-Irrtum den ersten Sektor finden (der JPEG Marker im Header ist allerdings nur 2 Bytes groß, was es schon wieder schwierig macht) und dann Sektor für Sektor über die Speicherkarte rödeln und dekodieren, bis man am Ende ist. Dann macht man mit dem nächsten Bild weiter.

Das funktioniert aber eben nur, wenn nichts fragmentiert ist und keine anderen Dateien dazwischenfunken, die dann alles durcheinander würfeln würden.

Die erste Bedingung könnte sogar recht zuverlässig zutreffen. Möglicherweise fragmentieren Speicherkarten in Digitalkameras erst, wenn sie voll werden (normalerweise werden Lücken, die durch Löschen entstanden sind, schneller geschlossen), weil die Implementierung einfacher ist. Aber das ist sicher von Kamera zu Kamera verschieden. Wenn aber zusätzlich noch andere Dateien, z.B. Raws dazwischenliegen, wird diese Methode sehr schwierig. Man müsste das nächste JPEG finden, was schwer ist, ohne das Ende der vorherigen Datei zu kennen.

Und wenn man schon mehrfach vorher formatiert hat, wird das auch schwierig. Dabei wird ja nur die FAT gelöscht, die Datensektoren bleiben unangetastet und werden einfach später überschrieben.