Handbuch Recover

Bevor Sie beginnen

• Schreiben Sie nichts mehr auf die Platte, auf der die Dateien lagen. Jede neue Datei kann eine gelöschte überschreiben.
• Halten Sie eine zweite Platte mit genug freiem Platz bereit. Wiederhergestellte Dateien und Disk-Images landen immer dort, nie auf der Quellplatte.
• Hören Sie auf die Platte. Ticken, Klicken oder Kratzen heißt: aufhören und die Platte prüfen lassen. Software verschlimmert einen physischen Defekt.
• Recover schreibt nie auf die Quelle: Der Datenträger wird auf jedem System nur gelesen.

Recover mit vollem Zugriff starten

Um physische Datenträger zu lesen, braucht Recover erhöhte Rechte. Für Image-Dateien nicht.

recover-cli.exe devices
recover-cli.exe info \\.\PhysicalDrive1

diskutil list
diskutil unmountDisk /dev/disk2
sudo /Applications/Recover.app/Contents/MacOS/Recover
sudo recover info /dev/rdisk2        # command line

sudo -E ./Recover-gui-linux
sudo ./recover info /dev/sdb

Schritt 1: Ist die Platte gesund?

Bevor Recover eine physische Platte scannt, bittet es Sie zu bestätigen, dass sie keine physischen Beschwerden hat. Das Fenster nennt die Anzeichen, bei denen Sie besser aufhören, und bietet an, zuerst ein Disk-Image zu erstellen.

Recover liest außerdem die SMART-Daten der Platte. Meldet die Platte einen Ausfall, verweigert Recover den Scan. Das ist kein Fehler: Langes Lesen würde die Platte weiter schädigen.

Schritt 2: Zuerst ein Disk-Image erstellen

Ein Disk-Image ist eine Kopie der ganzen Platte, Sektor für Sektor, in einer Datei. Unlesbare Sektoren werden mit Nullen gefüllt, damit die Kopie vollständig bleibt. Danach arbeiten Sie an der Kopie, und die Platte selbst wird geschont.

Das ist der empfohlene erste Schritt, gerade bei einer zweifelhaften Platte. Das Erstellen eines Images wird von der Gesundheitsprüfung nie blockiert.

recover image /dev/sdb  /mnt/backup/schijf.img

Schritt 3: Scannen

Wählen Sie die Quelle: eine Platte, eine Partition, eine Image-Datei oder einen RAID-Verbund. Recover liest Partitionstabelle und Dateisystem und zeigt den Ordnerbaum mit vorhandenen und gelöschten Dateien.

Gleichzeitig liest Recover die Suchindizes von Windows, macOS oder Linux. Dateien, die dort noch stehen, erscheinen in ihrem ursprünglichen Ordner, markiert mit „Im Suchindex", auch wenn das Dateisystem sie vergessen hat.

• Virtuelle Datenträger und Images: VHD, VHDX, VMDK, QCOW2, VDI, E01, DMG und geteilte Raw-Images öffnen Sie direkt, ohne Umwandlung.
• Snapshot-Ketten von QCOW2 und VMDK werden verfolgt.

Schritt 4: Die Ergebnisse lesen

Klicken Sie auf eine Datei für eine Vorschau: Bilder sehen Sie direkt, andere Dateien als Hex-Ansicht. So wissen Sie vor der Wiederherstellung, ob eine Datei brauchbar ist.

Schritt 5: Wiederherstellen

Wählen Sie Dateien, Ordner oder alles und einen Zielordner auf einer anderen Platte. Recover behält die ursprüngliche Ordnerstruktur.

Achtung: Die ursprünglichen Daten sehen Sie in Recover, sie werden aber noch nicht auf die wiederhergestellten Dateien gesetzt. Brauchen Sie die Daten, notieren Sie sie aus der Liste.

Suche nach Inhalt (Carving)

Weiß das Dateisystem nichts mehr, etwa nach dem Formatieren oder bei einem unbekannten Dateisystem, sucht Recover Dateien anhand ihres Inhalts. Es erkennt 334 Formate mit mehr als 550 Endungen, von Fotos und Dokumenten bis zu Datenbanken, Video und Mailarchiven.

Die Länge jeder Datei ergibt sich aus der Struktur des Formats, nicht aus der Suche nach einem Ende. Mit der Option, nur freien Platz zu durchsuchen, überspringen Sie Dateien, die das Dateisystem noch kennt.

• So gefundene Dateien haben keinen ursprünglichen Namen oder Ordner.
• Fragmentierte Dateien werden nicht zusammengesetzt: Eine in Stücken gespeicherte Datei kommt nur teilweise zurück.

RAID-Verbünde öffnen

Ein RAID-Verbund wird schreibgeschützt aus einzelnen Platten oder Images zusammengesetzt und verhält sich danach wie jede andere Quelle. Recover liest RAID 0, 1, 5, 6, 10 und JBOD. Stehen RAID-Metadaten auf den Platten, übernimmt Recover den Aufbau daraus; sonst ermittelt es Level, Stripe-Größe, Reihenfolge und Parität selbst. Eine fehlende Platte wird wiederaufgebaut: bei RAID 5 eine, bei RAID 6 bis zu zwei.

Kann Recover zwei Aufbauten nicht unterscheiden, wählt es den gängigsten und sagt, dass es eine Präferenz ist und kein Beweis.

RAID-Zusammensetzung, die Kommandozeile und verschlüsselte Volumes erfordern eine kostenlose Registrierung: Hilfe → Registrieren zeigt einen Code und öffnet unsere Website, auf der Sie den Computer bestätigen. Die Lizenz erneuert sich danach von selbst.

recover ls raid:/dev/sdb,/dev/sdc,/dev/sdd

recover image raid:d1.img,d2.img,missing,d4.img --raid-level 5 \
      --stripe 65536 --layout left-symmetric --order 1,2,3,4  out.img

Verschlüsselte Volumes

Recover öffnet BitLocker (mit Passwort, Wiederherstellungsschlüssel oder .BEK-Datei, auch angehalten), LUKS1 und LUKS2, VeraCrypt und TrueCrypt, verschlüsselte DMG und APFS FileVault. Sie geben Passwort oder Schlüssel ein; danach verhält sich das Volume wie jede andere Quelle.

Für eine entschlüsselte Kopie erstellen Sie ein Image mit dem Passwort. Ohne Passwort oder Schlüssel kann niemand die Daten lesen: Genau das leistet Verschlüsselung.

recover image --password quelle.img entschluesselt.img

Verlorene Partitionen suchen

Ist eine Partition verschwunden, etwa nachdem die Partitionstabelle gelöscht oder überschrieben wurde, durchsucht Recover die Platte nach den Kennzeichen von NTFS, exFAT, FAT, ext, APFS, HFS+, XFS, Btrfs und ReFS. Eine gefundene Partition lesen Sie sofort aus, ohne etwas an der Platte zu ändern.

Das funktioniert ohne Registrierung.

Die Kommandozeile

Alles, was die grafische Version kann, geht auch auf der Kommandozeile. Die wichtigsten Befehle:

Mit --lang wählen Sie die Sprache, etwa --lang de. Die vollständigen Optionen eines Befehls zeigt --help.

Sprache und Nutzungsmeldung

Recover übernimmt die Sprache Ihres Systems. Über das Menü Sprache wählen Sie eine andere; jede Sprache steht dort mit ihrem Übersetzungsgrad. Die Oberfläche ist in 32 Sprachen übersetzt.

Recover meldet anonym die Art des Datenträgers und welche Funktionen genutzt werden, nie Dateinamen, Pfade oder Inhalte. Abschalten über Hilfe → Nutzungsmeldung oder mit recover report off.

Wann Sie besser aufhören

Erscheint bei der Arbeit eine Meldung über unlesbare Sektoren, zeigt Recover die Telefonnummer und den Link zu einer kostenlosen Analyse. Nehmen Sie diese Meldung ernst: Eine Platte, die Sektoren verliert, verschlechtert sich meist schnell.

Kostenlose Analyse anfordern →