Gelöschten Ordner auf SD-Karte wiederherstellen?

[Robert Blanco]

Eigentlich ist es ja eher ein Computerproblem, aber vielleicht passt es hier in die Technik-Ecke:

Gestern wollte ich ein paar Fotos vom Segelausflug von meiner G7x-SD-Karte auf den PC überspielen. Da ich versehentlich ein Video aufgenommen hatte, wollte ich die Datei gleich vorher noch löschen, muss aber versehentlich den ganzen Bilderordner erwischt haben.

Nunja, Easy, dachte ich mir: da ich der Meinung war, keine neuen Daten aufgespielt zu haben und keine Datenveränderungen vorgenommen zu haben, war ich mir ziemlich sicher, die Daten nur wenige Minuten später mit Leichtigkeit vollständig wiederherstellen zu können.

Aber: von wegen! Nur ein Teil der Bilder ließ sich wieder herstellen und ein Teil hatte farbige Streifen und ein weiterer Teil sah aus wie eine Collage aus mehreren Bildern. Selbst mit meinem Stellar Phoenix Programm, mit dem ich neulich eine mit Windows unreparierbar zerschossene Festplatte wiederhergestellt hatte, ging das nicht. das gibt's doch gar nicht! Mit Recuva (was die Festplatte seinerzeit nicht wiederherstellen konnte, das gleiche Ergebnis).
Entweder ich muss versehentlich und unbemerkt noch etwas auf der SD-Karte verschoben haben, oder die SD-Karten verhalten sich anders als Festplatten.

Die Bilder sind nicht soo spektakulär wichtig, aber so schnell gebe ich nicht auf. Hat ein Experte einen Tip oder kann Erhellendes beitragen?

Sicherheitshalber habe ich mir gleich das Image der SD-Karte auf die Festplatte gespeichert.

 

[GymfanDE]

Entweder ich muss versehentlich und unbemerkt noch etwas auf der SD-Karte verschoben haben,

Es genügt vollkommen, wenn Du vor der Aufnahme der nun defekten Bilder entweder ein Bild von der Karte gelöscht hattest oder wenn Du vor der Aufnahme der Bilder die Karte nicht formatiert oder zumindest vollkommen geleert hattest (was je nach Betriebssystem, Einstellung und Art der Entfernung der Karte aus dem Kartenleser auch den "Papierkorb" betreffen mag.

Ich kenne bisher kein Tool (weder kostenloses noch kommerziell), welches den Dateninhalt der Karte soweit logisch analysiert, dass es auch Dateien mit nicht zusammenhängenden Sektoren wieder herstellt. Professionelle Datenretter mögen so etwas haben, aber auch das muss nicht in allen Fällen helfen.

oder die SD-Karten verhalten sich anders als Festplatten.

Auf Dateisystemebene nicht.

Mittlerweile ist es mir ein Rätsel, warum noch kein Kamerahersteller eine Option für garanteiert wieder herstellbare Bilder in seiner Kamera anbietet. Anscheinend wird sowas ja regelmäßig von den Usern benötigt.

 

[Robert Blanco]

Das ist ja erschreckend, wenn das wirklich so ist. Natürlich habe ich schon oft Dateien gelöscht, bevor die aktuellen Bilder aufgenommen wurden. Die kann man mit dem Recoveryprogramm sogar teilweise noch sehen.
Ich dachte bislang immer, wenn man nach dem Löschen nichts ändert, kann man es problemlos wiederherstellen.
Neulich ging das mit einem einzelnen Bild auch problemlos. Aber hier hat es bei ca. 60% der Bilder nicht funktioniert.

 

[Robert Blanco]

Das Stellar Phoenix hat bei meinef Festplatte mit der zerschossenen FAT m.E. schon so eine Art Puzzle gelöst - hat auch mehr als einen Tag gedauert. vielleicht sollte ich die FAT kuenstlich schrotten...

 

[Thorndike]

Also grundsätzlich geht es auch bei SD Karten. Ich habe vor längerer Zeit schon einmal etwas zurückgeholt. Bei Flashspeichern kann es aber immer einmal vorkommen das ein Block durch das Wear Leveling umgemappet wird. Das passiert im laufenden Betrieb immer einmal wieder.
Leider kann ich mich nicht mehr an das Programm erinnern. Tante G hilft aber sicher beim Finden eines Tools.

 

[schubbser]

....
Gestern wollte ich ein paar Fotos vom Segelausflug von meiner G7x-SD-Karte auf den PC überspielen. Da ich versehentlich ein Video aufgenommen hatte, wollte ich die Datei gleich vorher noch löschen, muss aber versehentlich den ganzen Bilderordner erwischt haben......

Hm.... eigentlich bedeutet löschen, doch nur, dass im "Inhaltsverzeichnis" des Datenrträgers steht, dass vorhandene (beschriebene) Speicherbereiche mit neuen Daten überschrieben werden dürfen. Die Daten in diesen Bereichen sollten also nach dem Löschen noch vorhanden sein.

Gefühlt meine ich, dass ich bei diversen Tests eigentlich alle absichtlich gelöschten Bilder mit PCI-File-Inspektor wieder herstellen konnte.

Die Frage, die ich mir stelle ist, welches PC-Sytem Du verwendest. Apple und einigen Linux-Ablegern unterstelle ich generell, dass sie pauschal auf jedes Dateisystem schreiben, wenn man den entsprechenden Datenträger nicht schreibschützt. Da kann dann bereits, das Wechseln den Datenträgers dazu führen, dass mehrere Schreibzugriffe stattgefunden haben. Allerdings würde ich nicht annehmen, dass die "Schreiberei" in einem so großen Umfang passiert, dass ein Großteil des Speichers überschrieben wird.

Bist Du Dir eigentlich sicher, dass wirklich sehr viel mehr Bilder auf der Karte waren als gerettet wurden? Manche Rettungsprogramme listen gerettete Dateien auch mehrfach auf, aber nur eine Dateiversion lässt sich öffnen.

 

[Robert Blanco]

Hm.... eigentlich bedeutet löschen, doch nur, dass im "Inhaltsverzeichnis" des Datenrträgers steht, dass vorhandene (beschriebene) Speicherbereiche mit neuen Daten überschrieben werden dürfen. Die Daten in diesen Bereichen sollten also nach dem Löschen noch vorhanden sein.

Gefühlt meine ich, dass ich bei diversen Tests eigentlich alle absichtlich gelöschten Bilder mit PCI-File-Inspektor wieder herstellen konnte.

Die Frage, die ich mir stelle ist, welches PC-Sytem Du verwendest. Apple und einigen Linux-Ablegern unterstelle ich generell, dass sie pauschal auf jedes Dateisystem schreiben, wenn man den entsprechenden Datenträger nicht schreibschützt. Da kann dann bereits, das Wechseln den Datenträgers dazu führen, dass mehrere Schreibzugriffe stattgefunden haben. Allerdings würde ich nicht annehmen, dass die "Schreiberei" in einem so großen Umfang passiert, dass ein Großteil des Speichers überschrieben wird.

Bist Du Dir eigentlich sicher, dass wirklich sehr viel mehr Bilder auf der Karte waren als gerettet wurden? Manche Rettungsprogramme listen gerettete Dateien auch mehrfach auf, aber nur eine Dateiversion lässt sich öffnen.

Ja, ganz sicher. Erstens sind die Bilder ja fortlaufend nummeriert und außerdem ist genau das Bild, was mich am meisten interessiert, nicht dabei.

Das System ist übrigens Win 7.

Die Collagen- bzw. patchwork-Bilder haben auch was,vielleicht kann ich heute Abend eines hochladen. Sozusagen komprimierte Eindrücke...

 

[GymfanDE]

Ich dachte bislang immer, wenn man nach dem Löschen nichts ändert, kann man es problemlos wiederherstellen.

Du kannst ja aus Spaß mal nach "Fragmentierung" im Netz suchen. Es geht nicht um das Löschen der zu rettenden Bilder sondern darum, was vor der Aufnahme dieser Bilder auf der Karte geschehen ist.

Jede Datei ist in eine Anzahl von gleich großen Blöcke (Cluster) aufgeteilt. Man betrachte das (sehr vereinfachte) Beispiel für FAT:
SD wird formatiert
Bild 1 belegt 20 Blöcke
Bild 2 belegt 15 Blöcke
Bild 3 belegt 25 Blöcke

Nun sind also 60 Blöcke belegt

Bild 2 wird gelöscht, also sind die Blöcke wieder frei
Bild 4 belegt wieder 25 Blöcke

In der simpelen Form würden die ersten 15 Blöcke von Bild 4 dort gespeichert, wo vorher Bild 2 gespeichert war, und die übrigen Blöcke hinter Bild 3. Welche Blöcke in welcher Reihenfolge zu welcher Datei gehören, wird in der FAT vermerkt. Diese Verlinkung wird beim Löschen einer Datei gelöscht, da die Blöcke als frei markiert wird.

Wird nun alles gelöscht oder die FAT zerstört, so ist die gesamte Verlinkung der Blöcke weg.

Das Recovery-Programm kann alle Blöcke der SD nach bekannten Bildanfängen durchsuchen. Im einfachen Fall hängt es dann alle folgenden Blöcke an diesen Bildanfang, bis entweder ein Bildende oder ein neuer Bildanfang erkannt wird.

Das klappt für Bild 1 und 3, nicht aber für Bild 4. Hier müsste das Programm alle weiteren freien Blöcke durchsuchen und prüfen, ob davon einer logisch an den ersten Teil von Bild 4 passt. Dazu muss es aber nicht nur die Dateistruktur exakt kennen, diese Struktur muss auch eine passende Erkennung ermöglichen.

All dies mag in dem simpelen Beispiel mit JPG und RAW möglich sein. Ist Bild 4 aber noch mehr fragmentiert und/oder es gibt u.U. noch andere leere Blöcke, die logisch zum Bild passen könnten (z.B. wurde vorher noch Bild 3 gelöscht und ein neues Bild 5 aufgenommen, das aber nur 15 Blöcke belegt), dann bastelt das Recovery-Programm falsche Bildteile zusammen. Das recoverte Bild 4 besteht dann aus dem Anfang von echten Bild 4 und aus dem Ende des echten Bild 2, zu dem es keinen Anfang mehr auf der SD gibt.

NEFs kennen m.W. nach innerhalb der Raw-Daten keine echte Absicherung gegen sowas (wie die Restart-Marker im JPG), dort gibt es nur die Länge der Raw-Daten.

 

[Gast_449456]

Hallo,
gelöschte, jedoch benötigte Dateien jeglicher Art stelle ich mit dem Tool Testdisk wieder her. http://www.heise.de/download/testdisk.html

Das Tool findet sogar oft noch "uralte" bereits lange gelöschte Daten auf den Speicherkarten.

Optimaler Weise hast du nach dem unbeabsichtigen Löschen nichts mehr auf der wieder zu rekonstruierenden Speicherkarte geschrieben. Na dann viel Erfolg damit

Gruß Lothar

 

[Robert Blanco]

Danke für die Tipps, insbesondere an GymfanDE und Hochseefischer!

Ich werde mich wohl mal genauer mit der Datenwiederherstellung befassen und auch das vorgeschlagene Programm demnächst ausprobieren.

Momentan geht es noch nicht, da ich gerade die "Photorettung" meines Recovery-Programms über die SD-Karte drüberlaufen lasse (ging erstaunlicherweise leider nicht vom Image auf der Festplatte) und das scheint bestimmt noch bis morgen früh zu dauern.

Ich schaue ab und zu in den Ordner mit den bislang schon wiederhergestellten Dateien und komme aus dem Staunen nicht heraus: Da gibt es Fotos in verschiedensten Auflösungen z.T. anscheinend vom gleichen Motiv, mal 2304x1536, 120x160, 1620x1080 und manchmal auch in der vollen Auflösung 5472x3648 - auf welche die Kamera eingestellt ist. Eieiei, das hat schon einen gewissen Unterhaltungswert. Schauen wir mal, wie sich das noch entwickelt...

 

[Gast_449456]

Hallo Robert Blanco,
ich habe schon viele Programme zum Wiederherstellen probiert, aber das mit Abstand beste ist für mich TestDisk . An dessen Rettungsquote kommt so schnell nichts ran.
Gruß Lothar

 

[Robert Blanco]

Die Suche läuft immer noch...

Immerhin wurde dabei mittlerweile das mich am meisten interessierende Bild in halber Auflösung und anderen niedrigeren Auflösungen gefunden. In voller Auflösung ist es dagegen wie bei den vorigen Suchen in einem Teil mit anderen Bildern überlagert.

 

[Robert Blanco]

So, die Suche ist beendet und danach habe ich auch das testdisk bzw. photorec ausprobiert.

Fazit:
Alle Bilder in der vollen Auflösung lassen sich mit keinem Programm wiederherstellen. (Wahrscheinlich doch noch etwas nach dem Löschen manipuliert.)

Mein Standardprogramm hat zunächst in wenigen Minuten fast alle Bilder in voller Auflösung wiederhergestellt. Leider war das gesuchte nicht dabei.

Danach habe ich mit der speziellen Fotorettung in 1,5 Tagen (! - auf der SD gearbeitet) nur wenige Bilder nicht in der vollen Auflösung wiederherstellen können und praktisch von jedem Bild noch zahlreiche niedrigere Auflösungen ausgespuckt bekommen. Das Bild, was mich am meisten interessierte, ist immerhin mit 2304x1536 herausgekommen (ich muss mich hier gegenüber früheren Beiträgen korrigieren, das ist nicht ganz 1/2). Wie die verschiedenen Größen ausschauen, zeigt der angehängte Screenshot-Ausschnitt aus dem Dateimanager.

Mit dem Photorec hat es nur ca. 1/2h gedauert, aber es sind nicht ganz so viele verschiedene Auflösungen herausgekommen und das gesuchte Bild nur mit 1620x1080.

Nun ja, ich finde es sehr bemerkenswert, dass man überhaupt niedrigere Auflösungen herausbekommt, wenn das Bild in voller Auflösung anscheinend nicht mehr herstellbar ist. Das liegt möglicherweise an der speziellen JPEG-Komprimierung, wobei mir noch nicht so recht vorstellen kann, wie das dann so genau passt mit den Clustern.

 

[GymfanDE]

Das liegt möglicherweise an der speziellen JPEG-Komprimierung, wobei mir noch nicht so recht vorstellen kann, wie das dann so genau passt mit den Clustern.

Schau Dir hal mal ein korrektes Bild (neue Aufnahme) mit "exiftool" an. Dann wirst Du ganz schnell sehen, daß die Kamera neben dem Orignalbild noch Previews in kleineren Auflösungen speichert. Je nach Kamera gibt es bei RAWs auch ein JPG in der vollen Auflösung im Raw.

Stellar Phoenix scheint nicht am Anfang von Sektoren nach einem Bildanfang zu suchen sondern den gesamte Inhalt jedes Sektors zu analysieren.

Fazit:
Alle Bilder in der vollen Auflösung lassen sich mit keinem Programm wiederherstellen. (Wahrscheinlich doch noch etwas nach dem Löschen manipuliert.)

Denkbar, der vorher genannte Grund ist aber viel wahrscheinlicher und in geschätzt 99% der Fälle der Grund, warum sich Bilder nicht wieder herstellen lassen (FAT war halt niemals dafür gedacht).

 

[Gast_449456]

Fazit:
Alle Bilder in der vollen Auflösung lassen sich mit keinem Programm wiederherstellen.

das ist bei dir so, in >diesem Fall<

Ich kann eine CF-Karte mit RAW-Dateien in der Kamera beschreiben, diese Karte dann in der Kamera "versehentlich" oder bewusst formatieren. WENN! ich jetz an der Karte nichts verändere, also sie in ihrem frisch formatierten Zustand lasse, kann ich den Inhalt der Partition mit TestDisk komplett wiederherstellen. RAW ist vollständig intakt und sauber lesbar. Wenn nicht formatiert, sondern nur gelöscht wurde kommt PhotoRec zum Zuge und hat mich bis jetzt immer zu 100% gerettet. Vorausssetzung ist dass nach dem formatieren oder löschen keinerlei Schreibzugriffe auf der Karte waren. Wenn jedoch schon drauf geschrieben wurde, kann es schwierig oder gar unmöglich werden den gesamten ursprünglichen Inhalt wieder herzustelllen.

Gruß Lothar

 

[schubbser]

Nun ja, ich finde es sehr bemerkenswert, dass man überhaupt niedrigere Auflösungen herausbekommt, wenn das Bild in voller Auflösung anscheinend nicht mehr herstellbar ist. Das liegt möglicherweise an der speziellen JPEG-Komprimierung, wobei mir noch nicht so recht vorstellen kann, wie das dann so genau passt mit den Clustern.

Meiner Meinung nach liegt das an der "Intelligenz" der verwendeten Programme, die die Anfangsstrukturen der JPGs und ggf. von anderen Fotoformaten erkennen dürften und den nachfolgenden Datenmüll mehr oder weniger sinnvoll als JPG abspeichern bis wieder ein entsprechender Abschnitt kommt.

Wenn Du in RAW aufgenommen hast, dann kann es durchaus sein, dass es zum eigentlichen RAW noch zwei weitere JPGs gibt die eigentlich nur Vorschaubilder sind.

zB. enthalten die RAWs von Canon und Nikon DSLRs neben dem eigentlichen RAW ein JPG in voller Auflösung und ein weiteres JPG in Thumbnail-Größe.

Aber auch in JPGs findet sich bei vielen Kameras ein kleines Thumbnail, das die Kameras in der Regel für die "Mosaik-Vorschau" benutzen.

Solange man zusammenhängenden "Datenmüll" als Datei vor sich hat kann man derartige Dinge auch per Hex-Editor machen und versuchen alle Daten vor dem eigentlichen JPG-Dateiheader zu löschen, bzw. die Datei ab diesem Punkt zu speichern.

IrfanView zB. ignoriert großteils den Datenmüll der am Ende der eigentlichen JPG-Struktur kommt und zeigt lediglich das Bild an dessen Dateiheader am Anfang stand.

Edit:
Hier im Forum https://www.dslr-forum.de/showthread.php?t=827592&page=2 hatte ich mal meine diesbezüglichen Maßnahmen und Tests zur Rettung mit einem Hex-Editor eingestellt.

 

[SaoBit]

Ich kann für solche Fälle ebenfalls TestDisk empfehlen. Der Vorteil ist, dass es Dateien nicht interpretiert sondern anhand des Index wieder herstellt. Unter Umständen kommt dann statt einem interpretierten JPEG ein original RAW zurück, in dem evtl. nur die EXIF-Daten defekt sind.

Zu deinem Image möchte ich auch noch etwas sagen: Egal, welche Anwendung du nutzt (Ich kann DriveSnapshot empfehlen), du musst in solchen Fällen ein sektorbasiertes Image machen. Ein normales Image liest die Dateien aus dem Index aus und ist anschließend so groß wie alle Dateien zusammen. Ein sektorbasiertes Image liest jede 0 und 1 aus und schreibt sie ins Image. Das ist dann genau so "kaputt" wie die SD-Karte, kann aber ebenso gerettet werden. Für Versuche mit verschiedenen Recovery-Anwendungen ist das sinnvoll. Dann kann man die SD-Karte im Notfall immer noch einem Profi geben.

 

[Robert Blanco]

Ich kann für solche Fälle ebenfalls TestDisk empfehlen. Der Vorteil ist, dass es Dateien nicht interpretiert sondern anhand des Index wieder herstellt. Unter Umständen kommt dann statt einem interpretierten JPEG ein original RAW zurück, in dem evtl. nur die EXIF-Daten defekt sind.

Zu deinem Image möchte ich auch noch etwas sagen: Egal, welche Anwendung du nutzt (Ich kann DriveSnapshot empfehlen), du musst in solchen Fällen ein sektorbasiertes Image machen. Ein normales Image liest die Dateien aus dem Index aus und ist anschließend so groß wie alle Dateien zusammen. Ein sektorbasiertes Image liest jede 0 und 1 aus und schreibt sie ins Image. Das ist dann genau so "kaputt" wie die SD-Karte, kann aber ebenso gerettet werden. Für Versuche mit verschiedenen Recovery-Anwendungen ist das sinnvoll. Dann kann man die SD-Karte im Notfall immer noch einem Profi geben.

Ja, die RAW-Datei-Wiederherstellung ist natürlich das Mittel der Wahl und hat auch bei einigen Dateien gut funktioniert.

Wie das Image genau aufgenommen wurde, kann ich nicht sagen, aber soweit ich mich an die Wiederherstellung der Festplatte neulich erinnere, speichert er dabei das gesamte Speichermedium angeblich Bit für Bit.