Was beim Löschen einer Datei wirklich passiert

Jedes Speichermedium – Festplatte, SSD, USB-Stick oder Speicherkarte – ist in kleine Einheiten unterteilt, sogenannte Sektoren oder Blöcke. Welche Datei wo gespeichert ist, verwaltet das Dateisystem in einer Art Inhaltsverzeichnis: bei NTFS ist das die Master File Table, bei APFS ein B-Baum-basiertes Verzeichnissystem, bei exFAT eine Dateizuordnungstabelle. Dieses Verzeichnis merkt sich, welche Sektoren zu welcher Datei gehören.

Wird eine Datei gelöscht, entfernt das Betriebssystem in der Regel nur den entsprechenden Eintrag aus diesem Verzeichnis und markiert die zugehörigen Sektoren als frei und wieder beschreibbar. Die eigentlichen Daten – die Nullen und Einsen, aus denen ein Foto, ein Dokument oder eine Videodatei besteht – bleiben an ihrem physischen Ort auf dem Datenträger liegen, bis das Betriebssystem diesen Platz für neue Daten tatsächlich verwendet. Genau dieser Umstand ist die technische Grundlage für professionelle Datenrettung.

Wie Recovery-Software gelöschte Dateien findet

Recovery-Programme nutzen im Kern zwei unterschiedliche Verfahren, oft kombiniert.

Beim schnellen Scan liest die Software die Reste des Dateisystems selbst aus – etwa gelöschte, aber noch nicht überschriebene Einträge in der Master File Table oder im Verzeichnisbaum. Dieses Verfahren ist zügig und liefert oft noch den ursprünglichen Dateinamen, den Speicherort und das Änderungsdatum, weil diese Informationen im Dateisystem selbst gespeichert waren.

Beim Deep-Scan, auch signaturbasierte Wiederherstellung genannt, ignoriert die Software das Dateisystem und durchsucht stattdessen die Rohdaten des Datenträgers Sektor für Sektor nach bekannten Dateisignaturen – charakteristischen Byte-Mustern, an denen sich zum Beispiel ein JPEG-Foto, eine PDF-Datei oder ein Word-Dokument erkennen lässt. Dieses Verfahren funktioniert auch dann noch, wenn die Verzeichnisinformationen bereits überschrieben oder beschädigt sind, etwa nach einer Formatierung. Der Nachteil: Ursprünglicher Dateiname und Ordnerstruktur gehen dabei meist verloren, die gefundene Datei erscheint nur noch mit einer generischen Bezeichnung.

Warum Überschreiben das Aus bedeutet

Solange die als frei markierten Sektoren nicht mit neuen Daten beschrieben werden, bleibt eine Wiederherstellung technisch möglich. Sobald das Betriebssystem diese Sektoren jedoch für eine neue Datei nutzt, werden die alten Inhalte physisch überschrieben und sind unwiederbringlich verloren – weder Software noch ein Datenrettungslabor können überschriebene Daten rekonstruieren. Deshalb gilt als wichtigste Sofortmaßnahme nach einem Datenverlust: den betroffenen Datenträger sofort nicht mehr benutzen, keine neue Software installieren und keine neuen Dateien speichern, bis eine Wiederherstellung versucht wurde.

Warum SSDs eine Ausnahme sind

Bei SSDs greift zusätzlich ein Mechanismus namens TRIM: Das Betriebssystem teilt der SSD-Steuerung aktiv mit, welche Speicherblöcke nicht mehr benötigt werden, damit diese im Hintergrund für künftige Schreibvorgänge vorbereitet werden können. Dadurch können gelöschte Daten auf SSDs deutlich schneller physisch entfernt werden als auf klassischen Festplatten – mehr dazu in unserem SSD-Artikel.

Logischer vs. physischer Datenverlust

Für die Frage, ob Software ausreicht oder ein Labor nötig ist, ist die Unterscheidung zwischen logischem und physischem Datenverlust entscheidend.

  • Logischer Datenverlust: Der Datenträger selbst funktioniert einwandfrei, aber Daten wurden gelöscht, eine Partition versehentlich formatiert oder das Dateisystem beschädigt. Solche Fälle lassen sich häufig mit Recovery-Software auf dem eigenen Rechner lösen.
  • Physischer Datenverlust: Der Datenträger selbst hat einen mechanischen oder elektronischen Defekt – etwa ein Head-Crash bei einer Festplatte, ein Kurzschluss auf der Platine oder ein Wasserschaden. In solchen Fällen sollte keine Software zum Einsatz kommen, da weitere Zugriffsversuche den Schaden vergrößern können. Hier ist ein spezialisiertes Datenrettungslabor mit entsprechender Ausstattung gefragt.

Häufige Fragen

In der Regel ja, solange der betroffene Speicherbereich nicht mit neuen Daten überschrieben wurde. Das Dateisystem markiert den Platz beim Löschen lediglich als frei, die eigentlichen Daten bleiben physisch bestehen, bis das Betriebssystem sie tatsächlich ersetzt.

Das passiert beim signaturbasierten Deep-Scan. Dabei werden Dateien anhand ihres Byte-Musters in den Rohdaten erkannt, nicht anhand des Dateisystem-Eintrags. Da der ursprüngliche Name nur im Dateisystem gespeichert war, geht er bei diesem Verfahren meist verloren.

Nein, davon ist abzuraten. Bei einem mechanischen Defekt handelt es sich um physischen Datenverlust. Jeder weitere Betriebsversuch kann den Schaden am Datenträger vergrößern. In solchen Fällen ist ein spezialisiertes Labor die richtige Anlaufstelle.