ahussain
Goto Top

Word Dateiinhalt gelöscht. Wiederherstellung möglich?

Hallo allerseits,

ein Bekannter von mir schreibt an einem Buch. Dabei hat er versehentlich den kompletten Text gelöscht und dann die Datei abgespeichert. Der Text ist jetzt futsch. face-sad

Ich habe daraufhin mit Ontrack (Unternehmen für Datenrettung) gesprochen. Die sagen, dass eine Datenrettung nur möglich ist, wenn die Datei als Ganzes gelöscht wurde. Wenn lediglich der Text gelöscht und die Datei dann regulär gespeichert wurde, ist eine Rettung nicht möglich. Denn in diesem Fall liegen die alten Fragmente der Vorgängerversion irgendwo auf der Platte rum und können der Datei nicht mehr zugeordnet werden.

Kann das jemand bestätigen? Hatte Ihr schon mal so einen Fall (Inhalt eines Dokuments gelöscht und dann gespeichert) und konntet Ihr da was machen?

Ich plane, wie folgt vorzugehen:
1) Mit Word-Bordmitteln versuchen, eine Vorgängerversion wiederherzustellen (Datei -> Informationenen -> Dokument verwalten -> Wiederherstellen)
2) Datenrettungssoftware (z.B. Easy Recovery) über die Platte laufen lassen und beten.

Gruß face-smile

Content-ID: 520342

Url: https://administrator.de/contentid/520342

Ausgedruckt am: 25.11.2024 um 02:11 Uhr

Diskilla
Diskilla 29.11.2019 um 14:18:15 Uhr
Goto Top
Mehr als das, was Du schon geplant hast bleibt meines Wissens nach auch nicht übrig. Allerdings wird es jetzt dringend Zeit sich mit Sicherungen und/oder Versionsverwaltung auseinander zu setzen. Versionsverwaltung wird mittlerweile so selbstverständlich von Google Docs und anderen Systemen gemacht, dass die meisten Leute gar nicht auf die Idee kommen mehrere Dateistände zu speichern.
141965
141965 29.11.2019 aktualisiert um 16:51:23 Uhr
Goto Top
Mach mal ein Rechtsklick auf die Datei im Explorer => Eigenschaften => Vorgängerversionen, wenn du Glück hast hat der Rechner Schattenkopien des Dokuments angelegt und kannst es von dort aus wiederherstellen.

Ansonsten hilft nur den Jung auf das Stichwort "Backup" hinzuweisen. Alter wenn ich ein Buch schreiben würde dann mach ich doch regelmäßige Versionsbackups. Wenn das noch nicht bei dem Herrn angekommen ist dann hat er das jetzt wohl schmerzhaft lernen müssen.
Visucius
Visucius 29.11.2019 aktualisiert um 14:25:46 Uhr
Goto Top
Früher hieß es da immer: "Beim zweiten Mal gehts schneller" face-wink

Wenn ich überlege, wie viele Stände ich von meiner Dipl. rumliegen hatte, wundert mich sowas in Zeiten von USB-Sticks ernsthaft ...

temp files vielleicht noch?

Vielleicht auch noch nen Stand in ner Mail? Dropbox, dem Handy, ...?
Hubert.N
Hubert.N 29.11.2019 um 14:26:10 Uhr
Goto Top
Moin

Es lohnt sich, einen Blick in die Temporären Dateien zu werfen. (...\AppData\Roaming\Microsoft\Word\) Vielleicht wird man dort noch fündig.
Je nach Konfiguration des Rechners lässt sich vlt. auch einfach eine Vorgängerversion wiederherstellen

Ansonsten: Stelle die Datei doch einfach aus dem Backup wieder her. (Ja... Blöder Spruch... Aber eigentlich sollte es doch eine Selbstverständlichkeit sein, bei größeren Schriftsätzen das eine oder andere Backup regelmäßig zu erstellen. Aber... Aus Schaden wird man ja bekanntlich klug)


Gruß

Hubert
ahussain
ahussain 29.11.2019 um 14:26:51 Uhr
Goto Top
Zitat von @141965:
Alter wenn ich ein Buch schreiben würde dann mach ich doch regelmäßige Versionsbackups.

Würde ich auch machen (hoffentlich) - aber der normale Laie denkt daran halt nicht ...
141965
141965 29.11.2019 aktualisiert um 14:29:14 Uhr
Goto Top
Zitat von @ahussain:
Würde ich auch machen (hoffentlich) - aber der normale Laie denkt daran halt nicht ...
Dann hat er zumindest etwas draus gelernt face-wink. Das passiert ihm bestimmt nicht wieder, Schmerz heilt!
Hubert.N
Hubert.N 29.11.2019 um 14:28:30 Uhr
Goto Top
Würde ich auch machen (hoffentlich) - aber der normale Laie denkt daran halt nicht ...

... ja... kenne ich in meiner Kundschaft... "Wie???? - Festplatten KÖNNEN KAPUTT GEHEN???????"
ahussain
ahussain 29.11.2019 um 14:29:06 Uhr
Goto Top
Zitat von @Hubert.N:
Es lohnt sich, einen Blick in die Temporären Dateien zu werfen. (...\AppData\Roaming\Microsoft\Word\) Vielleicht wird man dort noch fündig.
Je nach Konfiguration des Rechners lässt sich vlt. auch einfach eine Vorgängerversion wiederherstellen

Ja, das werde ich auch mal versuchen, danke.
ahussain
ahussain 29.11.2019 um 14:52:49 Uhr
Goto Top
Was mich interessieren würde: was passiert physisch auf der Platte?
1) Ich öffne eine Word-Datei von der Platte.
2) Damit kommt die Datei in den Arbeitsspeicher.
3) Ich ändere oder lösche den Text und speichere die Daten auf der Platte.

Wird die Datei bei 3) auf einem anderen Bereich auf der Platte gespeichert? Dann müsste man die Alte doch wiederherstellen können.

Das scheint mir die entscheidende Frage zu sein. Leider weiß ich nicht, was genau bei dem beschriebenen Vorgang passiert.
Visucius
Visucius 29.11.2019 aktualisiert um 14:57:27 Uhr
Goto Top
Funny Vorstellung ... face-wink

Ich würde ja mal die Lupe zücken ....

(wenn Du Pech hast, liegt die noch nicht einmal an einem "zusammenhängenden" Ort auf der Platte - und was heißt "Platte" eigentlich?)
ahussain
ahussain 29.11.2019 aktualisiert um 15:40:28 Uhr
Goto Top
Zitat von @Visucius:
Ich würde ja mal die Lupe zücken ....

Habe keine im Haus face-wink Trotzdem würde mich mal interessieren, was beim Öffnen, Bearbeiten und Speichern einer Datei physisch auf der Festplatte passiert. Vor allem: wird die Datei nach beim Speichern physisch an einem anderen Ort gespeichert als dem Ort, wo sie sich vor dem Öffnen befand?
Diskilla
Diskilla 29.11.2019 um 15:50:04 Uhr
Goto Top
Das kannst Du tatsächlich hier nachlesen.
emeriks
emeriks 29.11.2019 aktualisiert um 16:34:46 Uhr
Goto Top
Hi,
Zitat von @ahussain:
Was mich interessieren würde: was passiert physisch auf der Platte?
Nach meinem Kenntnisstand überschreiben MS-Office-Programme wie Excel und Word bearbeitete Dateien nicht. Beim Speichern werden neue Dateien erstellt, und wenn das Speichern erfolgreich war, dann wird die alte gelöscht, allerdings dabei nicht in den Papierkorb verschoben. Wenn die Platte dabei nicht randvoll war, dann besteht m.E. eine sehr gute Chance, die gelöschte Datei mittels Undelete-Tools wiederherszustellen. Das hängt jetzt davon ab, was das ist: Lokale Platte, Windows Dateiserver, Linux NAS usw.
Ich habe das selbst seit Ewigkeiten nicht mehr machen müssen, so kann ich Dir jetzt auch kein aktuelles Undelete-Tool für Windows empfehlen. Aber vielleicht einer der Kollegen hier?

E.
141965
141965 29.11.2019 aktualisiert um 17:06:54 Uhr
Goto Top
Das wichtigste ist jetzt aber, Rechner aus und sofort ein RAW-Image der Platte ziehen, jede weitere Aktion auf dem Rechner macht nämlich die Möglichkeit auf eine erfolgreiche Wiederherstellung zu nichte, wenn nämlich der als gelöscht gekennzeichnete MFT-Eintrag des Dokuments durch einen anderen überschrieben wird, dann gibts nur noch die Möglichkeit der Signatursuche, und das ist meist problematisch wenn das Dokument in Fragmenten auf der Platte liegt! Alle weiteren Such-Aktionen nur am Image vornehmen!

Wenn ich hier solche forensischen Wiederherstellungen machen muss pack ich mein WinHex (Specialist) aus, das sieht in Falle eines Word-Dokuments dann so aus.

screenshot

Man sieht das Word bei jedem Speichern eine Neue Datei schreibt und die alte Datei als ~WRL0001.tmp noch mit dem Verzeichniseintrag in der MFT vorhanden ist nur eben als gelöscht gekennzeichnet. Wenn der Speichervorgang noch nicht lange her ist ist die Wiederherstellungschance noch hoch, sinkt aber mit jeder weiteren Sekunde die der Rechner weiter benutzt wird.

Wiederherstellen lassen sich Files hier auch, ob die Datei am Ende dann aber noch benutzbar ist hängt davon ab ob der MFT-Eintrag noch komplett wiederhergestellt werden kann und alle Fragmente des Dokumentes korrekt wieder zusammengesetzt wurden wenn die Datei fragmentiert abgelegt wurde.
Die Chance ist wie gesagt höher wenn du das Dinge jetzt ausschaltest und nicht noch tausend Dinge probierst.

screenshot

Am Ende bleibt dir dann nur noch eine Suche mit Testdisk, oder eben ab zu den Profis ... => https://www.ontrack.com/de/
Birkuli
Birkuli 30.11.2019 aktualisiert um 02:39:31 Uhr
Goto Top
Hallo @ahussain,
schaue mal in den Ordner "C:\Users\"Benutzerordner"\AppData\Local\Microsoft\Office\UnsavedFiles"
und "C:\Users\"Benutzerordner"\AppData\Roaming\Microsoft\Word" nach, mit etwas Glück sind da noch Kopien drin.
Dazu im Explorer alle versteckten Dateien einblenden und Anzeigen aktivieren und zu dem Ordner navigieren. (den Ordner "Benutzerordner" durch den User Ordner ersetzen, bei der Gelegenheit gleich mal den Temp Ordner aufsuchen und durchforsten.
Gibt es Systemwiederherstellungs Punkte? Oder ein Backup was nicht zu lange zurückliegt? Gibt es eine Sicherungskopie (Versionierung) auf OneDrive? Die sind versteckt auf OneDrive und können über "Datei/Information" in Word bearbeitet werden.
Alles Ansatzpunkte wo man mal schauen kann.
Viel Glück

PS: Die Lektüre ist auch gut, https://www.ubackup.com/de/windows-10/schattenkopie-windows-10.html