Geen twee situaties voor gegevensherstel zijn hetzelfde. Vaak is het mogelijk om verloren bestanden volledig van een schijf te herstellen, inclusief de originele bestandsnamen en mapstructuur. Andere keren kunnen de bestanden en gegevens worden hersteld, maar gaan de bestandsnamen, datum-/tijdstempels en mappaden verloren. En in sommige gevallen zijn er geen intacte bestanden te vinden. Dit roept een veelgestelde vraag van onze gebruikers op: waarom?

Om het antwoord op deze vraag te verklaren, helpt het om een ​​basisbegrip te krijgen van hoe bestanden op de schijf worden opgeslagen en hoe ze kunnen worden hersteld. Hoewel professioneel gegevensherstel meestal jarenlange ervaring en diepgaande kennis van de technische nuances van bestandssystemen en schijffysica vereist, kan het leren van de basisprincipes je helpen redelijke verwachtingen te stellen voor jouw software voor gegevensherstel.

In dit artikel zullen we op zeer hoog niveau bekijken hoe bestandsherstel werkt. We laten je ook zien hoe je deze kennis kunt toepassen op enkele veelvoorkomende scenario's om jouw kansen op een succesvol bestandsherstel in te schatten.

Een belangrijk artikel voor bestandsherstel van SSD-apparaten: Bestandsherstelspecificaties voor SSD-apparaten.

Om te begrijpen hoe bestanden van een schijf kunnen worden hersteld, helpt het om te begrijpen hoe bestanden op harde schijven worden opgeslagen voordat ze verloren gaan.

De meeste moderne besturingssystemen verdelen (of "partitioneren") de gehele fysieke harde schijf in een of meerdere onafhankelijke delen ("partities"). In de op DOS/Windows gebaseerde OS-families worden deze partities "logische schijven" genoemd. Aan logische schijven zijn stationsletters en optionele beschrijvende labels toegewezen. Bijvoorbeeld C: (Systeem) of D: (Gegevens). Elke partitie heeft zijn eigen bestandssysteemtype, onafhankelijk van andere partities op dezelfde fysieke schijf. Een fysieke harde schijf voor een Windows-systeem kan bijvoorbeeld twee logische schijven bevatten: een NTFS en een andere FAT32. Informatie over de partities op de schijf wordt aan het begin van de harde schijf opgeslagen. Dit wordt meestal een 'partitietabel' of 'partitiekaart' genoemd.

Een typische partitiestructuur wordt getoond in afbeelding 1.

Afb. 1: Structuur van de harde schijf
Klik op de afbeelding om te vergroten

Het gedeelte servicegegevens van de harde schijf en informatie over de partitiestructuur zoals weergegeven in afbeelding 1 staat bekend als 'metagegevens'. Dat wil zeggen, informatie over de gegevens op de schijf (in tegenstelling tot de gegevens zelf). Op dezelfde manier is elke partitie of logische schijf verdeeld in twee delen: de ene slaat informatie op over de schijf (mapstructuur, bestandssysteem, enz.) en de andere slaat de gegevens op die deze bestanden bevatten. Deze scheiding van gegevens en metagegevens zorgt voor beter schijfruimtebeheer, sneller zoeken naar bestanden en grotere betrouwbaarheid.

Afbeelding 2 toont een typische logische schijfstructuur.

Afb. 2: Logische schijfstructuur
Klik op de afbeelding om te vergroten

De schijfservice-informatie getoond in figuur 2 bevat specifieke informatie over de partitiegrootte, het bestandssysteemtype, enz. Dit is nodig voor de computer om de benodigde gegevens op de partitie correct te vinden.

De info over bestanden en mappen bevat bestandsrecords waarin bestandsnamen, grootte, datums/tijden en andere technische informatie zijn opgeslagen. Deze informatie omvat ook de exacte fysieke locaties (adressen) van de bestandsgegevens op de schijf. Van deze informatie wordt meestal een back-up gemaakt op de schijf zelf, voor het geval de eerste kopie beschadigd raakt.

Verschillende bestandssystemen hebben verschillende vormen van opslag van deze informatie. Het FAT-bestandssysteem slaat deze informatie bijvoorbeeld op in een File Allocation Table (FAT), terwijl het NTFS-bestandssysteem deze opslaat in een Master File Table (MFT).

Wanneer een computer een bestand moet lezen, gaat hij eerst naar de info over bestanden en mappen en zoekt naar de record van dat bestand. Vervolgens zoekt het het adres van het bestand op, gaat naar de opgegeven plaats op de schijf en leest vervolgens de bestandsgegevens.

Voor aaneengesloten bestanden, waarbij de gegevens op de schijf zijn gegroepeerd, is dit proces heel eenvoudig. Bestanden op de schijf kunnen echter gefragmenteerd zijn. Dat wil zeggen, ze kunnen verschillende niet-aangrenzende schijfgebieden innemen. Dit komt vaker voor dan de meeste gebruikers beseffen. Wanneer je een bestand vanuit Windows Verkenner of Finder bekijkt, wordt het immers altijd als één bestand weergegeven. Dit komt omdat het bestandssysteem achter de schermen al het werk doet om de fragmenten samen te voegen. De info over bestanden en mappen slaat de adressen van elk gefragmenteerd stuk gegevens op, zodat ze snel en betrouwbaar kunnen worden opgehaald wanneer de computer het bestand moet lezen. Deze informatie en hoe deze wordt opgehaald, speelt een belangrijke rol bij het herstellen van bestanden.

Wanneer een computer een bestand wil verwijderen, vernietigt het niet meteen de gegevens. In plaats daarvan brengt het enkele wijzigingen aan in de info over bestanden en mappen om aan te geven dat het bestand is verwijderd. Sommige besturingssystemen markeren het bestand gewoon als verwijderd en behouden alle metagegevens over het bestand totdat het nodig is om het te overschrijven met metagegevens over een nieuw bestand. Dit is hoe Windows-bestandssystemen met verwijderingen omgaan. Andere besturingssystemen, zoals Mac OS X, vernietigen het bestandsrecord van het verwijderde bestand volledig. Hoewel besturingssystemen verschillen in het feit of ze de info over bestanden en mappen onmiddellijk bewaren of verwijderen, laten alle besturingssystemen de feitelijke bestandsgegevens ongemoeid totdat het nodig wordt om die schijfruimte toe te wijzen aan een ander bestand. Als er geen bestanden naar de schijf worden geschreven, kan de gegevensinformatie over het bestand en de gegevens ervan voor altijd blijven bestaan.

Zoals hierboven vermeld, bevat het gedeelte van de schijf dat de bestandsgegevens opslaat ook een reservekopie van de info over bestanden en mappen. Dit deel van de schijf kan ook wat aanvullende informatie bevatten over de bestands- en mapstructuur verspreid over de hele schijf.

Voordat we de verschillende methoden voor bestandsherstel bespreken, is het belangrijk om op één ding te letten:
Als de gegevens op de schijf worden overschreven, zijn de oude gegevens verdwenen. Geen enkel programma of in de handel verkrijgbare methode voor gegevensherstel kan het herstellen.

Daarom is het van het grootste belang dat er geen nieuwe bestanden naar een schijf worden geschreven voordat je probeert een gegevensherstel uit te voeren.

Voor bestanden die niet zijn overschreven, zijn er twee bestandsherstelmethoden. Alle software voor gegevensherstel gebruikt een of beide van deze technieken.

Dit is de eerste methode die een programma voor bestandsherstel probeert uit te voeren. Dit komt omdat het bestanden kan herstellen met hun oorspronkelijke namen, paden, datum-/tijdstempels en hun gegevens (indien succesvol).

De software voor bestandsherstel begint door te proberen de eerste kopie van de informatie over bestanden en mappen te lezen en te verwerken. In sommige gevallen (zoals per ongeluk verwijderen van bestanden), is dit de enige stap die moet worden genomen om de bestanden in hun geheel te herstellen.

Als de eerste kopie van de info over bestanden en mappen ernstig beschadigd is, scant de software de schijf voor de tweede kopie van de info over bestanden en mappen. Het probeert ook aanvullende informatie te verzamelen over de mappen- en bestandsstructuur die zich op het gegevensgedeelte van de schijf kan bevinden. Vervolgens verwerkt het al deze informatie om de originele mappen en bestandsstructuur te reconstrueren.

Als het bestandssysteem op de schijf niet ernstig beschadigd is, is het vaak mogelijk om de hele bestands- en mapstructuur te herstellen.

Als het bestandssysteem op de schijf ernstig beschadigd is, kan deze herstelmethode niet de volledige mapstructuur herstellen. Dan zullen herstelde bestanden verschijnen in "verweesde" mappen.

Afbeelding 3 toont deze "verweesde" mappen in R-Studio.

Afb. 3: Herstelde bestanden en mappenstructuur en "verweesde" mappen
Klik op de afbeelding om te vergroten

Als de eerste methode geen bevredigende resultaten oplevert, wordt er gezocht naar onbewerkte bestanden. Deze tweede methode voor gegevensherstel kan bestandsgegevens met meer succes herstellen dan de eerste methode, maar kan niet de originele bestandsnamen, datum-/tijdstempels of de volledige map- en bestandsstructuur van de schijf reconstrueren.

Een zoekopdracht naar bekende bestandstypen, of het herstellen van onbewerkte bestanden, werkt door de inhoud van de schijf te analyseren op 'bestandshandtekeningen'. Bestandshandtekeningen zijn veelvoorkomende patronen die het begin of einde van een bestand aangeven. Bijna elk bestandstype heeft ten minste één bestandshandtekening. Alle bestanden van het bestandstype png (portable network graphics) beginnen bijvoorbeeld met de tekenreeks "‰PNG" en veel MP3-bestanden beginnen met de tekenreeks "ID3". Dergelijke bestandshandtekeningen kunnen worden gebruikt om te herkennen dat een stuk gegevens op de schijf tot een bepaald bestandstype behoort en daarom kan worden hersteld.

Na het uitvoeren van een zoekopdracht naar onbewerkte bestanden, zullen R-Studio en R-Undelete mogelijk herstelbare bestanden weergeven als "Extra gevonden bestanden". Deze krijgen bestandsextensies toegewezen op basis van de geïdentificeerde bestandshandtekening en gegeven tijdelijke bestandsnamen (volgnummers). Zie Afbeelding 4 en Afbeelding 5.

Afb. 4: Bestanden hersteld met behulp van zoeken naar Bekende Bestandstypen (extra gevonden bestanden) die zich op een logische schijf bevinden
Klik op de afbeelding om te vergroten


Afb. 5: Bestanden hersteld met behulp van zoeken naar Bekende Bestandstypen (extra gevonden bestanden) die buiten een logische schijf worden gevonden
Klik op de afbeelding om te vergroten

Hoewel deze methode meestal de beste techniek is voor het herstellen van gegevens van een zwaar beschadigd bestandssysteem, zijn er enkele beperkingen. Ten eerste is het feit dat sommige bestandstypen een "begin"- en "eind"-bestandshandtekening hebben, sommige hebben alleen een "begin"-bestandshandtekening (en geen "eind"-bestandshandtekening) en sommige bestandstypen hebben helemaal geen onmiddellijk herkenbare bestandshandtekening.

Als de software voor gegevensherstel de handtekening van het "begin"- en "eind"-bestand kan identificeren, kan het bestand gemakkelijk worden geïdentificeerd en hersteld. Voor bestanden die geen "eind" bestandshandtekening hebben, kan de software het bestand soms herstellen door aan te nemen dat het eindigt aan het begin van het volgende bestand. Voor bestanden zonder handtekening, zoals versleutelde schijfcontainers, kan een zoekopdracht naar onbewerkte bestanden de gegevens niet onderscheiden van stukjes niet-toegewezen schijfruimte.

Elk van deze omstandigheden wordt verder bemoeilijkt door bestandsfragmentatie. Bovendien kunnen bestanden zonder bestandshandtekeningen lange "rotzooisporen" hebben na herstel. Afbeelding 6 illustreert waarom.

Afbeelding 6: Bestandsgegevens op de schijf
Klik op de afbeelding om te vergroten

In de situatie die wordt getoond in Afbeelding 6, zullen Bestand 1 en Bestand 3 succesvol worden hersteld, terwijl herstel Bestand 2 en Bestand 4 niet succesvol zullen zijn. Tabel 1 legt uit waarom:

Naast de complicaties van gefragmenteerde bestanden, levert een zoekopdracht naar onbewerkte bestanden soms ook 'onterechte positieven' op. De tekenreeks "ID3" kan bijvoorbeeld in een bestand voorkomen zonder een bestandshandtekening te zijn. De tekst die je momenteel leest, bevat bijvoorbeeld de tekenreeks "ID3", maar is geen MP3-bestand. Als zodanig kan een zoekopdracht naar onbewerkte bestanden een deel van deze tekst ten onrechte identificeren als het begin van een MP3-bestand.

Hoewel alle programma's voor gegevensherstel een variatie op een van de bovenstaande methoden gebruiken, zijn er een aantal aanvullende zoekparameters en technieken voor gegevensherstel die kunnen worden toegepast om betere resultaten te verkrijgen. Geavanceerde programma's voor bestandsherstel, zoals R-Studio, stellen gebruikers in staat om handmatig zeer complexe en geavanceerde sets bestandshandtekeningen te specificeren, waaronder aangepaste bestandshandtekeningen.

In de praktijk worden deze twee bestandsherstelmethoden meestal samen gebruikt: sommige bestanden worden hersteld met één methode, terwijl de overige bestanden worden hersteld met behulp van de tweede methode. Geavanceerde programma's voor bestandsherstel zoals R-Studio en R-Undelete kunnen ze tegelijkertijd gebruiken door de Intelligent Scannen Data Herstel Technologie toe te passen. Dat wil zeggen, ze kunnen de overblijfselen van een beschadigd bestandssysteem analyseren en zoeken naar bekende bestandstypen tijdens dezelfde schijfscan.

De resultaten van bestandsherstel schatten
(Je kunt meer gedetailleerde informatie over de kansen op succesvol herstel vinden in ons artikel Succes voorspellen van veelvoorkomende gevallen van gegevensherstel.)

Met behulp van de bovenstaande informatie kun je een redelijk nauwkeurige schatting maken van jouw kansen op een succesvol bestandsherstel. Het is echter belangrijk om de volgende factoren in gedachten te houden:

• De schade aan een bestandssysteem kan onvoorspelbaar zijn. De staat van jouw bestanden hangt af van de oorzaak van het verloren gaan van de bestanden, de staat van de schijf vóór de storing of het gegevensverlies en alle acties die zijn ondernomen voorafgaand aan pogingen tot gegevensherstel. De schattingen in dit artikel zijn bij benadering en zijn alleen van toepassing op schijven waarop geen nieuwe gegevens naar de beschadigde schijf zijn geschreven.
• Gegevensherstel mag niet worden geprobeerd op schijven met hardwarestoringen. Als je vermoedt dat de schijf fysiek beschadigd is, kun je de zaak het beste doorverwijzen naar een gegevensherstelprofessional met de juiste ervaring en apparatuur. Elke poging om te knoeien met een fysiek beschadigde schijf kan leiden tot verder gegevensverlies, waardoor latere pogingen om gegevens te herstellen zinloos worden.
• We raden aan om alle gegevenshersteltaken uit te voeren vanaf kopieën van de daadwerkelijke schijven om de originele gegevens op de schijf te behouden. Hierdoor kun je meerdere gegevensherstelpogingen uitvoeren zonder wijzigingen aan de schijf te veroorzaken of verder gegevensverlies te riskeren. Geavanceerde programma's voor bestandsherstel zoals R-Studio en R-Undelete kunnen schijfkopieën maken en de gegevens tegelijkertijd scannen.

Als een schijf onjuist is gemonteerd of verwijderd (bijvoorbeeld door een stroomstoring of een gebruikersfout), kan dit ertoe leiden dat sommige of alle metagegevens van de harde schijf beschadigd raken of verloren gaan. Hoewel de oorspronkelijke servicegegevens van de harde schijf en informatie over de partitiestructuur verloren gaan, blijven de overige schijfgegevens intact. In deze gevallen kunnen programma's voor bestandsherstel de info over bestanden en mappen die nog intact is op de partities analyseren en alle bestanden en mappen ervan herstellen. Een extra zoektocht naar bekende bestandstypes is in deze gevallen zelden nodig. Dit is het beste scenario voor gegevensherstel en levert doorgaans de meest succesvolle resultaten op.

Dit geval hangt sterk af van hoe ernstig het bestandssysteem is beschadigd. Bedenk dat de schijf twee exemplaren van de info over bestanden en mappen bevat. Als slechts één exemplaar beschadigd is, kan een programma voor bestandsherstel gegevens van de reservekopie lezen en alle bestandsinfo en gegevens herstellen. Als beide exemplaren ernstig beschadigd zijn, kunnen de vooruitzichten voor een succesvol bestandsherstel erg somber zijn. Net als bij geval 3 kan een extra zoektocht naar bekende bestandstypen de redding zijn.

Deze gevallen worden in meer detail beschreven in dit artikel:
Gegevensherstel van een schijf met een beschadigd bestandssysteem.

Als een schijf per ongeluk opnieuw wordt gepartitioneerd, zijn de vooruitzichten vergelijkbaar met Case 1, met één belangrijke uitzondering: wanneer een nieuwe partitiestructuur wordt gemaakt, worden er nieuwe gegevens naar de schijf geschreven. Deze nieuwe gegevens overschrijven de bestaande schijfservice-informatie over de gehele fysieke schijf. De rest van de gegevens van de oude partities blijven echter onaangeroerd, inclusief de info over bestanden en mappen. Bestandsherstelprogramma's kunnen dus de schijf scannen, deze informatie vinden en die bestanden en mappen herstellen die niet zijn aangetast door de nieuwe partitiegegevens. Een extra zoektocht naar bekende bestandstypes is zelden nodig.

Deze zaak wordt in meer detail beschreven in dit artikel:
Bestandsherstel na herinstallatie van Windows

Opnieuw formatteren is doorgaans storender dan opnieuw partitioneren, afhankelijk van het type schijfformatteringsbewerking dat is uitgevoerd.

Volledig formateren zorgt ervoor dat alle gegevens op de partitie worden overschreven met een bepaald patroon (meestal 00 of FF). Dit maakt het onmogelijk om bestanden van de partitie te herstellen.

Een snel formaat zorgt ervoor dat sommige of alle info over bestanden en mappen worden overschreven, maar laat de bestandsgegevens ongewijzigd. Programma's voor bestandsherstel kunnen de schijf scannen, vinden wat er nog over is van het vorige bestandssysteem en dienovereenkomstig bestanden en mappen herstellen. Afhankelijk van het (de) bestandssysteem(en) voor en na de herformattering, zullen de resultaten van gegevensherstel sterk variëren bij gebruik van de eerste methode. Een extra zoektocht naar bekende bestandstypen kan in dit geval zeer succesvol zijn, zelfs als de eerste methode geen bestanden kan vinden.

Deze gevallen worden in deze artikelen in meer detail beschreven:
Gegevensherstel van een opnieuw geformatteerde NTFS-schijf (Windows)
Gegevensherstel van een gewiste HFS-schijf (MacOSX)
Gegevensherstel van een opnieuw geformatteerde exFAT/FAT-schijf (Windows/MacOSX/Linux)
Gegevens Herstel van een opnieuw geformatteerde Ext2/3/4FS-schijf (Linux)

Als de computer vastloopt of crasht tijdens een schijfdefragmentatie of herpartitionering, kunnen de resultaten rampzalig zijn. Dit is meestal het worstcasescenario voor bestandsherstel. Hoewel de info over de bestanden en mappen er misschien gezond uitziet, kunnen de metagegevens verwijzen naar de verkeerde fysieke adressen voor bestanden die werden verplaatst. De gegevens kunnen bijvoorbeeld naar een nieuwe locatie zijn geschreven, maar de info over de bestanden en mappen is mogelijk nog niet bijgewerkt. Of de informatie over de bestanden en mappen is mogelijk bijgewerkt, maar sommige of alle bestandsgegevens zijn nog niet verplaatst. In deze gevallen kan zelfs een extra zoektocht naar bekende bestandstypen niet succesvol zijn, omdat veel bestanden gefragmenteerd kunnen zijn.

Deze zaak wordt in meer detail beschreven in dit artikel:
Gegevensherstel na crash van partitiemanager

Hoewel dit artikel slechts een kort overzicht geeft van de basisconcepten voor bestandsherstel, zou het je moeten helpen begrijpen wat je moet doen en wat je kunt verwachten van jouw scenario voor gegevensherstel. Voor meer gedetailleerde instructies over het gebruik van programma's voor bestandsherstel zoals R-Studio en R-Undelete, raadpleeg hun online helpdocumenten. Je kunt ook gedetailleerde casestudy's en tutorials vinden over specifieke gevallen van bestandsherstel in onze online artikelen.

Zoals altijd is de beste manier om jouw kansen op bestandsherstel in te schatten, door onze programma's gratis uit te proberen. Met behulp van de demo-modus van R-Studio of R-Undelete kun je de volledige schijfscan en geavanceerde analyses van gegevensherstel uitvoeren om te zien welke bestanden kunnen worden hersteld. Als de bestanden die je zoekt herstelbaar zijn, kun je zich on-the-fly registreren om jouw bestanden volledig te herstellen en ze op een andere schijf op te slaan.