Knoppix Forum | www.KnoppixForum.de

Hallo.
Ich kenne ddrescue, dd_rescue und testdisk. Mit dd_rescue hatte ich mal eine HDD mit Nullen überschrieben um sie vor dem Verkauf zu löschen. Mit testdisk konnte ich Dateien wieder herstellen die im Papierkork gelöscht waren. Mit dem Thema Formatieren rückgängig habe ich mich noch nicht befasst, das ist bestimmt mit der richtigen Option möglich. Partitionen können mit testdisk wieder hergestellt, kopiert und verschoben werden. Man kann auch die Kopie vom MBR(Master Boot Record) wieder herstellen um den alten Zustand der Platte wieder herzustellen.
Das sind meine ersten Ideen die ich habe. Für einen kurzen Überblick kannst Du das im Terminal eingeben.
ddrescue –help
info ddrescue
testdisk –help
info testdisk

vom Bildschirm Drucken ist meistens zu klein und nicht der gesamte Text. Besser ist wenn Du die Anzeige in eine Text Datei schriebst.
Beispiel: ddrescue –help>ddrescue.txt außer dd_rescue funktioniert das.

Bei dem unteren Bild bei R-Studio Registrieren mit dem Link habe ich berechtigte Zweifel dass das etwas mit Linux zu tun hat. Das sieht so aus wie ein Windows Freeware mit eingeschränkten Funktionen. Erst bezahlen dann kannst Du weiter machen. So etwas würde ich auf keinen Fall machen.

Zitat von »sonycom007«

Das schmerzt natürlich sehr.

Zitat von »sonycom007«

Knoppix soll in diesem Fall ja helfen können ist aber angeblich nicht ganz unkompliziert.

mit Knoppix hat das zunächst mal gar nichts zu tun, zumindest gar nicht viel.
Du hast vielleicht schon gelernt, dass Knoppix ein Live-System ist und deshalb ohne eine Installation von einem Wechselmedium aus direkt laufen kann. Als Live-System ist es hauptsächlich zur Demonstration und zur Übung gedacht. Dazu hat es allerhand Programme direkt an Bord und darunter dann auch solche, die zur Datenrettung benutzt werden können.
Während Knoppix selbst total easy zum Laufen zu bringen ist und keinerlei Vorkenntnisse erfordert, sind aber Programme zur möglichen Datenrettung oder Forensik echte Experten-Tools und keineswegs Anfänger-gerecht.

Was du verstehen solltest ist, dass durch ein Formatieren nicht unbedingt alle Daten verloren sind.
Die üblichen Mechanismen löschen diese nämlich nicht, sondern schreiben lediglich diejenige Information neu, die zum zukünftigen Speichern von Daten benötigt wird. Die vorhandenen Daten werden dabei dann als "Freier Bereich" markiert und können also zum Schreiben benutzt und damit eben zerstört werden. So lange du noch nicht in dem neuen Format gearbeitet hast, bleiben die meisten Daten erhalten, so lange, bis sie halt überschrieben werden.
Das Problem bei der Wiederherstellung ist trotzdem komplex. Denn die Zuordnung der Daten zueinander ist nicht mehr bekannt. Das ist kompliziert zu verstehen. Dateien bestehen aus Daten, einer Abfolge von Einsen und Nullen. So werden diese aber nicht einfach in einem Dateisystem geschrieben, sondern man teilt sie auf Blöcke auf. Dann werden nacheinander die Blöcke gefüllt und das Dateisystem merkt sich, welche Blöcke zusammengehören und in der richtigen Reihenfolge eine Datei bilden. Mit Neuformatierung geht diese Information verloren.
Anders gesagt: die Programme, die man zur Datenrettung benutzen kann, müssen nun erst mal raten, wie die Daten zusammen hängen und das gelingt durchaus nicht immer. Deshalb ist Datenrettung immer unzuverlässig.
Davon abgesehen, dass auch der Anwender beim Gebrauch der Tools Fehler machen kann, die zu einer Zerstörung der Daten führen können und auch nicht selten mehrere Versuche notwendig sind.

Aus diesen Tatsachen leitet sich so etwas wie eine Empfehlung ab, wie man generell bei Datenrettungsversuchen vorgehen sollte.
Sehr häufig (aber nicht in deinem Fall) kommen solche Versuche dann in Frage, wenn ein unerwarteter HW-Ausfall erfolgt. Sterbende Platten können oft noch in ihren letzten Zuckungen gerettet, bzw der Inhalt gesichert werden. Dann ist es zwingend, in deinem Fall lediglich sehr zu empfehlen, als ersten Schritt ein Abbild der Festplatte zu erzeugen. Anschließend arbeitet man mit dem gewonnenen Abbild (den Abbildern).
Meist scheitert dieser Schritt an nicht vorhandenem Plattenplatz und an der Geduld der Betroffenen. Das Abbild ist nämlich genauso groß, die die betroffene Platte und es wird quasi Bit für Bit übertragen, was sehr lange dauern kann.
Die Vorgehensweise allgemein ist also:
- Abbild erstellen
- Partitions-Wiederherstellung probieren
- Dateisystem-Rettung probieren
- Dateien-Rettung probieren

Dazu gibt es nun die unterschiedlichsten Tools.
- Abbild erstellen
Man kann dazu etwa dd oder dd_rescue benutzen, doch das sicherste und effizienteste Tool dazu ist GNU ddrescue (https://de.wikipedia.org/wiki/Ddrescue)
In dem Wikipedia-Artikel werden die Tools kurz erklärt und Beispiele gelistet. Wenn du das nicht ausreichend verstehen kannst, solltest du dich nicht daran wagen und jemanden fragen, der dir helfen kann.

- Partitions-Wiederherstellung
Hierfür ist das Tool testdisk (unter anderem) geeignet (https://www.cgsecurity.org/wiki/TestDisk). Der Beitrag gibt einen Überblick und weiterführende Lektüre mit Beispielen.
In deinem Fall könntest du ausnahmsweise auch Glück haben mit (g)parted. gparted ist die grafische Version und für Anfänger sicher zu empfehlen. Wenn du weißt, wie die Platte zuvor formatiert gewesen ist, könntest du damit eine neue Formatierung probieren, um den vorherigen Zustand wieder zu erreichen. Da die Daten nicht verloren sind, könnte eine anschließende Überprüfung und Wiederherstellung der Daten erfolgreich sein (am Besten mit den Bordmitteln des Ursprungssystems).
Stellt testdisk die Partition(en) wieder her, gilt dies ganz ähnlich. Eine ziemlich ausführliche Beschreibung liefert dazu: https://www.cgsecurity.org/wiki/TestDisk_Step_By_Step
Wenn du das nicht ausreichend verstehen kannst, solltest du dich nicht daran wagen und jemanden fragen, der dir helfen kann.

- Dateisystem-Rettung probieren
Wenn das Dateisystem ein "Windows-Dateisystem" war, würde ich es in einem Windows mit den entsprechenden Tools versuchen. chkdsk von der Konsole macht so etwas.
Wenn das Dateisystem ein "Linux-Dateisystem" war, würde ich es in einem Linux versuchen, etwa mit e2fsck.
Und so weiter.

- Dateien-Rettung probieren
Nur dann, wenn das alles nicht erfolgreich war, würde ich photorec probieren. Das wird hier beschrieben: https://www.cgsecurity.org/wiki/PhotoRec und dort ist auch Link zu einer detaillierten Beschreibung hinterlegt:https://www.cgsecurity.org/wiki/PhotoRec_Step_By_Step
photorec leistet wirklich Erstaunliches, braucht dafür aber sehr lange. Es geht ja Daten Byte für Byte durch und versucht, alle Daten zu finden, die zu einer Datei gehören können und diese dann wieder komplett zu erstellen.

Wenn du das nicht ausreichend verstehen kannst, solltest du dich nicht daran wagen und jemanden fragen, der dir helfen kann.
Diesen Satz schreibe ich ganz bewusst.
Du denkst dir vielleicht, dass du das ja genau getan hast indem du die Frage hier gestellt hattest. Du kannst dir aber vermutlich nicht vorstellen, wie schwierig es ist, jemandem aus der Ferne alle Details hinreichend präzise zu erklären und du kannst dir vermutlich nicht vorstellen, zu welchen desaströsen Fehlern es dabei kommen kann. Ubuntuli erklärt immer wieder gerne, dass dd ein gefährlicher Befehl ist. Der Befehl selbst ist natürlich nicht gefährlich, aber er kann falsch angewendet werden und dann kann etwas passieren, dass der Anwender gar nicht beabsichtigt hatte. ZB: das installierte System inklusive aller Daten unwiderruflich gelöscht werden!
Das hat auch nur wenig damit zu tun, ob jemand schon länger ein GNU/Linux nutzt. Der durchschnittliche GNU/Linux-Anwender kommt ungefähr so häufig mit Datenrettung in Kontakt, wie ein Windows-Anwender auch. Die verlinkten Beschreibungen zu den Tools sind gut und einfach gehalten. Das Verständnis dessen, was da gemacht wird (was etwa /dev/sdb bedeutet...), ist indessen essentiell für den Gebrauch dieser Tools und wer dieses Wissen nicht hat, geht ein ziemlich hohes Risiko ein.

Afaik gibt es testdisk und photorec auch für Windows-Systeme, es ist also unter Umständen nicht nötig, sich erst noch mit einem Knoppix zu bestücken, um solche Freien Tools zu benutzen. Das Erlernen eines fremden Betriebssystems würde dann entfallen.

TestDisk, Data Recovery

Zitat von »sonycom007«

System ext4 / Linux

Wenn Du damit die externe Platte meinst die Du unter PX-System Win10 benutzt kommt ext4 zur Anwendung denn Win10 ist NTFS.

- Abbild erstellen
Ich empfehle dir von dieser Platte ein Abbild und mit diesem weiter Arbeiten. Beim Formatieren werden die Blöcke als frei Markiert. Die Daten sind aber noch auf der Platte werden aber durch häufiges Benutzen überschrieben. Deshalb solltest Du diese Platte nicht mehr benutzen bis eine Lösung gefunden wird.

Zitat von »sonycom007«

(Heißt nicht, dass ich es nicht versuche, schlimmer gehts nimmer)

Doch. Wie gesagt, ein falscher Befehl kann dir auch ganz leicht etwas total zerstören, also etwas ganz anderes, als deine aktuell bereits zerstörte Platte.
Das ist einfach erklärt. Die Befehle müssen auf der Konsole getippt werden. Da wird nur und ganz genau das ausgeführt, was du eingegeben hast und nicht, was du dir gedacht hattest und womöglich wolltest. Es wird dann auch einfach gemacht, was befohlen wird und nicht erst noch gefragt, ob man das denn auch wirklich möchte und schon gar nicht wird auf mögliche Probleme hingewiesen. Ich wette, dass jeder Beginner sich in seinem neuen Unix schon mal selbst das System durch einen unbedachten Befehl geschrottet hat. Jeder zahlt hier sein Lehrgeld auf diese Weise.
Das möchtest du unbedingt vermeiden.

Ansonsten ist es nun nicht wirklich sehr kompliziert.
Du tippst deine Befehle ein, drückst auf Enter und schon passiert es. Du kannst Beiträge hier schreiben, du kannst Beiträge lesen und verstehen, dann kannst du auch Befehle in einer Konsole eintippen und starten.

Sobald du ein Image angelegt hast, kannst du ja üben.
Normalerweise macht man alle Arbeiten an einem Image und nicht an der (externen) Platte. Das hat zwei Gründe:
- man möchte nicht die (möglicherweise unzuverlässige) Platte weiter strapazieren
- die Performance zu internen Datenträgern (auf denen dann das Image liegt) ist deutlich höher

Die erste Frage ist also: hast du ausreichend Platz, deine defekte Platte zu spiegeln?
Erzähl mal, wie hier dein Konzept aussieht.
Welche HW hast du zur Verfügung? Wie willst du die nutzen?

Die nächste Frage für mich wäre dann, wie weit du schon mit Knoppix gekommen bist. Es muss nun wirklich nicht Knoppix sein, es gibt viele Live-Systeme, die die gleichen Tools anbieten, aber lass uns hier vielleicht mal bei Knoppix bleiben. Natürlich nur, falls du überhaupt mit einem GNU/Linux an das Problem heran möchtest. Ich selbst nutze zwar GNU/Linux allenfalls gelegentlich und kenne mich nicht sehr gut damit aus, aber das hat für die Anwendung der hier behandelten Tools keine große Bedeutung. Mit Windows oder Mac-OS kenne ich mich noch wesentlich weniger aus. Ich würde mir eine Datenrettung zutrauen.
Was ich an der Stelle klären möchte, ist der Umgang mit einem vollkommen neuen Betriebssystem.
Knoppix ist ein GNU/Linux und das ist kein Windows! Es mag vielleicht sogar an der Oberfläche ganz ähnlich aussehen und so manche Anwendung wird dir vielleicht bekannt vorkommen. In der Tat höre ich immer wieder ganz erstaunte Kommentare in der Richtung, dass das ja vollkommen easy sei und so gut gefällt, dass man gar kein Windows mehr haben will. Das kann ich zwar irgendwo nachvollziehen, es sollte aber nicht darüber hinweg täuschen, dass im Untergrund ein vollkommen anderes System arbeitet. Und während man bei einem Windows gar nicht oder nur sehr schwer auf Ebene dieses Untergrundes kommt, ist es bei Knoppix und anderen Freien Systemen der große Vorteil überhaupt, dass man hier ganz einfach Zugang erhält und sehr mächtige Befehle benutzen kann.
Nun kommt Knoppix mit einigen Möglichkeiten für die Oberfläche daher. Man ist da nicht wirklich festgelegt. Und es ist sehr vorteilhaft, wenn man sein neues System schon mal ein wenig kennen gelernt hat, bevor man damit wirklich ernsthafte Sachen machen möchte. Bedenke: du musst dann aus diesem System zweifelsfrei identifizieren können, welches Gerät deine Quelle und welches dein Ziel ist. Und hier gibt es dann ja wieder mehr Möglichkeiten, als man das für gewöhnlich aus seinem Windows kennt, wo Partitionen einfach der Reihe nach c, d, e oder so benannt werden.
Es ist extrem empfehlenswert, Knoppix auf einen kleinen (>= 8G) Stick zu legen (etwa mittels des Scripts Flash-Install oder so ähnlich, direkt durch Anklicken aus einem laufenden Live-Knoppix) und dabei eine Overlay-Partition von etwa 1-2G zu setzen. Damit hast du dann nicht nur die Möglichkeit, eigene Einstellungen permanent zu erhalten, sondern evtl auch noch zusätzliche SW zu installieren. Außerdem läuft es vom Stick sehr viel schneller.

Bevor man damit anfängt, muss (MUSS) die Checksumme des Downloads überprüft werden und nur dann, wenn diese korrekt ist, sollte das ISO benutzt werden.
Ich kürze das hier mal ab.
Das sind Selbstverständlichkeiten. Jeder, der einen PC nutzt und ISOs aus dem Netz lädt um diese zu brennen (oder anders zu nutzen), sollte Checksummen vergleichen.
Wetten, dass der durchschnittliche Anwender bereits damit überfordert ist?
Wenn ich das nun im Zusammenhang mit Knoppix erkläre, kann das sehr leicht dazu führen, dass jemand dieses Knoppix aber für echt kompliziert hält.
Du verstehst?
Wenn man hier irgendwelche Ratschläge gibt, weiß man ja nie, welchen Stand der Gesprächspartner hat. Einerseits will man nicht unsinnig viel erklären, andererseits soll sicher verstanden sein, was denn bezweckt wird.

Dieses Forum ist ziemlich lahm und es gibt kaum Teilnehmer.
Es gibt auch Leute, die sich besser auskennen, als ich das tue. Ich habe scheinbar mehr Zeit hierfür.
Trotzdem kannst du mit Geduld und Eifer und der Lust am Lernen ziemlich sicher zumindest einen Versuch unternehmen, deine Daten wieder zu sehen. Es muss nicht gelingen, kann aber gelingen.

Vielleicht noch ein Wort dazu:
Von Windows kennst du vielleicht die Option, einen Datenträger schnell zu formatieren oder vollständig. Beides ist formatieren, aber vollkommen unterschiedlich. Bei vollständig werden die Daten zerstört, bei schnell wird nur ein neues Dateisystem geschrieben.
Du hast in einem Sat-Receiver die Platte formatiert und das ganz bestimmt nicht von Hand gemacht. Du hast sicher ein Menü aus einer grafischen Oberfläche ausgewählt und was dahinter steht, weiß man nicht.
Der einfache Befehl zum Formatieren eines Dateisystems (etwa in einem extfs) entspricht dem Schnellformat in Windows und Daten werden dabei nicht zerstört. Also, wenn ich auf der Konsole zB tippe:
würde die Partition "3" auf meiner zweiten internen Festplatte in einem ext3-Dateisystem mit Journals und der Eigenschaft angelegt, im Fehlerfall damit weiter zu arbeiten und dem auch noch den Namen "mynew" zu geben.
Und das wäre ein schnelles formatieren.
Aber so etwas hast du ja nicht gemacht, oder?
Das Menü auf der Box kann nun aber eine ganze Reihe von Befehlen nacheinander aufrufen und ausführen und eben nicht nur auf die Schnelle formatieren. Das sieht man ihm ja nicht an. Deshalb kann es auch sehr gut sein, dass du gar keine Daten mehr auf deiner Platte findest.

Ein 8GB USB Stick für eine Flash Installation ab Knoppix 6.7 ist zu klein. Ich hatte das 2 oder 3 mal probiert der bleibt beim Starten von Knoppix stehen. Er hängt sich auf sage ich am liebsten. Ich empfehle >=16 GB.
Wer nur die Konsole zum Üben benutzen möchte um Linux zu Lernen reicht das zwar aus wer aber mehr von Knoppix wissen und mehr Programme nutzen möchte sollte ein Update Installieren. Ohne diesem Update funktioniert die Synaptic-Paketverwalrung nicht. Ohne die Paketverwaltung können keine Programme Installiert werden. Bei der Flash ohne Update kann nicht alles benutzt werden. Und dann sind noch die Fragen möchte man mehr über Linux wissen und Probieren? Benutzt man den Stick häufiger? Seit Windows 7 UEFI sollte dann bei Windows EFI Installiert und die Boot-Reihenfolge DVD/USB als erstes gesetzt werden.

Daten Retten kann sehr teuer werden. Bei Windows Programmen die angeblich Daten Retten sollen habe ich immer große Bedenken. Damit kann man mehr Zerstören als Retten.

Bei Linux in der Konsole muss man 100 Pro sicher sein und wissen was man tut gerade dann wenn es um Daten Retten geht und man ist als Administrator angemeldet. Ein falscher Befehl, falsch geschrieben, Zeichen vertauscht, statt groß klein geschrieben, falsche Option. Linux fragt nicht immer möchten Sie das wirklich?

Ich möchte dir jetzt nicht zu viel Angst machen zum Üben wurde Knoppix von K. Knopper entwickelt.

Ich würde schon Knoppix als erstes empfehlen für das kennen lernen von Linux. Bei Unix, Suse, Debian, Ubuntu und andere Systeme ist schon etwas Vorkenntnis erforderlich. Als ich 2007 Knoppix 6.1 kennen lernte musste ich natürlich erst lernen und Verstehen das Laufwerke unter Linux ganz anders bezeichnet sind als wie bei Windows. C:/ ist dann sda/ . Bis Windows XP gab es nur eine Partition. Ab Windows 7 gibt es 2 den Start Bereich und C:/ also sda1/ und sda2/
Das ist auch bei Win10 so.

Grundsätzlich ist die HDD am Rechner immer sda1/ und sda2/ der Flash USB FAT sdb1/ Reiserfs sdb2/ …
Bei der Flash Installation darf man auf keinen Fall die Frage soll die Flash verschlüsslt werden mit ja Antworten.das wird danach Probleme geben Programme zu Installieren.

https://grml.org/download/
Es gibt zahlreiche "Datenrettungs-CDs". Leute, die sich damit etwas besser auskennen, nehmen dafür in der Regel nicht so etwas wie Knoppix, denn da bekommen sie es ja zunächst mit einer grafischen Oberfläche zu tun, die sie nur stört. Das nur mal am Rande bemerkt. grml ist eine solche klassische Datenrettungs-CD.
Doch wir sollten es hier zunächst bei Knoppix belassen und versuchen, das zum Laufen zu bringen.
Du bist da noch vor der Auswahl eines Sticks, doch das sei nur schon mal angemerkt: ein 8G Stick ist für ein Knoppix 8.6.1 ausreichend groß.

Wichtig ist nun, die Checksumme des Downloads zu prüfen.
Finde dazu mindestens zwei unterschiedliche Server, von denen du Knoppix downloaden kannst. Dort stehen auch die Checksummen zu der jeweiligen Version zur Verfügung. Wenigstens zwei Server sollte man vergleichen und dann die Checksumme des Downloads bilden und wieder damit vergleichen.
Manche Brennprogramme bietet solch eine Möglichkeit.
Ansonsten habe ich keinen Plan, wie so etwas mit einem Windows gemacht wird.

Ich denke, wir sollten zunächst nur mal das probieren. Knoppix sollte zuverlässig von DVD starten und laufen.

Hatte eben noch ein Gespräch und man hat mir versichert, dass testdisk und photorec auch unter Windows gut laufen.
Damit habe ich keine Erfahrung, aber die SW ist gleich und sollte sich zumindest ähnlich verhalten.

Weil deine Platte nicht defekt ist, könnte man es dann vielleicht sogar damit belassen, direkt damit zu arbeiten.
testdisk kann aber auch Sicherungen erstellen, soviel ich gelesen habe.
Du könntest aber vielleicht auch zu einem schnellen Erfolg kommen, wenn du einfach mal photorec über das Laufwerk schickst. Das Problem dabei ist nur, dass photorec einigermaßen dumm arbeitet. Es findet Dateien, die irgendwann "gelöscht" wurden genausogut, wie jene, die du eigentlich haben möchtest. Es überflutet dich also mit Dateien (die alle auch nicht mehr den früheren Namen haben). Trotzdem könnte das dir ja schon helfen und du kannst die Ergebnisse ja einfach mit Windows durchsuchen.

Ist vielleicht die einfachste und schnellste Möglichkeit für dich.

Die Knoppix 7.0 Basierte Runtime-Live CD kenne ich schon etwas länger. Ich hatte sie mir Gebrannt aber sehr selten benutzt weil ich noch keinen Anlass dazu hatte. Um sie zu Starten musst Du den Rechner mit F11 EFI DVD starten.
http://www.datenrettung-etc.de/datenrettung-live-cd.htm

Zitat von »sonycom007«

Wahrscheinlich 2 verschieden eWege zum gleichen Ziel - Richtig? Ob der PC via USB-Stick oder via CD startet ist ja egal...

grundsätzlich ist das egal.
Knoppix besteht hauptsächlich aus dem gepackten System.
Hmm. Womöglich mit einfachen Worten schwer zu erklären. Vielleicht mit einem Beispiel: stell dir vor, du hast dein Windows schon einige Zeit laufen. Es ist aktuell, also mit allen eingespielten Sicherheitsupdates und so. Außerdem hast du eine ganze Reihe an zusätzlicher SW installiert, die du gerne benutzt. Nun nimmst du am Tag X einen Snapshot dieses Systems, also von aller installierter SW, quasi alles, was du auf deiner Systemplatte installiert und konfiguriert hast und dann packst du das zusammen und schreibst es auf eine DVD, von der du es dann auf beliebigen PCs booten kannst.
Das, oder so ähnlich ist Knoppix.
Es ist ein (32Bit) Debian-GNU/Linux mit einigen speziellen Konfigurationen. Das wird gepackt, also nicht nur zu einem Paket geschnürt, sondern auch komprimiert. Dann fügt man noch etwas Boot-Magie hinzu und schreibt das auf eine DVD. Grob vereinfacht.
DVDs können natürlich nur gelesen werden und das ist für den Betrieb eines solchen Systems auch vollkommen ausreichend. Es soll ja eine Demo sein, mit der man ein wenig üben kann, aber hauptsächlich erst mal sehen, wie denn so ein Linux-System überhaupt aussehen kann und sich so anfühlt.
Man kann sich aber auch leicht vorstellen, wieviel ein PC auf solch einer DVD "herum rattern" muss, um während des Betriebes die gepackten Teile zu entpacken und in den RAM zu laden. Das Starten einzelner Programme kann da schon ziemlich lange dauern und einem die Lust zum Spielen nehmen.
Nicht nur das.
Es ist also schon empfehlenswert, Knoppix alleine wegen der besseren Performance auf einen Stick zu legen. Aber da gibt es noch mehr:
- die Teile, die die Bootmagie konfigurieren, können auf einem Stick verändert werden.
- durch eine optionale "Overlay"-Partition (oder Datei) können Veränderungen am System dauerhaft gespeichert werden.
Bei Punkt eins kann man etwa bestimmen, dass nicht 30 Sekunden gewartet wird, bis der Bootvorgang automatisch fortgesetzt wird, sondern vielleicht nur fünf. Oder man kann festlegen, dass niemals der unselige 3D-Modus verwendet werden soll oder welches Desktop-Environment denn vielleicht lieber benutzt werden soll und solche Dinge. Quasi all das, was man mittels "Cheatcodes" beim Booten dem System mitgeben kann (auch der DVD), können für einen Stick dauerhaft festgelegt werden.
Bei Punkt zwei kann die eigene Konfiguration gespeichert werden. Etwa der Drucker, wenn er mal konfiguriert ist oder Einstellungen zum Bildschirm oder WLan-Passwörter und so weiter. Und es kann zusätzlich SW installiert werden. Quasi alles, was man als Offset zu einem laufenden System einrichtet, kann in der Overlay gespeichert werden. Damit hat man dann von einem Stick mit Overlay doch viele Möglichkeiten und kann das eigentlich als Demo gedachte System durchaus (eingeschränkt) zum Arbeiten benutzen.

Deshalb gehe ich so weit und sage: Knoppix gehört auf einen Stick mit Overlay.
Die Entwickler tragen dem auch Rechnung und schaffen Möglichkeiten, Knoppix direkt, also ohne Umweg über eine DVD, auf einen Stick zu bekommen. Für den unbedarften Anwender (das sind Leute wie du und ich), ist es aber noch immer der einfachste Weg, eine DVD zum Laufen zu bringen und sich dann von dort einen Stick einzurichten. Alle mitgelieferten Programme funktionieren natürlich auch schon von der DVD. Das eigentliche Knoppix bleibt ja unverändert als gepackte Datei enthalten und wird nur von DVD auf Stick kopiert.

Doch dies nur zur Erklärung, also generell und etwas vereinfacht dargestellt.
Wichtig ist: Knoppix ist keine Datenrettungs-SW!
Knoppix ist ein Live-Betriebssystem und es hat bereits einige Programme mit installiert, die dann zur Datenrettung verwendet werden können.
Der Einsatz von Live-Systemen ist natürlich dann besonders reizvoll, wenn das installierte System selbst durch Fehler nicht mehr bootet. In deinem Fall ist das nicht so und obwohl ich natürlich automatisch an den Einsatz von OpenSource-Systemen zur Bewältigung aller Aufgaben denke, wäre es vielleicht doch ein nicht zu rechtfertigender Aufwand für dich. Es ist ja gar nicht nötig, photorec von der Knoppix-Live-DVD zu starten, wo man ja immerhin mit einem vielleicht vollkommen unbekannten System umgehen muss, wenn es die gleiche SW doch auch für dein Windows gibt. Ich selbst habe kein Windows im Einsatz und kann das deshalb nicht probieren, aber es wurde mir inzwischen mehrfach versichert, dass diese Tools auch von Windows aus gut funktionieren.

Inzwischen bin ich deshalb auch davon überzeugt, dass man in deinem Fall eine Ausnahme vom allgemein empfohlenen Vorgehen bei Datenrettungsaktionen machen sollte. Ich würde das so probieren, dass ich die defekte Platte einstöpsele, die Sicherungsplatte einstöpsele und in NTFS formatieren würde, dann photorec auf der "defekten" Platte laufen lassen und zur neuen Platte die gefundenen Dateien spielen würde. Das dauert sehr lange und es wird vermutlich sehr viel gefunden, was du nicht mehr haben möchtest, aber ich bin sehr zuversichtlich, dass auch alle "sinnvollen Dateien" (Musik, Bilder, Video...) dabei sein sollten (falls nicht durch den Formatiervorgang bereits zerstört).
Dazu bräuchtest du nicht den Umweg über Knoppix und es wäre vielleicht der schnellste Weg (in deinem Fall) zu einem Erfolg zu kommen.

Zitat von »sonycom007«

Ist es bei photorec ebenfalls empfehlenswert nur mit einem Abbild der versehentlich formatierten Platte zu arbeiten?

Aus Sicherheitsgründen empfiehlt sich das ja immer, also ganz grundsätzlich gesprochen. Ganz grundsätzlich gesprochen hat man aber auch immer ein Backup seiner Daten und braucht deshalb niemals Datenrettung.
photorec ist recht harmlos in der Anwendung. Anders, als bei testdisk und anderer SW wird nichts an der Quelle verändert. Es wird nur die "defekte" Platte gelesen, oder besser gesagt, sie wird gescannt und dann zusammenhängende Dateien ins Ziel geschrieben.
Deshalb würde ich in deinem speziellen Fall ohne Abbild versuchen, was ich mit photorec als Ergebnis erhalte.

Zitat von »sonycom007«

Und das Ziellaufwerk soll in NTFS formatiert werden. ok, das ist aktuell ebenfalls in ext4 formatiert aber das kann man ja ändern bzw. die zweite Platte dazu verwenden.

Windows kann kein ext-fs. Unter den Windows-Dateisystemen ist NTFS das beste und kann auch Dateien, die größer sind als 4GB. Deshalb ist es empfehlenswert, in Windows damit zu arbeiten.

Zitat von »sonycom007«

(a) Wenn die Ursprungsfestplatte in ext4 formatiert ist muss es die Zielfestplatte ebenfalls sein - oder?
(b) gibt es zum Abbild erstellen eine besonders empfehlenswerte Software die unter Windows läuft?

a) : nein. Das Abbild ist eine einzige Datei, die alles enthält, was auf der Quelle drauf ist. Also alle Bits der Quelle. Also auch das Dateisystem und so weiter. Das Abbild muss eben nur auf irgendeinem Ziel gespeichert werden und weil es mitunter sehr groß sein kann, muss das Ziel-Dateisystem sehr große Dateien speichern können. Deshalb kommt FAT nicht in Frage. Ansonsten gibt es da keine Anforderungen.
b) : weiß ich nicht. Windows nutze ich nicht und kenne mich damit nicht aus. Ganz bestimmt gibt es auch hier SW für solche Aufgaben. Grundsätzlich war das für mich immer ein Problem, dass man nie weiß, welche SW man für Windows wo finden kann. Das ist in der Freien Welt sehr viel einfacher und besser: so ziemlich alle SW, die ich mir wünsche, gibt es direkt und quasi mit dem System dazu und deshalb auch aus vertrauenswürdigen Quellen.

Zitat von »sonycom007«

Ich hatte kurz noch mal RLinix in Verwendung um die leere Zielfestplatte von ext4 nach NTFS zu formatieren und dabei zufällig gesehen, dass dieses Tool wohl ebenfalls Daten wiederherstellen kann.

diese SW kenne ich nicht.
Was ich im Netz dazu lese, sagt mir, dass sie nur und ausschließlich ext-fs kann. Deshalb wundert es mich zunächst schon mal, dass du sie zum Formatieren eines Laufwerks in einem NTFS benutzt hast. Dazu gleich noch einen Satz.
Also, laut Beschreibung der SW hättest du dann keine Chance, deine Dateien damit wiederherzustellen. Aber ich kenne die SW ja nicht und lese nur darüber.
photorec ist anders. Es braucht zum aufspüren von Dateien nicht (wirklich) die Information, welches Dateisystem da zu Grunde liegt. In Wahrheit ist es etwas komplexer, aber vielleicht zum Verständnis die folgende Beschreibung:
Dateien liegen auf der Platte (dem Medium) in einer Folge von Einsen und Nullen. Da liegen nun auf einer Platte immer eine ganze Reihe von Einsen und Nullen herum. Manche dieser Einsen und Nullen bilden zusammen eine Datei. Dateien werden, entgegen landläufiger Meinung, nicht an ihrer Extension erkannt, auch wenn manche SW streng auf diese Anhängsel achtet. Also, eine mp3 Datei wird nicht dadurch zu einer mp3 Datei, weil man sie als xyz.mp3 benennt und nicht dadurch zu einem Film, dass man sie xyz.mpg nennt, aber manche SW versucht tatsächlich eine derart benannte Datei zu spielen. Dumme SW. Denn, derartige Dateien (ganz viele Typen von Dateien) benutzen Information, die am Anfang der Datenreihe geschrieben ist, also innerhalb der Datei selbst. Den Anfang, der also eigentlich die Datei beschreibt, nennt man Header (und es gibt auch einen Footer, der dann am Ende kommt). Diese Information sucht nun photorec. Also, wie gesagt, in etwa so, vereinfacht dargestellt. Unabhängig vom Dateisystem und seiner Information lässt photorec alle Einsen und Nullen passieren und sobald es einen Anfang für eine Datei erkennt, sucht es nach allen Einsen und Nullen, die zu der Datei gehören, bis zu deren Ende und dann schreibt es diese "Erkenntnis" als Datei mit dem erkannten Typ als Endung und einer Nummer als Namen ins gewählte Ziel.
Sehr viele Einsen und Nullen sind Schrot, können aber doch noch als Text rekonstruiert werden und deshalb findet photorec meist sehr viele Textdateien, die aber zu nichts zu gebrauchen sind.
Sehr oft können aber Dateien wieder zusammen gelesen werden, die besonders gute Header und Footer haben und dazu zählen etwa die meisten Bilder und Filme und viele Musik-Dateien. Natürlich geht das dann besonders gut, wenn nur wenige Dateien durch neue Schreib-Operationen zerstört wurden.
Nun haben viele Dateisysteme so ihre Eigenarten und wenn man diese kennt und berücksichtigt, kann da noch mehr heraus geholt werden. So kann die Größe der benutzen Blöcke hilfreich sein. Wenn ich die kleinste Größe einer zusammenhängenden Datei kenne, hilft das ja. Oder, manche Dateisystem kennen Journale, sie schreiben also Information zu geöffneten Dateien irgendwo hin (um zB bei unerwartetem Systemausfall diese besser wiederherstellen zu können und so) und wenn man das weiß und kennt, kann man sich eben das Leben auch ein wenig leichter machen. Derartige Dinge werden in der Regel von den Dateisystem-Hilfsprogrammen berücksichtigt, die fast alle Dateisysteme mitliefern. Für ext-fs gibt es da zB e2fsck und so weiter. Diese Helferlein können "zerstörte" Dateien (manchmal) wiederherstellen, in erster Linie sind sie aber gedacht, um das Dateisystem gesund zu machen und nicht Dateien zu retten.
Was nun r-linux macht und wie es aufgebaut ist, habe ich mich gar nicht erst bemüht heraus zu finden. Laut Beschreibung braucht es aber ext-fs.

OK, noch ein Wort zum Formatieren in NTFS: warum machst du das nicht direkt mit Windows?
afaik meckert Windows doch eh, wenn es ein Dateisystem nicht erkennt und schlägt dann sogar vor, den Datenträger zu formatieren.
Spätestens im Explorer kann man dann aber das System-eigene Menü benutzen und Datenträger formatieren.


https://www.cgsecurity.org/wiki/PhotoRec…%C3%BCr_Schritt
zeigt wohl ziemlich genau, was du tun kannst.
Die Zielplatte muss erkannt und im Windows über den Explorer erreichbar sein. Du kannst nun hier vielleicht ein Verzeichnis anlegen, sagen wir mal "photorec"
Dann schließt du auch die Quellplatte an und startest photorec. Dann wählst du die Quelle aus, setzt dein Optionen (oder lässt alles in der Vorzugslage, was ich zunächst mal zu machen würde) und wählst dann schließlich dein Ziel. Hier ist nur eines unbedingt zu beachten: die Auswahl erfolgt nicht mit ENTER, sondern mit einem Buchstaben. Das wird aber im Text erklärt, den photorec ausgibt. Also immer erst lesen.
Dann einfach laufen lassen, was durchaus mehrere Tage dauern kann. Im Ziel sammeln sich rekonstruierte Dateien (in Unterordnern) und du kannst dir das schon mal ansehen, was aber die Geschwindigkeit etwas reduziert, in der photorec schreiben kann. Ganz besonders dann, wenn Windows viele Vorschaubilder auf dem Datenträger erstellen möchte.
Ich bin überzeugt, dass du viele Dateien wieder finden wirst.
Alles Weitere kann man danach dann immer noch versuchen.

Zitat von »sonycom007«

Dann sehen wir weiter ...

da muss ich deine Hoffnung vermutlich schon bremsen und verstehe nun auch das Problem nochmal ein wenig weniger, habe es vielleicht von Anfang an falsch verstanden.
Was du nicht mit dem Einsatz von photorec wiederbekommen hast, bekommst du sehr wahrscheinlich auch mit keinem anderen Tool zurück (zumindest mit keinem, das ich kenne).
Du kannst natürlich versuchen, die NTFS-Partition wieder zu finden und wieder zu beleben (mit testdisk), dazu gleich einen Satz.
Doch wenn das überhaupt gelingt, werden dadurch wohl kaum mehr Dateien gefunden.

zunächst zu meinem womöglich falschen Verständnis.
Was ich dachte:
Du hattest eine Festplatte (mit einem Windows-Dateisystem) auf der Musik und andere Daten waren in einem Sat-Receiver (evtl extern) angeschlossen und versehentlich formatiert. Das neue Format war dann ext4, aber damit hattest du ansonsten noch nichts gemacht.
Die frisch formatierte Platte wolltest du nun nach noch vorhandenen Daten aus der alten Formatierung als Windows-Datei-System durchsuchen.
Was ich nun lese:
Da sind auch Filme auf dieser Platte gelandet, die offenbar von der Sat-Box stammen. Wenn das nun also doch so ist, dass du auf die Platte geschrieben hattest, als sie bereits in ext4 formatiert war, dann sind mit großer Sicherheit Daten aus der alten Windows-Partition nicht mehr zu bekommen.

Du kannst ja photorec mehrfach laufen lassen und dabei die Optionen ändern. Da du im Ziel offensichtlich nun auch genügend Platz hast, brauchst du nur einen neuen Ordner als Ziel anzulegen und dann die Ergebnisse vergleichen.
Ganz oft will man zB gar keine .txt Dateien haben oder man will überhaupt nur ganz wenige Typen von Dateien haben und so weiter.
Außerdem kann man die komplette Platte oder auch einzelne Partitionen scannen und hier macht photorec genau einen Unterschied, den man wählen muss: entweder sucht man auf einer extfs-Partition oder auf einer Partition mit einem sonstigen Dateisystem. Willst du also nun doch (anders als ich das verstanden hatte) Daten aus einer (ehemaligen) ext4 Partition finden, könntest du hier die Auswahl entsprechend setzen.

Das mit den .ts-Dateien könnte ich vielleicht nochmal ansehen. Derzeit neige ich eher dazu, dass diese Dateien von photorec so nicht erkannt werden. Diese Dateien sind ein streaming-Format und die Inhalte sind mpeg-Video und mp(2)-Audio MIT Fehlern. Das muss nicht sein, aber typischerweise kommt es bei den Streams zu (meist unbemerkten) Fehlern bei der Datenübertragung. Zusätzliche Information in den .ts-Dateien ermöglicht die Wiedergabe trotz enthaltener Fehler, also innerhalb gewisser Grenzen. Ich kann mir vorstellen, dass hier photorec so wenig klar kommt, wie mit einigen Archiven, in denen auch mehrere Dateien enthalten sind. photorec sammelt jede Dateiinformation einzeln, erkennt nicht den Zusammenhang im Archiv. Möglicherweise passiert das auch bei diesen .ts-Dateien und man erhält irgendwas Neues, aber nicht mehr den alten .ts-Stream. Vielleicht eine Menge .txt und ein wenig Video und Audio.


Zu testdisk solltest du wissen, dass es zunächst, wie eigentlich jedes Programm, die Information am Anfang einer Platte auswertet, um Partitionen zu erkennen. Da steht irgendwo eine Partitionstabelle, die gelesen werden kann und die wird (meist automatisch) neu erstellt, wenn man eine Partition neu formatiert. testdisk kann aber auch in einer erweiterten Suche möglicherweise "Reste" der vorherigen Formatierung erkennen. So schreibt etwa ext-fs jede Menge zusätzlicher Information direkt in die Partition, also in das neue Dateisystem. Diese zusätzliche Information kann zB helfen, ein zerstörtes Dateisystem wieder her zu stellen. NTFS ist nicht gut dokumentiert, es ist geheim, aber offenbar kann testdisk auch hier Informationen finden (vielleicht), die helfen können, das vorherige Dateisystem aufzuspüren.
Nun kann man dieses evtl wiederherstellen, ein Image davon schreiben, Dateien darin suchen oder auch eine Partitionstabelle neu schreiben lassen. Letzteres ist definitiv ein Vorgang, der vorhandene Information auf der Ausgangsplatte verändert und das ist deshalb etwas, das man mit Vorsicht genießen sollte. Hier ist dann die Empfehlung mit dem Image einer Platte zu arbeiten gut angebracht, dann hat man eben mehrere Chancen auch mal etwas verkehrt zu machen.


Du wirst es mir verzeihen und ich habe mich damit bisher auch ziemlich zurück gehalten, aber an der Stelle muss ich unbedingt darauf hinweisen, dass Datenrettung IMMER unzuverlässig ist. Egal mit welcher SW und welchem Aufwand.
Na gut. Wenn es wirklich sehr heikel wird, können professionelle Forensiker sogar mehrfach veränderte Zellen zu einem gewissen Grad rekonstruieren. Habe ich gelesen. Keine Ahnung, wie die das machen, aber scheinbar gibt es einen Restmagnetismus, der erhalten bleibt, wenn da mal ein Bit gesetzt war. Wir können das nicht auswerten. Für uns bleibt alles, was der (eingebaute) Kontroller der Festplatte nicht auflöst, für immer verborgen und das wiederum bedeutet, dass solche Bereiche, die von neuen Daten beschrieben werden, die alte Information nicht mehr enthalten und dass diese deshalb nicht wiederhergestellt werden kann. Aus diesem Grund formatiere ich quasi nie ein Medium einfach nur neu,sondern ich beschreibe es ausgiebig zuvor mit lauter Nullen, damit die alte Information auch wirklich weg ist. Also genau das Gegenteil, was du nun möchtest: du willst ja die alte Information zurück haben, ich will sie sicher zerstören.
Daten, die einem wichtig sind, muss man mehrfach sichern. IMMER.
Eine Festplatte kann immer mal sterben oder aus anderen Gründen die Daten verloren gehen.
Datensicherung und Backup kommt deshalb weit vor Datenrettung.
Nimm als ernst gemeinten Rat für die Zukunft.

Zitat von »sonycom007«

entsprechend vorbereitet und dann photorec seine Arbeit machen
lassen.

Zitat von »sonycom007«

Also habe ich diese Dateiendung
entsprechend abgeändert,

Wenn das dein erster Versuch war und Du hast nicht gleich Daten wieder hergestellt kann das der letzte gewesen sein. Ich hoffe Dir gelingt das noch einmal.

Zitat von »sonycom007«

Die versehentlich formatierte Festplatte fasste etwa 1,3 TB Daten, die Ziel-Festplatte ist nur mit 230 GB belegt.

Die Zielplatte MUSS gleich oder größer sein. Du musst eine größere Platte benutzen egal wie teuer eine neue ist Daten Retten bei einer Firma wird immer 2-3 mal teurer sein als das was Du investierst.

Die Runtime DVD kann:

Du darfst nichts mehr an der Original Platte machen! ausser sie Spiegeln!
Nur an der Kopie kannst Du weiter Probieren.

Zitat von »pit234a«

Du wirst es mir verzeihen und ich habe mich damit bisher auch ziemlich zurück gehalten, aber an der Stelle muss ich unbedingt darauf hinweisen, dass Datenrettung IMMER unzuverlässig ist. Egal mit welcher SW und welchem Aufwand.

Das stimmt. Daten Retten ist nie 100% sicher, aber auch wenn Bruchteile einer Datei lesbar sind und gerettet werden können, kann man diese wieder zusammen fügen. Das ist für Windows Nutzer immer ziemlich schwierig.
Ich kenne das noch wo ich Knoppix neben Windows hatte. Das war 2009 bis 2015.
Im Oktober 2015 hatte ich mein System neu eingerichtet und alles was mit MS zu tun hat gelöscht. Ich benutze seit dem kein Windows mehr nur noch Linux.
Man kann unter Linux auch nicht alles machen aber deutlich mehr als unter Windows.

Hallo sonycom007.
Ich möchte dir nicht zu viel Hoffnung machen aber vielleicht hast Du noch eine 50%(vielleicht auch größer) Möglichkeit die Daten zu Retten.
Dazu solltest Du dir als erstes aufschreiben wie die Datei hieß bevor Du sie umbenannt hast und welchen Namen sie nachher hatte. Ob Du das brauchst weiß ich noch nicht, ist aber besser falls Du es brauchst.

Als erstes musst Du das hier auf dem Link Wissen zum Thema mit dd Festplatte kopieren aber noch nichts an der Platte machen. Lies dir das in Ruhe durch.
https://wiki.ubuntuusers.de/dd/
Danach an der Kopie weiter Arbeiten. Wie an diesem Link.
https://wiki.ubuntuusers.de/Datenrettung/

Dann habe ich noch das ddrescue Handboch. Das brauche ich jetzt weil ich versehentlich meinen Ordner Familienkronik gelöscht hebe. Ich habe zwar eine .zip von 2012 auf DVD aber ich weiß nicht ob ich danach noch etwas geändert oder aktualisiert habe.
Mein erster Versuch mit testdisk war erfolglos.
https://www.gnu.org/software/ddrescue/ma…cue_manual.html

Die Runtime DVD habe ich mir jetzt etwas genauer angesehen und festgestellt dass das Basisfenster für C: NTFS also Windowsnutzer gedacht ist. Als Linuxnutzer kann ich das nicht benutzen und keine Tests machen, nicht mal Simulieren weil die Größe Null ist.

In den letzten Beiträgen wurden auch Links angeboten, die zu weiterführenden Datenrettungsprogrammen führen. Hier möchte ich allen voran meinen persönlichen Liebling nennen: den sleuthkit. Der kit ist eine Sammlung von Tools, die sehr nützlich sein können und in meinen Augen vor allem der Forensik dienen, aber durchaus auch Daten retten können. Aus dem sleuthik wird immer wieder gerne auf die Möglichkeiten von tsk_recover hingewiesen, um Daten aus einem Image zu retten. Meine Erfahrungen damit sind durchmischt.
Oder anders ausgedrückt: wenn ich mit dem sleuthkit und seinen unterschiedlichen Tools eine Menge Zeit mit einem Datenträger (bzw seinem Abbild) verbringe und viele viele Versuche und Stunden der Analyse zugebracht habe, kann ich womöglich eine ganze Reihe an Daten wieder herstellen. Man muss schon gut überlegen, ob sich der Aufwand jeweils lohnt, vor allem, weil photorec die gleichen Dateien oft auch einfacher (also schneller und ohne genaues Hinsehen) schon wiederhergestellt hat.
Als ich selbst den sleuthkit noch häufiger verwendete, hatten wir noch wesentlich kleinere Medien und die Anzahl der Dateien, die man da wieder finden konnte, war durchaus überschaubar.
Das ist heute oft nicht mehr so und die Tools des kits sind allesamt Profi-Tools. Damit will ich sagen, dass es nicht genügt, sich eine bestimmte Funktion zu wünschen. Man muss da schon sehr viel lesen, verstehen und probieren, bis man zu einem Ergebnis kommt.
autopsy ist ein grafisches Frontend, das auf den sleuthkit und einige Tools daraus zugreift. Ich selbst fand es immer ziemlich unhandlich zu bedienen, aber es kann womöglich eine Hilfe für Leute sein, die sich eher unsicher mit Befehlen von der Konsole fühlen. autopsy wird von der Konsole gestartet und dann in einem Browser bedient. Keine Ahnung, wie das dann in einem Windows geht, aber zumindest wird für den sleuthkit erklärt, dass auch er in Windows funktioniert.
In Knoppix 861 ist der sleuthkit bereits vorinstalliert. In älteren Versionen musste man das manuell machen, wenn man darauf zugreifen wollte. Ein sehr einfacher Versuch mit tsk_recover stellt also da auch kaum ein Problem dar (wozu dann Knoppix aber erst laufen müsste und dann auch noch ein Zielverzeichnis zu bestimmen wäre und so weiter...). Ich glaube nicht, dass dabei mehr Dateien gefunden werden, als bei einem photorec-Lauf. Natürlich kann man das trotzdem probieren. afaik will tsk_recover aber unbedingt ein Image haben, um darauf zu arbeiten. Man kann also nicht eine Platte oder Partition direkt auslesen, wie das bei photorec der Fall ist.

Zum Erstellen eines solchen Images stehen einem ja auch verschiedene Tools zur Verfügung. Es wurde schon mehrmals dd genannt und ddrescue ist wie dd, nur "etwas besser", ein wenig klüger, es hat mehr Optionen und es ist eher dazu gedacht, von defekten Platten Images erstellen zu können. Dazu ist es dann auch wichtig, eine Logdatei mit zu schreiben, denn ddrescue kann einen Bereich mehrfach auslesen, um noch etwas an Information zu erhalten und diese Vorgänge werden im Log gespeichert (also vom Programm automatisch gelistet). Das Ergebnis ist aber, ähnlich wie bei dd, ein korrektes Byte-für-Byte-Abbild der Ursprungsplatte und braucht deshalb auch wenigstens genauso viel Platz, wie die Ursprungsplatte groß ist. List man nun dieses Image und rekonstruiert davon Dateien, braucht man ein weiteres freies Medium, dass diese Dateien auch aufnehmen kann und das sollte dann wieder wenigstens gleich groß sein, wie das Ursprungsmedium.

Also, Datenrettungsversuche brauchen ungemein viel Geduld und eine Menge an freiem Speicherplatz und sind doch immer unzuverlässig und gelingen nur eher zufällig.

Bei der suche nach Sleuth Kit finde ich fast immer „Sleuth Kit & Autopsie“. Autopsie kenne ich noch von Windows XP daher weiß ich es gibt nur einen Versuch dann müssen die gefundenen Dateien sofort kopirt werden.

Nur mal eine Kurze Info für dich.
1994 mein erster Rechner Windows 3.04/ 3.10/ DOS ich glaube das war 7.11 oder 8.11 vielleicht 11.8
1995 Windows 95
Damals war die Lebensdauer der Festplatten noch nicht sehr hoch.
1997 der erste Crash. Der Rechner konnte nicht mehr Booten. Ein Bekannter aus meinem Haus gab mir seinen zweiten den er selten benutzte. Meine alte Platte angeschossen um das zu Retten was noch ging. Das war meine erste Erfahrung aus der ich gelernt hatte das es immer gut ist seine Daten zu sichern. Ich benutze seit dem immer eine zweite Platte oder Partition zum sichern. Alles ZIP. Wenn ich zufällig sehe eine ZIP Beispiel eigene Dateien ist älter als 6 Monate wird diese aktualisiert.
Bei alten Festplatten die noch FAT Partitionen hatten gab es immer eine Kopie vom Bootsektor 0. Mit dieser Kopie konnte der Zustand, wie in deinem Fall, vor dem Formatieren wieder hergestellt werden. Bei NTFS weiß ich nicht ob es da so was gibt. Ext4 weiß ich aber das es dort so etwas nicht gibt.
Das zusammen Basteln der Stücke kenne ich noch. Die Zeit und Arbeit lohnt sich wenn man das Ergebnis sieht. Auch wenn es nicht Vollständig ist, ist das immer besser als wenn alles weg ist.

Bis ich meinen versehentlich gelöschten Ordner wieder hergestellt habe muss ich diese Partition immer aushängen das kein Systemprogramm unbemerkt darauf zu greifen kann.