Zo haal je je verloren gegevens terug

In dit artikel focussen we ons op drie scenario's die voor gebruikers niets minder dan een ramp lijken: 1) je hebt de verkeerde schijf geformatteerd, 2) Windows herkent de schijf niet meer (correct) door corruptie in de bestandshuishouding en 3) de schijf functioneert niet meer ten gevolge van fysieke beschadiging. Lees ook: 15 slimme back-up tips.

De oorzaken (en remedies) mogen dan nog zo verschillend zijn, de gevolgen zijn in eerste instantie hetzelfde: je kunt niet meer bij je gegevens! In dit artikel reiken we je echter tools en technieken aan waarmee je in veel gevallen nog data kunt terughalen. Een van de belangrijkste aandachtspunten willen we je echter nu al meegeven: zorg dat er niets meer wordt weggeschreven naar de schijf of partitie waarvan je data wilt terughalen! Dat houdt ook in dat je op die problematische schijf geen (dataherstel)software installeert.

Geformatteerd

01 Snelformatteren?

Een schijf of partitie formatteren vanuit Windows gebeurt gewoonlijk vanuit het Schijfbeheer of vanuit Windows Verkenner. Je hebt twee mogelijkheden: je kiest voor de optie Snelformatteren (standaard geselecteerd) of je gaat voor gewone formattering door het vinkje te verwijderen. Tot en met Windows XP maakte dat met het oog op dataherstel weinig uit. In beide gevallen wordt de bestandsindex leeggemaakt, maar blijft het eigenlijke datagebied met bestanden intact. Het enige verschil is dat er tijdens de reguliere formattering ook een non-destructieve controle wordt uitgevoerd op alle schijfsectoren.

Vanaf Windows Vista is dat anders. Verwijder je het vinkje bij Snelformatteren, dan wordt elke schijfsector overschreven zodat dataherstel nagenoeg onmogelijk wordt, ook wanneer je die schijf aan een professionele datahersteldienst overhandigt! Ongetwijfeld hebben privacyoverwegingen Microsoft tot die beslissing gedreven: wanneer je met Vista of hoger bewust een schijf formatteert zónder dat vinkje, dan weet je dat ook alle data weg zijn.

01 Eén klein vinkje, maar een enorm verschil.

02 Initialisatie FAT32

Tijdens het snelformatteren wordt zoals gezegd de bestandsindex leeggemaakt. Bij het formatteren kies je voor een bestandssysteem, doorgaans FAT32 (vaak gebruikt bij usb-sticks) en NTFS.

Bij het snelformatteren met FAT32 worden zowel alle ingangen in de root-directory als de bestandstoewijzingstabel (FAT oftewel File Allocation Table) compleet leeggemaakt. De ingangen in submappen blijven intact aangezien die zich, net als de bestanden zelf, in het datagebied bevinden. Deze FAT is niets anders dan een simpele tabel die bijhoudt welke clusters in het datagebied elk bestand bezet houdt. Althans vanaf het tweede cluster, want (het nummer van) het begincluster haalt Windows uit de mapingang van dat bestand. Stel, een bestand is verspreid over de dataclusters 100, 101 en 102.

Windows leest uit de mapingang, naast onder meer de bestandsnaam en de exacte bestandsgrootte, ook het begincluster (100) af. Vervolgens raadpleegt Windows cel 100 van de FAT waar clusternummer 101 staat vermeld, in cel 101 zal dan 102 staan en in cel 102 ten slotte vindt Windows een indicatie terug dat dit de eindcluster is van dat bestand. Op die manier weet Windows dus waar het bestand zich precies bevindt. Na het snelformatteren zijn gelukkig nog de begincluster evenals de bestandsgrootte terug te vinden wanneer het bestand zich in een submap bevond. Datahersteltools kunnen op basis van deze informatie berekenen of inschatten in welke clusters het bestand zich bevindt.

02 De FAT is een zeer eenvoudige, eendimensionale tabel met clusterverwijzigingen.

03 Initialisatie NTFS

Bij het NTFS-systeem gaat het er complexer aan toe. De centrale bestandsindex is niet langer een simpele tabel zoals de FAT, maar een heuse relationele database: de zogenoemde MFT (Master File Table). Elk bestand en elke map wordt in deze database vermeld (als records) inclusief allerlei informatie in de vorm van 'attributen'. Is een bestand klein genoeg, dan wordt zelfs de complete inhoud als attribuut opgeslagen, zodat het geen ruimte in het datagebied inneemt.

Naarmate er meer bestanden worden opgeslagen groeit ook de MFT. Hiervoor heeft Windows ruimte gereserveerd, maar desnoods kunnen hiervoor ook andere schijfgebieden worden aangesproken. Tijdens het snelformatteren worden alleen de 16 eerste records van de MFT overschreven, maar die bevatten gelukkig alleen maar metadata over de partitie. De overige records lijken verdwenen, aangezien de lengte van de originele MFT is veranderd, maar ze blijven wel degelijk intact, zodat de bijhorende bestanden met behulp van slimme datahersteltools normaliter terug te halen zijn.

03 De (gestandaardiseerde) metadata in een MFT.

04 Schijfanalyse

Weet je niet zeker op welke manier een schijf werd geformatteerd, dan kun je daar een 'fysieke schijfeditor' op loslaten, zoals het gratis HxD Editor of Active@ Disk Editor. Aangezien deze laatste meer opties biedt, gaan we hiermee aan de slag. Download en installeer Active@ Disk Editor en start die op. Klik op Explore My Computer, selecteer de problematische schijf en druk op de knop Open in Disk Editor. Normaliter beland je nu automatisch in de bootsector van je logische schijf(partitie), maar daar valt weinig uit af te leiden, omdat die tijdens elk (her)formatteringsproces nieuw wordt gecreëerd. Wanneer je echter langzaam door de schijfsectoren scrolt en je ziet vrijwel meteen alleen maar 00-waarden verschijnen (met uitsluitend puntjes in de kolom ASCII), dan hoef je nog weinig hoop op enig dataherstel te koesteren: de schijf(partitie) werd blijkbaar op reguliere wijze en dus 'zonder vinkje' geformatteerd.

Wil je meteen van de gelegenheid gebruik maken de FAT en rootdirectory (bij FAT32) of de MFT (bij NTFS) te bekijken, druk dan op de knop Navigate en selecteer respectievelijk FAT1, Root Directory of $MFT. Je zult meteen opmerken dat zowel de FAT als de root-directory door het formatteren nagenoeg compleet zijn leeggemaakt.

04 Active@ Disk Editor laat je toe meteen naar de belangrijkste datastructuren te navigeren.

05 Datahersteltools

Om na het snelformatteren data terug te halen van een schijf(partitie) doe je het best een beroep op datahersteltools. Wij vermelden alvast twee degelijke en gratis tools: EaseUS Data Recovery Wizard en Recuva. Omdat Recuva zelden faalt en omdat de gratis versie van EaseUS Data Recovery Wizard beperkt is tot 2 GB dataherstel, stellen we je hier Recuva voor.

Wanneer je na de installatie Recuva opstart, krijg je standaard een wizard te zien. Hoewel je die gerust kunt afsluiten, kan het toch handig zijn die te doorlopen aangezien die je toelaat alleen specifieke bestandstypes terug te halen. Wij kiezen hier toch voor Alle bestanden en selecteren vervolgens de optie Op een specifieke locatie. Via de knop Bladeren wijs je Recuva naar het geformatteerde opslagmedium. Vervolgens druk je op Start. Recuva deelt je echter meteen mee dat er geen enkel bestand werd gevonden. Echter, zodra je hier Ja aanklikt, schakelt het programma over naar een diepe scanmodus (Uitvoerig scannen). Tijd voor een kop koffie nu of een uitgebreide lunch bij een grotere schijf.

05 Recuva voorziet in een handige wizard.

06 Herstellen

Als het goed is, toont Recuva je na afloop de namen van de aangetroffen bestanden en wanneer je in de kolom Toestand de indicatie Uitstekend ziet staan, is de kans groot dat de tool die inderdaad succesvol weet te herstellen. Het volstaat bij de gewenste items een vinkje te plaatsen, op de knop Terughalen te drukken en een geschikte locatie op een ander medium te selecteren.

Vooral op een FAT32-systeem zal niet elk bestand met succes terug te halen zijn, vooral niet als bestanden gefragmenteerd waren opgeslagen. Stel, de data van een bestand bevonden zich in de niet-aangrenzende clusters 100, 110 en 120. Dan vindt Recuva de begincluster (100) wel terug in de ingang van de submap, maar moet die zelf maar zien uit te vissen wat de twee andere clusters waren, omdat die informatie niet langer beschikbaar is in de FAT. Je zult merken dat het bestandsherstel op dit punt wel vaker spaak loopt. Mocht je hiermee zelf willen experimenteren: met PassMark Fragger kun je specifieke bestanden bewust gaan fragmenteren.

06 Het is altijd wel in spanning afwachten hoeveel data een hersteltool daadwerkelijk weet op te vissen.

Reddingsstick

Er zijn natuurlijk nog heel wat andere tools die je kunt inzetten voor je datahersteloperaties. Bijvoorbeeld System Rescue CD, die je gratis kunt downloaden. Deze op Linux-gebaseerde tool kun je op een opstartbare usb-stick of cd plaatsen. Op de webpagina van de makers krijg je een mooi overzicht van de meegeleverde tools, waaronder GParted, ddrescue en Test-disk, evenals instructies over hoe je met deze tools aan de slag kunt. Om in een grafische omgeving te kunnen werken, moet je na het booten wel nog even het commando startx uitvoeren.

System Rescue CD: een handige datahersteltoolkit (voor gevorderde gebruikers).

Corrupte bestanden

07 Volumecorruptie

Naast een formatteerongeluk zijn er andere oorzaken die ertoe kunnen leiden dat Windows geen data meer terugvindt of dat die de schijf(partitie) zelfs niet meer kan benaderen. Dat kan alweer om een menselijke fout gaan, je hebt bijvoorbeeld het verkeerde volume verwijderd in het Windows Schijfbeheer. Maar het euvel kan ook aan een malware-infectie, een stroomstoring of een bug te wijten zijn.

Ook in dit geval kun je in eerste instantie de schade inschatten met een fysieke sectoreditor als Active@ Disk Editor. De kans is groot dat het bewuste volume inderdaad niet meer terug te vinden is en dat de schijf alleen nog als een fysieke entiteit (zeg maar een reusachtige verzameling van bytes) te benaderen valt.

07 Niet zo leuk: de verkeerde partitie verwijderd!

08 Schijfkopie

Omdat de dataherstelmethodes die we aanspreken in de meeste gevallen aanpassingen op de bewuste schijf uitvoeren, is het verstandig vooraf een schijfkopie te maken, zodat je die na een mislukte herstelpoging altijd nog kunt terugzetten. Dat kan onder meer met EaseUS Todo Backup Free.

Kies na de installatie Disk/Partition Backup en plaats een vinkje naast de schijf waarvan je een image wilt maken. Plaats een vinkje bij Sector by sector backup zodat je alle sectoren mee in de image krijgt! Kies een geschikte opslaglocatie en bevestig met Proceed. Na afloop komt de back-up beschikbaar in het overzicht en plaats je die terug met Recovery.

Mocht het om je systeemschijf gaan en je je systeem dus niet meer kunt opstarten, dan kun je de schijf altijd nog in een externe (usb-)behuizing onderbrengen en aan een andere computer hangen.

09 Datahersteltools

Beschik je over een schijfkopie, dan kun je aan de slag met datahersteltools die specifiek voor dit soort probleemsituaties zijn bedoeld. We vermelden graag twee gratis tools: Find and Mount en EaseUS Partition Recovery Wizard. Beide tools zijn gebruiksvriendelijk, maar kennen elk ook weer andere beperkingen. Zo blijkt Find and Mount niet overweg te kunnen met grote schijven van 2,2 TB of meer, en verslikt EaseUS Partition Recovery Wizard zich met verwijderbare opslagmedia en met GPT-partitieschema's.

Gelukkig en vreemd genoeg biedt EaseUS nog een andere tool waarmee het terughalen van partities op (grote) GPT-schijven, zoals die tegenwoordig frequent voorkomen, mogelijk wordt: EaseUS Partition Master Free. Deze tool is weliswaar een partitiebeheerder, maar met ingebouwde herstelwizard. Start de geïnstalleerde tool op en klik op de partitie die niet langer over een bestandssysteem blijkt te beschikken (normaliter krijgt die de aanduiding Unallocated mee in de kolom File System). Klik Partition recovery aan in de rubriek Operations, kies voor Fast en bevestig met Next. Plaats vervolgens een vinkje naast de schijf waarvan je een partitie hoopt terug te halen en druk op de knop Proceed (mogelijk komt die knop pas beschikbaar nadat je op Pause hebt gedrukt). Mocht het nog niet lukken, probeer het dan met de arbeidsintensieve optie Complete, die elke sector controleert op mogelijke sporen van een partitie-indeling.

09 EaseUS Partition Master bevat een degelijke partitieherstelwizard.

10 Handmatig herstel

Mocht je er niet in slagen het probleem op te lossen met deze of dergelijke datahersteltools en is een professioneel datarecoverybedrijf geen optie, dan kun je nog dataherstel met behulp van een fysieke sectoreditor als Active@ Disk Editor overwegen. Met name wanneer het om corrupte bootsectoren gaat, levert zo'n aanpak wel vaker succes op. Je kunt het eerst als volgt proberen. Selecteer, voor zover beschikbaar, de problematische partitie in Active@ Disk Editor, waarna je in de knoppenbalk Edit Boot Records kiest. Verwijder het vinkje bij Show values in hexadecimal mode, dat leest wellicht makkelijker. Met wat geluk blijkt slechts één bootsector corrupt en kun je die waarden één voor één aanpassen op basis van de nog intacte waarden van de andere bootsector of desnoods met de waarden zoals je die aantreft bij Suggested Boot Sector. Selecteer de gecorrigeerde bootsector, plaats een vinkje bij Save on Disk en bevestig met OK.

Levert ook deze ingreep niets op, dan zit er weinig anders op dan de gecorrumpeerde sectoren op te sporen en die op basis van eigen berekeningen en/of op basis van gelijkaardige datastructuren van een nog intacte schijf(partitie) te overschrijven. Om de schrijfmodus te activeren, open je in de Disk Editor het menu Edit en kies je Allow Edit Content. Weet dan wel zeer goed wat je doet!

10 Desnoods probeer je het met een handmatige correctie van de bootsectorwaarden.

Shredden

Het kan natuurlijk ook zijn dat je er juist voor wilt zorgen dat niemand nog gegevens van een van je schijven kan uitlezen, bijvoorbeeld wanneer je die schijf van de hand doet. Je kunt hiervoor een versnippertool aanspreken die de data onherstelbaar maakt door het meermaals te overschrijven, zoals het gratis Eraser of DBAN. Houd wel rekening mee dat dergelijke tools niet garanderen dat ook op SSD's data effectief worden overschreven. Dat heeft te maken met het fenomeen 'sector relocatie', waarbij niet altijd met zekerheid te bepalen valt welke fysieke locaties effectief overschreven worden.

Eén keer overschrijven met willekeurige nulletjes en eentjes is voldoende.

Beschadigd

11 Professioneel herstel

Een foute formattering of een corrupt bestandssysteem is geen pretje, maar het kan nog veel erger: je schijf blijkt fysiek beschadigd te zijn. Dat kan om een headcrash gaan, om 'stiction' (een samentrekking van static friction, waarbij de schijfkoppen als het ware aan de schijven zijn vastgekleefd), om beschadiging door hitte, water of een valpartij, maar ook om een defecte schijfcontroller. In al deze gevallen van fysieke beschadiging raden wij je aan bij een professioneel datarecoverybedrijf aan te kloppen, weliswaar in de wetenschap dat je dat een stevige duit gaat kosten, al gauw meer dan 750 euro.

Nu zijn er wel getuigenissen over hoe dode schijven na een nachtje in een luchtledige zak in de diepvriezer weer tot leven werden gewekt, maar dat zijn gelukstreffers. Ook verhalen over het zelf vervangen van de schijfcontroller (PCB, printed circuit board) laten je maar beter niet van de wijs brengen. Zo'n operatie lukte vaak nog met harde schijven tot eind 20e eeuw, maar haast alle moderne schijfcontrollers bevatten schijfspecifieke, zogenoemd adaptieve data. Al in de fabriek worden schijven namelijk met allerlei parameters geoptimaliseerd om de schijfkoppen zo nauwkeurig mogelijk te positioneren, een proces dat ook wel hypertuning wordt genoemd. Wanneer je nu de controller met die van een andere schijf verwisselt, komen de data niet meer overeen en zal die de schijf niet correct kunnen initialiseren.

11 Sommige (hardwarematige) problemen zijn heus alleen voer voor professionelen.

SSD

Verloren gewaande data van een SSD is vaak lastiger is dan op harde schijven. Dat komt onder meer door het TRIM-commando, waarbij niet langer gebruikte datablokken snel worden gewist om zo tijd te winnen voor toekomstige schrijfoperaties. Het grootste probleem zit echter in het feit dat veel SSD-schijven met stevige encryptie werken, zowel op de interne controllerchip als op de geheugenchips. Raakt die controllerchip-met-encryptiesleutel ooit corrupt, dan krijg je geen toegang meer tot je gegevens. Geregeld back-uppen is dan belangrijker dan ooit!

12 Veel SSD's maken gebruik van hardwarematige encryptie.