Konvertieren belegter Dateisystembereiche in eine Maske in UFS Explorer
Bei einer professionellen Datenrettung ist es nicht immer sinnvoll, den gesamten Inhalt eines Speichermediums zu analysieren. Manchmal müssen Spezialisten bestimmte Daten isolieren, etwa um sich auf zuvor gespeicherte Informationen zu konzentrieren oder umgekehrt nur mit der intakten Dateisystemstruktur zu arbeiten. Die meisten herkömmlichen Tools zur Laufwerkabbildung und Datenwiederherstellung können jedoch nicht zwischen dem einem bestimmten Dateisystem zugewiesenen Speicherplatz und den in seinen Aufzeichnungen als "frei" gekennzeichneten Bereichen unterscheiden. Dies kann dazu führen, dass irrelevante Daten die Analyse beeinträchtigen, den Wiederherstellungsprozess erschweren oder zu überladenen Ergebnissen führen.
Im Gegensatz zu Basistools verfügen die Professional- und Technician-Editionen von UFS Explorer über ein tiefgreifendes Verständnis der internen Logik eines Dateisystems. Sie können zwischen den in den Metadaten des aktuellen Dateisystems als belegt markierten Blöcken und den als frei markierten Bereichen, die möglicherweise wiederherstellbare gelöschte oder verlorene Dateien enthalten, unterscheiden. Dadurch kann die Software nicht nur die Bereiche hervorheben, die zu einem aktiven Dateisystem gehören, sondern auch virtuelle Masken anwenden, die diese bei der Laufwerksabbildung oder Datenwiederherstellung ausklammern.
Benutzer können solche Masken basierend auf dem verwendeten oder freien Speicherplatz eines ausgewählten Dateisystems erstellen. Diese Masken fungieren als virtuelle Platzhalter und definieren, welche Teile des Speichers bei weiteren Vorgängen nicht mehr zugänglich sein sollen – als wären sie defekt – ohne den ursprünglichen Inhalt zu verändern.
Diese Funktion ist über die Option "Konvertieren belegter Speicherplatz des Dateisystems" im Kontextmenü einer ausgewählten Partition verfügbar.
Sie kann auch aus der Explorer-Komponente über das Kontextmenü des Tools "Aktiviert die Anzeige verwendeter Cluster" aufgerufen werden.
Die maskierten Bereiche können auf zwei Arten behandelt werden:
-
Emulation defekter Blocke: Die ausgewählten Blöcke verhalten sich wie unlesbare Sektoren, sodass jeder Versuch, sie zu lesen, zu einem Lesefehler führt.
-
Füllen mit einem Muster: Die maskierten Bereiche werden mit einem vordefinierten Muster gefüllt – der Standardzeichenfolge "BAD_DATA_IS_HERE" oder einer vom Benutzer angegebenen Zeichenfolge.
Die Maskierungsfunktion ist besonders hilfreich in Situationen, in denen die Daten des aktuellen Dateisystems irrelevant oder sogar hinderlich sind, wie der folgende Fall zeigt.
Auf der alten Festplatte eines Kunden waren ursprünglich wichtige Dokumente im NTFS-Dateisystem gespeichert. Irgendwann konnte nicht mehr auf dieses Laufwerk zugegriffen werden, was eine Formatierungsanforderung auslöste. Der Datenträger wurde auf das exFAT-Dateisystem formatiert. Nach der Formatierung wurden eine Reihe von RAW-Fotos darauf geschrieben. Diese neu hinzugefügten Dateien sind für den Kunden ohne Bedeutung.
Das Laufwerk befindet sich nun in einem instabilen Zustand, und die Priorität besteht darin, die Reste der ursprünglichen NTFS-Daten wiederherzustellen, bevor das Gerät möglicherweise vollständig ausfällt. Um keine Zeit mit der Abbildung unnötiger exFAT-Inhalte zu verschwenden, beschließt unser Techniker, den dem aktiven Dateisystem zugewiesenen Speicherplatz auszuschließen.
Zunächst öffnen wir UFS Explorer und lokalisieren die exFAT-Partition, die derzeit das Laufwerk belegt.
Aus dem Kontextmenü dieser Partition wählen wir die Option "Konvertieren belegter Speicherplatz des Dateisystems".
Im Dialogfeld zu Maskenkonfiguration wählen wir den Modus "Fehlerblock-Emulation". Dadurch verhalten sich die vom exFAT-Dateisystem belegten Bereiche wie nicht lesbare Sektoren und werden von der Imaging-Engine übersprungen.
Als Ergebnis wird dem Speichernavigationsbereich ein neuer virtueller Speicher mit Defektemulation hinzugefügt.
Wir können die erstellte Maske über die Option "Karte der Blöcke anzeigen" im Kontextmenü dieses Speicherobjekts aufrufen. Die Maske wird auf einer separaten Registerkarte visualisiert.
Als nächstes müssen wir den Imaging-Prozess für diesen Speicher starten, indem wir im Kontextmenü "Diskettenabbilddatei speichern" auswählen.
Im Konfigurationsdialogfeld für die Imaging-Aufgabe wählen wir den Modus "Volle Bit-zu-Bit-Image auf einmal", um eine standardmäßige RAW-Disk-Image-Datei zu erstellen.
Danach legen wir die für das Disk-Imaging erforderlichen Parameter fest. Eine detaillierte Anleitung zu diesem Vorgang finden Sie im Artikel So erstellen Sie ein Disk-Image.
Sobald die Einstellungen konfiguriert sind, drücken wir die Schaltfläche "Starten".
Der Disk Imager erfasst jetzt nur die Bereiche, die nicht vom exFAT-Dateisystem belegt sind – also die möglichen Speicherorte für Reste des früheren NTFS-Dateisystems.
Nachdem das Image erstellt wurde, können wir es in UFS Explorer öffnen und mit der Wiederherstellung verlorener NTFS-Dateien fortfahren, die nun von den irrelevanten exFAT-Strukturen getrennt sind.
Letzte Aktualisierung: 04. Juni 2025