Gastkommentar: Das Null-Byte-Problem

Viele haben es schon mal erlebt: Eine Datei, die einst einige KB, MB oder gar GB hatte, wird plötzlich nur noch mit 0 Bytes angezeigt. Egal ob es sich um eine in Word geschriebene wissenschaftliche Arbeit, eine SQL Datenbank oder gar das Image einer virtuellen Maschine handelt: Alle Typen von Dateien können betroffen sein. Dieses Phänomen tritt vor allem unter Windows und meist nach einem Systemabsturz auf.

Die Ursache ist in den meisten Fällen ein nicht vollständig geschriebener Dateisystem-Eintrag im MFT (Master File Table). Von Windows geführte Transaktionsprotokolle verhindern in den meisten Fällen dieses Problem: Wurde eine Transaktion (in der Regel ein Schreibzugriff auf eine Datei) nicht vollständig abgeschlossen, so wird der Fehler erkannt und ein Rollback durchgeführt. Dieses setzt die Transkation zurück und stellt somit wieder ein konsistentes Dateisystem her. Trotz dieser Sicherheitsvorkehrung passiert es selten aber eben doch, dass nach einem Absturz und anschließendem Neustart des Betriebssystems Dateien mit 0 Byte Größe angezeigt werden. Es handelt sich dabei immer um Dateien, die zum Zeitpunkt des Absturzes in Verwendung waren. Eine Wiederherstellung mit Windows-eigenen Mitteln ist dann nicht mehr möglich.

Auch aus der Sicht von Datenrettern ist in vielen Fällen eine Datenrekonstruktion nicht einfach: Die sogenannte Runlist der Datei ist verloren. In dieser werden die Positionen der einzelnen Datenblöcke einer Datei gespeichert und sie ist gerade wenn eine Datei fragmentiert vorliegt, für eine Rettung essentiell. Fragmentiert bedeutet, dass die Datei nicht in einem Stück am Datenträger gespeichert, sondern in mehrere Fragmente aufgeteilt ist. Ohne die Runlist kann nicht mehr festgestellt werden, wo am Datenträger die einzelnen Teile der Datei liegen. Ähnlich ist die Problematik beim Löschen von Dateien unter den Linux-Dateisystemen EXT3 oder EXT4: Die Zuordnungstabelle der Blöcke (INODE) wird beim Löschen ebenfalls vernichtet.

Mit Hilfe aufwendiger Verfahren gibt es trotzdem in den meisten Fällen noch Möglichkeiten, auf 0-Byte-Dateien zuzugreifen. Wichtig ist, beim Auftreten des 0-Byte-Problems den PC oder Server auszuschalten und nicht mehr einzuschalten. Alleine durch Starten des Betriebssystems können für eine Rekonstruktion wichtige Dateisysteminformationen verloren gehen, oder Fragmente der benötigten Datei überschrieben werden.

* Nicolas Ehrschwendner ist Geschäftsführer von Attingo.