Récupération de données · LanCologne

Quelles sont les implications d'un cliché de volume (VSS) endommagé pour la récupération des données ?

Der Volumeschattenkopie-Dienst (VSS) von Windows speichert frühere Zustände eines Volumes blockweise im Ordner „System Volume Information“. Über „Vorgängerversionen“ lassen sich so ältere Dateistände zurückholen – solange die Schattenkopien vorhanden und intakt sind.

Demande gratuite

Technischer Hintergrund

Schattenkopien entstehen durch Wiederherstellungspunkte, Backup-Software oder geplante Aufgaben auf Servern. Sie belegen einen begrenzten Speicherbereich; ältere Kopien werden automatisch gelöscht. Ransomware entfernt sie häufig gezielt (z. B. über vssadmin). Gelöschte Schattenkopien können je nach Datenträgerbelegung teilweise noch in nicht überschriebenen Bereichen vorhanden sein.

Was Sie jetzt tun – und lassen sollten

  • Keine neuen Wiederherstellungspunkte oder Backups auf demselben Volume anlegen.
  • Bei Ransomware: System nicht weiter nutzen und forensisch sichern lassen.
  • Datenträger nicht defragmentieren oder optimieren.

So gehen wir vor

  • Abbild des betroffenen Volumes erstellen.
  • Vorhandene Schattenkopien einzeln einbinden und Dateistände vergleichen.
  • Suche nach Resten gelöschter Schattenkopien in nicht zugewiesenen Bereichen.

Grenzen

  • Schattenkopien sind kein Backup; liegen sie auf einem defekten Datenträger, teilen sie dessen Schicksal.
  • Bereits überschriebene Schattenkopie-Bereiche lassen sich nicht wiederherstellen.

Mögliche Ergebnisse

Frühere Dateiversionen mit Zeitbezug zur jeweiligen Schattenkopie.

So arbeiten wir bei der Datenrettung

Jeder Datenträger wird zuerst in unserem eigenen Labor in Köln diagnostiziert; die Diagnose ist kostenfrei. Danach erhalten Sie ein schriftliches Angebot und entscheiden, ob Sie es annehmen. Lehnen Sie ab, holen Sie den Datenträger nach Terminvereinbarung im Labor ab – dabei entstehen keine Versandkosten – oder wir senden ihn zurück; dafür können Versand- und Verpackungskosten anfallen. Gerettet wird an Abbildern, nicht am Original – mit professioneller Datenrettungs-Hardware wie PC-3000. Muss ein Laufwerk geöffnet werden, geschieht das an einer HEPA-H14-gefilterten Reinraumwerkbank (Clean Bench). Eine Erfolgsgarantie vor der Diagnose geben wir nicht, weil sie seriös nicht möglich ist. Ihr Datenträger und Ihre Daten bleiben vertraulich und werden nicht an Dritte weitergegeben.

1Anfrage und Einsendung oder persönliche Abgabe im Labor nach Terminvereinbarung
2Kostenfreie Diagnose der Schadensursache
3Schriftliches Angebot – erst nach Ihrer Freigabe geht es weiter; bei Ablehnung Abholung im Labor oder Rücksendung (Versand- und Verpackungskosten können anfallen)
4Rettung, Prüfung der Daten und vertrauliche Übergabe

Diagnose anfragen   Mehr zu Ablauf, Kosten und Vertraulichkeit →

Foire aux questions

Sind Schattenkopien ein Backup?+
Nein. Sie liegen auf demselben Datenträger und gehen bei dessen Ausfall mit verloren.
Kann man nach Ransomware noch Schattenkopien finden?+
Manchmal. Wurden sie nur gelöscht und nicht überschrieben, sind Reste teils rekonstruierbar.
Gibt es Schattenkopien auch auf Clients?+
Ja, wenn der Computerschutz bzw. Wiederherstellungspunkte aktiviert sind.

Weiterführende Themen

🔗 Sujets connexes