Gelöschte Emailordner wiederherstellen

Liebe Thunderbird-Community,

auf dem Rechner eines Freundes ergab sich folgendes Problem: Die Emailordner (mbox-Dateien) sind gelöscht und die bisherigen Rettungsversuche sind fehlgeschlagen. Wir hoffen alle Emailordner als Ganze wiederherstellen zu können, so daß keine Email verloren geht. Könnt Ihr helfen?

Der Freund nutzt seinen Windows 2000-Rechner seit vier Jahren. Solange nutzt er auch Thunderbird (eine 2.0.0.* Version) zum Abruf der Emails per POP. Durch die intensive E-Mail-Kommunikation kam die 8-GB-Festplatte an ihre Kapazitätsgrenze. Thunderbird machte Fehler, es zeigte die Emails nach dem Abrufen zuerst nicht an. Schloß man Thunderbird und startete es erneut, wurden die neu abgerufenen Emails danach angezeigt. Eine Fehlermeldung von Thunderbird nahmen wir zum Anlaß, den Computer mit mehr Arbeitsspeicher aufzurüsten. Danach wollten wir durch den Einbau einer besseren Grafikkarte den Rechner noch beschleunigen. Allerdings waren zu diesem Zeitpunkt nur noch 3 MB auf der Festplatte frei. Um den Treiber für die Grafikkarte installieren zu können und Platz zu schaffen, starteten wir die Datenträgerbereinigung von Windows 2000. Wir wählten die Option „Katalogdateien für den Inhaltsindex“ löschen aus, um überhaupt nennenswert Platz schaffen zu können. Was danach kam, war alles andere als erwartet. Während der mehre Minuten dauernden Datenträgerbereinigung verschwanden plötzlich die Programmverküpfungen auf dem Desktop. Nach beendeter Bereinigung schalteten wir den Rechner aus und wollten ihn neu starten in der Hoffnung, daß dann alle Symbole wieder angezeigt würden. Stattdessen ließ sich Windows nicht mehr starten, die schlichte Fehlermeldung im DOS-Stil besagte, daß eine Datei fehlen würde. Nach einem Einbau der Festplatte in einen anderen Rechner hatten wir Klarheit, daß sehr viele Dateien gelöscht waren/fehlten. Auf Foren fanden wir den Hinweis, daß ein fehlerhaft programmiertes Programm, namens XP-Clean, das auch auf dem Rechner lief, in Kombination mit der Datenträgerbereinigung und der Auswahl der oben genannten Option Schaden anrichtet. Es markiert für die Datenträgerbereinigung Dateien als zu löschen, die gar nicht gelöscht werden sollen und dürfen.

Nach einer Neuinstallation des Rechners auf zwei neuen, größeren Festplatten, läuft dieser jetzt wieder.

Es hapert aber bisher an der Wiederherstellung der Emails. Wir begaben uns – bisher erfolglos – an die Bergung der Emails. Allein der Posteingang umfaßte vor dem „Unfall“ rund 13.000 Emails. Wir konnten uns mit einem Hexeditor auf dem Abbild der geschädigten Festplatte überzeugen, daß darauf sehr viele Emails liegen und diese nicht etwa mit lauter Nullen überschrieben worden sind. Die bisherigen Datenrettungsversuche haben zu gemischten Ergebnissen geführt:

Die kleinen Word-Dateien und PDF-Dateien sowie Bilder im Ordner „Eigenen Dateien“ ließen sich mit dem Werkzeug „undelete plus“ perfekt wiederherstellen.

Die kleineren Emailordner (bis 70 MB groß) ließen sich zwar wiederherstellen, allerdings waren weniger Emails drin als ursprünglich. Die größte dieser Dateien enthielt einfach gar nichts. Diese Dateien entsprechen jedenfalls nicht ihrem Originalzustand vor der Löschung.

Die ehedem ganz großen Emailordner (vermutlich zwischen hunderten MB und um 1 GB groß) wie INBOX und SENT widersetzen sich bisher gänzlich einer Rekonstruktion. Die Programme zur Widerherstellung gelöschter Dateien „undelete plus“, „PC Inspector File Recovery“, „Data Recovery Wizard Professional“ sowie „GetDataBack for NTFS“ zeigten allesamt zwar die Dateien der großen Emailordner an, allerdings immer mit einer Größe von null Byte.

Die Festplatte nutzt das NTFS-Format. Auf einem Forum steht, daß Windows auf NTFS-Festplatten große Dateien anders löscht als kleine und daß die Fragmentierung der Datei auch noch einen Unterschied macht. Wir gehen bisher davon aus, daß es auf der Festplatte eine oder mehrere Listen gibt, in der steht, wo der Inhalt der gewünschten Datei auf der Festplatte liegt. Löschen funktioniert dann so, daß nur diese Liste verändert wird, der Inhalt der Dateien bleibt hingegen unverändert. Daher hoffen wir, die Emailordner als ganze wiederherstellen zu können, so daß keine Email verloren geht. Den Import in Thunderbird könnte dann das ImportExportTool übernehmen.

Wie bewertet Ihr die geschilderten Situation hinsichtlich der Möglichkeit einer vollständigen Wiederherstellung der Emailordner? Wir würden uns über nachvollziehbare und begründete Hinweise freuen, die uns einem Verständnis des Problems näherbringen und damit die Grundlage schaffen, das gemeinsam durchdrungene und verstandene Problem präzise zu beheben.

Viele Grüße
rana

Zitat von "rum"

Trotz der umfangreichen Beschreibung bleibt unklar, wo ihr die Dateien wie sent, inbox etc gefunden habt? Innerhalb des Anwendungsordners Thunderbird, bei Windows 2000, XP in Dokumente und Einstellungen\%Benutzername%\Anwendungsdaten\Thunderbird\Profiles\xxxxxxxx.default oder als einzelne Dateien irgendwo auf der Platte?
Die Pfade und die Ordnerstruktur der Platte sind klar lesbar?

Hallo rum,

die Pfade habe ich nicht genau notiert. „undelete plus“ zeigte einen Verzeichnisbaum, der neben vielen verlorenen Ordnern außerhalb der ursprünglichen Pfade auch den ganz normalen Windows 2000 Verzeichnisbaum enthielt. In diesem Teil der Struktur befand sich auch die Unterstruktur „Anwendungsdaten\Thunderbird\Profiles\xxxxxxxx.default\Mail\...“. Mit „...“ sind die Verzeichnisse zu zwei Email-Adressen und das Verzeichnis des Lokalen Ordners gemeint. Darin befanden sich dann wiederum die mbox-Dateien und deren Index-Dateien (msf), allerdings in dem eingangs beschriebenen Zustand (fehlerhaft oder Null-Byte groß).
Unter „verstreut auf der Platte“ stelle ich mir vor, daß die Dateien nicht mehr in den Originalstrukturen liegen, wenn einem das Undelete-Ergebnis angezeigt wird. Das war nicht der Fall. Allerdings wurden insgesamt über 100.000 Dateinamen gefunden. Die haben wir bisher nicht alle durchsucht, sondern uns auf den Standardpfad beschränkt. Lohnt es sich, woanders zu suchen?

Gruß
rana

-+-+-+-+-+-+

Hallo Cosmo,

ich meine, es sieht gut aus.

Wir haben uns an ja gerade an das Thunderbird-Forum gewandt, in der Hoffnung hier gemeinsam entwickeln zu können, wie der Freund von mir Thunderbird am Ende besser als vor den Schwierigkeiten nutzen kann. Thunderbird läuft schon wieder (mit Updates) und jetzt ohne Fehlermeldungen. Es fehlen zum vollen Nutzen aber noch die Emails der letzten vier Jahre und die in dieser Zeit vorgenommene Sortierung derselben. Vermutlich hatten andere Thunderbird-Nutzer schon mal ähnliche Schwierigkeiten, ein gelöschtes Profilverzeichnis wiederherzustellen, haben diese überwunden und können sich hoffentlich noch daran erinnern, was das Problem war und wie es gelöst wurde.

Aus der bisherigen Nutzung von Thunderbird wissen wir, welche Emailordner es gab (siehe oben). Denen entsprechen die Namen der von „undelete plus“ angezeigten mbox- und msf-Dateien. Die Struktur der Emailordner ist also irgendwie noch vorhanden, aber zur Zeit nicht mehr hinreichend mit den Inhalten der Emailordner verbunden, da die Wiederherstellung noch nicht gelingt.

Weiß vielleicht jemand, welche Einstellungen man bei den genannten Datei-Wiederherstellungsprogrammen beachten muß, damit sie gut und gründlich suchen und die Emailordner vielleicht doch mit ihrer ursprünglichen und nicht mehr mit Null Byte Größe anzeigen? Das wäre doch relevant, um nicht die vier Jahre Arbeit des täglichen Emaillesens und -sortierens verloren zu geben und auf Schnippseljagt mit PhotoRec zu gehen.

Wie schätzt Ihr ein, ob die Fragmente der Emailordner automatisch aufgelesen werden können?
Ich weiß nicht, wie fragmentiert die Emailordner sind. Die Emails wurden täglich über einige Stunden alle zehn Minuten per POP abgerufen wurde und in die Ordner sortiert. Die Emailordner wurden nie komprimiert, weil das erst nicht nötig war und dann nicht mehr klappte. Es wurden also keine Emails aus den Emailordnern (mbox-Dateien) rausgeschnitten, um sie echt zu löschen, was ja der Vorgang beim Komprimieren der Emailordner ist. Ich habe auch gelesen, daß sich das Dateisytem von Windows (NTFS) selbst darum kümmert, daß die Dateien nicht so arg fragmentieren.

Das Festplattenabbild haben wir erst nach den Schwierigkeiten erstellt. Ein Backup vom unbeschädigten Zustand gibt es leider nicht. Bevor wir das Abbild erstellten, trat der Fehler auf, startete Windows nicht mehr und ließen wir noch „undelete plus“ auf der in einen zweiten Rechner eingebauten Festplatte laufen, was kein befriedigendes Ergebnis gebracht hatte. Dann erst erstellten wir das Festplattenabbild unter Knoppix/Knoppicillin ohne Schreibzugriff (im „forensic“-Modus). Es liefen aber zwischenzeitlich keine Programme mehr außer dem Avira-Guard (das ja nicht schreibt) und „undelete plus“ auf der Platte und es wurden auch keine Dateien mehr darauf gespeichert. Die Festplatte ist zudem nicht kaputt. Das spricht alles dafür, daß die Emails noch vorhanden sind. Dem entspricht auch der mit dem Hex-Editor gewonnene Eindruck, daß tausende gut erhaltene Emails auf dem Festplattenabbild liegen. Die Inhalte der Emails sind also noch vorhanden.

Es gibt auch im engeren Sinne kein Rechnerproblem, denn der läuft inzwischen und sogar flotter als vorher.

Da manche der mittelgroßen Emailordner (mbox-Dateien) mit „undelete plus“ nicht in den Originalzustand kommen, aber die zugehörigen Index-Dateien (msf) gut aussehen, wäre ja auch eine Frage, ob die Informationen der Index-Dateien nicht beim Auffinden der Emailordner helfen können.

Viele Grüße
rana

Liebe Leute,

erstmal vielen Dank für Eure rege Beteiligung und die ganzen Hinweise.

Laßt uns davon ausgehen, daß die vollständige Wiederherstellung der Emails und ihrer Sortierung gelingen soll. Man muß doch viel wollen, um viel erreichen zu können.

Unserer Einschätzung nach sieht es so aus: Die Dateien waren vor dem Problem wahrscheinlich fragmentiert, aber es gab bis zum eine logische Struktur, die die Puzzleteile auf der Festplatte logisch zusammenhielt. Für das Gelingen der Wiederherstellung müssen wir also überlegen, wie dieser Zusammenhang des Puzzles wiederhergestellt werden kann. Dafür sehen wir drei mögliche Möglichkeiten, die wir prüfen und (weiter-)verfolgen sollten:

• Den Fortsetzungsroman, d.h. jedes Fragment hat am Ende eine Beschreibung, wo es weiter geht.
• Die Liste, in der nacheinander verzeichnet ist, welches Teil wo liegt.
• Die Indexdatei von Thunderbird, die besagt in welche Emails zu welchem Ordner gehören und vermutlich sogar in welcher Reihenfolge die Emails in den mbox-Dateien aufeinander folgen.

Es geht darum, das Auffinden dieser logischen Strukturen und das Zusammenfügen des Puzzles zu automatisieren. Am Ende sollen dann die rund ein Dutzend Emailordner wieder in der alten Fassung vorhanden sein.

Viele Grüße
rana