Gelöschte Dateien wiederherstellen: Was nun?

In den ersten zehn Minuten nach dem Datenverlust entscheidet sich, ob Ihre Dateien zurückkommen oder nicht. Gelöschte Dateien wiederherstellen fühlt sich in den ersten Sekunden nach dem Missgeschick wie eine Mission Impossible an. Dabei liegen die meisten Dateien noch komplett auf der Platte und warten darauf, dass Sie sie finden. Was Sie dafür tun müssen, hängt weniger vom Glück ab als von Ihrer Reaktion in den nächsten Minuten.

Das Wichtigste in Kürze

• Gelöschte Dateien sind nur logisch entfernt. Physisch liegen sie weiter auf dem Datenträger, bis neue Daten sie überschreiben
• Die ersten zehn Minuten entscheiden: Laufwerk trennen, keine Schreibvorgänge, Fehler dokumentieren
• Recovery Software reicht bei logischem Löschen. Bei mechanischem Defekt oder fehlender Partition kommen Labore oder spezialisierte Werkzeuge ins Spiel
• Eine 3-2-1-Regel für das Backup kostet wenig und erspart im Ernstfall das Labor für 150 bis 2.000 Euro

Warum sind gelöschte Dateien nicht wirklich weg?

Gelöschte Dateien wiederherstellen gelingt nur deshalb zuverlässig, weil die gängigen Betriebssysteme beim Löschen einen Shortcut nehmen. Das Betriebssystem entfernt lediglich den Verweis aus dem Dateisystem und markiert den bisherigen Speicherbereich als überschreibbar. Die eigentlichen Datenblöcke bleiben unverändert, bis irgendwann neue Dateien sie überschreiben.

Den Unterschied zwischen logischem und physischem Löschen sollten Sie kennen. Beim logischen Löschen markiert das System Speicherplatz nur als frei. Beim physischen Löschen, etwa durch Secure Erase, ATA Commands oder mehrfaches Überschreiben, werden die Datenblöcke aktiv überschrieben. Nur physisch gelöschte Dateien sind praktisch unrettbar.

Ihr Papierkorb fängt die meisten Missgeschicke auf. Ein normaler Löschvorgang verschiebt die Datei in den Papierkorb, wo sie unter dem ursprünglichen Namen weiterlebt, bis Sie leeren. Shift und Entf umgehen diesen Ordner komplett und schicken die Datei direkt in den freigegebenen Speicherbereich. Ab diesem Moment läuft die Uhr gegen Sie.

Auf SSDs wird die Sache komplizierter. Moderne Solid State Drives nutzen das TRIM Kommando, damit der Controller gelöschte Blöcke im Hintergrund tatsächlich leert und die Leistung stabil bleibt. Sobald TRIM aktiv wird, sinken Ihre Chancen auf Wiederherstellung bei einer SSD deutlich, verglichen mit einer klassischen HDD.

Welche Schritte helfen in den ersten zehn Minuten?

Die ersten zehn Minuten nach einem Datenverlust entscheiden über Erfolg oder Totalverlust. Jedes weitere Schreibereignis auf dem betroffenen Laufwerk kann genau den Block überschreiben, auf dem Ihre Datei noch liegt. Je ruhiger Sie reagieren, desto besser die Chance.

Stoppen Sie sofort alle Schreibvorgänge auf dem betroffenen Laufwerk. Schließen Sie Anwendungen, die im Hintergrund mitschreiben, etwa Cloud Sync Tools, Mail Clients oder Virenscanner. Ziehen Sie externe Medien gegebenenfalls ab, nicht aber mitten in einem Schreibvorgang.

Den Rechner komplett herunterzufahren ist die sicherste Variante, sofern Sie keine aktiven Dokumente mehr geöffnet haben. Ein normales Shutdown genügt. Erzwungenes Ausschalten bei aktiven Schreibvorgängen kann die Lage eher verschlimmern, besonders bei NAS und RAID Systemen.

Notieren Sie den genauen Fehlerhergang. Was wurde gelöscht, wann, wie viele Dateien, welches Programm war aktiv, gab es Fehlermeldungen? Diese Protokollnotiz hilft später der Recovery Software und im Zweifel dem Datenrettungslabor, den logischen Zustand zu rekonstruieren.

Welche Methode passt zu welchem Speichermedium?

Nicht jedes Speichermedium verhält sich beim Löschen gleich. Eine HDD retten Sie anders als eine SSD, ein NAS hat ganz eigene Fallstricke, und eine Cloud Lösung kennt weder Papierkorb noch Rettungssoftware im klassischen Sinne. Die Antwort auf die Frage, worauf Ihre Daten lagen, entscheidet, welcher Weg überhaupt funktioniert.

Bei einem RAID Verbund sollten Sie keinesfalls experimentieren. Jeder Rebuild Versuch kann die ursprüngliche Paritätsstruktur zerstören. Kontaktieren Sie direkt einen Datenrettungsspezialisten, bevor Sie das Array erneut in Betrieb nehmen. Auch Hardware Symptome wie klickende Geräusche oder das plötzliche Verschwinden eines Laufwerks im BIOS sprechen für den direkten Weg ins Labor; unser Ratgeber Festplatte reparieren beschreibt die typischen Symptome im Detail.

Wie holen Sie gelöschte Dateien aus Windows und macOS zurück?

Bevor Sie zu einer Recovery Software greifen, prüfen Sie die Bordmittel. Sowohl Windows als auch macOS bringen Werkzeuge mit, die in vielen Alltagsfällen bereits genügen. Der schnellste Weg führt fast immer durch den Papierkorb.

Windows: Papierkorb, Dateiversionsverlauf und Kommandozeilentool

Der Windows Papierkorb hält gelöschte Dateien standardmäßig vor. Öffnen Sie ihn, markieren Sie die Datei, Rechtsklick und Wiederherstellen, und die Datei landet am ursprünglichen Ort. Eine Grenze des Papierkorbs: Dateien ab einer konfigurierten Größe umgehen ihn, ebenso der Shift+Entf Shortcut.

Hat der Windows Dateiversionsverlauf gearbeitet, haben Sie einen zweiten Anlauf. Rechtsklick auf den betroffenen Ordner, Vorgängerversionen anzeigen, passende Version auswählen, wiederherstellen. Funktioniert nur, sofern Sie die Funktion im Vorfeld mit einem externen Laufwerk eingerichtet haben.

Windows bringt zusätzlich ein eigenes Kommandozeilentool für tiefere Fälle mit, das sich kostenlos über den Windows eigenen App Store installieren lässt. Das Werkzeug unterstützt NTFS, FAT und exFAT. Die Bedienung ist spartanisch, das Ergebnis aber solide bei kürzlich gelöschten Dateien auf internen Laufwerken.

macOS: Papierkorb, Time Machine und Cloud Versionshistorie

Auch macOS wirft Dateien zuerst in den Papierkorb und hält sie dort, bis Sie leeren oder die automatische Entfernung nach 30 Tagen greift. Per Rechtsklick und Zurücklegen wandert die Datei an ihre alte Stelle.

Time Machine ist der heimliche Held auf dem Mac. Eine externe Festplatte oder ein NAS als Ziel, und macOS sichert stündlich, täglich und wöchentlich. Die Time Machine Oberfläche erlaubt es Ihnen, punktgenau in die Vergangenheit zu reisen und die Datei aus einer passenden Sicherung zurückzuholen.

Für Cloud Speicher gilt: Die meisten Anbieter bieten einen eigenen Papierkorb mit Aufbewahrungsfristen zwischen 30 und 180 Tagen sowie eine Versionshistorie für einzelne Dokumente. Beides prüfen Sie, bevor Sie zu schwereren Werkzeugen greifen.

Wann lohnt sich Recovery Software und was leisten die Tools?

Die Bordmittel stoßen an Grenzen, sobald Papierkorb und Sicherungen leer sind. Dann kommt Recovery Software ins Spiel. Diese Tools scannen das Laufwerk Sektor für Sektor, suchen nach Dateisignaturen und rekonstruieren Dateistrukturen, die aus dem Dateisystem bereits verschwunden sind.

Drei Klassen bestimmen den Markt. Freeware deckt Grundfälle ab, meist mit schlichter Oberfläche oder Kommandozeile. Freemium Produkte erlauben Voransicht und begrenztes Retten in der Gratisstufe und kosten pro Lizenz etwa 30 bis 150 Euro jährlich, je nach Umfang auch als lebenslange Einmallizenz. Enterprise Lösungen adressieren RAID und Server Szenarien und bewegen sich im vierstelligen Bereich.

Eine eiserne Regel gilt immer: Installieren Sie die Software nie auf dem Laufwerk, von dem Sie retten wollen. Jede Installation überschreibt Sektoren, und genau dort könnten Ihre Daten liegen. Ideal ist ein separates System oder ein USB Stick mit portabler Version.

Prüfen Sie vor dem Kauf, ob die Testversion Ihre verlorenen Dateien überhaupt findet. Seriöse Anbieter zeigen in der kostenlosen Voransicht, was theoretisch wiederherstellbar wäre, und verlangen erst für das tatsächliche Retten eine Lizenz. Diese Preview Funktion schützt Sie vor Fehlkäufen.

Wie retten Sie eine verschwundene Partition?

Eine verschwundene Partition ist ein anderer Fall als eine einzelne gelöschte Datei. Die betroffene Festplatte zeigt im Datei Explorer plötzlich kein Laufwerk mehr, der Datenträger Manager meldet unpartitionierten Speicher, oder Windows bietet beim Hochfahren an, den Datenträger zu formatieren. Genau dieses Angebot sollten Sie ablehnen.

Typische Auslöser sind fehlerhafte Partitionstabellen, beschädigte MBR oder GPT Strukturen, abgebrochene Formatierungen, Stromausfälle während Schreibvorgängen oder eine schiefgegangene Datenträgerverwaltung. Die eigentlichen Datenblöcke liegen in aller Regel noch auf der Platte. Nur der Verweis, wo eine Partition anfängt und wo sie aufhört, ist weg.

Spezialisierte Werkzeuge zur Partitionswiederherstellung rekonstruieren die Partitionstabelle und machen die Daten wieder zugänglich, ohne die Inhalte anzutasten. Wer gelöschte Partitionen wiederherstellen möchte, findet hierfür Software, die den Datenträger auf Partitionssignaturen scannt und verlorene Volumes aus den vorhandenen Strukturen neu aufbaut. Viele dieser Werkzeuge arbeiten mit einer kostenlosen Voransicht, damit Sie vor dem Lizenzkauf sehen, ob die verlorene Partition überhaupt noch rekonstruierbar ist.

Ein kritischer Punkt ist die Reihenfolge. Bevor Sie irgendetwas mit dem Laufwerk tun, erstellen Sie soweit möglich zuerst ein Sektor Image. Jede weitere Aktion auf dem Originaldatenträger erhöht das Risiko, dass Rekonstruktionsversuche fehlschlagen. Ein Image ist Ihre Sicherheitskopie für den Rettungsversuch selbst.

Wann muss das Labor ran und was kostet Profi Datenrettung?

Recovery Software funktioniert nur, solange der Datenträger grundsätzlich betriebsfähig ist. Klackert Ihre Festplatte, dreht sie nicht an, piept sie, oder wird sie im BIOS gar nicht mehr erkannt, liegt ein mechanischer oder elektronischer Defekt vor. Ab hier darf nur noch ein Labor arbeiten.

Ein spezialisiertes Datenrettungslabor öffnet defekte HDDs unter Reinraumbedingungen der ISO Klasse 5 oder besser. Dort werden Schreibleseköpfe getauscht, Platter in Spenderplatten umgehängt, Firmware rekonstruiert oder beschädigte Platinen ersetzt. Für SSDs lötet ein Techniker den Controller aus und liest die NAND Flash Chips direkt aus.

Die Preisspanne ist groß. Einfache logische Fälle ohne Hardwareschaden kosten bei deutschen Anbietern etwa 150 bis 600 Euro. Mechanische Defekte an HDDs liegen bei 600 bis 1.500 Euro, SSD Rettung bei 800 bis 2.000 Euro. RAID und Server Rettung beginnt bei 1.500 Euro und kann fünfstellig werden. Viele Labore arbeiten nach dem Prinzip „Kein Erfolg, keine Kosten“.

Für Unternehmen kommt eine rechtliche Dimension dazu. Sobald Kundendaten oder personenbezogene Daten auf dem zu rettenden Datenträger liegen, greift Art. 28 DSGVO. Sie benötigen mit dem Datenrettungslabor einen Auftragsverarbeitungsvertrag, der Zweckbindung, Vertraulichkeit, Löschpflichten nach Auftragsende und technische Schutzmaßnahmen regelt. Seriöse deutsche Labore liefern eine Vorlage.

Wie verhindern Sie den nächsten Datenverlust?

Der günstigste Datenverlust ist der, der nie passiert. Eine robuste Backup Strategie schlägt jedes Recovery Tool. Der Klassiker heißt 3-2-1-Regel. Drei Kopien Ihrer Daten, auf zwei unterschiedlichen Medien, mindestens eine davon räumlich getrennt vom Original.

Für kleine und mittlere Unternehmen bedeutet das praktisch: Die Arbeitsdaten auf dem Produktivsystem, eine automatisierte Kopie auf ein NAS im Büro, eine dritte Kopie verschlüsselt in einem deutschen Cloud Speicher oder auf einer externen Platte, die im Bankschließfach liegt. Die 3-2-1-Regel kostet wenige hundert Euro im Jahr und erspart Ihnen den Labor Termin.

Buchhaltungs und Rechnungsunterlagen unterliegen zusätzlich den GoBD Vorgaben und § 257 HGB. Zehn Jahre Aufbewahrungsfrist, unveränderbar, auffindbar. Das allein reicht als Argument für eine revisionssichere Backup Lösung mit Versionierung und Manipulationsschutz. Cloud Speicher mit Object Lock oder WORM Speicher auf NAS Systemen erfüllen diese Anforderung. Ergänzend lohnt ein Blick in unseren Ratgeber zu moderner Zugangssicherung im Büro, denn die beste Backup Strategie nützt nichts, sofern Angreifer über schwache Passwörter direkten Zugriff auf Primär und Backup System bekommen.

Die häufigste Backup Sünde ist das ungetestete Backup. Spielen Sie einmal pro Quartal eine Wiederherstellung durch. Nur ein Restore, der tatsächlich funktioniert, ist ein gutes Backup. Eine kaputte Backup Kette fällt sonst erst auf, sobald sie wirklich gebraucht wird, und dann ist es zu spät.

Glossar: 14 wichtige Fachbegriffe zur Datenrettung

3-2-1-Regel für das Backup

3-2-1-Regel. Leitlinie für robuste Datensicherung. Drei Kopien der Daten werden auf zwei unterschiedlichen Speichermedien gehalten, mindestens eine davon räumlich getrennt vom Original. Die Regel schützt gleichzeitig vor Hardwaredefekt, Ransomware und physischen Schäden wie Brand oder Diebstahl.

Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag (AVV). Vertrag nach Art. 28 DSGVO zwischen Verantwortlichem und Dienstleister, der personenbezogene Daten im Auftrag verarbeitet. Pflicht für Unternehmen, die Kundendaten an externe Datenrettungslabore geben. Regelt Zweckbindung, Vertraulichkeit, technische Schutzmaßnahmen und Löschpflichten nach Auftragsende.

GoBD

GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern). Vom Bundesfinanzministerium veröffentlichte Leitlinien zur elektronischen Buchführung. Fordern unveränderbare, auffindbare und maschinell auswertbare Archivierung steuerrelevanter Daten. Für Unternehmen direkt relevant bei der Wahl der Backup Architektur.

GPT

GPT (GUID Partition Table). Moderner Standard für die Partitionierung von Datenträgern, Nachfolger des älteren MBR. Unterstützt Laufwerke über 2 Terabyte und mehr als vier Partitionen. Beschädigte GPT Strukturen lassen sich mit spezialisierten Werkzeugen zur Partitionswiederherstellung häufig rekonstruieren, solange die Datenblöcke unverändert sind.

HDD

HDD (Hard Disk Drive). Klassische Festplatte mit rotierenden Magnetscheiben und Schreibleseköpfen. Bei HDDs ist die Wiederherstellung gelöschter Dateien vergleichsweise gut möglich, weil das Betriebssystem Datenblöcke nach dem Löschen nicht aktiv überschreibt, anders als bei SSDs mit aktivem TRIM.

Logisches Löschen

Logisches Löschen. Das Betriebssystem entfernt beim logischen Löschen nur den Verweis auf eine Datei im Dateisystem und markiert den Speicherplatz als überschreibbar. Die eigentlichen Datenblöcke bleiben erhalten, bis neue Daten sie überschreiben. Recovery Software nutzt genau dieses Zeitfenster.

NAS

NAS (Network Attached Storage). Netzwerkspeicher für Büros und Abteilungen, meist mit mehreren Festplatten und Snapshot Funktionen. Bei Datenverlust auf einem NAS sind die eingebauten Snapshots oft die schnellste Rettung. RAID Konfigurationen erhöhen Ausfallsicherheit, ersetzen aber kein Backup.

Partitionstabelle

Partitionstabelle. Strukturinformation auf einem Datenträger, die festlegt, wo eine Partition beginnt, wo sie endet und welches Dateisystem sie nutzt. Zwei Formate dominieren den Markt: MBR und GPT. Beschädigte Partitionstabellen lassen sich mit spezialisierten Werkzeugen zur Partitionswiederherstellung häufig rekonstruieren.

RAID

RAID (Redundant Array of Independent Disks). Verbund mehrerer Festplatten zu einem logischen Laufwerk, je nach RAID Level mit Fokus auf Geschwindigkeit (RAID 0), Ausfallsicherheit (RAID 1, 5, 6) oder beides (RAID 10). Bei RAID Ausfällen ist professionelle Datenrettung dringend empfohlen. Eigenversuche zerstören häufig die Rekonstruktionschancen.

Reinraum

Reinraum. Laborumgebung mit streng kontrollierter Luftreinheit, klassifiziert nach ISO 14644. Datenrettungslabore nutzen mindestens ISO Klasse 5, um HDDs für Kopftausch und Platter Umhang zu öffnen. Ein einziges Staubkorn auf einer rotierenden Magnetscheibe reicht aus, um den Rettungsversuch zu zerstören.

Sektor Image

Sektor Image. Bit genaue Kopie eines Datenträgers, erstellt mit sektorbasierten Imaging Werkzeugen. Vor Rettungsversuchen auf beschädigten Laufwerken empfehlenswert, damit der Originaldatenträger unangetastet bleibt. Alle weiteren Analyse und Rekonstruktionsschritte laufen auf dem Image, nicht auf der Originalplatte.

SSD

SSD (Solid State Drive). Flash basierter Speicher ohne bewegliche Teile. Schneller und robuster als HDDs, aber beim Löschen tückischer. Moderne SSDs nutzen TRIM, wodurch Datenblöcke nach dem Löschen aktiv geleert werden. Die Rettungchancen liegen häufig unter 30 Prozent, auch bei schneller Reaktion.

TRIM

TRIM. ATA Kommando, das Betriebssysteme an SSDs senden, sobald eine Datei gelöscht wird. Der SSD Controller leert daraufhin die betroffenen Flash Blöcke im Hintergrund, damit die Schreibleistung stabil bleibt. TRIM macht Recovery bei SSDs drastisch schwieriger als bei klassischen HDDs.

WORM Speicher

WORM Speicher (Write Once Read Many). Speichermedium oder Speicherkonfiguration, bei der Daten nach dem ersten Schreiben nicht mehr verändert oder gelöscht werden können. Erfüllt die Anforderungen an revisionssichere Archivierung nach GoBD. Umgesetzt auf optischen Medien, Bandlaufwerken oder per Object Lock in Cloud Speichern.

FAQ: Gelöschte Dateien wiederherstellen

Quellen

BSI (Bundesamt für Sicherheit in der Informationstechnik) | Datenverlust, wie schütze ich mich? | https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Daten-sichern-verschluesseln-und-loeschen/Datensicherung-und-Datenverlust/Datenverlust-wie-schuetze-ich-mich/datenverlust-wie-schuetze-ich-mich_node.html | besucht am 17.04.2026

BSI | Datensicherung und Datenverlust | https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Daten-sichern-verschluesseln-und-loeschen/Datensicherung-und-Datenverlust/datensicherung-und-datenverlust_node.html | besucht am 17.04.2026

EUR-Lex | Verordnung (EU) 2016/679, Art. 28 (Auftragsverarbeiter) | https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679 | besucht am 17.04.2026