Das 0-Byte Problem

05. Oktober 2012

Viele haben es schon mal erlebt: Eine Datei, die einst einige KB, MB oder gar GB hatte, wird plötzlich nur noch mit 0 Bytes angezeigt. Dieses Phänomen ist vor allem unter Windows bekannt.

Egal ob eine wissenschaftliche Arbeit in Word geschrieben, eine SQL Datenbank oder gar das Image einer virtuellen Maschine: Alle Typen von Dateien können betroffen sein. Meist tritt das Problem nach einem Systemabsturz auf.

Die Ursache ist in den meisten Fällen ein nicht vollständig geschriebener Dateisystem-Eintrag in der MFT (Master File Table). Von Windows geführte Transaktionsprotokolle verhindern in den meisten Fällen dieses Problem: Wurde eine Transaktion (in der Regel ein Schreibzugriff auf eine Datei) nicht vollständig abgeschlossen, so wird der Fehler erkannt und ein sogenanntes Rollback durchgeführt. Dieses setzt die Transkation zurück und stellt somit wieder ein konsistentes Dateisystem her.

Trotz dieser Sicherheitsvorkehrung passiert es selten aber doch, daß nach einem Absturz und anschließendem Neustart des Systems Dateien mit 0 Byte Größe angezeigt werden. Es handelt sich immer um Dateien, in welche zum Zeitpunkt des Systemabsturzes geschrieben wurde. Eine Wiederherstellung mit windowseigenen Mitteln ist nicht möglich.

Auch aus der Sicht des Datenretters ist in vielen Fällen eine Datenrekonstruktion nicht einfach: Die sogenannte Runlist ist verloren. In dieser werden die Positionen der einzelnen Datenblöcke einer Datei gespeichert, und ist gerade wenn eine Datei fragmentiert (also nicht in einem Stück am Datenträger gespeichert ist) essentiell. Ohne der Runlist kann nicht mehr festgestellt werden, wo am Datenträger die einzelnen Teile der Datei liegen.

Mit Hilfe aufwendiger Verfahren gibt es trotzdem in den meisten Fällen noch Möglichkeiten, auf die 0-Byte Dateien zuzugreifen, auch wenn diese vorher einige GB groß waren.

Wichtig ist es, beim Auftreten des 0-Byte-Problemes den PC oder Server auszuschalten und nicht mehr einzuschalten. Alleine durch Starten des Betriebssystems oder Surfen im Internet können für eine erfolgreiche Rekonstruktion wichtige Dateisysteminformationen verlorengehen.

Ähnlich ist die Problematik beim Löschen von Dateien unter den Linux-Dateisystemen EXT3 oder EXT4: Die Zuordnungstabelle der Blöcke (INODE) wird beim Löschen ebenfalls vernichtet. Eine Datenrekonstruktion ist jedoch trotzdem nahezu immer möglich.