Gelöschte Dateien auf einer SSD wiederherstellen: Was TRIM dabei verändert

Eine Datei wurde versehentlich gelöscht, der Papierkorb bereits geleert – und nun soll eine Datenrettungssoftware helfen. Bei einer klassischen Festplatte kann das durchaus funktionieren. Bei einer SSD sieht die Lage oft anders aus.

Der Grund dafür ist eine Funktion namens TRIM. Sie sorgt dafür, dass eine SSD erfährt, welche Speicherbereiche vom Betriebssystem nicht mehr benötigt werden. Hat der Controller diese Information bereits verarbeitet, können die früheren Dateiinhalte über die normalen Speicheradressen nicht mehr erreichbar sein. Selbst ein professionelles Datenrettungslabor kann diesen Vorgang nicht beliebig rückgängig machen.

Ganz so eindeutig, wie es zunächst klingt, ist die Situation trotzdem nicht. Ob TRIM tatsächlich ausgeführt wurde, hängt unter anderem vom Betriebssystem, vom Dateisystem, von der Anschlussart und von der SSD selbst ab. Auch der genaue Löschvorgang spielt eine Rolle.

Die Frage lautet daher nicht nur: „Wurde die Datei von einer SSD gelöscht?“

Wichtiger ist: Was ist genau passiert, wie war die SSD angeschlossen und wurde sie danach noch verwendet?

Was Sie unmittelbar nach dem Löschen tun sollten

Sind die Daten wichtig, sollte die SSD möglichst keine weiteren Schreibzugriffe mehr erhalten.

Bei einer internen System-SSD ist es am sichersten, den Computer vollständig herunterzufahren. Windows oder macOS sollte anschließend nicht noch einmal gestartet werden, nur um den Papierkorb, die TRIM-Einstellung oder ein Wiederherstellungsprogramm zu prüfen.

Installieren Sie keine Datenrettungssoftware auf dem betroffenen Laufwerk. Führen Sie keine Laufwerksoptimierung durch und starten Sie weder eine Dateisystemreparatur noch eine Neuinstallation.

Eine externe SSD sollte getrennt und vorerst nicht wieder angeschlossen werden.

Das schnelle Ausschalten macht einen bereits ausgeführten TRIM-Vorgang nicht rückgängig. Es verhindert aber, dass der Rechner weiter auf die SSD schreibt oder zusätzliche interne Bereinigungsprozesse angestoßen werden.

Was beim Löschen einer Datei tatsächlich geschieht

Beim normalen Löschen wird der Inhalt einer Datei nicht immer sofort überschrieben. Das Dateisystem entfernt zunächst den Verweis auf die Datei und markiert den bisherigen Speicherplatz als frei.

Auf einer magnetischen Festplatte bleiben die Daten in diesen Bereichen meist so lange erhalten, bis neue Inhalte darübergeschrieben werden. Daher können Rettungsprogramme gelöschte Dateien häufig noch finden und rekonstruieren.

Eine SSD arbeitet anders. Sie speichert Daten in NAND-Flash-Bausteinen und verwaltet diese über einen eigenen Controller. Das Betriebssystem sieht zwar fortlaufende Speicheradressen, doch diese entsprechen nicht dauerhaft festen Positionen innerhalb der Speicherchips.

Der Controller verteilt Schreibvorgänge, ersetzt fehlerhafte Zellen, verwendet Reservebereiche und verschiebt Daten innerhalb des Speichers. Die Zuordnung zwischen den sichtbaren Adressen und den tatsächlichen Speicherzellen wird laufend angepasst.

Diese interne Verwaltung ist notwendig, weil Flash-Speicher nicht wie eine Festplatte direkt überschrieben werden kann. Bevor Speicherzellen neu beschrieben werden, müssen größere Speicherblöcke zunächst gelöscht werden.

Damit die SSD rechtzeitig weiß, welche Inhalte nicht mehr gebraucht werden, kommt TRIM ins Spiel.

Was bedeutet TRIM?

TRIM ist eine Nachricht des Betriebssystems an die SSD. Vereinfacht ausgedrückt teilt sie dem Laufwerk mit:

Diese Speicherbereiche werden vom Dateisystem nicht mehr benötigt.

Die SSD kann diese Bereiche daraufhin aus ihrer aktiven Zuordnung entfernen und für eine spätere Wiederverwendung vorbereiten.

TRIM überschreibt eine Datei also nicht zwangsläufig in genau dem Moment, in dem sie gelöscht wird. Der Befehl informiert zunächst den Controller. Was danach geschieht, bestimmt die Firmware der jeweiligen SSD.

Manche Laufwerke lösen die Zuordnung sehr schnell auf. Andere sammeln freigegebene Bereiche und bearbeiten sie später. Bei anschließenden Lesezugriffen können bereits Nullen zurückgegeben werden, obwohl die physische Bereinigung der Speicherzellen intern erst später stattfindet.

Für eine Datenrettung ist das ein wesentlicher Unterschied: Selbst wenn elektrische Zustände in einzelnen Speicherzellen noch nicht vollständig gelöscht wurden, können die Informationen ohne die passende Zuordnung praktisch unbrauchbar sein.

Werden die Daten durch TRIM sofort gelöscht?

Dafür gibt es keine einheitliche Zeitangabe. Der Ablauf kann sich je nach SSD, Betriebssystem und Nutzung deutlich unterscheiden.

Zunächst gibt das Dateisystem die Speicherbereiche frei. Danach kann das Betriebssystem den TRIM-Befehl senden. Dieser muss über die verwendete Schnittstelle bei der SSD ankommen. Erst dort entscheidet der Controller, wann und wie die betreffenden Bereiche intern verarbeitet werden.

Ein Teil dieser Arbeit kann sofort stattfinden, ein anderer Teil während einer späteren Leerlaufphase. Solange die SSD mit Strom versorgt wird, kann sie auch ohne sichtbare Aktivität des Nutzers intern weiterarbeiten.

Deshalb gibt es kein verlässliches Zeitfenster nach dem Muster: „Innerhalb von zehn Minuten sind die Daten noch zu retten.“

Ebenso wenig sollte man sich darauf verlassen, dass die Dateien erhalten bleiben, solange keine neuen Dokumente kopiert wurden. Die SSD kann freigegebene Speicherbereiche auch ohne einen bewussten neuen Speichervorgang bereinigen.

In welchen Fällen noch Hoffnung besteht

Eine endgültige Löschung auf einer SSD bedeutet nicht in jeder Konstellation dasselbe. Einige Umstände können die Ausgangslage deutlich verändern.

Die Datei liegt noch im Papierkorb

Wurde eine Datei lediglich in den Papierkorb verschoben, ist sie in der Regel noch vorhanden. Das Dateisystem hat sie zunächst nur an einen anderen Ort verschoben.

Erst beim Leeren des Papierkorbs oder beim direkten Löschen mit Umschalttaste + Entf werden die belegten Bereiche für eine erneute Verwendung freigegeben.

Befindet sich die Datei noch im Papierkorb, sollte sie dort über die normale Wiederherstellungsfunktion zurückgeholt werden. Zusätzliche Rettungsprogramme sind dafür nicht erforderlich.

TRIM war auf dem System nicht aktiv

Nicht jedes Betriebssystem und nicht jedes Dateisystem verwendet TRIM. Die Funktion kann deaktiviert sein oder von der vorhandenen Konfiguration nicht unterstützt werden.

Unter Windows lässt sich die grundsätzliche Einstellung mit folgendem Befehl abfragen:

fsutil behavior query DisableDeleteNotify

Ein Wert von 0 bedeutet vereinfacht, dass Löschbenachrichtigungen aktiviert sind. Bei 1 sind sie deaktiviert.

Diese Abfrage zeigt allerdings nur die Windows-Einstellung. Sie beweist nicht, dass der TRIM-Befehl bei der betroffenen Datei tatsächlich an der SSD angekommen ist oder bereits verarbeitet wurde.

Es wäre daher keine gute Idee, eine betroffene System-SSD nur für diese Kontrolle erneut zu starten. Der zusätzliche Startvorgang kann mehr Schaden verursachen, als die Abfrage an Erkenntnis bringt.

Die SSD war über USB angeschlossen

Bei externen SSDs sitzt zwischen Computer und Laufwerk meist ein zusätzlicher USB-SATA- oder USB-NVMe-Controller. Damit TRIM funktioniert, muss die Information durch mehrere Ebenen weitergereicht werden:

• Betriebssystem,

• Dateisystem,

• Treiber,

• USB-Protokoll,

• Controller im externen Gehäuse,

• SSD-Controller.

Vor allem ältere Gehäuse und Adapter reichen solche Befehle nicht immer zuverlässig weiter. Moderne externe SSDs unterstützen TRIM dagegen häufig.

Allein aus der Bezeichnung „externe SSD“ lässt sich daher noch keine sichere Einschätzung ableiten. Das genaue Gehäuse, die Anschlussart und der verwendete Controller können einen erheblichen Unterschied machen.

Die Dateien wurden nur scheinbar gelöscht

Nicht jede verschwundene Datei wurde tatsächlich gelöscht.

Auch ein beschädigtes Dateisystem, eine verlorene Partition, ein fehlerhaftes Benutzerprofil oder eine nicht mehr eingebundene Partition können dazu führen, dass Dateien plötzlich fehlen.

Weitere mögliche Ursachen sind:

• veränderte Zugriffsrechte,

• ein beschädigter Bootsektor,

• Fehler in der Dateisystemstruktur,

• Probleme mit der Verschlüsselung,

• ein Defekt des SSD-Controllers,

• beschädigte interne Zuordnungstabellen.

In solchen Fällen können die Inhalte noch gespeichert sein, obwohl das Betriebssystem nicht mehr darauf zugreifen kann. Das ist technisch eine andere Ausgangslage als eine bewusst gelöschte Datei.

Es existiert noch eine Kopie an anderer Stelle

Bevor Eingriffe an der SSD vorgenommen werden, lohnt sich die Suche nach alternativen Speicherorten.

Dazu gehören etwa:

• Cloud-Speicher,

• synchronisierte Ordner,

• Windows-Dateiversionsverlauf,

• Time-Machine-Sicherungen,

• NAS-Backups,

• E-Mail-Anhänge,

• Messenger-Verläufe,

• ältere Computer,

• externe Datenträger,

• automatische Sicherungen einzelner Programme.

Bei synchronisierten Ordnern sollte die Prüfung möglichst von einem anderen Gerät aus erfolgen. Sonst besteht das Risiko, dass Löschungen oder Änderungen erneut synchronisiert werden.

Wann die Chancen besonders schlecht stehen

Bei einer modernen internen SSD mit aktuellem Betriebssystem kann TRIM sehr schnell greifen. Wurde der Papierkorb geleert und der Computer danach weiterverwendet, sinken die Aussichten erheblich.

Ungünstig sind vor allem folgende Umstände:

• Die Dateien wurden endgültig gelöscht.

• TRIM war aktiviert.

• Der Rechner lief nach dem Löschen weiter.

• Die Laufwerksoptimierung wurde gestartet.

• Programme oder Updates wurden installiert.

• Neue Daten wurden auf der SSD gespeichert.

• Eine Rettungssoftware wurde auf derselben SSD eingerichtet.

• Die SSD wurde formatiert und anschließend weiterbenutzt.

• Freigegebene Bereiche liefern bei der Analyse nur noch Nullen.

Unter Windows kann die Laufwerksoptimierung bei SSDs TRIM-Befehle ausführen. Wer sie nach einem Datenverlust manuell startet, kann dadurch weitere freigegebene Bereiche an den Controller melden.

Das Ergebnis muss nicht sofort sichtbar sein. Für eine spätere Wiederherstellung kann es dennoch entscheidend sein.

Was Datenrettungssoftware leisten kann – und was nicht

Ein Rettungsprogramm kann nur die Informationen auswerten, die das Laufwerk noch bereitstellt.

Sind gelöschte Speicherbereiche weiterhin lesbar, kann die Software möglicherweise alte Dateisystemeinträge finden oder Dateien anhand ihrer typischen Struktur zusammensetzen.

Hat der SSD-Controller die betreffenden Adressen jedoch bereits freigegeben, erhält das Programm unter Umständen nur noch Nullen. Aus solchen Daten lässt sich keine frühere Bilddatei, kein Dokument und kein Video rekonstruieren.

Problematisch ist, dass viele Programme trotzdem noch Dateinamen und Ordner anzeigen. Diese Informationen können aus übrig gebliebenen Metadaten stammen, während der eigentliche Dateiinhalt bereits fehlt.

Ein Scanergebnis mit Tausenden gefundenen Dateien bedeutet daher nicht automatisch, dass diese Dateien noch verwendbar sind.

Typische Ergebnisse nach verarbeitetem TRIM sind:

• Dateien mit null Byte,

• Dateien, die nur Nullen enthalten,

• Bilder ohne darstellbaren Inhalt,

• nicht abspielbare Videos,

• Dokumente mit korrektem Namen, aber beschädigtem Inhalt,

• vollständige Ordnerstrukturen ohne brauchbare Dateien.

Erst wenn eine wiederhergestellte Datei geöffnet und geprüft wurde, lässt sich beurteilen, ob sie tatsächlich gerettet werden konnte. 

Warum Sie das Rettungsprogramm nicht auf der betroffenen SSD installieren sollten

Die Installation einer Software erzeugt neue Schreibzugriffe. Das gilt ebenso für den normalen Betrieb des Computers.

Windows und andere Betriebssysteme schreiben laufend Daten auf das Systemlaufwerk, etwa:

• temporäre Dateien,

• Protokolle,

• Browser-Caches,

• Auslagerungsdateien,

• Suchindizes,

• Updates,

• Virenscanner-Daten,

• Synchronisationsinformationen.

Auf einer Festplatte könnten solche Vorgänge gelöschte Bereiche überschreiben. Bei einer SSD kommen die interne Speicherverwaltung und mögliche Bereinigungsprozesse hinzu.

Soll eine Softwareanalyse durchgeführt werden, muss die SSD als zusätzliches Laufwerk an einem anderen Computer angeschlossen werden. Gerettete Dateien gehören immer auf einen anderen Datenträger.

Bei unersetzlichen Daten ist ein eigener Scan dennoch riskant. Ein Laufwerk mit beginnendem technischem Defekt kann sich durch wiederholte Leseversuche weiter verschlechtern.

Kann ein Datenrettungslabor TRIM umgehen?

Ein spezialisiertes Labor hat deutlich mehr Möglichkeiten als eine gewöhnliche Wiederherstellungssoftware. Je nach SSD-Modell können Controller, Firmware, Speicherverwaltung und beschädigte Zuordnungstabellen untersucht werden.

Auch eine instabile oder nicht mehr erkannte SSD lässt sich unter Umständen so weit stabilisieren, dass ihre Daten noch ausgelesen werden können.

Ein vollständig verarbeiteter TRIM-Vorgang lässt sich dadurch jedoch nicht einfach rückgängig machen.

Wenn der Controller die Verbindung zwischen den sichtbaren Speicheradressen und den früheren Flash-Seiten bereits entfernt hat, fehlen wesentliche Informationen für die Rekonstruktion.

Auch das direkte Auslesen der NAND-Speicherbausteine ist keine einfache Abkürzung. Die ausgelesenen Rohdaten müssen unter anderem mit folgenden Strukturen zusammengeführt werden:

• interner Adresszuordnung,

• Fehlerkorrekturdaten,

• Datenverteilung auf mehrere Chips,

• Reservebereichen,

• Wear-Leveling-Informationen,

• möglicher Controller-Verschlüsselung.

Ohne diese Informationen sind die Rohdaten moderner SSDs häufig nicht sinnvoll nutzbar.

Der verbreitete Hinweis, ein Labor könne „einfach die Speicherchips auslesen“, vermittelt daher ein falsches Bild der tatsächlichen technischen Arbeit.

Eine defekte SSD ist nicht dasselbe wie eine gelöschte Datei

TRIM betrifft Speicherbereiche, die vom Dateisystem als nicht mehr benötigt gemeldet wurden.

Bei einem technischen Defekt ist die Lage anders. Wird eine SSD plötzlich nicht mehr erkannt, zeigt sie eine falsche Kapazität oder verursacht Abstürze, wurden die vorhandenen Dateien dadurch nicht zwangsläufig gelöscht.

Mögliche Ursachen sind:

• ein defekter SSD-Controller,

• beschädigte Firmware,

• Probleme mit der Stromversorgung,

• Fehler auf der Platine,

• beschädigte NAND-Speicherbausteine,

• fehlerhafte Übersetzungstabellen,

• elektronische Bauteilschäden.

In solchen Fällen kann eine professionelle Untersuchung sinnvoll sein. Die TRIM-Problematik spielt nur dann eine zentrale Rolle, wenn die gesuchten Dateien vor dem technischen Ausfall bereits gelöscht oder freigegeben wurden.

Die Aussage „Von einer SSD lassen sich keine Daten retten“ ist deshalb ebenso falsch wie das Versprechen, gelöschte SSD-Dateien seien immer wiederherstellbar.

Interne SSD, NVMe oder externes Laufwerk: eine erste Orientierung

Diese Einordnung kann nur einen ersten Anhaltspunkt geben. Für eine belastbare Beurteilung braucht es den genauen Ablauf und die technische Konfiguration.

Sollte TRIM vorsorglich deaktiviert werden?

TRIM dauerhaft abzuschalten ist kein sinnvoller Schutz vor Datenverlust.

Die Funktion unterstützt die Speicherverwaltung und trägt dazu bei, dass eine SSD dauerhaft effizient arbeitet. Selbst ohne TRIM gibt es keine Garantie, dass gelöschte Dateien später vollständig rekonstruiert werden können. Weitere Schreibvorgänge, interne Speicherbereinigung, Wear Leveling und Verschlüsselung bleiben bestehen.

Der zuverlässige Schutz gegen versehentliches Löschen ist nicht die Deaktivierung einzelner SSD-Funktionen, sondern ein funktionierendes Backup.

Wichtige Daten sollten mindestens auf einem getrennten Speichermedium gesichert werden. Für unersetzliche Unterlagen empfiehlt sich eine zusätzliche Kopie, die weder dauerhaft am Computer angeschlossen noch ausschließlich über denselben Cloud-Dienst erreichbar ist.

Was nach einem Datenverlust wirklich zählt

Gelöschte Dateien auf einer SSD sind nicht in jedem Fall unwiederbringlich verloren. Die Chancen können sich jedoch innerhalb kurzer Zeit erheblich verschlechtern, ohne dass der Nutzer davon etwas bemerkt.

Besonders bei modernen internen SSDs sorgt TRIM dafür, dass freigegebene Bereiche schnell aus der aktiven Speicherzuordnung verschwinden. Ein Rettungsprogramm kann diesen Vorgang nicht umkehren. Auch im Labor bestehen Grenzen, wenn die dafür notwendigen Zuordnungsinformationen bereits entfernt wurden.

Trotzdem lohnt sich eine genaue Prüfung des Einzelfalls. Eine externe USB-Verbindung, ein älteres System, ein beschädigtes Dateisystem oder ein technischer Defekt können die Ausgangslage grundlegend verändern.

Bis diese geklärt ist, gilt eine einfache Regel: Die SSD nicht weiterverwenden, nichts darauf installieren und keine Reparatur- oder Optimierungsprogramme starten.