Ik heb enkele belangrijke bestanden verwijderd van een APFS-schijf op mijn Mac en besefte te laat dat ik ze nog steeds nodig heb. Ik weet niet zeker of TRIM, snapshots of recent schijfgebruik APFS-bestandsherstel onmogelijk maken. Welke stappen moet ik proberen voordat ik het risico loop iets te overschrijven?
gebruiker 1
Je maakt mogelijk nog kans, maar het hangt vooral van twee dingen af: of er sinds het verwijderen nog iets naar die schijf is geschreven, en of het een SSD is of een traditionele harde schijf met draaiende platters.
De veiligste stap is om die schijf nu meteen niet meer te gebruiken. Sla er niets meer op op, installeer er geen hersteltools op, en ik zou voorlopig ook geen reparatietools uitvoeren. Verwijderde bestanden zijn vaak niet meteen echt weg, maar nieuwe schrijfacties kunnen de ruimte overschrijven die ze gebruikten.
Als je de schijf in Schijfhulpprogramma hebt geformatteerd, betekent dat ook niet automatisch dat de gegevens vernietigd zijn. Een snelle formattering maakt meestal de bestandssysteemstructuur opnieuw aan in plaats van elk stukje oude data te wissen. Als je er daarna niet een heleboel nieuwe bestanden op hebt gezet, kan herstel nog steeds mogelijk zijn.
SSD’s zijn het lastigere geval, vooral interne Mac-SSD’s met TRIM ingeschakeld. Zodra TRIM die verwijderde blokken wist, kan normale herstelsoftware ze niet meer terughalen. Externe SSD’s zijn wat minder voorspelbaar, omdat TRIM afhangt van de behuizing en het verbindingstype. Sommige geven TRIM-opdrachten door, andere niet. Daardoor is een externe SSD soms beter te herstellen dan je zou verwachten, maar alleen als je hem snel niet meer gebruikt.
Ik heb de beste resultaten gehad met Disk Drill.
Wat voor mij werkte, was in feite dit:
- Installeer Disk Drill op een andere schijf, niet op de schijf waarvan je probeert te herstellen.
- Sluit de APFS-schijf aan waarop de bestanden verloren zijn gegaan.
- Geef Volledige schijftoegang wanneer macOS daarom vraagt.
- Scan het volledige APFS-volume, niet alleen een willekeurige map.
- Laat de volledige scan afronden voordat je bestanden terughaalt.
- Gebruik voorvertoningen om te controleren of de herstelde bestanden echt openen.
- Sla de herstelde bestanden op een andere schijf op.
Het grote pluspunt voor mij was dat veel van de oorspronkelijke map- en bestandsnamen behouden bleven. Dat is belangrijker dan het klinkt, want door duizenden willekeurig benoemde bestanden gaan is verschrikkelijk.
Als je een Time Machine-reservekopie hebt, controleer die dan eerst. Als je die niet hebt, is herstelsoftware waarschijnlijk de volgende logische stap. Controleer ook op APFS-snapshots. macOS kan soms lokale snapshots bewaren, zelfs wanneer je Time Machine-schijf niet is aangesloten. Misschien bestaan ze niet, maar het is de moeite waard om te kijken voordat je aanneemt dat de bestanden weg zijn.
Ik zou Schijf-EHBO in Schijfhulpprogramma vermijden tot nadat je alles belangrijks hebt hersteld. Mijn regel is: eerst herstellen, later repareren. Reparaties kunnen helpen bij een beschadigd bestandssysteem, maar ze kunnen ook dingen op de schijf veranderen, en dat is niet wat je wilt vóór herstel.
Als de schijf niet wil koppelen, willekeurig de verbinding verbreekt, klikt, vastloopt tijdens scans, of fysiek instabiel lijkt, zou ik stoppen met software proberen en contact opnemen met een dataherstellab. Veel goede labs beoordelen het gratis, en veel werken volgens het principe geen data, geen kosten. Het kost meer, maar als de schijf defect raakt, is dat de veiligere route.
Het ontbrekende detail is of dit je opstartschijf was en of FileVault aanstond. Als het een interne Mac-SSD met FileVault was en je de Mac bent blijven gebruiken nadat je de bestanden had verwijderd, zou ik de verwachtingen vrij laag houden. APFS plus SSD TRIM kan verwijderd snel veranderen in praktisch niet herstelbaar, en versleuteling betekent dat je geen bruikbare restanten gaat terugvinden zoals men vroeger deed op oude harde schijven.
Ik ben het eens met het advies om hem niet meer te gebruiken, maar ik zou daar strenger in zijn: zet de Mac uit als de verloren bestanden op de interne schijf staan. Download geen herstelapp, werk macOS niet bij en laat Foto’s of iCloud-synchronisatie niet op de achtergrond doorgaan. Als je een andere Mac hebt, kunnen target disk mode of opstarten vanaf een externe schijf de hoeveelheid nieuwe schrijfacties verminderen, al maken nieuwere Apple silicon Macs dat minder eenvoudig dan vroeger.
Voordat je gaat scannen, zou ik de saaie dingen controleren die soms uren besparen: Recent verwijderd in de app waarmee de bestanden zijn gemaakt, iCloud Drive webherstel, Time Machine en lokale snapshots. Als er snapshots bestaan, is dat meestal netter dan herstelsoftware omdat je het echte bestand terugkrijgt in plaats van een gegiste reconstructie. Disk Drill of vergelijkbare tools zijn het daarna waard om te proberen, maar ik zou de preview als waarheid beschouwen. Als het bestand niet correct kan worden weergegeven in de preview, kan het herstellen van een bestand met de juiste naam je nog steeds rommel opleveren.
Stop met het behandelen van de schijf als een plek om te experimenteren.
Het TRIM-punt hierboven is reëel, maar de grotere fout die ik mensen zie maken, is drie verschillende herstelapps rechtstreeks op de originele schijf loslaten en zich dan afvragen welke het erger heeft gemaakt. Als de bestanden belangrijk zijn, bewaar dan eerst de huidige staat. Zelfs als de huidige staat slecht is, is die nog altijd beter dan een staat die jij hebt veranderd terwijl je wat zat aan te rommelen.
Als dit een externe schijf is, zou ik een volledige schijfimage of kloon naar een andere schijf maken voordat ik scans uitvoer. Geen Finder-kopie van de zichtbare bestanden. Een echte image of kloon op blokniveau van het hele apparaat of de hele APFS-container. Scan daarna de image als je hersteltool dat ondersteunt. Dat geeft je een resetpunt als de eerste scan nutteloos is, en het voorkomt dat je mogelijk onbetrouwbare schijf urenlang zwaar wordt belast.
Als dit de interne SSD in de Mac is, dan wordt het pas echt vervelend. Normaal opstarten schrijft al logs, caches, Spotlight-gegevens, iCloud-wijzigingen, browserrommel en wie weet wat nog meer. Ik opende alleen Safari om een tool te downloaden is nog steeds schijfactiviteit. Schakel hem uit en werk vanaf een andere Mac, Recovery of een externe opstartschijf als je weet wat je doet. Zo niet, dan is dit het moment waarop een winkel betalen goedkoper kan zijn dan al doende leren door het bewijsmateriaal te vernietigen.
Kleine kanttekening bij snapshots: ga er niet van uit dat ze er zijn alleen omdat APFS ze ondersteunt. APFS kan snapshots hebben, maar dat betekent niet dat je ontbrekende map veilig in een daarvan staat. Lokale Time Machine-snapshots zijn het gebruikelijke nuttige geval. Als ze bestaan, gebruik die dan eerst, want dat is herstel, niet gokken. Herstelsoftware lijkt meer op archeologie.
Disk Drill is prima om te proberen, maar ik zou het gebruiken als scanner, niet als bewijs dat alles herstelbaar is. De preview is belangrijker dan de bestandslijst. Een herstelde bestandsnaam met een kapotte preview is vaak gewoon een geruststellende leugen. Dit geldt vooral voor grotere bestanden zoals video’s, virtuele machines, Foto’s-bibliotheken, databases en projectbestanden waarbij één ontbrekend deel het geheel onbruikbaar kan maken.
Mensen vergeten ook dat verwijderde bestanden misschien geen normale bestanden zijn. Als wat je kwijt bent in Foto’s, Notities, Mail, Lightroom, Final Cut, een synchronisatiemap of een pakketbestand stond, dan ligt de beste herstelroute misschien in de eigen prullenmand, back-up, cache, versiegeschiedenis of cloudherstelpagina van die app. Bestandhersteltools kunnen fragmenten vinden, terwijl de app misschien nog een schone kopie of een databaserecord heeft.
Mijn volgorde zou zijn:
- Stop met het gebruiken van de Mac of koppel de externe schijf los.
- Controleer appspecifieke Recent verwijderd-gebieden en cloudherstel.
- Controleer Time Machine en lokale snapshots.
- Als er geen schone herstelmogelijkheid bestaat, maak dan indien praktisch een image of kloon van de schijf.
- Scan pas daarna de image of het origineel.
- Herstel naar een volledig andere schijf.
- Open de herstelde bestanden voordat je feestviert.
Bij een verwijderd bestand op een interne Apple-SSD die daarna nog een tijdje is gebruikt, zou ik de verwachtingen laag houden. Bij een externe APFS-harde schijf, of een externe SSD die TRIM niet heeft doorgegeven, kunnen de kansen veel beter zijn. Hetzelfde bestandssysteem, een heel andere herstelsituatie.
Controleer de Prullenmand vanuit dezelfde Mac-gebruikersaccount voordat je iets scant, vooral als de bestanden op een externe schijf stonden. macOS laat de Prullenmand eruitzien als één plek, maar elk volume kan zijn eigen verborgen Prullenmand-map hebben. Als je iets hebt verwijderd van een externe APFS-schijf en die daarna op een andere Mac of onder een andere gebruikersaccount hebt aangesloten, kan het lijken alsof het weg is, terwijl het in werkelijkheid alleen niet wordt getoond in de Prullenmand waar jij naar kijkt.
De andere reacties hebben gelijk over het stoppen van schrijfacties, maar ik zou verwijderd in een paar gevallen opsplitsen omdat die niet gelijk zijn. Als je bestanden naar de Prullenmand hebt gesleept en die nog niet hebt geleegd, is herstel meestal gewoon een kwestie van ze terugzetten. Als je de Prullenmand hebt geleegd, Command-Option-Delete hebt gebruikt, vanuit Terminal met rm hebt verwijderd, of een app ze heeft opgeruimd, dan kom je in echt herstelgebied terecht. Als de schijf een interne SSD is en de Mac sindsdien normaal is gebruikt, dalen de kansen snel. Disk Drill, PhotoRec, R-Studio enzovoort kunnen geen blokken herstellen waarvan de SSD al te horen heeft gekregen dat ze mogen worden weggegooid.
Wat snapshots betreft: kijk niet alleen in de interface van de Time Machine-app. Je kunt Terminal openen en iets uitvoeren als tmutil listlocalsnapshots / voor het opstartvolume. Voor een ander aangekoppeld volume is het pad van belang. Als er snapshots bestaan, is herstellen vanaf zo’n snapshot veel beter dan bestanden uit ruwe data terughalen. Als er geen snapshots zijn, is er niets magisch waarop APFS kan terugvallen. Dat APFS modern is, betekent niet dat het van elk verwijderd bestand een veiligheidskopie bewaart.
Een kleine waarschuwing: laat een herstelprogramma de mapstructuur niet repareren en sla herstelde bestanden niet terug op dezelfde APFS-schijf op. Terugschrijven naar dezelfde schijf is hoe mensen juist de gegevens overschrijven die ze proberen te redden. Herstel naar een aparte schijf en test de bestanden daar. Bij documenten en foto’s is een voorbeeldweergave een redelijk goed teken. Bij bibliotheken, virtuele machines, videoprojecten, databases en app-pakketten is het openen van het bestand op het hoogste niveau niet genoeg, omdat een deel van het pakket nog steeds kan ontbreken.
Dus nee, het is niet automatisch te laat. Maar als dit een interne Mac-SSD was met TRIM en normaal gebruik na het verwijderen, beschouw softwareherstel dan als een poging met een lage kans van slagen, niet als een plan. Als het een externe harde schijf was, of een externe SSD waarbij TRIM niet werd doorgegeven, heb je mogelijk nog steeds een redelijke kans als je er nu niet meer aankomt.