Was passiert, wenn man eine Partition löscht? Änderungen an MBR und GPT erklärt
Was passiert, wenn Sie eine Partition löschen? Die Partitionierungssoftware entfernt deren Definition aus dem aktiven Partitionslayout der Festplatte, sodass Windows nicht mehr als ursprüngliches Volume auf diesen Bereich zugreifen kann. Dadurch werden zwar nicht unbedingt alle Dateien überschrieben, aber der Speicherplatz wird für die Wiederverwendung freigegeben, was die verbleibenden Daten gefährden kann.
Die genauen Änderungen an den Metadaten unterscheiden sich zwischen MBR- und GPT-Festplatten. Bei GPT bleibt der Schutz-MBR in der Regel unverändert, auch wenn eine Partition verschwindet. In diesem Artikel werden diese Unterschiede für gewöhnliche Windows 10- und Windows 11-Basisdatenträger erläutert, einschließlich der Punkte, die in WinHex zu überprüfen sind. Dynamische Datenträger und Speicherplätze erfordern eine gesonderte Analyse.
Inhaltsübersicht
Was ändert sich, wenn eine Partition gelöscht wird?
Eine Partitionstabelle legt die Bereiche einer Festplatte fest. Ein Dateisystem organisiert die Dateien innerhalb eines dieser Bereiche. Das Löschen einer Partition wirkt sich in erster Linie auf die erste Ebene aus.
Ebene | Rolle | Auswirkung der Löschung einer gewöhnlichen Partition |
Partitionstabelle | Legt die Positionen und Typen der Partitionen fest | Die ausgewählte Partition wird aus dem erkannten Layout entfernt |
Metadaten des Dateisystems | Erfasst Verzeichnisse, Dateizuweisungen und weitere Informationen zum Datenträger | Kann in der ehemaligen Trennungsregion verbleiben, obwohl der normale Zugang nicht mehr gegeben ist |
Dateiinhalt | Speichert Dokumente, Bilder, Videos und andere Daten | Kann lesbar bleiben, bis die Daten überschrieben oder auf andere Weise unzugänglich gemacht werden |
Zugriff auf Windows-Volumes | Stellt das Laufwerk über einen Laufwerksbuchstaben oder einen Einhängepunkt bereit | Der ursprüngliche Band ist über den bisherigen Pfad nicht mehr verfügbar. |
Windows zeigt den früheren Partitionsbereich üblicherweise als Nicht zugewiesene. Ein logisches MBR-Laufwerk, das innerhalb einer erweiterten Partition gelöscht wurde, kann stattdessen Freier Platz innerhalb dieses Behälters.
Keine der beiden Bezeichnungen beweist, dass die zugrunde liegenden Sektoren Nullen enthalten.
Das Löschen einer Partition unterscheidet sich zudem von mehreren verwandten Vorgängen:
- Einen Laufwerksbuchstaben entfernen ändert einen Zugriffspfad, wobei die Partition unverändert bleibt.
- Formatierung Erstellt Dateisystemstrukturen innerhalb eines Volumes.
- DiskPart
sauberEntfernt die Partitionierungsinformationen für die gesamte Festplatte. - DiskPart
Alles löschenschreibt Nullen auf die Festplatte.
Diese Vorgänge sollten bei der Beurteilung, was noch einbringlich ist, nicht als austauschbar betrachtet werden.
Was ändert sich an der MBR-Partitionstabelle?
Auf einer herkömmlichen MBR-Festplatte belegen vier 16-Byte-Partitionsdatensätze Bytes 0x1BE–0x1FD von LBA 0.
Aufzeichnung | Absoluter Byte-Bereich ab Festplattenanfang |
Erster Partitionseintrag |
|
Zweiter Partitionseintrag |
|
Dritter Partitionseintrag |
|
Vierter Partitionseintrag |
|
MBR-Signatur |
|
Jeder Datensatz enthält einen Partitionstyp, die Start-LBA und die Sektorenanzahl. Der Anleitung zur MBR-Partitionstabelle erläutert den vollständigen Aufbau des Datensatzes.
Der gelöschte Eintrag wird ungenutzt.
Bei einer gängigen Implementierung wird der ausgewählte Partitionsdatensatz auf Nullen gesetzt. Beispielsweise setzt der Partitionierungscode von util-linux den Datensatz auf Nullen, wenn eine primäre MBR-Partition gelöscht wird.
Die genaue Anzahl der geschriebenen Bytes ist jedoch ein Implementierungsdetail. Gehen Sie nicht davon aus, dass jedes Windows-Dienstprogramm und jeder Partitionsmanager eines Drittanbieters ein identisches Sektorabbild erzeugt.
Ein gelöschter Eintrag in der Partitionstabelle stellt keine gültige Beschreibung der ehemaligen Partition mehr dar. Er wird in der Regel nicht als vollständiger Datensatz mit einem wiederherstellbaren “gelöscht”-Flag beibehalten.
Beispiel: Betrachten wir eine primäre MBR-Partition, die bei LBA 2.048 beginnt und 2.097.152 logische Sektoren umfasst.
Feld innerhalb des Datensatzes | Relativer Versatz | Vor dem Löschen | Nachdem eine Implementierung den gesamten Datensatz gelöscht hat |
Partitionstyp |
|
|
|
Start-LBA |
|
|
|
Anzahl der Sektoren |
|
|
|
Die Multibyte-Werte werden im Little-Endian-Format kodiert. Bei logischen Sektoren mit einer Größe von 512 Byte belegt diese Beispielpartition 1 GiB. Typ 0x07 Das allein beweist noch nicht, dass es sich bei dem Dateisystem um NTFS handelt.
Der gesamte MBR muss nicht verschwinden
Das Löschen einer primären Partition erfordert nicht zwangsläufig das Löschen des Bootstrap-Codes, der Festplattensignatur, anderer Partitionsdatensätze oder der abschließenden 55 AA Unterschrift.
Folglich ist es wichtig, 55 AA Dass die Partition nach dem Löschen nicht mehr vorhanden ist, beweist nicht, dass die ursprüngliche Partition noch existiert.
Logische Laufwerke erfordern eine zusätzliche Überprüfung. Ihr Layout hängt von den Extended Boot Records (EBRs) innerhalb einer erweiterten Partition ab. Durch das Löschen können diese Datensätze oder deren Verknüpfungen verändert werden, während der Datensatz der obersten Ebene der erweiterten Partition an LBA 0 erhalten bleibt.
Was ändert sich bei den Metadaten zum Löschen von GPT-Partitionen?
GPT speichert seine Partitionsdefinitionen in einem Array von Partitionseinträgen. Die übliche Eintragsgröße beträgt 128 Byte, die tatsächliche Größe wird jedoch im Header angegeben.
Die Struktur eines GPT-Partitionseintrags enthält die folgenden Felder:
Feld | Versatz innerhalb eines Eintrags | Bedeutung nach dem Löschen |
GUID des Partitionstyps |
| Eine GUID, die ausschließlich aus Nullen besteht, kennzeichnet einen ungenutzten Eintrag |
Eindeutige Partitions-GUID |
| Kann zusammen mit dem Rest des Eintrags gelöscht werden |
Start-LBA |
| Wird nicht mehr als aktive Partition definiert, wenn der Eintrag ungenutzt ist |
LBA-Ende |
| Gleiche Beschränkung wie der Start-LBA |
Attribute |
| Kann freigegeben werden |
Partitionsname |
| Kann freigegeben werden |
Die wichtige Unterscheidung besteht zwischen ein ungenutzter Eintrag und ein garantiertes Löschmuster, bei dem jedes Byte einzeln gelöscht wird.
UEFI definiert eine GUID vom Typ „Null-Partition“ als ungenutzt. Partitionierungssoftware kann den gesamten Eintrag löschen; util-linux liefert ein konkretes Beispiel für dieses Verhalten. Für einen bestimmten Windows-Vorgang ist weiterhin eine eigene Vorher-Nachher-Erfassung erforderlich, um genau festzustellen, welche Bytes verändert wurden.
Auch ein Slot, der ausschließlich aus Nullen besteht, kann allein noch nicht beweisen, dass eine Löschung stattgefunden hat. Der Slot wurde möglicherweise nie verwendet.
Die Löschung sollte in beiden GPT-Kopien berücksichtigt werden
GPT verwaltet die Metadaten der Primär- und Sicherungspartition. Bei einer korrekt durchgeführten Aktualisierung werden beide Kopien so angepasst, dass sie den aktuellen Aufbau widerspiegeln.
Das bedeutet, dass die GPT-Sicherung normalerweise keine Rückgängig-Kopie die die gelöschte Partition enthält. Wird sie nach einer normalen, erfolgreich abgeschlossenen Löschung wiederhergestellt, wird in der Regel dieselbe aktuelle Struktur wiederhergestellt.
Nach unterbrochenen Schreibvorgängen oder einer Beschädigung kann eine veraltete Sicherungskopie vorliegen; dies stellt jedoch eher eine Inkonsistenz dar, die untersucht werden muss, als eine zuverlässige Wiederherstellungsmethode.
Die Prüfsummen müssen neu berechnet werden
Um das Eintragsarray zu ändern, muss dessen PartitionEntryArrayCRC32. Da sich diese Prüfsumme im Header befindet, ist der Header HeaderCRC32 müssen ebenfalls neu berechnet werden.
Die Anleitung zum GPT-Header erläutert diese Zusammenhänge.
Zwei Bereiche lassen sich besonders leicht falsch interpretieren:
Anzahl der PartitionseinträgeDies ist die Anzahl der verfügbaren Eintragsplätze, nicht die Anzahl der derzeit belegten. Das Löschen einer Partition verringert diese Anzahl normalerweise nicht.DiskGUIDidentifiziert die Festplatte. Das Löschen einer Partition erfordert nicht zwangsläufig eine Änderung dieser Kennung.
Gültige GPT-Prüfsummen gewährleisten die Konsistenz der Metadaten. Sie garantieren jedoch nicht, dass die Dateien der früheren Partition intakt geblieben sind.
Ändert sich der Schutz-MBR, wenn eine GPT-Partition gelöscht wird?
In der Regel ändern sich die aussagekräftigen Partitionsinformationen nicht.
Die Struktur, die manchmal als “virtueller MBR” einer GPT-Festplatte bezeichnet wird, wird genauer als Schutz-MBR, auch PMBR genannt. Er belegt den LBA 0 und verhindert, dass ältere, ausschließlich auf den MBR ausgerichtete Dienstprogramme die Festplatte als leer behandeln.
Ein Standard-Schutz-MBR enthält einen 0xEE Datensatz. Dieser Datensatz schützt den GPT-Festplattenbereich; er beschreibt nicht jede GPT-Partition einzeln.
Feld für Schutzvermerke | Normale Bedeutung | Zu erwartende Auswirkung des Löschens einer GPT-Partition |
Partitionstyp |
| Überreste |
Start-LBA | LBA 1 | Überreste LBA 1 |
Anzahl der Sektoren | Anzahl der logischen Blöcke auf der Festplatte minus eins, begrenzt auf | Verringert sich nicht um die Größe der gelöschten Partition |
Die anderen drei MBR-Datensätze | Nicht verwendet | Unbenutzt bleiben |
Wenn der Schutzdatensatz den ersten MBR-Slot belegt, zeigt WinHex dessen Typbyte am absoluten Offset an 0x1C2.
Ein unveränderter Schutz-MBR bedeutet nicht, dass das Löschen der GPT-Partition fehlgeschlagen ist. Die eigentlichen Partitionsdefinitionen befinden sich in den GPT-Arrays.
Software kann LBA 0 beim Speichern der Änderungen umschreiben oder normalisieren, sodass ein identischer Vergleich des gesamten Sektors keine allgemeingültige Voraussetzung ist. Hybride MBR-Layouts erfordern zudem eine gesonderte Behandlung, da sie zusätzliche Legacy-Partitionszuordnungen enthalten.
Was passiert mit dem Dateisystem und den Dateien?
Das Entfernen einer Partitionsdefinition erfordert nicht zwangsläufig das Überschreiben des Bootsektors, der NTFS-Master-Dateitabelle, der FAT-Strukturen oder jedes einzelnen Dateidatensektors des ehemaligen Volumes.
Diese Trennung erklärt, warum ein Scanner manchmal ein fehlendes Volume finden kann, selbst wenn dessen Eintrag in der Partitionstabelle bereits gelöscht wurde.
Allerdings reicht die Feststellung “Die Partitionstabelle hat sich geändert” nicht aus, um darauf zu schließen, dass alle Dateidaten erhalten geblieben sind:
- Zusätzliche Formatierungsvorgänge oder das Löschen von Signaturen können die Metadaten des Dateisystems beschädigen.
- Neue Partitionen und nachfolgende Schreibvorgänge können die ursprünglichen Daten überschreiben.
- TRIM, UNMAP oder ähnliche Freigabevorgänge können dazu führen, dass Speicherbereiche bei normalen Lesevorgängen nicht mehr verfügbar sind.
- Bestehende Beschädigungen können die Wiederherstellung eines intakten Dateisystems verhindern.
Gehen Sie bei SSDs und Thin-Provisioned-Speicher nicht davon aus, dass das Vermeiden neuer Dateikopien eine Wiederherstellung garantiert. Das Verhalten bei der Freigabe von Speicherplatz hängt von der jeweiligen Operation, dem Betriebssystem, dem Speicherstack und dem Gerät ab.
Auch die Rolle der Partition spielt eine Rolle. Durch das Löschen einer Datenpartition wird der normale Zugriff auf deren Dateien unterbunden. Das Löschen einer EFI-Systempartition kann den Systemstart verhindern, auch wenn die Windows-Partition weiterhin vorhanden ist.
So überprüfen Sie die Änderungen in WinHex
Erstellen Sie bei einer betroffenen Festplatte, die wichtige Dateien enthält, vor der Untersuchung ein Festplatten-Image. Verwenden Sie für ein Experiment zur absichtlichen Löschung eine Einweg-Testfestplatte oder eine virtuelle Festplatte.
Für einen zuverlässigen Vergleich sind Aufnahmen erforderlich vor und nach demselben Eingriff. Ein Bild, das nur den Endzustand zeigt, kann nicht genau verdeutlichen, was sich verändert hat.
Ermitteln Sie die Festplatte und deren logische Sektorgröße
In einem PowerShell-Fenster mit Administratorrechten rufen diese Befehle das aktuelle Layout ab:
Get-Disk |- Select-Object Number, FriendlyName, SerialNumber, PartitionStyle,
- Größe, LogischeSektorgröße, PhysikalischeSektorgröße
Nachdem Sie die richtige Festplatte identifiziert haben, überprüfen Sie deren erkannte Partitionen:
Get-Partition -DiskNumber 3 |- Select-Object PartitionNumber, DriveLetter, Offset, Size, Type
3 is an example disk number. Confirm the actual device by its model, capacity, and identifier before substituting it.
These queries report the recognized layout; they do not recover a deleted entry.
Open the correct address space in read-only mode
Open the complete disk image in WinHex, or select the physical disk when direct examination is appropriate. Confirm Read-only/View mode in the information pane.
Opening a mounted volume starts from that volume’s address space. It does not present the whole disk’s LBA 0.
Use the device’s logical sector size when converting logical block addresses to byte offsets:
- Disk byte offset = LBA × logical sector size
Compare the relevant structures
For MBR, compare LBA 0, particularly the four partition records. Include the EBR chain when investigating a logical drive.
For GPT:
- Read the primary header at LBA 1.
- Obtain
PartitionEntryLBA,Größe des Partitions-Eintrags, undAnzahl der Partitionseinträge. - Compare the relevant entries in both arrays.
- Check the array and header checksums.
- Compare the protective MBR separately.
For a zero-based entry index i, its disk byte offset is:
- PartitionEntryLBA × logical sector size
- + i × SizeOfPartitionEntry
Beispiel: With 512-byte logical sectors, an array beginning at LBA 2, and 128-byte entries, entry index 0 begins at 0x400. These are example conditions, not universal offsets.
Finally, compare the former volume’s starting sector using its recorded pre-deletion location. A surviving boot sector is useful evidence, but it does not prove that every directory or file remains readable.
What Recovering a Deleted Partition Structure Requires
Recovering deleted partition structure means reconstructing a valid partition definition from surviving evidence. It differs from copying recoverable files to another disk.
A candidate structure needs more support than a familiar signature. Check:
- Whether the proposed start and length fit inside the disk.
- Whether the file system’s internal geometry agrees with those boundaries.
- Whether it overlaps any partition that must remain.
- Whether directories and representative files can be read.
- Whether the proposed layout preserves other required partitions.
TestDisk can search for lost partitions and write selected definitions. Its search results still require review; finding a candidate does not make writing it automatically correct.
If the immediate goal is retrieving documents or photos, recovering files to another physical disk can avoid committing a reconstructed layout first. The lost partition recovery guide explains how to choose an appropriate next step.
After reconstruction, verify the recognized boundaries, readable folders, and actual files. For a system disk, startup verification is a separate requirement. A successful partition-table write alone does not confirm a complete recovery.
FAQs
Wird durch das Löschen der letzten Partition GPT in MBR umgewandelt?
Kann das GPT-Backup eine absichtlich gelöschte Partition wiederherstellen?
Bedeutet „nicht zugewiesen“, dass jeder Sektor leer ist?
Kann CHKDSK einen gelöschten Partitionseintrag wiederherstellen?
Werden die Dateien beim Löschen einer Partition in den Papierkorb verschoben?
Wird durch das Erstellen einer Partition mit derselben Größe alles wiederhergestellt?
Reicht es aus, vor dem Verkauf einer Festplatte eine Partition zu löschen?
