Emails recovery aus Image

[Konfuzl (Gast)]

Hallo

Ich hab ein Samsung Windows 10 Tablet. Darauf war auch Outlook 2016 
installiert. In Outlook war ein Folder festgelegt in dem sich einige 
Emails befanden (im pst selbst, nicht etwa auf imap)

unmittelbar nach einer Windows Neuinstallation habe ich realisiert, dass 
ich vergessen hatte die EMails zu sichern. Als erstes habe ich nun ein 
Image der SSD angefertigt. Ich weiß dass es sehr unwahrscheinlich ist, 
dass ich das pst oder die darin enthaltenen emails wiederherstellen 
kann, aber ein veruch ist es mir wert.
Mit welchen Programmen würdet ihr hier rangehen?

[Peter II (Gast)]

Konfuzl schrieb:
> Mit welchen Programmen würdet ihr hier rangehen?

Image im Windows einhängen (Datenträger Verwaltung) und dann die pst mit 
Outlook importieren.

Sollte alles kein Problem sein.

[Daniel A. (daniel-a)]

Ist das Image ein raw image, oder etwas anderes? So wie ich das sehe 
wurden die Verzeichnisstrukturen wohl schon überschrieben, man müsste 
also im Image nach Daten suchen, die nach einem gültigen pst headern 
aussehen, und dann hoffen, dass die Datei nicht fragmentiert oder 
überschrieben wurde. Dazu bräuchte man ein Programm, welches speziell 
dafür entwickelt wurde. Ein derartiges Programm zu schreiben sollte 
nicht allzu schwer sein, man müsste nur nach der magic number suchen, 
die checksumme des headers prüfen, und die nachfolgenden Daten kopieren. 
Das Hauptproblem dürfte sein, das die Datei eventuell nicht 
zusammenhängend gespeichert wurde. Sind die Daten darin sehr wichtig?

[Konfuzl (Gast)]

es ist nichts überlebenswichtiges enthalten, eben einige persönliche 
EMails...


sind im pst die emails gepact bzw verschlüsselt? ich hab das image mal 
nach einem textstück einer email durchsucht, wurde aber nicht fündig

[Daniel A. (daniel-a)]

Ich habe selbst keine PST Files und weiss nicht besonders viel über das 
Format. Ich habe aber mal eben ein kleines Programm geschrieben, welches 
die Offsets von möglichen PST Files in Images ausgibt, anhand der 
Beschreibung des PST Headers gemäss MS: 
https://msdn.microsoft.com/en-us/library/ff387474%28v=office.12%29.aspx
Das Programm ist im Anhang, man kann es im cmd wiefolgt verwenden:

pstsearch-win64.exe pfad_zum_image.img > offset_liste.txt

Danach hat man eine Liste mit allen Offsets, an welchen ein PST Header 
im image gefunden wurde, in der Datei offset_liste.txt. Fall das 
Programm keinen Fehler meldet, und die Liste am Schluss leer ist, ist 
von dem PST File nichts mehr übrig.