Durch Verteilerregel gelöschte Daten

Hallo Experten,

wir haben hier im Haus ein pikantes Problem: Einer unserer Nutzer hat eine
Verteilerregel angelegt, die sämtliche Faxeingänge sofort löscht - anstatt diese
zu verteilen.

Gibt es

a) eine Möglichkeit, festzustellen, wer die Verteilerregel angelegt
hat?

b) eine Möglichkeit, die gelöschten Faxe wiederherzustellen?

Die Strongbox archiviert meines Wissens nach lediglich Daten, die die Benutzer auch erreichen.
Eine Suche über das Dateiwiederherstellungstool TuneUp Undelete brachte keine Erfolge.

Ich kann alle Faxe im Eingangsprotokoll erkennen, es sind also wirklich welche empfangen worden. Der dort angegebene Dateiname ließ mich einige der Faxe wiederfinden (ca. 10 von 59). Dabei fiel (natürlich) auf, dass die neuesten Faxdateien noch an ihrem Platz lagen, ältere nicht. Eine Ausnahme gab es: die älteste der Dateien konnte ich ebenfalls auffinden (ja, ich habe alle einzelnd überprüft...).

Wir betreiben David.Administrator 12.00a auf Windows Server 2008 R2.

Danke für die schnelle Antwort.

Das habe ich befürchtet. Mittlerweile hat sich herausgestellt, dass es tatsächlich der Chef war - um Spam entgegenwirken Pech gehabt - das hätten 59 Aufträge sein können.

Zitat von Osterwohldt IT Service

Hallo,
Den Ausführungen des Kollegen ist nur hinzuzufügen, dass es eine Ausnahme von der Ausnahme gibt:
Alle gelöschten Faxe die zwischen 3 Uhr morgens (Zeitpunkt der Bereinigung) und dem entfernen der fehlerhaften Regel verloren gegangen sind, können mit Arcutil wieder hergestellt werden. Das sollte jedoch am Besten jemand erledigen, der sich mit Arcutil auskennt.
Viele Grüße
Jens Osterwohldt

Ferner besteht evtl. die Möglichkeit, Softwareseitig die gelöschten Dateien
wieder herzustellen (sofern sie nicht auf einer SSD gespeichert waren) und
anschließend das von Jens angesprochene Verfahren anzuwenden.

Da gilt es dann abzuwägen, wie wichtig die Daten gewesen sein könnten und
ob sich die Investition rechnet.

http://www.krollontrack.de bietet da recht viel für kleines Geld und so ein
Tool gehört in jeden guten Haushalt.

Zitat von Arno

Ich bin der Meinung, dass die "Datenrettung", wie sie Knoll anbietet, in diesem Fall wahrscheinlich NICHT funktionieren wird.
Denn es wird kein auffindbares Zwischenspeichern stattfinden,
wenn ein "endgültiges Löschen" statt der Ablage im Papierkorb ausgewählt wurde.

Vielleicht liest dies jemand, der sich mit der erfolgten Programmierung etwas besser auskennt. Der könnte die Antwort verifizieren.

Arno, das sind Kunden und die heißen nicht "Knoll"

Ich weiß nicht, von welchem "Zwischenspeichern" du redest, aber ich habe eine etwas ältere Version dieser Sofware hier und kann bestätigen, dass es funktioniert. Die Datei mussen nur 1x physikalisch auf der Platte gespeichert worden sein. Und das wird sie auf jeden Fall, bevor irgendeine Regel greift. Problematisch ist es, sie anhand des Dateinamens zu identifizieren, aber das wäre in diesem Fall über den Zeitstempel möglich.

Wirklich wichtig ist eigentlich nur, dass die entsprechende Platte schnellstens offline genommen wird, damit die gelöschte/n Datei/en nicht ganz oder teilweise überschrieben werden. Anschließend mit ArcUtil drüber und alles ist gut
Zugegeben - das sollte nur jemand machen, der sich auskennt und weiß was er tut. Grundsätzlich ist das aber überhaupt kein Problem.

Edit: Da es sich hier in diesem Fall um nur einige wenige Dateien handelt, könnte man das ArcUtil auch weglassen und die Fax-Images in .tif umbenennen. Dann liegen sie zwar nicht mehr im Archive, sind aber auch nicht verloren und lassen sich einsehen und/oder ausdrucken.

Zitat von Arno

Für die Nutzung der Option "Endgültiges Löschen" bei einer Regel lautet die aktuelle Info seitens Tobit.Software, dass die Daten erst gar nicht geschrieben werden.
Nicht geschriebene Daten lassen sich von der Festplatte des David-Servers nicht wiederherstellen. Denn für die Festplatte hat es sie nie gegeben.

Gut, auf diese Art und Weise gelöschte Dateien habe ich nicht getestet, aber ich würde diese Info erstmal nicht glauben.

Warum nicht? Geinz einfach: Weil das bedeuten würde, dass die empfangenen Fax-Seiten in Form eines byte-arrays solange im Hauptspeicher verbleiben würden, bis die Regeln verarbeitet sind.

Bei 20+ Fax-Seiten können da durchaus einige MB zusammen kommen und ich glaube einfach nicht, dass man so dumm sein kann und den physikalischen Hauptspeicher eines Servers damit belastet. Bedenke: Bei größeren Installationen mit 8 oder mehr Ports kommt da schnell so einiges zusammen und könnte schlimmstenfalls den ganzen Server aufgrund der Speicherauslastung blockieren oder gar zum Absturz bringen! Normalerweise werden diese Dateien partiell in Form von FileStreams physikalisch gespeichert. Hier würde mich mal ein Test interessieren und ich bin durchaus bereit, diesen durchzuführen und zu dokumentieren. Wenn das tatsächlich der Fall sein sollte, muss ich den Entwicklern wiederholt jegliche Kenntnis der Programmierung absprechen.

Zitat von Osterwohldt IT Service

Das von Arno beschriebene Scenario mag auf Mails zutreffen (nicht getestet) jedoch nicht auf die in diesem Fall gelöschten Faxe. Wie erwähnt klappt deren Wiederherstellung mit Arcutil einwandfrei.

Soviel also zur "aktuellen Info" der ISO zertifizierten Tobit.Software.

Entweder die haben selber keine Ahnung von dem was sie da programmieren und
verkaufen, oder sie versorgen unseren lieben Arno absichtlich mit falschen Informationen.

An welche von beiden Varianten ich persönlich glaube, ist aufgrund meiner Postings wohl unschwer zu erraten

Zitat von Arno

Supporter sind auch nur Menschen. Nobody is perfect.
[Falls hier ein Herr Nobody auftaucht - sofort einstellen!]

Wolltest Du nicht an die längste Theke der Welt und ein Alt für mich trinken?

Zu Nobody: Ja, aber Du musst zugeben, dass das schon etwas mehr als nur
merkwürdig ist und einem zertifiziertem Unternehmen nicht passieren darf!

Zu Zeiten von Frank Weichert wäre das 100%ig nicht passiert, aber Frank ist
seit etwa Sommer/Herbst 2000 nicht mehr bei Tobit und weiß auch warum

Auch wenn er 99,9%ig nicht ankommt, aber lieben Gruß an Frank und Oli!

Zitat von Arno

Bei einem Arbeitsspeicher von 16 Gigabyte ist das vernachlässigbar, denn nur ein Zwanzigstel des Arbeitsspeichers würde pro 8-Stunden-Schicht mit der Telefax-Last belegt. Zudem wird der von Telefaxen und Regelwerk belegte Platz im Arbeitsspeicher nach Abarbeitung wieder freigegeben. Und im übrigen ist eine so hohe Zahl kontinuierlich gleichzeitig eintreffender Telefaxe in der Praxis extrem unwahrscheinlich.

Natürlich ist das unwahrscheinlich! Aber Du solltest auch mal daran denken, dass nicht alle kleinen "Büroserverchen" mit 16+ GB Speicher ausgestattet sind.
Wozu auch? Selbst heute ist das teilweise vollkommen überdimensioniert und vor weniger als 10 Jahren waren 1-2 GB noch durchaus üblich und abhängig von
den installierten Diensten und Programmen absolut ausreichend.

Nach Deinem Rechenbeispiel kann für den Empfang von Faxen folglich schon mal gut und gerne knapp 1GB an Hauptspeicher benötigt werden und würde somit
jede Maschine mit weniger als ca. 1,5 / 2GB Hauptspeicher zum Absturz bringen. Glaubst Du daran? Ich nicht!

Zitat von Osterwohldt IT Service

Unterm Strich haben wir so alle was gelernt: Ihr wisst nun, dass Faxe so wiederhergestellt werden können, und ich das es mit Mails wohl nicht klappt

Mit externen Mails wird das wohl ähnlich sein. Hat sie beispielsweise größere Anlage/n, werden diese 100%ig nicht im Hauptspeicher verbleiben, bis die Mail
übertragen und die Regeln verarbeitet sind. Andernfalls müsste die Mail ohne empfangen zu werden bereits auf dem Mailserver gelöscht werden und das ist nicht der Fall.