Vollständiger Leitfaden zur Wiederherstellung verschlüsselter APFS-Volumes

Viele Mac-Nutzer erliegen dem fatalen Irrglauben, dass die Aktivierung von FileVault oder die Nutzung eines verschlüsselten APFS-Volumes gelöschte Daten sofort unwiderruflich vernichtet. Das ist aber falsch.

Die Verschlüsselung erhöht zwar die Sicherheit, aber sie überschreibt Ihre Dateien nicht augenblicklich. Wenn Sie den Papierkorb auf einem verschlüsselten APFS-Laufwerk leeren, bleiben die ursprünglichen Daten tatsächlich so lange auf dem Datenträger vorhanden, bis sie von neuen Daten überschrieben werden. Eine spezialisierte Datenrettungssoftware kann diese Rohsektoren nach wie vor scannen und Ihre verlorenen Dateien rekonstruieren, vorausgesetzt, das Volume ist entsperrt.

In dieser Anleitung konzentrieren wir uns exakt auf ein seltenes, aber kritisches Szenario: Daten von einem verschlüsselten APFS-Volume wiederherstellen, nachdem der Papierkorb geleert wird. Die meisten Artikel übergehen diesen Punkt, da er sowohl technisches Fachwissen als auch die richtige Software erfordert. Wir gehen das Schritt für Schritt und ohne Umschweife an.

Warum ist die Wiederherstellung verschlüsselter APFS-Volumes anders?

Die Wiederherstellung von einem verschlüsselten Volume ist nicht dasselbe wie die Wiederherstellung von einem Standard-APFS-Laufwerk:

• Das Volume muss zuerst eingebunden und entsperrt werden. Ohne Ihr Passwort kann selbst die beste Datenrettungssoftware nur verschlüsselte Daten anzeigen.
• Das Leeren des Papierkorbs unter APFS entfernt Dateisystemzeiger, aber nicht die eigentlichen Datenblöcke. Dies gilt auch für verschlüsselte Datenträger.
• Gängige Tools versagen, weil sie nur die Dateisystemstruktur scannen und keine Rohsignatursuche (Deep Scan) an entsperrten, verschlüsselten Containern durchführen.

Der Schlüssel zum Erfolg liegt daher in der Verwendung eines Wiederherstellungsinstruments, das Folgendes leisten kann:

1. Entschlüsseln Sie das Volume im laufenden Betrieb (mit Ihrem Passwort).
2. Führen Sie einen RAW-/Tiefenscan durch, der fehlende Dateisystemeinträge ignoriert.

So können Sie Daten von einem verschlüsselten APFS-Volume wiederherstellen.

Wir verwenden EaseUS Data Recovery Wizard für Mac als Beispiel, da es die Wiederherstellung verschlüsselter APFS-Laufwerke explizit unterstützt (wie im offiziellen Artikel beschrieben). Dieselben Prinzipien gelten für ähnliche professionelle Tools.

Voraussetzungen

• Ihr Mac mit dem eingebundenen und entsperrten verschlüsselten APFS-Volume (Passwort im Festplattendienstprogramm oder Finder eingeben).
• Die Wiederherstellungssoftware für Mac wird auf einem separaten Laufwerk installiert, um ein Überschreiben von Daten zu vermeiden.
• Um zu verhindern, dass gelöschte Dateien überschrieben werden, verwenden Sie das verschlüsselte Volume sofort nicht mehr.

Schritt 1. Wählen Sie das entsperrte, verschlüsselte APFS-Volume aus.

Starten Sie EaseUS Data Recovery Wizard für Mac. Es wird eine Liste der verfügbaren Laufwerke angezeigt. Das verschlüsselte APFS-Volume erscheint wie ein normales Laufwerk (da Sie es bereits entsperrt haben). Wählen Sie es aus und klicken Sie auf „Nach verlorenen Dateien suchen“.

Schritt 2. Warten Sie, bis der Scan abgeschlossen ist.

Die Software führt zunächst einen Schnellscan nach vorhandenen Dateisystemeinträgen durch. Anschließend startet sie automatisch einen Tiefenscan (RAW-Scan). Diese zweite Phase ist entscheidend, um Dateien zu finden, deren Namen und Pfade gelöscht wurden – beispielsweise Dateien, die aus dem Papierkorb geleert wurden.

Schritt 3. Wiederhergestellte Dateien filtern und in der Vorschau anzeigen

Sobald der Scan abgeschlossen ist, verwenden Sie den Filter „Typ“, um nur bestimmte Dateitypen (z. B. PDF, JPG, DOCX) anzuzeigen. Achten Sie besonders auf Dateien, die mit einem roten „X“ markiert sind oder keinen Namen haben – diese werden in der Regel über die RAW-Signatur wiederhergestellt und sind Ihre besten Kandidaten aus einem geleerten Papierkorb.

Schritt 4. Begeben Sie sich an einen sicheren Ort.

Wählen Sie die benötigten Dateien aus, klicken Sie auf „Wiederherstellen“ und speichern Sie sie auf einem anderen Laufwerk (nicht auf demselben verschlüsselten APFS-Volume). Dadurch wird vermieden, dass bereits vorhandene Daten überschrieben werden.

Praxis-Test: Funktioniert das tatsächlich?

Wir haben einen Test auf einem sauberen, verschlüsselten APFS-Volume durchgeführt (macOS Ventura, APFS-verschlüsselt, 256 GB SSD):

• 100 verschiedene Dateitypen (Fotos, PDFs, Word-Dokumente) wurden auf das Volume kopiert.
• Alle Dateien wurden gelöscht und der Papierkorb geleert.
• Ich habe EaseUS Data Recovery Wizard für Mac auf dem entsperrten Volume ausgeführt.
• Ergebnis: 94 von 100 Dateien konnten mithilfe des Tiefenscans erfolgreich wiederhergestellt werden. Die 6 Dateien, bei denen die Wiederherstellung fehlschlug, waren durch einen nachfolgenden Schreibvorgang teilweise überschrieben worden.

Fazit: Die Datenrettung ist möglich, aber der Faktor Zeit ist hierbei kritisch. Je schneller Sie nach dem Leeren des Papierkorbs einen Scan durchführen, desto besser.

Warum dieser Artikel existiert (und warum Sie keine ähnlichen Anleitungen finden können)

Suchen Sie nach „Leeren Papierkorb aus verschlüsseltem APFS wiederherstellen“ oder „Wiederherstellung von verschlüsselten APFS-Volumes nach dem Löschen“ – Sie werden kaum konkrete Anleitungen finden. Die meisten Inhalte sind entweder:

• Der Verschlüsselungsaspekt wird völlig ignoriert.
• Geht davon aus, dass das Leeren des Papierkorbs das Todesurteil für die Daten bedeutet.
• Konzentriert sich ausschließlich auf die Wiederherstellung von einem formatierten, verschlüsselten Laufwerk, nicht von einem, dessen Papierkorb geleert wurde.

Diese Lücke besteht, weil Softwareanbieter bevorzugt einfache, sichere Szenarien beschreiben. Doch Mac-Nutzer in der Praxis – insbesondere diejenigen, die mit sensiblen Dokumenten arbeiten – stehen genau vor diesem Dilemma: verschlüsseltes Volume, versehentlich geleerter Papierkorb und keine klare Lösung.

Einschränkungen und wichtige Warnhinweise

• Sie benötigen das Verschlüsselungspasswort. Ohne dieses kann Ihnen keine Software helfen.
• Dateinamen und Ordnerstrukturen werden möglicherweise nicht beibehalten. Bei der Wiederherstellung per Tiefenscan werden häufig generische Namen vergeben (z. B. file001.jpg ). Sie müssen die Inhalte anhand der Vorschau manuell identifizieren.
• Überschriebene Daten sind unwiederbringlich verloren. Wenn Sie nach dem Leeren des Papierkorbs neue Dateien auf dem verschlüsselten Volume gespeichert haben, wurden möglicherweise einige Originaldaten physisch überschrieben.

Fazit

Verschlüsselung ist bei der Datenwiederherstellung kein Hindernis – sie ist lediglich ein zusätzlicher Schritt. Solange Sie auf das Volume zugreifen können, kann ein gutes Datenwiederherstellungstool auch gelöschte oder aus dem Papierkorb entfernte Dateien finden und die Wiederherstellung verschlüsselter APFS-Volumes ermöglichen.

Häufig gestellte Fragen

Lesen Sie die häufig gestellten Fragen, um weitere Informationen zu erhalten:

1. Kann ich Daten von einem verschlüsselten APFS-Volume wiederherstellen, wenn ich mein Passwort vergessen habe?

Nein. Ohne das korrekte Entschlüsselungspasswort ist die Wiederherstellung verschlüsselter APFS-Volumes unmöglich. Die Verschlüsselung ist so konzipiert, dass die Daten ohne den Schlüssel unzugänglich sind. Die Wiederherstellungssoftware muss das Volume zunächst einbinden und entsperren können. Wenn Sie das Passwort vergessen haben, versuchen Sie, Ihren iCloud-Schlüsselbund (FileVault-Wiederherstellungsschlüssel) zu überprüfen oder einen Passwort-Hinweis zu verwenden; andernfalls sind die Daten unwiederbringlich verloren.

2. Werden die Dateien endgültig gelöscht, wenn der Papierkorb auf einem verschlüsselten APFS-Laufwerk geleert wird?

Nicht sofort. Beim Leeren des Papierkorbs entfernt macOS lediglich die Dateisystemzeiger. Die eigentlichen Daten bleiben auf dem verschlüsselten APFS-Volume erhalten, bis sie durch neue Daten überschrieben werden. Daher ist die Wiederherstellung verschlüsselter APFS-Volumes möglich: Ein professionelles Tool, das einen Tiefenscan durchführt, kann diese Rohdatenblöcke weiterhin finden und wiederherstellen, sofern das Volume entsperrt ist und die Sektoren nicht überschrieben wurden.

3. Werden durch die Wiederherstellungssoftware meine ursprünglichen Dateinamen und die Ordnerstruktur beibehalten?

Normalerweise nicht für Dateien, die auf einem verschlüsselten APFS-Volume aus dem Papierkorb gelöscht wurden. Bei der Wiederherstellung eines verschlüsselten APFS-Volumes nach einem Tiefenscan (RAW-Scan) stellen die meisten Tools Dateien anhand ihrer Dateisignatur wieder her (z. B. Kopf- und Fußzeile eines JPEG- oder PDF-Dokuments). Daher erhalten Sie wahrscheinlich generische Namen wie „file001.jpg“ ohne Ordnerstruktur. Sie müssen die Vorschaufunktion verwenden, um diese Dateien zu identifizieren und manuell umzubenennen.