Die Master File Table (MFT) ist die zentrale Verzeichnistabelle des NTFS-Dateisystems. In ihr hält NTFS zu jeder Datei und jedem Verzeichnis strukturierte Metadaten wie Name, Zeitstempel, Zugriffsrechte und Verweise auf die gespeicherten Datenblöcke. Jede Datei besitzt genau einen MFT-Eintrag, über den das System sie identifiziert und verwaltet. Für Datenanalyse und Datenwiederherstellung ist die MFT eine wesentliche Informationsquelle, weil sich aus ihr gelöschte oder beschädigte Einträge oft rekonstruktiv auslesen lassen.
Definition
Die Master File Table (MFT) ist eine tabellarische Datenstruktur in NTFS, über die alle Dateien und Ordner eines Volumes verwaltet werden. Sie speichert pro Objekt einen eigenen Eintrag mit Attributen und Verweisen auf die belegten Speicherbereiche. Als Herzstück des Dateisystems bildet sie die Basis für Auflistung, Suche, Zugriffsprüfung und Zuordnung von Dateiinhalten zu ihren physischen Speicherorten.
Aufbau und Funktion
Die MFT besteht aus vielen einzelnen MFT-Einträgen. Jeder Eintrag enthält eine Folge von Attributen, etwa:
- $STANDARD_INFORMATION mit Basis-Metadaten wie Zeitstempeln und Rechten
- $FILE_NAME mit Namen und Verzeichnisreferenzen
- $DATA mit den eigentlichen Dateiinhalten oder Verweisen darauf
Je nach Größe liegen Attribute resident im MFT-Eintrag oder nicht-resident in separaten Datenbereichen. Nicht-residente Daten werden über sogenannte Runlists referenziert, die die belegten Clusterbereiche beschreiben. Löschen markiert den betreffenden MFT-Eintrag als frei und gibt die zugehörigen Speicherbereiche in der Belegungsverwaltung frei, überschreibt die Inhalte aber zunächst nicht. Solange diese Cluster nicht neu beschrieben wurden, können Informationen aus MFT-Eintrag und Datenbereichen oft nachvollzogen werden.
Mit der MFT verknüpft NTFS interne Systemdateien, die den Betrieb absichern, zum Beispiel:
- $MFT und $MFTMirr als Haupttabelle und verkürzte Spiegelkopie wichtiger Anfangseinträge
- $Bitmap zur Verwaltung freier und belegter Cluster
- $LogFile für journalingbasierte Dateisystemvorgänge
- $BadClus zur Kennzeichnung fehlerhafter Sektoren
Bedeutung für Datenrettung und Forensik
Für die Wiederherstellung greift man bevorzugt auf die MFT zu, weil sie gelöschte Einträge und Strukturinformationen häufig noch enthält. Aus inaktiven MFT-Einträgen lassen sich Dateiname, Größen, Zeitstempel und die Runlists rekonstruieren, um die zugehörigen Datencluster zusammenzutragen. Ist die MFT teilweise beschädigt, können zusätzlich Hinweise aus $LogFile oder aus noch vorhandenen Verzeichnisindizes helfen, die Baumstruktur zu vervollständigen. Fehlen MFT-Informationen ganz oder in weiten Teilen, bleibt oft nur eine inhaltsbasierte Suche nach Dateisignaturen, die ohne MFT-Kontext jedoch weniger präzise ist.
Grenzen und Risiken
- Teile der MFT können durch Stromausfälle, defekte Sektoren, Controllerfehler, fehlerhafte Treiber oder Malware korrupt werden. Dann sind Einträge unvollständig oder verweisen auf falsche Bereiche.
- Werkzeuge zur Dateisystemprüfung oder Reparatur können Einträge endgültig verändern oder verwerfen. Vor ungeprüften Reparaturläufen sind Sicherungskopien sinnvoll.
- Eine Schnellformatierung legt eine neue, leere MFT an und markiert die bisherigen Datenbereiche als frei. Je nach anschließender Nutzung werden frühere Inhalte sukzessive überschrieben.
- Auf SSDs kann TRIM dazu führen, dass als frei gemeldete Blöcke intern vorzeitig bereinigt werden. Dadurch sinken die Chancen, gelöschte Daten vollständig zu rekonstruieren.
Praxisbeispiel
Eine Textdatei wurde versehentlich gelöscht. In der MFT ist ihr Eintrag als frei markiert, enthält aber noch $FILE_NAME, Zeitstempel und eine Runlist des $DATA-Attributs. Anhand dieser Informationen lassen sich die zugehörigen Clusterbereiche identifizieren und auslesen. Sind die Cluster laut $Bitmap noch ungenutzt, kann die Datei mit hoher inhaltlicher Konsistenz rekonstruiert werden; wurden Bereiche bereits überschrieben, entstehen in der wiederhergestellten Datei Lücken oder beschädigte Abschnitte.
Master File Table (MFT) – einfach erklärt:
Die Master File Table ist das zentrale Verzeichnis des NTFS-Dateisystems. Sie speichert pro Datei oder Ordner einen Eintrag mit Metadaten und Verweisen auf die belegten Speicherblöcke. Dadurch kann NTFS Dateien schnell finden, verwalten und zuordnen. Für die Wiederherstellung gelöschter oder beschädigter Dateien liefert die MFT entscheidende Hinweise, solange die entsprechenden Einträge und Datenbereiche nicht überschrieben wurden.
Häufige Fragen und Antworten
Worin unterscheidet sich die MFT von Dateizuordnungstabellen anderer Dateisysteme?
Die MFT speichert dateibezogene Informationen als Attributsammlung pro Objekt, nicht nur einfache Blockzuordnungen. Dadurch lassen sich umfangreiche Metadaten, Indizes und Verweise auf fragmentierte Bereiche konsistent abbilden. Viele andere Dateisysteme trennen Metadaten, Inhaltszuordnung und Verzeichnisindizes stärker oder speichern weniger Detailinformationen direkt im Haupteintrag.
Kann man Daten wiederherstellen, wenn die MFT beschädigt ist?
Oft ist eine teilweise Rekonstruktion möglich, solange noch verwertbare Einträge, die MFT-Spiegelung oder ergänzende Strukturen wie Verzeichnisindizes vorhanden sind. Fehlen zentrale Bereiche vollständig, wird die Wiederherstellung ungenauer und stützt sich eher auf inhaltsbasierte Signatursuchen. Der Erfolg hängt vom Beschädigungsumfang und vom Überschreibungsgrad der Datencluster ab.
Was bedeutet residentes und nicht-residentes Attribut in der MFT?
Residente Attribute liegen vollständig innerhalb des MFT-Eintrags, was schnellen Zugriff ermöglicht. Übersteigt ein Attribut eine gewisse Größe, wird es nicht-resident gespeichert und der MFT-Eintrag enthält nur Verweise auf die zugehörigen Datenbereiche. Diese Unterscheidung beeinflusst, wie direkt sich Inhalte aus der MFT auslesen lassen.
Welche Rolle spielt $MFTMirr bei der Integrität des Dateisystems?
$MFTMirr enthält eine Spiegelung der ersten, besonders wichtigen MFT-Einträge. Bei Beschädigungen am Anfang der MFT kann das Dateisystem damit grundlegende Referenzen prüfen oder wiederherstellen. Die Spiegelung ist verkürzt und ersetzt keine vollständige MFT, verbessert aber die Robustheit gegen Teildefekte.
