Een verwijderd bestand uit Windows 11 is niet altijd meteen weg: het kan nog bestaan in de Prullenbak, een back-up, Bestandsgeschiedenis of een eerdere mapversie. Soms blijft alleen een miniatuur, bestandsnaam of pad achter. De veiligste volgorde is daarom simpel: controleer eerst bestaande kopieën, gebruik daarna pas herstelsoftware — en schrijf nooit nieuwe gegevens naar de getroffen schijf.
Verwijderen heeft in Windows 11 meerdere betekenissen
Windows verwijdert niet overal hetzelfde. Een eerdere snapshot kan een bruikbare kopie van het bestand bevatten, terwijl een miniatuurcache alleen een kleine preview bewaart. Jump Lists en Recente items kunnen op hun beurt alleen vertellen welk bestand ergens stond. Dat verschil bepaalt of je een bestand werkelijk terugkrijgt of slechts een digitaal spoor vindt.
Een onderzoek op één Windows 11-pc beschreef zowel herstel van een verwijderd bestand via Vorige versies als herkenbare miniaturen van oudere verwijderde foto’s, schermafbeeldingen en documentpagina’s. In dezelfde omgeving bleven ook bestandsnamen en paden zichtbaar. Dat zijn concrete voorbeelden van verschillende opslaglagen, geen vaste bewaartermijn voor iedere Windows-pc.
| Opslaglaag | Wat kan behouden blijven | Wat betekent dat niet automatisch? | Praktisch nut |
| Prullenbak | Het oorspronkelijke bestand | Dat het bestand na het legen nog beschikbaar blijft | Eerste controle na een gewone verwijdering |
| Back-up, Bestandsgeschiedenis of Vorige versies | Een eerdere bestand- of mapversie | Dat er voor elke map een bruikbare versie bestaat | Meest directe route naar een volledige kopie |
| Schaduwkopie | Een eerdere staat van bestanden of mappen | Dat Windows voortdurend snapshots maakt | Controleren wanneer Vorige versies beschikbaar is |
| Miniatuurcache (thumbcache_*.db) | Een gegenereerde preview van een foto, screenshot of documentpagina | Dat het originele bestand nog bestaat | Mogelijk privacyspoor of visuele referentie |
| Jump Lists en Recente items | Een bestandsnaam en pad | Dat de bestandsinhoud nog aanwezig is | Achterhalen wat er stond en waar |
| Vrije opslagruimte | Fragmenten van verwijderde gegevens | Dat die gegevens niet al zijn overschreven | Scannen met herstelsoftware, met onzekere uitkomst |
Wat je eerst controleert
Als je een bestand nodig hebt, begin dan niet met een diepe scan. Controleer in deze volgorde de Prullenbak, bekende back-ups, Bestandsgeschiedenis, Vorige versies en de afzonderlijke prullenbak van OneDrive. Een bestaande kopie herstellen is iets heel anders dan brokstukken uit vrije schijfruimte reconstrueren.
Gebruik de getroffen schijf ondertussen zo weinig mogelijk. Microsoft waarschuwt dat nieuw gebruik vrije ruimte kan overschrijven waarin verwijderde gegevens nog staan. Installeer herstelsoftware dus bij voorkeur niet op diezelfde schijf en bewaar herstelde bestanden nooit op de bron waarop je zoekt.
Windows File Recovery: bereik en werkwijze
Windows File Recovery is Microsofts opdrachtregelprogramma voor herstel vanaf lokale interne schijven, externe schijven en USB-apparaten. Het ondersteunt geen cloudopslag en geen netwerkschijven. De bron en bestemming moeten verschillende schijven of fysieke partities zijn; voor herstel vanaf de systeemschijf raadt Microsoft een andere schijf aan.
De basisopbouw van een opdracht is:
winfr bronstation: doelstation: [/mode] [/switches]
Microsoft koppelt de modi aan verschillende situaties:
- Regular is bedoeld voor recent verwijderde bestanden op gezonde NTFS-schijven.
- Extensive is bedoeld voor oudere verwijderingen, geformatteerde of beschadigde schijven en FAT- of exFAT-media.
Een voorbeeld voor een documentenmap is:
winfr C: E: /regular /n \\Users\\<gebruikersnaam>\\Documents\\
Je kunt ook op bestandstype filteren:
winfr C: E: /regular /n *.pdf /n *.docx
Windows maakt op de bestemmingsschijf automatisch een map met de naam Recovery_<datum en tijd>. Een scanresultaat is daarbij geen garantie op een bruikbaar bestand: de naam kan nog in de bestandssysteemmetadata staan terwijl de bijbehorende inhoud al is overschreven of verwijderd.
De technische spelbreker: TRIM op een SSD
TRIM is een opdracht waarmee een SSD kan weten welke datablokken niet langer in gebruik zijn. In een technische vergelijking van een SSD en een USB-schijf bleven bestandsnamen op de SSD zichtbaar in herstelsoftware, terwijl de clusters met de verwijderde inhoud op nul waren gezet. De naam was er nog; het bestand zelf niet meer.
Daarom kan een programma een bestand tonen dat het niet kan herstellen. Het leest dan mogelijk nog metadata — bijvoorbeeld een naam of pad — maar niet de oorspronkelijke gegevens. Op een SSD is verder gebruik na de verwijdering dus extra riskant. Bij oudere of lang gebruikte SSD’s is herstel van het originele bestand vaak zeer onwaarschijnlijk, terwijl back-ups of toepassingsrestanten nog een afzonderlijke route kunnen bieden.
Wat blijft er over voor je privacy?
Herstel gaat niet alleen over verloren documenten. Een miniatuur kan nog een herkenbare afbeelding tonen, ook als de originele foto verdwenen is. Een Jump List kan onthullen dat een document ooit bestond en waar het stond. In één Windows 11-onderzoek leverde het opruimen van Windows- en toepassingsrestanten ongeveer 20 GB aan vrijgemaakte opslagruimte op.
Wie een pc wegdoet of doorgeeft, moet daarom niet alleen naar de Prullenbak kijken. Ook eerdere versies, miniatuurcaches en toepassingsspecifieke restanten kunnen informatie bevatten. De precieze uitkomst hangt af van de gebruikte opslag, het tijdsverloop, nieuwe schrijfacties, back-ups en — bij SSD’s — de verwerking van TRIM.
