Bei der Analyse des Datenträgers  werden die für das Dateisystem typischen Strukturen daraufhin untersucht, ob als gelöscht markierte Dateien vorhanden sind. Werden solche Informationen gefunden, wird geprüft, ob Bereiche des Datenträgers, die zu dieser gelöschten Datei gehörten, aktuell als unbelegt markiert sind. Je mehr dieser Bereiche unbelegt sind, umso besser wird der Zustand eingeschätzt.

Wurde nach dem Löschen der wieder herzustellenden Datei A eine Datei B in den ehemals zu A gehörenden Bereichen gespeichert und anschließend wieder gelöscht, sind die Bereiche die zu A gehörten, wieder als frei gekennzeichnet. Beim Versuch A wieder herzustellen, werden jedoch Inhalte der Datei B herangezogen. A ist also überschrieben worden.

Daher: Je schneller Sie im Falle eines Datenverlustes reagieren, desto geringer ist die Wahrscheinlichkeit, dass eine Konstellation wie oben beschrieben auftritt und Sie defacto Datenverlust erleiden.