W trybie logicznym mamy przeważnie do czynienia z brakiem dostępu do danych lub uszkodzeniem struktury danych przy sprawnym technicznie nośniku. Aby nie naruszyć zawartości urządzenia podłączane jest ono poprzez kontroler z blokadą zapisu (można również wykonać kopię sektorową nośnika ale przy np. dyskach o pojemności 500 GB i większych wiąże się to z dodatkowym czasem i zablokowaniem bardzo dużej przestrzeni na dysku lustrzanym).
Następnie na tak zabezpieczonym medium wykonuje się procedury skanowania lub analizy logicznej powierzchni tego nośnika. Na podstawie powyższych kroków określa się zakres danych możliwych do odzyskania, generuje logi i listingi tych danych, przedstawia się je klientowi do weryfikacji i wyboru priorytetowych zasobów.
Po odwrotnym otrzymaniu wskazówek dotyczących szukanych danych, zasoby te są przez nas identyfikowane na nośniku a następnie sprawdzana jest ich spójność. Im większa jest ilość danych do sprawdzenia tym wyższe są koszy ich odzyskania. W tej procedurze określenie spójności danych jest najbardziej czasochłonne, to ono wpływa w głównej mierze na koszt całej operacji.