Datenrettung: Professionelle Hilfe statt Datenverlust

Datenverlust ist das Damoklesschwert des digitalen Zeitalters. Die Menge an digital gespeicherten Daten nimmt Jahr für Jahr zu - und damit auch die Gefahr, diese Daten zu verlieren.

Denn beim Thema Datensicherung denken sich viele "Backup ist etwas für Feiglinge" und verfahren nach dem Motto "wird schon nichts passieren". Segnet die Festplatte aber dann doch das Zeitliche oder die Daten auf dem USB-Stick sind nicht mehr lesbar, ist das Gejammer groß.

In Verzweiflungstaten versuchen Betroffene dann mit allen möglichen Mitteln und Wege ihre Daten noch zu retten. Sie schrauben die Festplatte auf oder bügeln verknitterte Magnetbänder wieder glatt. Der Schaden verschlimmert sich dabei meist bis zum endgültigen Exitus der Daten. Aber selbst wenn ein Backup existiert, wann haben Sie zuletzt überprüft, ob sich darauf wirklich lesbare Informationen befinden? Böse Überraschungen gibt es hier immer wieder. Zunehmend landen auch Solid State Disks bei den Datenrettern, oder Hilfe bei Datenverlust in virtuellen Umgebungen wird angefragt.

Datenrettungslabors haben sich genau auf diese Fälle spezialisiert. Egal ob Headcrash in einer Festplatte oder ein mit Kaffee überschüttetes Magnetband, solange die physikalischen Informationen auf dem Medium vorhanden sind, lassen sich die Daten meist retten. Aber Vorsicht: Die Grenzen der Datenrettung sind klar gezogen!

Ausfallursachen

Die Gründe für verloren gegangene Daten bei Festplatten, Wechselmedien oder Bänder können vielfältig sein. Statistiken der Datenrettungslabore legen hier einen interessanten Sachverhalt zu Tage:

Viren sind nur für zwei Prozent aller Datenverluste die Ursache. Klassische Anwenderfehler wie versehentliches Löschen von Dateien oder Formatieren gehen bereits mit 26 Prozent in die Statistiken ein. Oft werden auch Speicherkarten aus der Kamera oder USB-Sticks aus dem Rechner entfernt, obwohl die Schreibvorgänge noch nicht beendet sind – klassische Anwenderfehler mit Datenverlust als Folge.

Die Kategorie Programmfehler mit 9 Prozent hat wohl schon jeder Windows-Anwender erlebt: die berühmten "Bluescreens" oder Programmabstürze bei geöffneten Dateien. Dabei werden oft Datei- und Verzeichnisstrukturen beschädigt. Ein defektes Dateisystem lässt sich zwar mit bestimmten Tools reparieren, doch bei ungenügenden Fachkenntnissen wird oft noch mehr zerstört als gerettet.

Den Löwenanteil für Datenverlust mit 59 Prozent verschlingen Hardwareschäden. Defekte in der Elektronik, gerissene Bänder sowie Headcrash bei Festplatten sind nur einige Beispiele. Zu den Hardwareschäden zählen aber auch Folgeschäden durch unsachgemäße Handhabung. Nicht selten bekommen die Labore mit Kaffee getränkte Medien oder durch starke Sonneneinstrahlung verformte Medien.

Hardwaredefekte können aber noch zusätzlich logische Schäden hervorrufen. Eine fehlerhafte Controller-Elektronik einer Festplatte kann Daten falsch auf die Magnetscheiben schreiben.

Defekte bei Festplatten

Mit einem Anteil von zirka 80 Prozent aller Datenrettungsfälle zählen Festplatten nach wie vor zu den häufigsten Patienten in den Labors. Daran ändern auch die bei den Laboren ein starkes Wachstum verzeichnenden Solid State Disks noch nichts. Die Defekte bei den Festplatten gliedern sich in elektronische und mechanische Schäden auf.

Die Speicherkapazität von modernen Festplatten ist in den letzten Jahren um das 500-fache gestiegen. Der Grund liegt vor allem bei der hohen Datendichte und der geringeren Platter-Anzahl. Aktuelle Festplatten mit 500 GByte großen Magnetscheiben bergen meist nur ein bis zwei Platter. Damit reduziert sich zwar die Anzahl der Magnetkopfarme und somit der beweglichen Teile, die immer größere Datendichte macht jedoch moderne Datenträger anfällig für Fehlfunktionen. Die heutige Speicher-Hardware erfordert eine wesentlich höhere mechanische Genauigkeit, um auf gleichem Raum ein Vielfaches an Daten unterzubringen. Somit steigt auch die Wahrscheinlichkeit, dass trotz aufwändiger Qualitätsmaßnahmen ein Hardwarefehler auftritt. Aufgrund der hohen Informationsdichte auf engsten Raum sind die Auswirkungen eines Datenverlusts heute oft gravierender als früher.

Eine defekte Laufwerkselektronik kann verschiedene Ursachen haben. Am häufigsten entstehen Schäden durch zu hohe Versorgungsspannungen. Diese können durch Blitzeinschläge oder defekte Netzteile entstehen. Minderwertige Netzteile, die Spannungsspitzen ungefiltert an die Laufwerke weitergeben, können ebenso Schäden an den Komponenten der Controllerplatine hervorrufen. Hinzu kommen noch Defekte durch elektrostatische Entladungen, die aber meist durch unsachgemäße Handhabung der Festplatte entstehen.

Mechanikschäden bei Festplatten

Zu den mechanischen Schäden zählen defekte Kugellager. Dadurch kann es passieren, dass der Spindelmotor die Scheiben nicht hochdrehen kann. Folge: Durch die hohe Stromaufnahme des Motors können Treiber-ICs auf der Platine überlastet werden und zusätzliche Defekte hervorrufen. Drehen die Scheiben beim Einschalten nicht hoch, so kann auch ein defekter Motor oder Fehler in der Ansteuerungslogik die Ursache sein. Motordefekte entstehen auch durch ausgefallene Wicklungen. Der Motor dreht dann ungleichmäßig und verursacht ein leises Pfeifen oder starkes Quietschen.

Lagerschäden können durch Überhitzung und Schockeinwirkung entstehen. Bei Notebook-Festplatten zählt vor allem Letzteres zu einem häufigen Defektgrund, da sie durch die mobile Arbeitssituationen einem höheren Schadensrisiko ausgesetzt sind: Fällt ein Notebook auf den Boden, so trifft es oft mit der Rückseite auf. Die Lager der Festplatte erhalten einen horizontalen Schock, laufen dann nicht mehr gleichmäßig und führen zu Vibrationen. Da helfen auch die in mobilen Festplatten integrierten Schutzmechanismen meist nichts. Erschwerend kommt hinzu, dass sich die nur eingeklemmten Magnetscheiben (nicht verschraubt) dabei verschieben können und nicht mehr zentriert drehen. Für die Magnetköpfe sind die Plattern damit nicht mehr lesbar.

Der häufigste Hardwareschaden bei Festplatten ist aber der Headcrash. Ausführliche Informationen hierzu finden Sie auf der nächsten Seite. Auch defekte oder sich lösende Schreib-/Leseköpfe zählen zu dieser Kategorie.

Headcrash bei Festplatten

Der Headcrash zählt mit etwa 20 Prozent zu den häufigsten Defekten bei Festplatten. Als Headcrash bezeichnet man das Aufschlagen des Schreib-/Lesekopfes auf die Oberfläche der Magnetscheibe. Dabei wird der Schutzfilm durchschlagen und die Magnetschicht, die zur Datenspeicherung dient, beschädigt.

Das Aufschlagen auf die Scheibenoberfläche ist meist die Folge von Schockeinwirkungen. Klassische Beispiele sind Fußtritte gegen den PC oder eine unsanfte Behandlung des Notebooks. Durch diese Schockstöße können die Plattern und Magnetarme zu Schwingen beginnen und der Schreib-/Lesekopf schlägt auf die Scheibenoberfläche auf.

Bei Festplatten mit 10.000 U/min fliegt der Schreib-/Lesekopf mit bis zu 143 km/h über die Scheibenoberfläche. Wenn der Kopf bei dieser Geschwindigkeit aufschlägt, ist schnell eine komplette Spur beschädigt.

Headcrash durch Überhitzung

Überhitzung durch unzureichende Kühlung ist eine häufige Ausfallursache von Festplatten. Auf der Oberfläche der Plattern befindet sich ein Schutzfilm, der die Magnetschicht vor leichten Berührungen des Magnetkopfes schützt. Diese sogenannten "touch downs" kommen bei Festplatten manchmal vor und verursachen keine Schäden. Die Schutzschicht sorgt außerdem für eine glattere Oberfläche und somit für eine konstante Flughöhe der Magnetköpfe.

Bei zu großer Hitze oder lange fehlender Kühlung wird der Schutzfilm aber harzig und es kann zu einem Headcrash kommen. Die Magnetköpfe können in diesen Fällen bei Berührung des Schutzfilms auf der Oberfläche kleben bleiben (Sticktion) und erhebliche irreparable Schäden verursachen.

Auch die Festplattenelektronik kann bei unzureichender Kühlung fehlerhaft arbeiten. ICs überschreiten ihre Arbeitstemperatur, Widerstände und Kondensatoren driften durch die erhöhte Temperatur ebenfalls aus dem Arbeitsbereich.

Kühlung verhindert Headcrash

Das Datenrettungsunternehmen Kroll Ontrack bekommt sehr oft defekte Enterprise-Festplatten aus Servern zugesendet. Nicht, weil die Platten per se unzuverlässig sind, im Gegenteil, der Ausfallgrund ist Überhitzung durch mangelnde Kühlung.

Festplatten sind komplexe elektromechanische Geräte, deren Zuverlässigkeit stark von der Umgebung abhängt. Neben relativer Luftfeuchtigkeit, Spannungsversorgung, Schock und Vibration ist vor allem zu hohe Temperatur ein potenzieller Datenkiller. Sowohl die Zuverlässigkeit der Elektronik als auch der Mechanik - Spindelmotor und Lager - hängt stark von der Umgebungstemperatur sowie einem adäquaten Luftstrom ab.

Die Festplattenhersteller geben stets einen zulässigen Temperaturbereich für den Betrieb der Laufwerke an. Meist liegt dieser im Bereich von 5 bis 55 Grad Celsius. Die Zuverlässigkeitsangaben wie MTBF oder AFR basieren dabei auf einer bestimmten Normtemperatur. Hier differieren die Hersteller: Hitachi gibt beim SATA-Laufwerk Deskstar 7K2000 40 Grad und Seagate beispielsweise bei der Barracuda 7200.12 SATA 25 Grad Celsius an.

Wie sich die Ausfallwahrscheinlichkeit einer Festplatte mit der Temperatur verändert, zeigt Hitachi in der Illustration Temperatureinfluss (siehe Bild). Jedes Grad Celsius über der Normtemperatur senkt die Zuverlässigkeit um 2 bis 3 Prozent. Nur 5 Grad mehr, und die Ausfallwahrscheinlichkeit steigt bereits um 10 bis 15 Prozent. Andererseits erhöht sich aber auch die Zuverlässigkeit, wenn die Betriebstemperatur der Festplatte unterhalb des Normwerts verweilt. Von Seagate gibt es ähnliche Untersuchungen: Läuft eine Festplatte bei 100 Prozent Duty Cycle statt bei "kühlen" 25 Grad Celsius mit 40 Grad, so verdoppelt sich bereits die Ausfallwahrscheinlichkeit. Bei einer Temperatur von 56 Grad Celsius vervierfacht sich laut Seagate der AFR-Wert sogar.

Bei zu hohen Betriebstemperaturen kann schnell eine thermische Überlastung des Magnetscheibenstapels und des Aktuators auftreten. Dies verursacht möglicherweise "Off-track"-Schreibvorgänge mit der Folge von korrupten Daten auf angrenzenden Zylindern. Die Lager des Spindelmotors und Aktuators verschleißen bei hohen Temperaturen schneller und können zu mechanischen Schäden führen. Auch die Schmiermittel dieser Komponenten verlieren schneller an Wirkung oder verflüchtigen sich.

Akustik bei Headcrash

Die untenstehenden Defekte rufen verschiedene Geräusche hervor. Wenn Sie diese hören, sollten Sie den PC sofort ausschalten:

Headcrash: Das Berühren der Scheibenoberfläche ähnelt einem Fräsgeräusch. Die unter dem Kopf liegende Magnetschicht hat sich schon in Staub aufgelöst (Sounddatei von Convar).

Headcrash mit Kopflösung: Nach dem Aufschlagen des Kopfes auf die Oberfläche fallen Kopfteile ab und verursachen durch Herumfliegen extreme Schäden (Sounddatei von Convar)

Defekter Kopf: Durch ein ständiges Nachpositionieren und neue Leseversuche entsteht ein klackerndes Geräusch. Dieses Verhalten kann während des Betriebs durch thermische Probleme auftreten (Sounddatei von Convar).

Defekter Kopf beim Einschalten: Nach Erreichen der Drehzahl versucht die Festplattenlogik die Magnetköpfe zu initialisieren (Sounddatei von Convar).

Kosten durch verlorene Daten

Etwa 258.000 kleine Unternehmen in Deutschland, England und Frankreich stehen vor dem finanziellen Ruin, wenn sie ihre Computerdaten verlieren. Dieses Ergebnis ergab eine Studie im Auftrag von Iomega. Viele Unternehmen unterschätzen somit die Gefahr eines Datenverlusts und treffen keine oder nur ungenügende Vorkehrungen zur regelmäßigen Sicherung durch Backups. Nur 34 Prozent der befragten Unternehmen in Deutschland sichern mindestens einmal pro Woche ihre wichtigsten Daten und sind sich deren Wert bewusst.

Der Tenor, warum kein regelmäßiges Backup gefahren wird, ist meist der gleiche: nicht ausreichend Zeit für eine Datensicherung oder die "wichtigsten" Daten hätte man noch auf Papierform. Auch scheuen sich viele vor den Kosten professioneller Backup-Systeme. Diese Aussagen sind vor allem von Klein- und Mittelständlern zu hören, die somit zu den Hauptkunden der Datenrettungslabore zählen.

Der finanziellen Verluste, die bei einem Datenverlust entstehen, sind sich viele Firmen nicht bewusst. Für jede Stunde, die ein PC durch verloren gegangene Daten still steht, fallen enorme Ausfallkosten an. Eine Studie von Kroll Ontrack belegt, wie viel im Durchschnitt 20 MByte an Daten wert sind. Die Kosten für Backup-Systeme sind dagegen verschwindend gering:

Noch größer sind die Verluste in der industriellen Produktion. Steht durch einen Datenverlust ein Rechner für mehrere Tage still und stoppt die Fertigung, steigen die Kosten schnell in sechs- oder siebenstellige Höhe.

Nach Aussagen von Kroll Ontrack kostet einem Anbieter von Kreditkarten eine Stunde Datenverlust sogar rund 1,5 Millionen Euro.

Richtiges Verhalten bei Defekt

Die Datenrettungslabore empfehlen bei Datenverlust stets einen "kühlen Kopf" zu bewahren. Maßgeblich verantwortlich für den Erfolg einer Datenrettung ist tatsächlich, dass der Geschädigte mit Verzweiflungstaten nicht bereits selbst versucht hat, seine Daten wieder herzustellen. Dabei wird der Schaden oft nur vergrößert.

Bei reinen Software-Defekten kann der Anwender mit Recovery-Tools zwar teilweise selbst Reparaturen durchführen, allerdings ist bei fehlenden Sachkenntnissen davon abzuraten. Handelt es sich aber um Hardware-Defekte - die Festplatte arbeitet nicht mehr oder macht ungewöhnliche Geräusche - heißt das oberste Gebot "sofort Ausschalten". Eine erneute Inbetriebnahme zieht hier in der Regel weitere Schäden nach sich. Die Datenretter raten auch davon ab, selbst Hand an die Festplatte zu legen. Immer wieder erhalten die Labors Laufwerke, die bereits geöffnet waren. Die Firma Kroll Ontrack berichtet gar von einem skurrilen Fall: Ein Betroffener hat seine defekte Festplatte mit einem Dosenöffner aufgeschnitten.

Bei offensichtlichen Hardware-Defekten von Festplatten sollte man auch auf den Einsatz sogenannter Diagnosetools verzichten. Viele Plattenhersteller bieten diese Programme für ihre Laufwerke an, um einen Funktionstest durchzuführen.

Auch Versuche, zerknitterte Bänder von Streamer-Medien wieder "Glattzubügeln", enden in einem noch größeren Desaster. Disketten oder Wechselmedien, die mit Flüssigkeiten in Berührung gekommen sind, sollten am besten luftdicht an ein Labor verschickt werden. Trocken- und Reinigungsversuche von magnetischen Schichten könnten die Oberfläche zerkratzen und die Magnetschicht beschädigen. Außerdem kann beim Trocknen schnell Korrosion entstehen.

Wichtige Informationen bei Notfall

Beauftragt man ein Datenrettungslabor, so helfen genaue Auskünfte über Art und Hergang des Datenverlusts. Folgende Informationen sollten Sie bereithalten:

• Wie ist das Problem entstanden und wie äußert sich der Fehler.

• Angaben zur logischen Struktur des Datenträgers: Partitionierung, Dateisystem, Volumen, Datenmengen in MByte.

• Beschreibung der wichtigen Dateien: Unterverzeichnisse, Dateinamen, Dateityp, Dateigrößen, Versionen.

• Wurden bereits selbst Versuche unternommen, die Daten zu retten. Wenn ja, welche.

Mit diesen Informationen kann man die Arbeit eines Datenrettungslabors erheblich erleichtern und beschleunigen. Ausfallkosten sowie der Preis für die Datenwiederherstellung verringern sich ebenfalls.

Rettbare Medien und Dateisysteme

Datenrettungslabore versprechen unabhängig von Medium und Betriebssystem die Wiederherstellung verloren geglaubter Daten.

Dabei machen Festplatten mit zirka 80 Prozent den Hauptanteil aus. Mit 6 bis 7 Prozent fallen Bandmedien von Streamern an. Die restlichen Prozente verteilen sich auf Wechseldatenträger sowie Solid State Disks, die eine starke Wachstumsrate bie den Datenrettern verzeichnen. Auch Speicherkarten von Digitalkameras oder USB-Sticks werden zunehmend in die Datenrettungslabore gesendet.

Das Repertoire der Labore an rettbaren Medien umfasst damit alle gängigen Speichertypen. Zu den aufwendigeren Fällen zählen komplexe RAID-Systeme. Hier handelt es sich oft um Datenmengen von hunderten GByte und mehr, die über eine ausgeklügelte RAID-Struktur über alle Festplatten verteilt sind. Zunehmend bieten die Labore auch Rettungsdienste bei Problemen in virtuellen Umgebungen an.

Die Komplexität einer Datenrettung hängt auch stark vom Dateisystem des Mediums ab. Am einfachsten lassen sich FAT-Systeme rekonstruieren. NTFS- oder Linux-Dateisysteme weisen eine wesentlich komplexere Struktur auf und erfordern aufwendigere Tools und Verfahren zur Rekonstruktion.

Nachfolgend finden Sie eine Aufzählung, bei welchen typischen Medien und Dateisystemen Datenrettungslabors Hilfe anbieten:

• Medien: Disketten, Festplatten, Solid State Disks, RAID-Systeme, Disk Arrays, Zip, Jaz, CDROM, CD-R, DVD, Bernoulli, SyQuest, MO, Phasechange, WORM, LTO, DLT, DAT, Ditto, Travan, Flash-Speicher, Memory Sticks

• Datei-/Betriebssysteme: FAT16/32, NFTS, HPFS, Netware, VMware-Infrastrukturen, Datenbanken, MacOS, Linux, UNIX, Solaris, CP/M, AIX, VMS, OS/400.

Grenzen der Datenrettung

"Natürlich geht das, wir machen das laufend" lautet die Devise eines renommierten Datenrettungsunternehmens. Nur: Die Grenzen der Datenrettung sind klar gesetzt.

Generell gilt: Ist die physikalische Information durch Beschädigung der Medienbeschichtung nicht mehr vorhanden, kann kein Datenrettungslabor der Welt helfen. Gleiches gilt auch, wenn ein Sektor überschrieben wurde. In der Praxis ist es dann nicht mehr möglich, solche Daten mit wirtschaftlich vertretbaren Mitteln wieder herzustellen.

Die theoretische Möglichkeit besteht aber dennoch: Durch minimale Positionierfehler des Schreib-/Lesekopfes werden magnetische Informationen eines Sektors nie zu 100 Prozent an die gleiche Position geschrieben. Beispiel: Eine magnetische Eins wurde mit einer Null überschrieben. Der Schreibvorgang der Null erfolgt durch die Toleranz der mechanischen Magnetkopfpositionierung minimal versetzt. Die Restmagnetisierung der Eins lässt sich über eine Spektralanalyse in kleinen Peaks erkennen. Rückschlüsse zu ziehen, ob es sich dabei um eine logische Null oder Eins gehandelt hat, steht aber auf einem anderen Blatt. Denn es ist sehr schwierig zu sagen, wie oft und mit welchem Wert diese Position schon überschrieben wurde.

Bei diesem Verfahren müsste man bei einer überschriebenen Platte Bit für Bit auslesen und analysieren. Der zeitliche und finanzielle Aufwand bei Datenmengen im GByte-Bereich ist somit erheblich und wirtschaftlich nicht vertretbar.

Datenfeind Hitze

Aber nicht nur Kratzer und überschriebene Daten machen Rettungsversuche sinnlos, als weiterer Feind magnetischer Daten erweisen sich hohe Temperaturen. Oberhalb der Curie-Temperatur gehen die magnetischen Informationen der Datenträgeroberflächen verloren. Bei Festplatten mit Kobalt/Chrom- oder Kobalt/Nickel-Beschichtung liegt diese Temperatur bei 700 Grad Celsius. Ältere Festplatten benutzten noch Eisenoxid als Magnetschicht. Die Curie-Temperatur liegt bei diesem Material schon bei 300 Grad Celsius.

Bei Bränden muss also die Festplatte nicht unbedingt direkt mit dem Feuer in Berührung kommen. Selbst in der unmittelbaren Umgebung von Bränden herrschen schnell Temperaturen von 1000 Grad Celsius.

Solange aber die physikalischen Informationen auf dem Medium intakt sind, bestehen für die Datenrettungslabore sehr gute Chancen zur vollständigen Restaurierung.

Datenrettungslabor: Reinraum

Die Labors der international renommierten Datenrettungsunternehmen sind sehr aufwendig ausgestattet. Oberstes Gebot bei der Datenrettung ist die Arbeit in einer Reinraumumgebung. Denn bei geöffneten Festplatten können schon kleinste Staub- oder Rauchpartikel Schäden verursachen.

Bei Kopfflughöhen von 25 nm reißen diese Partikel Furchen in die Magnetschicht, wenn Sie mit dem Kopf in Berührung kommen. Schlimmstenfalls kann ein Headcrash passieren. Um diese potentielle Gefahrenquelle zu vermeiden, verfügen die Datenrettungslabors über Reinräume der Klasse 100. Damit sind in einem Kubikfuß Luft maximal 100 Partikel erlaubt. Damit sind die Laborräume um den Faktor 50.000 reiner als normale Umgebungsluft.

Wichtig bei Arbeiten und Messungen an der Laufwerkselektronik ist der Schutz vor elektrostatischen Entladungen. Speziell geschützte Bereiche gehören deshalb zur Standardausstattung der großen Datenrettungslabors. Zudem befinden sich oft noch ionisierte Gebläse über den Arbeitsflächen, um lufttransportierte Spannungen zu unterdrücken.

Datenrettungslabor: Lager und Speicher

Ebenfalls Grundausrüstung und essentiell für eine schnelle Bearbeitung ist ein umfangreiches Ersatzteillager. Dort sammeln die Datenretter alle gängigen Festplattenmodelle, Controllerplatinen, Magnetköpfe und Kleinteile. Hier finden sich auch längst vergessene Festplatten im 5,25-Zoll-Format mit MFM-Controllern - ein Paradies für Techniknostalgiker.

Ist zum Beispiel ein Kopf einer Festplatte nicht auf Lager, so können die Labors auf die Bestände der internationalen Niederlassungen zurückgreifen.

Datenrettungsserver mit Speicherkapazitäten im mehrstelligen Terabyte-Bereich stellen bei Datenrekonstruktion sicher, dass die Labore selbst bei umfangreichen RAID’s und Magnetbändern nicht in Kapazitätsnöte kommen. Über autarke Netzwerke und Firewalls ist zudem die Datensicherheit gegenüber Zugriffen von außen gewährleistet.

Phase I: Analyse

Trifft eine defekte Festplatte oder Medium in den Labors ein, so erfolgt als erstes eine Analyse. Dabei wird mit Spezialtechnik Art und Umfang des Schadens ermittelt sowie eine Prognose der rettbaren Daten erstellt. Nach dieser Analyse erhält der Kunde folgenden Statusbericht:

• Art und Umfang des Schadens.

• Angabe der rekonstruierbaren Daten.

• Lösungsvorschlag.

• Zeitaufwand und Kosten der Datenrettung.

Zu Beginn der Analyse erfolgt eine optische Prüfung. Handelt es sich um Wechselmedien oder Bänder, so kann hier schon oft eine Abschätzung des Schadens erfolgen.

Schwieriger wird es bei Festplatten: Kommt ein Laufwerk mit Verdacht auf Headcrash ins Labor, so wäre eine erneute Inbetriebnahme viel zu gefährlich. Die Spezialisten wenden hierbei zuerst einen Trick an, ohne die Platte gleich öffnen zu müssen. Über ein luftdicht versiegeltes Diagnoseloch schauen die Ingenieure mit Spezialmikroskopen in das Innere der Festplatte. So können beispielsweise mechanische Beschädigungen der Köpfe entdeckt werden. Oder es findet sich verteilter Staub durch Abrieb der Magnetscheibenoberfläche infolge eines Headcrash.

Nach der optischen Prüfung wird die Controllerlogik einem Funktionstest unterzogen. Über spezielles Meßequipment und Testpattern lässt sich gezielt die korrekte Funktion der Platine überprüfen. Meist verfügt die Firmware einer Festplatte auch über einen speziellen Diagnosemodus, über den sich schrittweise einzelne Funktionen abfragen lassen.

Phase II: physikalische Rettung

Ist der Kunde nach der Analyse mit einer Datenrettung einverstanden, beginnt der eigentliche Rettungsprozess. Als erstes versuchen die Labore ein komplettes Image der verbliebenen Daten zu erstellen. Denn die Firmen arbeiten niemals am Originalmedium. Eventuelle Fehler bei den Rekonstruktionsarbeiten sind somit leicht rückgängig zu machen. Bei der Imageerstellung wird jeder Sektor einzeln ausgelesen - bei Festplatten mit 500 GByte Kapazität sind das bis zu einer Milliarde.

Kann eine Festplatte durch Austausch defekter Teile wieder funktionstüchtig gemacht werden, erfolgt der Auslesevorgang der intakten Spuren direkt über die Festplattenschnittstelle. Schwieriger wird es, wenn sich das Laufwerk nicht mehr betreiben lässt. Der Laboringenieur nimmt dann den Magnetscheibenstapel der Festplatte auseinander.

Phase III: Pattern-Analyser

Bei Ibas in Norwegen, ein Unternehmen welches jetzt zu Kroll Ontrack gehört, konnte TecChannel die für diese Zwecke selbst entwickelte PATAN-Technologie begutachten. Dieser Pattern-Analyser kann einzelne Magnetscheiben aufnehmen und spurweise jeden noch intakten Sektor auslesen. Dabei wird die magnetische Orientierung jeden Bits ermittelt. Die aufgenommenen analogen Signale der einzelnen Bits wandelt der Analyser in einen Bitstream aus Einsen und Nullen um. Je nach Spur- und Bitdichte und Eigenheiten der Magnetscheiben kann der Pattern-Analyser beliebige Magnetköpfe zum Auslesen aufnehmen.

Allerdings ist der zeitliche und somit finanzielle Aufwand für dieses Verfahren sehr hoch. Ibas nutzt die Pattern-Maschine nach eigenen Aussagen nur in zwei Prozent aller Datenrettungsfälle.

Andere Laboratorien verfügen über ähnliches technisches Equipment, lassen sich dabei aber nur ungern in die Karten schauen. Bei den Laborbesuchen musste TecChannel teilweise Nondisclosure-Agreements unterschreiben, dass keine Informationen über die Datenrettung nach außen gegeben werden. Die eigenen Verfahren zur Datenrettung hüten die Firmen wie Staatsgeheimnisse.

Phase IV: logische Rettung

Mit dem Image des Datenträgers wird über Spezialsoftware versucht, aus den Nullen und Einsen wieder Datenstrukturen zu extrahieren. Hier handelt es sich um den komplizierten und schwierigen Part der Datenrettung: Rekonstruktion von Dateisystemen und wie wurden die Daten von der Festplatte auf der Scheibe abgelegt und verwaltet.

Erschwerend kommt hinzu, dass sich die Festplattenhersteller auch gegenüber den Datenrettungslabors mit Informationen über die Organisation der Daten sehr bedeckt halten. Schließlich unterscheiden sich Festplatten verschiedener Hersteller in der Performance auch durch diese Algorithmen und keiner will diese Geheimnisse preisgeben.

Ähnliches gilt für RAIDs. Die Hersteller von RAID-Controllern hüten ihre Algorithmen zur Anordnung und Verteilung der Daten als Betriebsgeheimnis. Umso schwieriger und zeitaufwendiger ist für die Datenretter die Analyse der Strukturen.

Mit meist eigens programmierten Tools suchen die Software-Experten nach bestimmten Strukturen und Bitfolgen, mit denen Rückschlüsse auf Dateien gezogen werden. Will der Kunde zum Beispiel nur bestimmte Excel-Dateien gerettet haben, so suchen die Ingenieure gezielt nach der Struktur dieses Dateityps. Die Arbeit der Datenretter wird somit erheblich erleichtert, wenn der Kunde genaue Informationen über den Inhalt seiner Festplatte/Medium liefern kann.

Die aus der Rekonstruktion gewonnen Daten kopieren die Spezialisten nach Möglichkeit in die gleichen Verzeichnisstrukturen wie auf dem Originaldatenträger. Dies ist jedoch nur möglich, wenn Informationen über die ursprüngliche Partitionierung sowie des Dateisystems vorliegen. Die Wiederherstellung der Verzeichnisstruktur ist sonst sehr aufwendig.

Nach erfolgreichem Abschluss der Datenrettung erhält der Kunde seine Daten auf einem von ihm gewünschten Medium zurück. Die Labore speichern mit Einverständnis des Kunden die Daten zur Sicherheit noch mehrere Wochen und heben diese in Safes auf.

Datenretter im Überblick

Anbieter für Datenrettung gibt es viele. Suchmaschinen liefern eine große Anzahl an diversen Firmen, die ihre Rettungsdienste anpreisen. Große international operierende Datenrettungsunternehmen mit eigenen Laboren in Deutschland gibt es deutlich weniger. Wir bieten Ihnen eine Auswahl von fünf Firmen:

• CBL in Kaiserslautern

• Convar in Pirmasens

• Kroll Ontrack in Böblingen

• KUERT in Bochum

• RSE Datenrettung in München, Hamburg, Frankfurt, Düsseldorf und Berlin

Auf den folgenden Seiten finden Sie Kurzportraits der Unternehmen mit deren Leistungsspektrum sowie Kontraktadressen.

CBL

Die deutsche CBL Datenrettung GmbH hat ihren Sitz in Kaiserslautern und verfügt weltweit über 20 Labore, darunter in England und in USA. Jede Niederlassung ist über eine kostenfreie Hotline zu erreichen. In Deutschland besitzt CBL noch ein Servicebüro in München.

Das Unternehmen wirbt auf seiner Website, Daten unabhängig von Medium und Betriebssystem wiederherstellen zu können. PC-Festplatten machen laut CBL den größten Teil der Projekte aus. Die Labore retten auch Daten von RAID-Installationen, Servern, Wechselspeichermedien wie Floppy-Disk, optischen Discs und magnetischen Bändern sowie von iPods. Auch verloren gegangene Daten von Notebooks - unabhängig von Alter, Bauart und Modell - sollen für die Ingenieure kein Problem darstellen.

Im Ernstfall schickt der Kunde das defekte Speichermedium an die CBL. Nach Erhalt des Mediums erstellt CBL eine Diagnose des Problems. Diese Analyse bietet das Labor kostenlos an. Der Kunde erhält einen Schadensbericht und Kostenvoranschlag für die Rettung der Daten. Mit dem Eilabholungsservice bietet sie zusätzlichen an, sich auch um die Abholung und Versendung der Datenträger zu kümmern. Die Kosten dafür stellt der Anbieter später in Rechnung. In zeitkritischen Situationen sind die Labore in der Lage, die geretteten Daten direkt via Highspeed-Anbindung über das Internet zu übertragen.

Als besonderen Service bietet CBL eine Remote Datenwiederherstellung an. Um diesen Service in Anspruch zu nehmen, ist eine physikalisch intakte Festplatte und ein Windows basierendes System mit einem ständigen Internetzugang notwendig. Sobald die Datenträger angeschlossen sind, werden sie von den CBL-Spezialisten analysiert und ausgewertet.

In Abhängigkeit von der Komplexität des Problems, der benötigten Bauteile und dem Serviceumfang verlangt die CBL für ein Datenrettungsprojekt bei einer Festplatte zirka 400 bis 700 Euro. Ist der Einsatz im Reinraum erforderlich, so erhöhen sich die Kosten auf zirka 1000 bis 2500 Euro. Können allerdings keine Daten gerettet werden, braucht der Kunde nichts zu zahlen. Die Analyse ist auch in diesem Fall kostenlos.

Convar

Die Firma Convar mit Hauptsitz in England besitzt in seiner deutschen Niederlassung in Pirmasens das größte Labor mit einer Fläche von zirka 2500 m².

Convar Deutschland GmbH wirbt auf seiner Website mit einem hohen Sicherheitsstandard: Biometrische Zugangskontrollen, über 60 Überwachungskameras und Safeanlagen erfüllen die strengen US Militärnormen, was Lagerung und Bearbeitung von sensitiven Daten angeht.

Bei einem Datenrettungsnotfall benötigen die Spezialisten von Convar nach eigenen Angaben nach Eingang des Mediums in der Regel vier bis acht Stunden für die Diagnose. Verschiedene Service-Varianten bietet Convar durch die schnelle Bearbeitung nicht an. Die Datenretter stehen ihren Kunden 24 Stunden und sieben Tagen in der Woche zur Verfügung. Durch den Schichtbetrieb bleiben die Rettungskosten unabhängig von Zeit und Tag gleich. Nur für die Diagnose muss man am Wochenende und Feiertagen zirka das Doppelte berappen.

Convar bietet Datenrettung für alle Medien und Betriebssystemen an. Auch Flash-Speicherkarten stehen auf dem Repertoire.

Mit ema bietet Convar einen Zusatz-Service. Jeder Datenrettungsauftrag erhält eine eigene JOB-Nummer. Damit kann der Kunde jederzeit den Status seiner Datenrettung prüfen. Alle relevanten Informationen stellt Convar über das Internet per ema zur Verfügung. Über dieses Real Time Online Information System kann der Kunde auch direkt neue Datenrettungsaufträge bei Convar einbuchen. Nach Absenden der Daten beginnt ema bereits nach eventuell benötigten Ersatzteilen zu suchen und erstellt Arbeitspläne für die Datenretter.

Kroll Ontrack

Die 1985 gegründete Ontrack Data International Inc. wurde Mitte 2002 von Kroll Inc. übernommen. Die weltweit operierende Kroll Ontrack Inc. beschäftigt in der deutschen Niederlassung Böblingen etwa 70 Mitarbeiter und unterhält dort ein eigenes Labor. International bietet das Unternehmen seine Dienstleistungen in über 20 Ländern und 15 Sprachen an. Kroll Inc. wurde 2004 von Marsh & Mc Lennan Companies Inc. akquiriert, einem führenden Anbieter von Risikomanagement und Versicherungsdienstleistungen.

Ende Januar 2006 vollzog Kroll Ontrack formell die Übernahme der norwegischen Ibas Holdings ASA. Ibas, ebenfalls professioneller Anbieter von Services für Datenrettung, Datenlöschung und Computer Forensik, wurde ein hundertprozentiges Tochterunternehmen der neu gegründeten norwegischen Kroll Ontrack AS. Ibas hatte seinerseits im Jahr 2005 seine geografische Reichweite und das Serviceangebot bereits durch die Übernahme von Vogon International, einem britischen Unternehmen in Privathand mit demselben Branchenfokus ausgedehnt.

Kroll Ontrack führt nach eigenen Angaben im Jahr weltweit rund 50.000 erfolgreiche Rettungsfälle durch. Bei den rettbaren Medien und Dateisystemen gibt Kroll Ontrack keine Einschränkungen an, auch Solid State Disks und Flash-Speicher zählen zum Repertoire des Unternehmens. Datenrettung in virtuellen Maschinen bietet Kroll Ontrack ebenfalls an.

Bei der Datenrettung stehen verschiedene Service-Varianten zur Wahl: Beim Standard-Service erfolgt die Bearbeitung in der Reihenfolge der eingehenden Aufträge während der üblichen Geschäftszeiten von 09:00 bis 17:00 Uhr. Beim Express-Service wird der Auftrag mit Priorität sofort behandelt. Außerdem gibt es noch einen 24-Stunden-Notfall-Service sowie eine Bearbeitung an Wochenenden und Feiertagen. Für die Diagnose garantiert Kroll Ontrack beim Standard-Service einen Festpreis von 90 Euro (zzgl. MwSt). Im Preis sind neben der Abholung und Rücksendung des Originalmediums, sämtliche anfallende Ersatzteile, eine genaue Dateiliste mit allen wiederherstellbaren Daten und ein verbindliches Angebot für die Datenrettung (herstellbare Dateien, Kosten) enthalten. Beim Express-Service verlangt der Dienstleister 190 Euro für die Diagnose, im Notfall-Service 490 Euro.

Zu einer Besonderheit von Kroll Ontrack zählt die patetierte RDR (Remote Data Recovery). Die Rettungsspezialisten führen ihre Arbeit dabei über eine Modem- oder Internet-Verbindung direkt am heimischen PC des Kunden aus. Als weiteren Service ermöglicht Kroll Ontrack an die Daten von Passwort-geschützten Notebook-Festplaten zu gelangen. Die Kunden müssen allerdings den rechtmäßigen Besitz des Laufwerks bestätigen. Darüber hinaus bietet Kroll Ontrack auch Software-Produkte an, wie EasyRecovery zur Datenrettung, PowerControls zur Mailbox Recovery oder Eraser für die sichere Datenlöschung. Zu den Dienstleistungen des Unternehmens zählt auch das Gebiet der Computer Forensik.

Neben den Datenrettungsdiensten bietet Kroll Ontrack mit dem Eraser Degausser 3.0 auch ein Gerät zur sicheren Datenlöschung von Festplatten an:

KUERT

KUERT Information Management wurde 1989 in Ungarn gegründet. Die Firma expandierte seitdem mit Laboren in Deutschland und Österreich. Die deutsche Niederlassung KUERT Datenrettung GmbH befindet sich in Bochum.

Bei den rettbaren Medien und Dateisystemen gibt KUERT eine sehr umfangreiche Liste an. Neben Festplatten, Bändern und optischen Datenträgern führt KUERT eine Datenrettung auch bei iPods, Blackberry-Devices oder diversen Speicherkarten durch.

Die Analysekosten unterscheiden sich je nach dem gewählten Service-Level Standard (innerhalb 6 Tage), Express (innerhalb 3 Tage) oder Notfall (innerhalb 24 Stunden). Bei Festplatten verlangt KUERT 90 Euro für die Express-Variante sowie 200 Euro beim Notfall-Servie (alle Preise exklusive MwSt.). Ein Abholservice ist in den Preisen inbegriffen. Die Standard-Analyse innerhalb von sechs Tagen bietet KUERT kostenlos an. Für Privatkunden bietet KUERT Pauschalpreise an: Die Datenrettung einer physikalisch defekten Festplatte bis 400 GByte (Windows-Betriebssystem) kostet 474,81 Euro, Modelle zwischen 640 GByte und 1 TByte Kapazität kosten pauschal 831,81 Euro an.

Bei KUERT finden Sie für unterschiedliche Medien eine detaillierte Aufschlüsselung der Analysekosten.

RSE Datenrettung

RSE Datenrettung in Deutschland gehört zur international operierenden Stellar Information Systems Ltd. RSE ist seit 1992 tätig und besitzt 14 Niederlassungen in neuen Ländern. Das Unternehmen besitzt eigene Reinräume der Klasse 100 und ist in Deutschland in Berlin, Düsseldorf, München, Hamburg und Frankfurt vertreten.

Bei den zu rettenden Medien führt RSE neben Festplatten, Bändern, RAID-Systemen, DVDs und diverse Wechselmedien auf. Alle üblichen Dateisysteme werden von RSE ebenfalls bearbeitet. Wird ein Datenrettungsauftrag erstellt, so holt ein Kurier das zur rettende Medium laut RSE noch am selben Tag vom Kunden ab. Die Diagnose führt das Unternehmen kostenlos durch. Nach Abschluss der Diagnose erhält der Kunde einen Diagnosebericht mit einer Auflistung aller wieder herstellbarer Daten sowie ein verbindliches Preisangebot für die Datenrettung.

Die Datenrettungsspezialisten von RSE arbeiten werktags von 09:00 bis 21:00 Uhr. Zusätzlich bietet das Unternehmen einen Notfallservice ohne Zeitbegrenzung an. Mit ZEN verfügt RSE Datenrettung über ein System, bei dem Kunden den Status ihres Auftrags ständig verfolgen können.

Kosten: Analyse und Rettung

Auf den ersten Blick schrecken die Kosten von mehreren tausend Euro für eine Datenrettung ab. Verglichen mit dem Wert der sonst verlorenen Daten relativieren sich diese Kosten aber sehr schnell.

Wenn man zudem den hohen Aufwand berücksichtigt, der hinter der Datenrettung steckt, werden die hohen Kosten verständlich. Die Labore sind mit modernstem Meßequipment, das teilweise selbst entwickelt wurde, ausgestattet. Die Software-Tools und Algorithmen zur Wiederherstellung von Datenstrukturen entstammen ebenfalls meist eigener Entwicklung.

Nachfolgend finden Sie einen Überblick über Richtpreise, die bei einer Datenrettung auftreten. Je nach Komplexität des Falles könne die Preise aber differieren, so dass die Firmen jeweils erst nach der Analyse einen exakten Preis für die Datenrettung nennen können. Die nachfolgenden Preise gelten als Richtwerte für Festplatten:

Bei Convar können Sie eine noch genauere Aufschlüsselung der Preise online begutachten.

Fazit

Billig ist die Datenrettung seitens der Labore mit Preisen von schnell einigen tausend Euro nicht. Aber im Vergleich zum Wert der Daten sind diese Kosten oft verschwindend gering.

Mit Erfolgsquoten von etwa 80 Prozent stehen die Chancen einer Rekonstruktion sehr gut. Diese Quote gilt allerdings nur, wenn der Anwender in Verzweiflungstaten noch nicht versucht hat, selbst den Datenretter zu spielen. Nach Erfahrung der Labore verschlimmert sich der Schaden bei diesen Versuchen oft beträchtlich.

Denn solange die Daten noch physikalisch auf einem Medium vorhanden sind, können die Labore helfen. Die Grenzen der Datenrettung sind allerdings auch klar gezogen. Wurde infolge eines Headcrash die magnetische Beschichtung abgetragen oder sind infolge zu hoher Temperatur die magnetischen Eigenschaften verloren gegangen, ist jede Hilfe zwecklos.

Auch wenn Daten physikalisch überschrieben wurden, sieht es sehr schlecht aus. Eine Datenrekonstruktion ist dann mit wirtschaftlich und zeitlich vertretbaren Mitteln nicht mehr möglich. (cvi)