Blog — Datenrettung und Cybersicherheit
Technische Analysen, Präventionstipps und Neuigkeiten zur Datenrettung von den Experten von SOS Data Recovery, Schweizer Labor seit 2006.
Datenverlust: die richtigen Schritte in den ersten 24 Stunden
Nach einem Datenverlust gibt es nicht den einen richtigen Schritt, es gibt den richtigen Schritt für Ihr Problem. Alles hängt davon ab, was passiert ist. Manche Situationen verschlechtern sich von Stunde zu Stunde, eine Überschwemmung, ein Brand, eine Ransomware, die Ihre Dateien verschlüsselt, und die Zeit für eine Rettung ist dann sehr knapp. Andere, ein mechanischer Defekt oder gelöschte Dateien, erstarren, sobald das Gerät ausgeschaltet ist, und können Tage warten. Der Reflex, der für alle Fälle gilt: den Datenträger rasch ausschalten und nichts selbst herumbasteln, bevor eine Analyse erfolgt.
Der folgende Text erklärt, wie Sie erkennen, in welchem Fall Sie sich befinden, was in den ersten Stunden zu tun ist und welche Handgriffe eine wiederherstellbare Situation in eine verlorene verwandeln.
Der einzige Reflex, der für alle gilt: ausschalten, und zwar schnell
Ganz gleich, um welchen Datenträger es sich handelt, Telefon, Festplatte in einem Server, NAS-Server oder Server im RAID, der erste Schritt ist derselbe: die Stromzufuhr rasch unterbrechen. Solange das System läuft, kann es das Problem weiter verschlimmern, entweder indem es auf die Festplatte schreibt oder indem es einen physischen Schaden unter Spannung fortschreiten lässt.
Der Fall der Ransomware ist am anschaulichsten. Sobald Sie sehen, dass Ihre Dateien verschlüsselt werden, warten Sie nicht, versuchen Sie nicht zu verstehen: schalten Sie sofort aus. Mit jeder Minute, in der die Maschine eingeschaltet bleibt, verschlüsselt die Software weitere Dateien und kann welche nach aussen exportieren. Den Computer weiterlaufen zu lassen bedeutet, das Risiko einzugehen, dass sämtliche Daten am Ende verschlüsselt sind.
Die Festplatte, die Schwächezeichen zeigt, folgt derselben Logik, aus einem anderen Grund. Wenn die Köpfe klackern oder die Platte sehr instabil wird, muss man sie ausschalten und nicht weiter laufen lassen. Vor allem: Starten Sie sie nicht zehn, fünfzehn oder zwanzig Mal neu in der Hoffnung, dass sie wieder anläuft. Im besten Fall, sehr selten, löst sich das Problem von selbst. Im schlimmsten Fall, und das ist der häufigste, verschlimmert jeder Versuch den Schaden und kann die Datenrettung unmöglich machen.
Wenn jede Stunde zählt
Zwei Problemfamilien verschlechtern sich, solange man nicht handelt. Das sind die Notfälle.
Die äussere physische Schädigung: Wasser, Pulver, Chemikalien
Eine Überschwemmung, das Pulver eines Feuerlöschers oder ein Spritzer einer Chemikalie greifen das Material fortlaufend an. Wasser ist der dringendste Fall von allen. Unter Spannung begnügt sich eine Überschwemmung nicht damit, nass zu machen: Sie erzeugt Korrosion und fügt ein Elektrolyse-Phänomen hinzu, das die Komponenten zerfrisst. Selbst einfache Tröpfchen können einen Datenträger, ob Telefon, Festplatte oder SSD, in nur wenigen Stunden endgültig beschädigen.
Diese Schäden setzen ihr Werk auch bei ausgeschaltetem Gerät fort. Ausschalten stoppt die Elektrolyse und die Kurzschlüsse, doch Korrosion, Pulver und chemische Rückstände setzen ihren Angriff fort. Deshalb erfordern diese Situationen von unserer Seite eine rasche Behandlung: je schneller der Datenträger bei uns eintrifft, desto schneller stoppen wir die physische Zerstörung und stabilisieren die Situation.
Die laufende logische Zerstörung: Ransomware, TRIM, Updates
Die andere Notfallfamilie ist die logische Zerstörung, die läuft, solange die Maschine eingeschaltet ist: eine Ransomware, die verschlüsselt, das TRIM, das die Zellen einer SSD nach einer Löschung endgültig leert, die Systemupdates und die Schreibvorgänge, die sich über Ihre Daten legen.
Hier genügt Ausschalten, um den Prozess zu stoppen. Sobald die Maschine spannungsfrei ist, wird nichts mehr geschrieben, die Situation ist erstarrt und verschlechtert sich nicht weiter. Das ist der ganze Unterschied zu Wasserschäden: Bei der Software friert das Unterbrechen der Stromzufuhr das Problem ein; bei Wasser nicht.
Wenn nach dem Ausschalten des Geräts nichts eilt
Umgekehrt verschlimmern sich viele Defekte nicht mehr, sobald der Datenträger spannungsfrei ist. In diesen Fällen besteht die Dringlichkeit darin, die Dinge nicht zu verschlimmern, nicht darin, zu eilen.
Ein mechanischer oder innerer physischer Defekt, ein defekter Lesekopf, ein Kurzschluss, elektrisches Klacken, ein funktionsunfähig gewordenes System, erstarrt, wenn man ausschaltet. Das Problem setzt sich nicht fort und verschlimmert sich nicht von selbst. Man kann sich die Zeit nehmen, uns den Datenträger anzuvertrauen.
Der Kurzschluss verdient eine Präzisierung. Man darf ein Gerät nicht unter Spannung lassen, wenn ein Kurzschluss oder ein Brandgeruch vorliegt: Es weiter mit Strom zu versorgen, lässt Komponenten heiss werden, die dafür nicht gemacht sind, und sie geben schliesslich nach und gehen weiter kaputt. Doch sobald das Gerät spannungsfrei ist, erfordert der bereits eingetretene Kurzschluss keinen Eingriff in kürzester Frist: Das Element ist erstarrt.
Formatierung und gelöschte Dateien folgen derselben Regel. Sobald das System ausgeschaltet ist, finden keine Updates und keine Schreibvorgänge mehr statt, also überschreibt nichts mehr die gelöschten Daten. Sie können uns die Festplatte in den kommenden Tagen oder Wochen übergeben: Nicht die Frist macht die Daten unwiederherstellbar, sondern das Schreiben. Ein RAID, das nur ein logisches Problem hat, oder eine Platte, die ohne laufenden Wasser- oder Brandschaden klackert, fällt ebenfalls in diese Kategorie: Das kann warten.
Verschlechtert es sich weiter oder erstarrt es? Die Einordnungstabelle
| Situation | Verschlechtert es sich weiter? | Der richtige Schritt |
|---|---|---|
| Überschwemmung, Wasserschaden | Ja, auch ausgeschaltet (Korrosion) | Ausschalten und uns rasch bringen |
| Feuerlöscherpulver, Chemikalie | Ja, auch ausgeschaltet | Ausschalten und uns rasch bringen |
| Ransomware, die verschlüsselt | Ja, solange eingeschaltet | Sofort ausschalten |
| Löschung auf SSD (TRIM aktiv) | Ja, solange eingeschaltet | Sofort ausschalten |
| Lesekopf, Klackern, mechanischer Defekt | Nein, einmal ausgeschaltet | Ausschalten, nicht neu starten, analysieren lassen |
| Kurzschluss, Brandgeruch | Nein, einmal spannungsfrei | Vom Strom trennen, nicht wieder anschliessen |
| Formatierung, gelöschte Dateien (System aus) | Nein | Nichts mehr schreiben, auch später einsenden |
| RAID mit rein logischem Problem | Nein | Keinen Rebuild starten, analysieren lassen |
Zwei Fallen, die aus einem Defekt einen Verlust machen
Über das richtige Timing hinaus kommen zwei Handgriffe häufig vor und verschlimmern die Situation erheblich.
Der erste, wir haben es gesehen, ist es, eine schwächelnde Festplatte immer wieder neu zu starten. Eine Platte, deren Köpfe klackern, zehn oder zwanzig Mal wieder einzuschalten, repariert sie fast nie und verschlechtert die Mechanik bei jedem Versuch ein Stück weiter.
Der zweite betrifft das RAID. Wenn eine Platte eines Verbunds ausfällt, stellen Sie sich zuerst eine Frage: Hatten Sie in der Vergangenheit bereits eine defekte Platte in diesem selben RAID, zum Beispiel vor einem Monat? Wenn ja, ist es riskant, einen Rebuild zu starten. Es ist sehr wahrscheinlich, dass eine zweite, bereits erschöpfte Platte während der Rekonstruktion ebenfalls ausfällt oder als instabil erklärt wird. Das RAID ist dann vollständig degradiert und weit schwieriger wiederherzustellen. Im Zweifel startet man keinen Rebuild, man lässt analysieren.
Was passiert, wenn Sie uns den Datenträger anvertrauen
Sobald der Datenträger in unseren Händen ist, beginnen wir mit einer Analyse, um zu verstehen, was passiert ist. Wir erstellen einen vollständigen und detaillierten Analysebericht, bei Bedarf mit Fotos der festgestellten Schäden. Wenn wir die Daten für wiederherstellbar halten, unterbreiten wir Ihnen einen Kostenvoranschlag, den Sie frei annehmen oder ablehnen können.
Auch deshalb ist es besser, uns früh anzurufen: Bei einem Wasser-, Pulver- oder Chemikalienschaden ist jede gewonnene Stunde erhaltene Substanz. In den anderen Fällen erspart ein einfacher Anruf die Handgriffe, die teuer zu stehen kommen.
Was Sie sich merken sollten
Der richtige Schritt hängt vom Problem ab, doch ein Reflex gilt für alle: den Datenträger rasch ausschalten und nichts selbst herumbasteln, bevor eine Analyse erfolgt. Zwei Arten von Situationen verschlechtern sich und gebieten schnelles Handeln: die äusseren physischen Schäden, die auch ausgeschaltet fortwirken (Wasser, Feuerlöscherpulver, Chemikalien), Wasser an erster Stelle, und die logischen Zerstörungen, die laufen, solange die Maschine eingeschaltet ist (Ransomware, TRIM auf SSD, Updates), die das Unterbrechen der Stromzufuhr einzufrieren genügt.
Die anderen Fälle, mechanischer Defekt, Kurzschluss, Formatierung, gelöschte Dateien, RAID mit logischem Problem, verschlimmern sich nach dem Ausschalten des Geräts nicht mehr und können warten. Bleiben zwei Fallen, die unbedingt zu vermeiden sind: eine Festplatte immer wieder neu starten und einen RAID-Rebuild starten, wenn in der Vergangenheit bereits eine Platte ausgefallen ist. Im Zweifel schaltet man aus, bastelt nicht herum, lässt analysieren.
Häufige Fragen
Was ist nach einem Datenverlust als Allererstes zu tun?
Den Datenträger rasch ausschalten, ganz gleich welchen (Telefon, Festplatte, NAS-Server, RAID), und nichts selbst herumbasteln, bevor er analysiert wird. Solange das System läuft, kann es das Problem verschlimmern, indem es auf die Festplatte schreibt oder einen physischen Schaden unter Spannung fortschreiten lässt.
Muss man immer im Notfallmodus handeln?
Nein. Alles hängt vom Problem ab. Schäden durch Wasser, Feuerlöscherpulver oder Chemikalien sowie Ransomware und Löschungen auf SSD verschlechtern sich und gebieten schnelles Handeln. Ein mechanischer Defekt, ein Kurzschluss oder gelöschte Dateien erstarren, sobald das Gerät ausgeschaltet ist, und können Tage warten.
Warum ist ein Wasserschaden der dringendste Fall?
Weil Wasser das Material fortlaufend angreift. Unter Spannung erzeugt es Korrosion und fügt ein Elektrolyse-Phänomen hinzu, das die Komponenten zerfrisst. Selbst ausgeschaltet setzt die Korrosion ihr Werk fort, und einfache Tröpfchen können ein Telefon, eine Festplatte oder eine SSD in wenigen Stunden endgültig beschädigen.
Meine Festplatte macht ein Klackergeräusch, darf ich versuchen, sie erneut zu starten?
Nein. Wenn die Köpfe klackern, verschlechtert jeder neue Versuch die Mechanik ein Stück weiter. Sie zehn oder zwanzig Mal neu zu starten, repariert sie fast nie und kann die Datenrettung unmöglich machen. Man muss sie ausschalten und analysieren lassen.
Eine Platte eines RAID ist ausgefallen, darf ich einen Rebuild starten?
Vorsicht, vor allem wenn eine andere Platte des Verbunds in der Vergangenheit bereits defekt war. Ein Rebuild beansprucht die verbleibenden Platten stark und kann eine zweite ausfallen lassen, was das RAID vollständig degradiert. Im Zweifel starten Sie keinen Rebuild und lassen analysieren.
Ich habe versehentlich gelöscht oder formatiert, muss ich mich beeilen, es Ihnen einzusenden?
Nicht die Frist zählt, sondern das Schreiben. Sobald das System ausgeschaltet ist, wird nichts mehr auf die Festplatte geschrieben und nichts überschreibt die gelöschten Daten. Sie können sie uns in den folgenden Tagen oder Wochen übergeben, solange Sie nichts mehr darauf geschrieben haben.