Wenn ein RAID, ein NAS oder ein Server ausfällt, ist der richtige Reflex, alles auszuschalten und nichts wiederherzustellen: In den meisten Fällen ist es nicht der ursprüngliche Defekt, der die Daten kostet, sondern der anschliessende Reparaturversuch: ein Rebuild, der auf einem bereits fragilen System gestartet wird, ein gelöschtes und neu erstelltes RAID, Festplatten, die immer wieder angefasst werden. Ein RAID im degradierten Zustand lässt sich oft vollständig wiederherstellen, sofern man die Lage nicht verschlimmert. Konkret: Schalten Sie das System ab, unternehmen Sie keinen erneuten Wiederherstellungsversuch und übergeben Sie ausschliesslich die Festplatten einem Labor (der Server nützt nichts).

Der folgende Text erklärt, warum diese Handgriffe zählen und wo die Fallen lauern, anhand von zwei erlebten Geschichten, die beinahe alles mitgerissen hätten.

RAID in drei Minuten

Ein RAID (Redundant Array of Independent Disks) ist ein Verbund mehrerer Festplatten, die vom System als ein einziges Volume gesehen werden, konzipiert, um Redundanz zu bieten: die Fähigkeit, den Ausfall einer oder mehrerer Festplatten zu überstehen. Man muss allerdings wissen, von welcher Redundanz die Rede ist, denn nicht alle Level sind gleichwertig.

Das gespiegelte RAID (RAID 1) dupliziert automatisch den Inhalt einer Festplatte auf eine andere. Es toleriert den Verlust einer Festplatte des Paares, ist aber teuer in der Kapazität: Die Hälfte des Gesamtvolumens dient der Kopie.

Das Striping (RAID 0) macht das Gegenteil. Es gibt keinerlei Redundanz, und das Wort „RAID" ist hier fast missbräuchlich. Die Datei wird in kleine Teile zerlegt, die auf mehrere gleichzeitig beschriebene Festplatten verteilt werden. Die Zerlegung erfolgt auf Softwareebene, sehr schnell, und das parallele Schreiben bringt viel Geschwindigkeit. Die Kehrseite ist brutal: Fällt eine einzige Festplatte aus, ist alles verloren. Bei drei Festplatten im RAID 0 ist das Verlustrisiko beträchtlich.

Das RAID 5 und das RAID 6 suchen das Gleichgewicht zwischen Geschwindigkeit und Sicherheit. Die Datei wird wie beim Striping verteilt, doch zusätzlich wird eine Parität (ein XOR) berechnet, die zyklisch auf einer Festplatte abgelegt wird, sodass nie immer dieselbe Festplatte sie erhält. Diese Berechnung macht das Schreiben etwas langsamer als reines Striping. Im Gegenzug toleriert das RAID 5 den Ausfall einer Festplatte (und opfert das Äquivalent einer Festplatte an Volumen); das RAID 6 toleriert zwei Festplatten (und opfert zwei Festplatten an Volumen). Für ein RAID 5 sind mindestens drei Festplatten nötig.

Das RAID 0+1 oder 1+0 kombiniert Spiegelung und Striping, in der einen oder anderen Reihenfolge je nach Aufbau, um Geschwindigkeit und Redundanz zu vereinen.

Level	Redundanz	Festplatten min.	Ausfalltoleranz	Kapazitätskosten
RAID 0 (Striping)	Keine	2	0 Festplatten (Totalverlust, wenn 1 ausfällt)	0 %
RAID 1 (Spiegelung)	Duplizierung	2	1 Festplatte des Paares	50 %
RAID 5	Parität	3	1 Festplatte	1 Festplatte
RAID 6	Doppelte Parität	4	2 Festplatten	2 Festplatten
RAID 1+0	Spiegelung + Striping	4	1 Festplatte pro Spiegel	50 %

Ein Punkt verdient es, gleich zu Beginn festgehalten zu werden, weil er der Ursprung vieler Dramen ist: Ein RAID ist keine Sicherung. Es schützt vor dem Hardwaredefekt einer Festplatte, mehr nicht. Es rettet Sie weder vor einer versehentlichen Löschung noch vor Ransomware, noch vor einem Brand, noch vor einem Konfigurationsfehler. Dafür braucht es eine echte Sicherungsstrategie, getrennt vom RAID.

Wie ein RAID ausfällt

Die Defekte, die wir im Labor sehen, folgen einigen wiederkehrenden Szenarien.

Der Verlust der Konfiguration. Ein RAID existiert nur dank seiner Konfiguration: der Information, die beschreibt, wie sich die Festplatten zu einem Volume zusammenfügen. Diese Konfiguration befindet sich entweder auf einer physischen Controller-Karte oder auf den Festplatten selbst eingeschrieben, in der Regel in mehreren Exemplaren. Ist die Controller-Karte defekt, verschwindet das virtuelle RAID. Und selbst wenn die Konfiguration auf den Festplatten repliziert ist, kann sich ein Problem auf alle Kopien ausbreiten und den Verbund verloren gehen lassen.

Der degradierte Modus. Wenn eine Festplatte ausfällt, erkennt das System dies und wechselt in den degradierten Modus: Auf der defekten Festplatte wird nichts mehr gespeichert, und der Verbund läuft mit einer Festplatte weniger weiter. Das ist das Sicherheitsnetz des RAID, aber ein Netz zum einmaligen Gebrauch. Fällt bei einem RAID 5 im degradierten Modus eine zweite Festplatte aus, sind sämtliche Daten verloren. Daher ist es wichtig, schnell zu reagieren, sofern die Systemwarnungen richtig konfiguriert und empfangen wurden. Viele RAIDs laufen wochenlang im degradierten Modus, ohne dass es jemand weiss.

Der Rebuild: die Falle, die fast alle unterschätzen

Ein Rebuild ist die automatische Wiederherstellung des Inhalts einer ersetzten Festplatte, aus den Daten und der Parität, die auf den anderen Festplatten des RAID vorhanden sind. Auf dem Papier ist das die normale Prozedur. In der Praxis ist es der gefährlichste Moment im gesamten Leben eines RAID.

Hier ist der Grund. Die Festplatten desselben Servers sind fast immer identisch: gleiche Kapazität, gleiches Modell, im selben Zeitraum aus demselben Werk desselben Herstellers gekommen. Sie haben anschliessend genau gleich viele Stunden gelaufen, unter denselben Bedingungen. Sie haben also, mit geringen Abweichungen, das gleiche Alter und die gleiche Ermüdung.

Nun ist ein Rebuild kein harmloser Vorgang: Er liest sämtliche Sektoren, vom ersten bis zum letzten, aller verbleibenden Festplatten. Das ist die intensivste Beanspruchung, die eine Festplatte erfahren kann. Und es kommt sehr regelmässig vor, dass eine zweite Festplatte, ebenso ermüdet wie die soeben ausgefallene, genau diesen Moment wählt, um nachzugeben. Bei einem RAID 5 ist das System dann nicht mehr in der Lage, irgendetwas wiederherzustellen: zwei fehlende Festplatten, keine ausreichende Parität, Daten verloren.

Das ist das grausame Paradox des RAID: Die Prozedur, die den Defekt beheben soll, ist auch diejenige, die ihn in eine Katastrophe verwandelt.

Die Fehler, die töten

Über den Rebuild hinaus verschlimmern bestimmte menschliche Reaktionen die Lage fast immer.

Das RAID löschen und neu erstellen. Das ist der zerstörerischste Fehler. Angesichts eines Systems, das nicht mehr einbindet, glaubt man, das Richtige zu tun, indem man die RAID-Konfiguration löscht, um eine neue zu erstellen. Doch wenn man nicht genau weiss, wie das RAID aufgebaut war (die genaue Reihenfolge der Festplatten, die Blockgrösse), schreibt man über die bestehende Struktur eine falsche Struktur und verwischt die Spuren, die eine vollständige Wiederherstellung ermöglicht hätten.

Wir standen eines Tages vor einem Musterbeispiel. Ein Informatiker verwaltete ein RAID-System aus drei Festplatten, in einem Server, der vier oder fünf enthielt. Nach einem Problem hat er alles gelöscht und ein RAID neu aufgebaut, indem er alle fünf Festplatten auf einmal verwendete. Das Ergebnis war ein echtes Puzzle, doch mit viel Arbeit konnten wir die Daten dennoch wiederherstellen.

Die Handgriffe häufen. Der allgemeine Grundsatz, den man sich merken sollte: Je mehr man mit der RAID-Verwaltungssoftware arbeitet, je mehr Wiederherstellungen, Rebuilds und Kommandozeilenbefehle man startet, desto mehr Risiko geht man ein. Jeder Handgriff lässt Festplatten laufen, die vielleicht schon beschädigt sind, und jede zusätzliche Umdrehung einer sterbenden Festplatte kann die letzte sein.

Der richtige Handgriff und was ein Labor an Ihrer Stelle tut

Die richtige Reaktion ist also kontraintuitiv: nichts weiter tun. Das System ausschalten und die Festplatten einem Labor bringen, ausschliesslich die Festplatten, der Server oder das NAS sind nicht nötig.

Was wir dann tun, ist das Gegenteil des Rebuild im laufenden Betrieb. Der erste Schritt ist eine bitweise Kopie jeder Festplatte: Wir frieren den Zustand jeder einzelnen ein, wie eine Fotografie, und schützen die Originaleinheiten. Von da an arbeiten wir nie wieder an den Originalfestplatten, sondern an ihren Kopien.

Anschliessend folgt die virtuelle Rekonstruktion des RAID. Durch Analyse der Kopien bestimmen wir die genaue Reihenfolge der Festplatten, die Blockgrösse, das Paritätsschema, und wir setzen das Volume im laufenden Zugriff wieder zusammen, um die Daten zu extrahieren. Die Originalfestplatten hingegen laufen nicht mehr: Sie sind in Sicherheit.

Eine wichtige Präzisierung: Bei uns birgt nichts davon das Zerstörungsrisiko eines klassischen Rebuild. Unsere bitweisen Kopien werden selbst schreibgeschützt aufbewahrt, wir starten nie wieder die Software der RAID-Karten noch irgendeine Rekonstruktion im laufenden Betrieb, und wir setzen das RAID virtuell im laufenden Zugriff zusammen. Unser Verfahren schreibt nichts auf Ihre Daten. Die einzige echte Grenze ist der physische Zustand der Festplatten: Was auf einer Platte tatsächlich unlesbar ist, bleibt es, aber niemals aufgrund der Handhabung.

Bei sehr grossen Volumen (mehrere Terabyte, mitunter 60, 70 oder 80 TB verteilt auf sechzehn Festplatten oder mehr) ist das Vorgehen dasselbe in grösserem Massstab: bitweise Sicherungskopien aller Festplatten, dann Extraktion der Daten auf ein neues NAS, das der Kunde zur Verfügung stellt. Nach Abschluss des Vorgangs geht er mit seinem neuen NAS, dessen Daten bereits so strukturiert sind, wie sie es waren, einsatzbereit davon.

Zwei Ratschläge, die gegen den Strom gehen

Unsere Erfahrung hat uns dazu gebracht, zwei Dinge zu empfehlen, von denen die gängige Logik abrät.

Mischen Sie die Marken Ihrer Festplatten. Alle empfehlen identische Festplatten (gleiches Modell, gleiche Product Number) für ein homogenes System, das mit derselben Geschwindigkeit läuft. Das ist im Hinblick auf die Leistung richtig. Doch es ist auch die Garantie, dass alle Ihre Festplatten das gleiche Alter, die gleiche Abnutzung und die gleiche Anfälligkeit für Ausfälle haben werden, daher die Kaskadenausfälle während eines Rebuild. Wir empfehlen stattdessen Festplatten mit identischer oder sehr ähnlicher Leistung, aber unterschiedlicher Marken oder Serien. Bei einem RAID 1+0 kann man beispielsweise das RAID 0 mit einer Marke aufbauen und seinen Spiegel mit einer anderen: An dem Tag, an dem ein Serienfehler eine Marke trifft, hält die andere stand.

Eine Geschichte veranschaulicht dieses Risiko perfekt. Wir wurden zu einem NAS gerufen, das vollständig mit SSD ausgestattet war. Alle diese SSD teilten einen Firmware-Fehler: Ein interner Wert im Speicher überschritt nach einer gewissen Betriebszeit einen Schwellenwert, in der Grössenordnung von zwei bis drei Jahren. Nach Überschreiten dieses Schwellenwerts stürzte die Firmware ab, die SSD verweigerte die Initialisierung und wurde nicht mehr erkannt. Der Kunde, auf einem RAID 5, stiess auf ein erstes Problem, schaltete den Server aus, startete neu, setzte eine neue SSD ein, startete erneut. Doch dieser Neustart liess alle SSD gleichzeitig wieder anlaufen, die alle gleichzeitig den verhängnisvollen Wert erreichten. Auf einen Schlag funktionierte keine Festplatte mehr. Mit unterschiedlichen Marken hätte dieser gemeinsame Fehler nicht alle Festplatten im selben Augenblick getroffen.

Meiden Sie proprietäre Hybrid-RAIDs. Manche Marken bieten hauseigene Hybrid-RAID-Systeme an, die beispielsweise virtuelle Volumen aus mehreren, auf herstellerspezifische Weise zusammengefügten Elementen erstellen. Auf dem Papier ist das praktisch. Im Fall eines Defekts, eines Fehlers oder einer Beschädigung der Konfiguration ist es ein Albtraum: Diese Verbünde sind schwer zu verstehen, wenn nichts von den Technikern dokumentiert oder protokolliert wurde, die sie eingerichtet haben. Ein standardmässiges, gut dokumentiertes RAID lässt sich immer besser wiederherstellen als ein undurchsichtiges proprietäres System.

Häufige Fragen

Was tun, wenn ein RAID oder ein NAS ausfällt?

Schalten Sie das System sofort aus und unternehmen Sie keinen Wiederherstellungsversuch. Löschen Sie das RAID nicht, starten Sie keinen Rebuild, setzen Sie keine Festplatte wieder ein. Entnehmen Sie die Festplatten (und notieren Sie nach Möglichkeit ihre Reihenfolge) und übergeben Sie sie einem spezialisierten Labor: Es ist die Handhabung, nicht der Defekt, die am häufigsten die Daten kostet.

Warum ist ein RAID-Rebuild gefährlich?

Weil er sämtliche Sektoren aller verbleibenden Festplatten liest, die das gleiche Alter und die gleiche Abnutzung haben wie die soeben ausgefallene. Diese intensive Beanspruchung führt häufig dazu, dass während des Vorgangs eine zweite Festplatte ausfällt. Bei einem RAID 5 führt der Verlust einer zweiten Festplatte während des Rebuild zum Totalverlust der Daten.

Ist ein RAID eine Sicherung?

Nein. Ein RAID schützt je nach Level ausschliesslich vor dem Hardwaredefekt einer oder zweier Festplatten. Es schützt weder vor einer versehentlichen Löschung noch vor Ransomware, noch vor einem Brand, noch vor einem Konfigurationsfehler. Eine echte Sicherung, getrennt und idealerweise ausgelagert, bleibt unerlässlich.

Kann man die Daten eines RAID 5 wiederherstellen, bei dem zwei Festplatten ausgefallen sind?

Oft ja, sofern man die Lage nicht verschlimmert hat. Im Labor erstellt man eine bitweise Kopie jeder Festplatte, dann rekonstruiert man das RAID virtuell aus den Kopien, um die Daten zu extrahieren. Die Originalfestplatten werden nicht mehr beansprucht, was schützt, was noch zu schützen ist.

Muss man den kompletten Server ins Labor bringen?

Nein, die Festplatten genügen. Die Konfiguration wird aus den Festplatten selbst rekonstruiert. Nur die Festplatten zu bringen, vereinfacht die Logistik und vermeidet, das Material unnötig zu handhaben.

Sollte man identische Festplatten in einem RAID verwenden?

Das ist die gängige Praxis, doch sie hat einen Nachteil: Identische Festplatten altern und schwächen im gleichen Rhythmus, daher die Kaskadenausfälle bei einem Rebuild. Wir empfehlen stattdessen Festplatten mit ähnlicher Leistung, aber unterschiedlicher Marken oder Serien, damit ein gemeinsamer Fehler sie nicht alle gleichzeitig trifft.