Datenrettung: Wenn (fast) alles zu spät ist

Das gesamte Wissen eines Unternehmens steckt heute in den Computern, von der Finanzbuchhaltung bis zu der Kundenverwaltung - Wissen das einen hohen "Wert" repräsentiert. Der "Wert" dieser Daten hängt natürlich eng mit deren Bedeutung für das Unternehmen zusammen: Daten aus der Buchhaltung, Auftragsverwaltung und Lohnbuchhaltung sind beispielsweise besonders unternehmenskritisch. Man kann den Wert aber auch anders "messen".

Ein Beispiel: Eine versierte Schreibkraft (durchschnittlich 300 Anschläge/min) benötigt für die Erfassung eines Textes in der Größe von rund 1MB ca. 55 Arbeitsstunden (vorausgesetzt, die Daten liegen als Ausdruck vor). Nimmt man einen Stundenlohn inkl. aller Nebenkosten von 40 Euro an, dann kostet die "Datenwiederherstellung" auf diesem Weg ca. 2.200 Euro.

Datenverlust bleibt nicht ohne Folgen

Die Anzahl an Fällen von Datenverlust in Unternehmen und die Schwere der davon ausgelösten finanziellen Folgen nehmen seit Jahren zu. Dafür sind mehrere Entwicklungen verantwortlich:

• Unternehmen speichern immer mehr Daten ausschließlich elektronisch und führen keine Sicherung in Form von Ausdrucken mehr durch;
• es werden??immer größere und technisch komplexere Speichersysteme eingesetzt, die insgesamt anfälliger für Datenverluste sind (moderne Festplatten besitzen beispielsweise eine viel höhere Speicherdichte als noch vor wenigen Jahren)
• elektronische Daten werden immer lebenswichtiger für Unternehmen, da viele Geschäftsprozesse inzwischen zu hundert Prozent auf Daten und deren Verknüpfungen beruhen;
• zwar existieren immer bessere Backup-Systeme und -Methode, diese werden aber selbst in großen Unternehmen oft nicht konsequent oder nicht richtig eingesetzt.

Recherchen vom Datenrettungspezialisten Kroll Ontrack haben ergeben, dass in 80% der Datenverlustfälle scheinbar ordnungsgemäß erstellte Backups existieren, die sich dann aber in einem nicht verwertbaren Zustand befinden! Backup-Systeme gehen immer davon aus, dass die Hardware und die Speichermedien sich zum Zeitpunkt der Datensicherung in einem intakten Zustand befinden und die gesicherten Daten nicht beschädigt sind; lagen beim Fahren des Backups aber bereits Beschädigungen an Daten vor, dann wird das Backup dies einfach widerspiegeln. Die benötigten Daten können nicht wie gewünscht restauriert werden.

Die häufigsten Gründe für Datenverlust

Rund drei Viertel aller Schadensfälle beruhen auf Störungen an der Hardware oder auf Bedienungsfehlern. Die fünf wichtigsten Ursachen für Datenverlust im Überblick (Quelle: Kroll Ontrack-Studie, 2002):

• Funktionsstörungen der Hardware oder des Systems 44% (Studien gehen beispielsweise davon aus, dass rund 23% der Desktop-PCs und 27% der mobilen Computer innerhalb der ersten zwei Jahre einen Defekt aufweisen)
• Software-Fehler oder Funktionsstörungen von Software 14%
• Computerviren 7%
• Höhere Gewalt (Naturkatastrophen, Brände etc.) 3%

Die Tücke der Speichermedien

Grundsätzlich sind elektronisch gespeicherte Daten stärker gefährdet als Informationen, die auf Papier aufbewahrt werden. Zwar kann auch ein Aktenordner versehentlich weggeworfen werden oder einem Brand zum Opfer fallen - es gibt aber viel mehr mögliche Ursachen für den Verlust digitaler Daten. Hinzu kommt, dass digitale Informationen bis auf wenige Ausnahmen entweder in einem flüchtigen Speicher liegen, dessen Inhalt verloren geht, sobald die Stromzufuhr unterbrochen wird, oder auf Medien, die Daten magnetisch oder optisch aufzeichnen (Diskette, Festplatte, Magnetband, CD, DVD).

Die Struktur solcher Medien kann durch eine Reihe von äußeren Einflüssen verändert werden (mechanisch, thermisch, magnetisch). Geschieht dies, so werden auch die gespeicherten Daten verändert. Wird z.B. durch den Magnetismus, den ein Lautsprecher abgibt, nur die geringe Anzahl von fünfzig Bytes einer Programmdatei auf einer Diskette verändert, kann dies dazu führen, dass diese Anwendung nicht mehr funktionsfähig ist.

Beeinflusst werden Magnetpartikel übrigens nicht nur durch magnetische Einwirkung. Der klassische ‚Headcrash', bei dem ein Schreib-/Lesekopf die Oberfläche berührt, führt zu einer physikalischen Beschädigung und damit zu Datenverlust. Hitze und Feuchtigkeit, die im Katastrophenfall einwirken, verändern meist die Struktur des Trägermaterials, so dass sich entweder die Magnetschicht teilweise ablöst oder aber der Träger (die ‚Platte') nicht mehr eben ist, was ebenfalls einen Headcrash zur Folge haben kann.

Für das Backup werden in den meisten Unternehmen nach wie vor Magnetbänder eingesetzt. Magnetbänder haben prinzipiell den Vorteil, dass für die Speicherung einer Informationseinheit mehr Fläche zur Verfügung steht, sodass die Daten magnetisch und mechanisch weniger gefährdet sind als auf einer Festplatte. Die Schreib-Lese-Methode unterscheidet sich nicht grundsätzlich, ist aber bei Magnetbändern insgesamt robuster. Trotzdem sind natürlich auch Magnetbänder - gleich welchen Typs wie Streamerkassetten, Minikassetten, DAT - empfindlich gegenüber magnetischen, mechanischen und thermischen Einflüssen.

Als optische Medien werden - besonders im Bereich Datensicherung und mobile Daten - zunehmend auch CDs (als CD-ROM), DVDs oder magnetooptische Träger (MOs) eingesetzt. Diese sind zwar unempfindlich gegenüber externem Magnetismus, aber vor Datenverlust durch mechanische Beschädigung oder Hitze nicht gefeit.

Nicht vergessen darf man auch mobile Datenträger wie Wechselplatten (Harddisk, ZIP, JAZ, u.a.), Compact-Flash-Speicher oder Microdrives, Smart Medias, Memory Sticks, Secure Digital oder Multi Media Cards, die in ein unternehmensweites Datensicherheitskonzept eingebunden werden müssen.

Wenn nichts mehr geht

Die einzige und beste Prophylaxe gegen Datenverlust ist ein konsequent durchgeführtes Backup! Aber selbst wenn diese Vorbeugungsmaßnahme in einem Unternehmen optimal verwirklicht wird, bleibt ein Restrisiko. Mit den modernen Methoden der Datenrettung lassen sich jedoch auch Daten, die nicht aus einem Backup restauriert werden können, wiederherstellen.

Die Aufgaben der Datenrettung liegen nicht nur in der aufwändigen Wiederherstellung von Datenfragmenten auf beschädigten Datenträgern. Neben dem komplexen Finden und Auslesen von Magnetpartikeln und "Datensplittern" gibt es zahlreiche Fälle, bei denen es ausreicht, redundante Daten auf gespiegelten Systemen zu identifizieren oder aus dezentral gesicherten Informationen zusammenzusetzen.

Mit der genauen Kenntnis des Betriebssystems, der vorhandenen Netzstruktur und der für diesen Fall geeigneten Werkzeuge zur Datenrettung kann durch einen professionellen Eingriff oft eine rasche und erfolgreiche Datenrecherche eingeleitet werden.

Aufgrund genauer Systemkenntnisse wissen die Experten, welche Daten in welchen Verzeichnissen, Sektoren oder Segmenten von Datenträgern zu finden sind und was eine rasche und effiziente Wiederherstellung gelöschter Dateien möglich macht. Gelöschte Daten lassen sich relativ leicht wiederherstellen, sofern mit dem entsprechenden Rechner nicht allzu lange weiter gearbeitet wurde und somit Daten überschrieben wurden.

Darüber hinaus lassen sich Datei-Fragmente in freigegebenen Clustern und im Slack-Bereich (von Dateien nicht ausgenutzte Bereiche) der Festplatte auffinden.

Selbst von formatierten Festplatten und beschädigten Datenträgern lassen sich Daten gezielt wiederherstellen, wobei auch zunächst nicht mehr lesbare, korrupte Dateistrukturen kein dauerhaftes Hindernis bieten. Selbst wenn sich durch physische Zerstörungen - beispielsweise fehlende Stücke des Magnetbandes - nur Teile des Datenträgers wiederherstellen lassen, kann dies durchaus genügen, da dieser Teil eventuell wichtige Informationen, den verlangten Nachweis oder das fehlende Indiz enthält.

Viele verloren geglaubte Informationen lassen sich zudem aus gelöschten E-Mails oder über die Wiederherstellung von Meta-Daten retten. Hier wird deutlich, wie wichtig die genaue Kenntnis von Betriebssystemen und deren Eigenheiten ist.

In rund 60 Prozent aller Fälle sind die Daten so schwer beschädigt, dass die Festplatte in den Reinraum muss. In einem hochspezialisierten Prozess werden hier verlorene Daten gesucht und wiederhergestellt, Verzweigungen und Strukturen rekonstruiert und die Daten auf neuen Medien sicher abgespeichert.

Online-Datenrettung

Noch recht jung am Markt aber schon überaus erfolgreich ist die Online-Datenrettung, wie sie derzeit von Kroll Ontrack unter dem Namen Remote Data Recovery (RDR) angeboten. Die Entwicklung dieser Methodik beruht auf der Erfahrung, dass in ca. 50% der Fälle das Einschicken eines Datenträgers nicht nötig gewesen wäre, da der Datenverlust nicht aufgrund einer Beschädigung des Speichermediums entstanden ist, sondern durch korrupte Dateisysteme, Fehlbedienung oder Viren ausgelöst wurde.

Solche Fälle von Datenverlust können auch ohne Analyse der betroffenen Hardware gelöst werden. Für die Kunden hat dies erhebliche Vorteile, insbesondere, was den Zeitaufwand für die Datenrettung angeht. Schließlich muss bei einer Datenrettung im Labor - abgesehen von der Zeit für Einsenden und Zurückschicken der Medien - oft mit drei bis fünf Tagen gerechnet werden. RDR steht dagegen 24 Stunden am Tag zur Verfügung und ist die derzeit schnellste Form der Datenrettung. Die Kontaktaufnahme mit dem Datenretter erfolgt per Telefon, die Datenanalyse per Software im telefonischen Kontakt mit dem Experten, der dann die möglicherweise nötige Datenrekonstruktion online vornimmt.

Grundsätzlich möglich ist die Online-Datenrettung immer dann, wenn ein Laufwerk physikalisch gesund ist. Dann können die Daten auf diesem Laufwerk über eine gesicherte Modem- oder Internetverbindung direkt bearbeitet und wiederhergestellt werden. Dabei ist es egal, ob es sich um einen Server, Desktop oder Laptop handelt. Kroll Ontrack setzt ein eigenes (geheimes) Übertragungsprotokoll ein, das durch eine Datenverschlüsselung auf Paketbasis zusätzlich optimiert wird.

---

Zehn Gebote für den Ernstfall

Die Checkliste der Datenrettungs-Experten von Kroll Ontrack

1. Zunächst gilt es Ruhe zu bewahren. Egal was passiert ist, gehen Sie davon aus, dass die Daten in 80% aller Fälle wiederherstellbar sind. Tätigen Sie keine übereilten Handlungen!

2. Defekte Hardware führt oft zu Fehlverhalten der Datenträger. Schalten Sie den PC deshalb nicht ein, wenn Sie vermuten, dass es - zum Beispiel bei einem Blitzeinschlag - zu Überspannung in Ihrem Netz gekommen ist. Lassen Sie den PC ausgeschaltet.

3. Bei einem Festplattencrash hören Sie oft ungewöhnliche Geräusche, z.B. Klackern oder hohe Töne. In diesem Fall gilt es, keinesfalls selbst Hand an die Hardware zu legen. Lassen Sie das System ausgeschaltet. Ein Neustart könnte die Festplatte endgültig zerstören.

4. Verwenden Sie keine Datenträger, die Hitze, Feuchtigkeit oder Verrußung ausgesetzt waren, da die Daten unwiderruflich verloren gehen können, wenn der Datenträger nicht in der staubfreien Umgebung eines Reinraums behandelt wird.

5. Unterlassen Sie das Schütteln des Datenträgers und öffnen Sie bei Festplatten nicht das Gehäuse.

6. Durch Wasser beschädigte Datenträger sollten feucht gehalten (im Wasser lassen oder in feuchte Tücher einwickeln) und sofort ins Labor gebracht werden.

7. Beschädigte Datenträger können bei einem weiteren Betrieb unwiederbringliche Schäden erleiden, auch wenn Sie noch einige Datensätze kopieren können. Diese Datenträger sollten nicht weiter verwendet werden.

8. Probieren Sie niemals, Datenträger selbst zu säubern. Am besten senden Sie den Datenträger an ein Datenrettungs-Labor.

9. In vielen Fällen lassen sich die verlorenen Daten mit speziellen Software-Programmen (z.B. Ontrack EasyRecovery) in Eigenregie wiederherstellen. Setzen Sie solche Tools jedoch nicht ein, wenn die Anzeichen auf einen Hardware-Defekt deuten und der Computer beispielsweise ungewöhnliche Geräusche von sich gibt.

10. Wenden Sie sich unbedingt an ein Fachunternehmen für Datenrettung

http://www.krollontrack.de