Keine Panik beim Plattencrash

Wenn der PC beim Booten keine Platten mehr erkennt oder klackernde Geräusche aus dem Laufwerksschacht kommen, ist es meistens schon zu spät: Die Festplatte ist defekt. Das "Brot-und Buttergeschäft der Datenretter", wie Karl-Friedrich Flammersfeld, Geschäftsführer Ibas Deutschland GmbH es nennt, sind "weniger die spektakulären Fälle wie Hochwasserschäden oder Feuer, sondern defekte Köpfe und Bad Blocks, also der normale Crash."

nd der ist oft das größte Problem: Während sich Firmen nach spektakulären Unfällen sofort an professionelle Datenrettungsfirmen wenden, versuchen Administratoren und Anwender im Alltag meistens, selbst Hand anzulegen: "Das Problem ist so alt wie die Datenrettung: Festplatten sterben in der Regel nicht am ersten Symptom, sondern bei unsachgemäßen Wiederherstellungsversuchen", so Flammersfeld.

Tod mit Puzzle-Effekt

Der Datentod kann eine Festplatte durch logische oder physikalische Schäden ereilen. Bei physikalischen Schäden arbeiten die Schreib-Lese-Köpfe fehlerhaft oder Sektoren der Platte sind nicht mehr lesbar. Jeder Versuch, die Platte jetzt noch zu betreiben, dehnt die beschädigten Bereiche aus, weil der defekte Kopf auf der Oberfläche Kratzer hinterlässt. Bei logischen Schäden hat sich entweder die Firmware aufgehängt, also das Betriebssystem der Festplatte oder, noch schlimmer, das Dateisystem ist defekt. Schon eine 40-GByte-Festplatte hat bis zu 80 Millionen Sektoren, die zu Clustern zusammengefasst werden, damit das Betriebssystem sie einfacher verwalten kann. Treten Fehler im Dateisystem auf, dann "ist das wie 80 Millionen Puzzle-Stückchen in einem großen Eimer", so Flammersfeld - die Daten sind da, aber nicht mehr zu gebrauchen.

Der Experte erkennt "sterbende" Festplatten am auffälligen Verhalten. Das Laufgeräusch wird lauter, oder sie brauchen plötzlich ungewöhnlich lange für den Datenzugriff, erkennbar an der lange leuchtenden Laufwerks-LED. Wer es jetzt noch schafft, ein Backup zu ziehen, der hat Glück. Schaltet sich die Platte aber mit einem deutlich hörbaren "Klick" ab oder sind schabende und klappernde Geräusche zu hören, zieht man besser den Stecker - die defekten Köpfe sind dann bereits dabei, die Oberfläche der Scheiben zu beschädigen und Sektoren zu zerstören. Daten auf defekten Oberflächenbereichen sind fast immer unwiederbringlich verloren, darum sollte man auch einen Neustart unterlassen, er könnte weitere Schäden anrichten. Mit hoher Wahrscheinlichkeit meldet sich die Festplatte ohnehin nicht mehr am System an, der Zugriff über das Betriebssystem ist nicht mehr möglich. Manchmal warnt auch die S.M.A.R.T-Funktion der Festplatte vor dem baldigen Ende. S.M.A.R.T (Self-Monitoring, Analysis and Reporting Technology) ist eine Sammlung von Parametern, die die Festplatte dem Motherboard meldet. Werden Schwellwerte überschritten, zeigt das BIOS des Computers spätestens beim Start eine Warnung an - vorausgesetzt, S.M.A.R.T wurde freigegeben, denn noch immer ist dieses nützliche Feature in vielen Motherboards per Default abgeschaltet. S.M.A.R.T-Nachrichten lassen sich auch von Windows oder Linux auslesen, passende Tools gibt es beispielsweise hier:

• HD Checker

• Smartmontools

Auch bei logisch defekten Platten kann eine sofortige Stromunterbrechung das Mittel der Wahl sein: "Physikalisch macht es die Sache nicht schlimmer, und man verhindert, dass ein herunterfahrendes System noch Hunderte von Dateien oder den Cache-Inhalt in möglicherweise kritische Sektoren schreibt", so Flammersfeld. Ist die Platte in ihrem derzeitigen Zustand "eingefroren", gilt es zu entscheiden: Wie ernst ist die Lage? Wie wichtig sind die Daten? Wenn es kein Backup gibt, aber die gesamte Buchhaltung auf der Platte liegt, bleiben nur die Profis: Ab ins Datenrettungslabor.

Antistatische Intensivstation

Im Reinraum bei Kroll-Ontrack sitzen Mitarbeiter in weißen Kitteln mit Antistatic-Schuhen auf antistatischen Stühlen in einem Arbeitsraum der Klasse 100 - maximal 100 Staubpartikel dürfen hier pro Kubikmeter Luft herumfliegen. Im Linoleumboden sind Kupferbänder eingelassen - alles das soll verhindern, dass eine der defekten Platten durch eine statische Entladung den Todesstoß erhält. Kommt eine defekte Platte ins Labor, ziehen die Techniker als erstes eine genaue Kopie, mit der sie dann an die Arbeit gehen. Dabei werden alle Sektoren kopiert, auch solche, die als "gelöscht" markiert sind. Schlägt ein Rettungsversuch fehl, sind die Original-Daten nicht beschädigt. "Das macht der Nutzer zu Hause meist nicht", erklärt Martin Hiller, Supervisor bei Kroll-Ontrack, "dazu fehlen ihm in der Regel auch die Mittel. Und dann hat er nur einen Versuch."

Vorsicht vor Tools

Wichtig ist daher, beim Ausfall eines Servers die Daten immer erst separat zu speichern, bevor man sie wieder auf einen möglicherweise defekten Datenträger aufspielt. Auch bei Ausfällen von Microsoft-Exchange- oder SQL-Servern sollte man nicht versuchen, die Original-Dateien zu reparieren, sondern immer erst eine Sicherungskopie erstellen und dann damit arbeiten. So vermeidet man weitere Datenverluste durch Repair-Tools, die eventuell Daten überschreiben. Auch nach Stromausfall oder einem streikenden Datei-System können die Tools mehr schaden als nutzen, dann hilft nur der Datenrettungsdienst.

Besteht der Verdacht, dass eine Platte defekt sein könnte, oder meldet S.M.A.R.T, dass demnächst Schwierigkeiten auftreten werden, liegt der Griff zu diversen Werkzeugen nahe. Leider mit fast immer tödlichen Folgen bei Hardwaredefekten. Besonders schädlich sind Versuche, das Problem mittels Defragmentierungs-Tool in den Griff zu bekommen. Abgesehen von der hohen mechanischen Belastung für die Festplatte, die dieser Dauereinsatz mit sich bringt, speichert das Tool laufend große Datenmengen zwischen, um sie später wieder an den neuen Ort auf der Platte zu schreiben. Fällt die Platte in diesem Moment endgültig aus, ist das Dateisystem an dieser Stelle nicht auf dem neuesten Stand, "korrupt" wie der Experte sagt. Das System kann auf die Dateien nicht mehr zugreifen. Auch Volume-Repair-Utilities können mehr Schaden als Nutzen anrichten: Sie arbeiten auf defekten Festplatten mit den meist falschen Angaben des Dateisystems und überschreiben unter Umständen wertvolle Daten, die dann für immer verloren sind

Sonderbehandlung für RAID-Systeme

Defekte RAID-Systeme brauchen besondere Aufmerksamkeit, auch wenn sie eigentlich auf den ersten Blick besonders sicher sind: Der Ausfall einer einzelnen Festplatte bleibt in der Regel ohne Konsequenzen für den Datenbestand. Streiken jedoch mehrere Festplatten, kommt es schnell zum Datenchaos: Je nach RAID-Level sind schon ab zwei fehlenden Festplatten sowohl die Daten gefährdet als auch der wesentliche Vorteil eines RAID-Arrays - ununterbrochene Verfügbarkeit - dahin. Jeder Hersteller nutzt auf Controllerbasis ein anderes Format, um die Daten mit Hilfe von Parity-Informationen redundant über die Platten zu verteilen. Selbst mit speziellen Datenrettungstools ist nichts zu machen - hier hilft nur noch, die defekten Platten unter allen Umständen wieder zum Laufen zu bringen, oder die Fachleute eines professionellen Datenrettungsservice zu beauftragen. Auch wer benutzte und nicht ordnungsgemäß formatierte Festplatten in sein RAID-System einbaut, tut sich keinen Gefallen: Kommt es zum Plattencrash, lesen die Experten auch alte, als gelöscht markierte Daten mit aus. So wird es noch schwieriger, die ursprünglichen Dateien wieder herzustellen.

Die spektakulärsten Fälle sind die einfachsten: Festplatten, die Feuer und Wasser ausgesetzt waren, sind zwar die Ausnahme, aber leicht zu reparieren. Bei Bränden in Büros werden die Festplatten großer Hitze, Rauch- und Rußentwicklung ausgesetzt. Während Ruß oder Löschwasser nicht unbedingt ein Problem sein müssen, kann die Hitze schon gefährlicher werden. Ab einer gewissen Temperatur entmagnetisieren sich die Scheiben, dann sind die Daten auf immer verloren. Meistens lassen sich die Platten aber reinigen und die Daten auslesen. Auch Wasser muss nicht zum Datenverlust führen, wenn man sich den Griff zum Fön verkneift. Besser ist es, die Festplatten feucht zu halten, möglichst luftdicht zu verschließen und einem Datenrettungslabor zu übergeben. Sauerstoff führt auf nassen Metallen zu Oxidation und dann wird der Zugriff auch für Experten schwer.

Dass Platten nicht geöffnet, geputzt oder auseinander genommen werden sollten, versteht sich von selbst. Solche gut gemeinten Reinigungsaktionen bedeuten in der Regel den Todesstoß für jede Festplatte. "Es ist manchmal falscher Stolz, nicht zugeben zu können, das man eine defekte Platte und kein Backup hat und Hilfe braucht", sagt Flammersfeld von Ibas. Wer sich dennoch überwindet und die Platte zum Labor schickt, dem gibt Hiller von Kroll Ontrack noch eine Bitte mit auf den Weg: "Der Kunde sollte immer seine zehn wichtigsten Dateien mit Dateipfaden angeben, damit wir danach gezielt suchen können."

Quelle: ZDNET, 18.1.2006

URL: http://www.zdnet.de/security/praxis/0,39029462,39140265,00.htm