CBL Datenrettung stellt von SSD gelöschtes Filmaterial wieder her

Daten rekonstruiert, Imageschaden vermieden

| Autor / Redakteur: Marcus Planckh / Rainer Graefen

Früher war der Wechsel von Schreibleseköpfen im Reinraum einer der Arbeitsschritte, an dem man den Datenrettungsprofi erkannte. Heute differenziert er sich eher über seine Kenntnisse zur inneren Logik von SSDs.
Früher war der Wechsel von Schreibleseköpfen im Reinraum einer der Arbeitsschritte, an dem man den Datenrettungsprofi erkannte. Heute differenziert er sich eher über seine Kenntnisse zur inneren Logik von SSDs. (Bild: CBL Datenrettung GmbH)

Bildmaterial ist das Kapital von Agenturen, die für Unternehmen Foto- und Filmdokumentationen realisieren. Gehen Daten verloren, ist guter Rat teuer. Dies erfuhr ein niedersächsischer Dienstleister am eigenen Leib, als er feststellen musste, dass seine auf SSD gespeicherten Aufnahmen gelöscht waren. Technikern von CBL Datenrettung gelang es, diese mittels eigen entwickelter Methoden wiederherzustellen.

Ganz gleich worauf der Verlust von Footage-Material zurückzuführen ist, der Schaden ist immer groß. Vor allem bei aufwändigeren Produktionen, für die spezielle Drehgenehmigungen eingeholt werden müssen oder die mit hohen Reisekosten verbunden sind und daher nicht wiederholt werden können. Genau vor diesem Problem stand eine Filmproduktionsfirma, deren auf SSD gespeicherte Daten gelöscht waren.

Aufgezeichnet wurden die Aufnahmen mit der 4K-fähigen Kamera Atomos Shogun. Bei dem System kommen auswechselbare Solid State Disks als digitale "Filmrollen" zum Einsatz, die sich über die Thunderbolt 1-Schnittstelle an einen Mac mit dem Betriebssystem OSX 10.11.4 anschließen lassen, um dann das Material direkt mit Final Cut Pro zu schneiden. Das hatte in der Vergangenheit problemlos und schnell funktioniert. Zwar wurde auch diesmal das Material vor Ort gesichtet und das Team war sich daher sicher, alles im Kasten zu haben. Dennoch - sei es, ob in Folge einer unsachgemäßen Bedienung des Equipments oder einem Softwarefehler - diesmal waren die Daten zerstört.

Dem für die Wiederherstellung zunächst eingeschalteten Datenretter gelang es von der eingeschickten Sandisk Extreme Pro 960 SSD lediglich unstrukturierte Fragmente mit einer maximalen Größe von 2 GB zu rekonstruieren. Dies half dem Unternehmen jedoch nicht weiter.

Filmproduktion unternimmt zweiten Anlauf

Anstelle dem Kunden mitzuteilen, den zugesagten Film nicht liefern zu können und damit einen Imageschaden in Kauf nehmen, suchte die Agentur nach einer Alternative. Dabei stieß sie bei Recherchen im Internet auf einen Bericht über die Datenrettung von Filmmaterial beim NDR und damit auf die Firma CBL Datenrettung, dem deutschen Labor der weltweit tätigen kanadischen CBL Data Recovery Technologies.

Über 20 Jahre Erfahrung und eine kostenlose Diagnose klang auf den ersten Blick vielversprechend. Ebenso als sich bei einem Anruf am 9. Juni 2016 herausstellte, dass den Techniker von CBL gerade einige Durchbrüche in der Entwicklung von Methoden zur SSD-Datenrettung gelungen waren. Eine Stunde nach dem Telefonat war der von CBL beauftragte Kurier bereits mit der Sandisk Extreme PRO 960 unterwegs. Als der Datenträger am Freitag um zehn Uhr im Labor in Kaiserslautern eintraf, wurde direkt mit der Diagnose gestartet.

Datenrettung in knapp fünfeinhalb Stunden

Vom Eingang der SSD bis zur Gesamtwiederherstellung der Daten vergingen darauffolgend nur wenige Stunden. Der Ablauf im Detail:

Freitag, 10.10 Uhr: Das Laufwerk wird im zertifizierten CBL-Dokumentationssystem aufgenommen und eine automatische Eingangsbestätigung an den Kunden versandt.

10.15 Uhr: Der physisch einwandfreie Zustand der SSD wird im Labor festgestellt und die forensische Sektorkopie beginnt.

12.30 Uhr: Ergebnis-Protokoll der Spiegelung: 0 Errors. Die SSD lässt sich zu 100 Prozent ansprechen.

12.34 Uhr: Sektoranalyse mit Dateisystemanalyse. Das Ergebnis: Das verwendete File System (FS) ist exFAT.

12.50 Uhr: Die CBL-eigene Analyse-Software wird zum Auffinden von Rohdaten auf die Parameter von exFAT justiert.

13.20 Uhr: Auswertung der gefunden Blöcke, erneute Anpassung der Parameter zur Rekonstruktion von Ordnerstrukturen und Dateinamen.

14.00 Uhr: Abschluss der ersten Rekonstruktion des FS-Baums, Ordner und Dateinamen sind gefunden.

14.10 Uhr - Kontrolle der Dateiheader und Export des FS-Baums für die Rücksprache mit dem Kunden.

14.20 Uhr - Abgleich der Daten und Ordnerstruktur mit dem Kunden. Dieser bestätigt, dass diese seine benötigten Daten wiederspiegelt. Erhalt eines verbindlichen Kostenvoranschlag und Beauftragung der Datenrettung.

15.10 Uhr - CBL-Techniker berechnen die Parameter und bereiten die CBL-Software für die Gesamtwiederherstellung vor.

15.30 Uhr - Start der Gesamtwiederherstellung

1,6 Terabyte Daten wiederhergestellt

Der weitere Ablauf wurde durch das Wochenende unterbrochen. Geht es um extrem zeitkritische Daten können Kunden einen "Rush-Service" beauftragen, in diesem Fall wurde allerdings innerhalb der normalen Geschäftszeiten gearbeitet.

Am Montag den 13. Juni begann um 8.10 Uhr die Auswertung der Gesamtwiederherstellung von 1,6 Terabyte an Daten. Die nominelle Kapazität der den Quelldatenträger übersteigenden Menge ergab sich daraus, dass auch zuvor absichtlich gelöschte Dateien rekonstruiert werden.

Um halb neun lief die Bereinigung der ungültigen und beschädigten Einträge an, woraufhin die zum Erstellen der Dateiliste für den Kunden nötigen Daten exportiert wurden. Um 10.45 Uhr lag die Bestätigung des Medienunternehmens vor, dass die wiederhergestellten Daten das dringend benötigte Footage-Material umfassten.

Dies ist ein wichtiger Moment, denn CBL Datenrettung arbeitet nach dem Prinzip „Keine Daten, keine Kosten“ und damit sind nicht irgendwelche rekonstruierten Daten gemeint, sondern die tatsächlich benötigten. Das heißt der Kunde definiert die Zieldaten der Datenrettung und damit den Erfolg.

Einhaltung von Datenschutzvorgaben

Nach der Bestätigung durch den Kunden wurden die Daten auf einen neuen externen Datenträger mit zwei Terabyte Kapazität kopiert. Um 15.00 Uhr erfolgte die Qualitätskontrolle, das Speichermedium wurde aus dem Labormanagementsystem ausgetragen und der Versandabteilung übergeben. Um 16.30 Uhr kam der Kurier und nahm das Paket mit den auf einer externen USB 3.0-Festplatte wiederhergestellten Daten sowie der Kunden-SSD im unangetasteten Ausgangszustand mit. Die Agentur bekam die Sendungsdaten übermittelt und am Dienstag um halb elf lagen ihr die wiederhergestellten Filmaufnahmen vor.

Bei CBL wird immer auf die positive Rückmeldung vom Kunden gewartet, bevor die Kopie der Kundendaten mit dem CBL-Datenschredder nach den für den Datenschutz geltenden Behördenstandards unwiederbringlich vernichtet wird. Die Rückmeldung des Kunden war positiv, wie aus einem Schreiben hervorgeht: "Die Daten funktionieren hervorragend und werden bereits verarbeitet. Selbst die Filme, die bei Ihnen nicht abspielbar waren, konnten wir zu 95 Prozent zum Laufen bringen. Vielen Dank! Die Sicherungskopie kann gelöscht werden," so die Nachricht.

Fazit des Technikers

Bei CBL war man über den guten und sehr schnellen Verlauf des Falls froh, denn wenn Konkurrenten bereits zuvor vergeblich eine Datenrettung versucht haben, müssen sich die Datenretter in Kaiserslautern in 60 Prozent der Fälle ebenfalls geschlagen geben. "In diesem Fall wundert es mich, dass der Mitbewerber nicht mehr erreichen konnte", sagt Conrad Heinicke, Projektleiter bei CBL Datenrettung. „Ich vermute, dass man sich dort nicht ausreichend mit dem Filesystem exFAT auskannte, mit dem der Datenträger formatiert war." exFAT ist ein speziell für Flashspeicher entwickeltes Dateisystem das 2006 mit Windows Embedded CE 6.0 eingeführt wurde.

Heinicke erläutert: "SSD-Datenrettung ist immer hochkomplex, auch wenn der Datenträger physisch unversehrt ist. Daten auf SSD sind aufgrund des Wear Leveling stark fragmentiert. Das erschwert die Wiederherstellung gelöschter Dateien, besonders im Roh-Ergebnis, wenn keine Rückschlüsse über das Dateisystem bezogen werden können. Gleiches gilt für verlorene Dateien außerhalb des Dateisystems. Die Trim-Funktion setzt zudem freigewordene Sektoren auf 0, um sie für die erneute schnelle Benutzung ohne vorheriges Löschen freizugeben."

Die Schwierigkeit beim beschriebenen Fall war die genaue Rekonstruktion der Dateisysteminformationen und deren Verwendung bei der Wiederherstellung der Dateien und Ordner der exFAT-Partition. "Hier sind genaueste Kenntnisse nötig, um funktionstüchtige Dateien zu rekonstruieren, sonst hat man wegen der starken Fragmentierung und der Trim-Funktion kaum Möglichkeiten auf eine erfolgreiche Wiederherstellung," so Heinicke.

Kommentare werden geladen....

Was meinen Sie zu diesem Thema?

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44187562 / Allgemein)