Nachschlagen

Glossar der Datenrettung

In jeder Diagnose stehen Wörter, die außerhalb dieses Fachs niemand braucht. Hier stehen sie in verständlicher Form — damit Sie einen Kostenvoranschlag lesen können, ohne ihn übersetzen zu lassen.

Abbild (Image): Eine sektorweise Kopie eines Datenträgers, einschließlich der Bereiche, in denen keine Dateien liegen. Grundlage jeder seriösen Datenrettung: Alle weiteren Arbeiten laufen auf dem Abbild, damit das Original nicht beschrieben wird.
Adaptive Werte: Individuelle Kalibrierwerte, die im Werk für genau ein Laufwerk ermittelt und auf dessen Platine gespeichert werden. Sie sind der Grund, warum ein Platinentausch ohne Übertragung dieser Werte nicht funktioniert.
Bad Block / defekter Sektor: Eine Stelle, die nicht mehr zuverlässig gelesen werden kann. Laufwerke ersetzen solche Stellen intern durch Reserven — repariert wird dabei nichts, die dort liegenden Daten sind meist verloren.
Board-Level-Rekonstruktion: Wiederherstellung benötigter Funktionen direkt auf der ursprünglichen Platine — Spannungsversorgung, Leiterbahnen, Schnittstellen — unter Erhalt der daten- und kryptografierelevanten Originalkomponenten. Ziel ist ein Zustand, in dem das Gerät wieder startet und seine Daten zugänglich werden.
Chip-off: Physischer Zugriff auf den Speicherbaustein — er wird ausgelötet und außerhalb der Platine ausgelesen. Bei älteren oder unverschlüsselten Geräten, Speicherkarten und manchen eingebetteten Systemen ein etabliertes Verfahren. Bei modernen verschlüsselten Smartphones und selbstverschlüsselnden SSDs liefert es in der Regel nur verschlüsselte Rohdaten, weil das Schlüsselmaterial an die Originalhardware gebunden ist.
CMR und SMR: Zwei Schreibverfahren bei Festplatten. Bei SMR überlappen sich die Spuren wie Dachziegel — das erhöht die Kapazität, macht aber jedes Ändern aufwendig und die Firmware deutlich komplizierter. Für die Datenrettung ist SMR der schwierigere Fall.
Controller: Der Steuerbaustein in SSD, Speicherkarte oder USB-Stick. Er verwaltet, wo welche Daten physisch liegen, verteilt die Schreibvorgänge und verschlüsselt bei vielen Modellen. Fällt er aus, ist der Speicher meist intakt, aber unerreichbar.
Dateisystem: Die Verwaltungsstruktur, die aus Blöcken Dateien macht: Namen, Ordner, Zeitstempel und die Information, welche Blöcke zu welcher Datei gehören. Gängige Vertreter: NTFS, exFAT, APFS, HFS+, ext4, Btrfs, XFS, ZFS, ReFS.
Degradiert: Zustand eines RAID-Verbunds, dem ein Mitglied fehlt. Er läuft weiter, hat aber keine Reserve mehr — der nächste Fehler schlägt durch.
ECC (Fehlerkorrektur): Zusätzliche Prüfinformationen, mit denen Flash-Speicher einzelne gekippte Bits korrigiert. Beim direkten Auslesen von Speicherbausteinen muss diese Korrektur außerhalb nachgebildet werden — sonst ergibt der Inhalt keinen Sinn.
Firmware: Die Software im Datenträger selbst. Sie ist der Grund, warum ein mechanisch einwandfreies Laufwerk trotzdem „nicht erkannt" werden kann.
Garbage Collection: Aufräumvorgang in SSDs und Speicherkarten: Blöcke, die als ungültig gelten, werden im Hintergrund geleert, damit sie wieder beschrieben werden können. Läuft selbstständig, sobald das Gerät Strom hat.
ISP (In-System-Programming): Hardwarenahes Verfahren, bei dem der Speicher direkt auf der Platine kontaktiert wird, ohne ihn auszulöten. Weniger invasiv als Chip-off; bei verschlüsselten Speichern gilt dieselbe Grenze — ohne das Schlüsselmaterial des Originalsystems sind die Rohdaten nicht lesbar.
JTAG: Test- und Debug-Schnittstelle von Prozessoren, über die sich bei manchen Geräten auf den Speicher zugreifen lässt. Bei vielen aktuellen Smartphones im Auslieferungszustand deaktiviert.
Kopfcrash: Der Schreib-Lese-Kopf berührt die Magnetscheibe und trägt Beschichtung ab. Der Abrieb erzeugt neue Partikel, die weitere Schäden verursachen — ein sich selbst verstärkender Vorgang. Erkennbar an Schleif- oder Kratzgeräuschen.
Kopfstapel: Die Baugruppe mit allen Schreib-Lese-Köpfen einer Festplatte samt Vorverstärker. Sie wird bei einem Kopftausch als Ganzes ersetzt.
LBA (logische Blockadresse): Die durchnummerierte Adresse, mit der ein Betriebssystem einen Block anspricht. Wo dieser Block physisch liegt, weiß nur der Datenträger selbst.
Mikrolöttechnik: Arbeit an einzelnen Bauteilen auf der Platine unter dem Mikroskop. Der Weg bei Elektronikschäden an SSDs, Speicherkarten, Smartphones und verlöteten Notebook-Speichern.
Monolith: Bauform, bei der Controller und Speicher in einem einzigen vergossenen Baustein sitzen — bei microSD-Karten die Regel. Es gibt nichts zum Auslösen; der Zugang muss über freigelegte Kontaktpunkte hergestellt werden.
Parität: Die Prüfinformation in einem RAID-Verbund, aus der sich der Inhalt eines fehlenden Laufwerks berechnen lässt. Bei einem Rebuild wird sie neu geschrieben — auch dann, wenn die Grundlage dafür bereits unvollständig ist.
Rebuild: Wiederherstellung eines RAID-Verbunds nach dem Ersetzen eines Laufwerks. Liest tagelang alle verbliebenen Mitglieder unter Volllast und ist damit die riskanteste Maßnahme in genau dem Moment, in dem keine Reserve mehr besteht.
Reinraum: Umgebung mit stark reduzierter Partikelzahl in der Luft. Nötig, um Festplatten zu öffnen: Der Kopf schwebt wenige Nanometer über der Scheibe, ein Staubkorn ist ein Vielfaches davon.
Rohdatenrettung: Suche nach Dateien anhand ihrer charakteristischen Anfangsbytes, wenn das Dateisystem nicht mehr rekonstruierbar ist. Liefert Inhalte, aber keine Namen, Ordner oder Zeitstempel.
Secure Enclave (Apple): Abgeschotteter Sicherheitsbereich in Apple-Prozessoren, der die Schlüssel für die Datenverschlüsselung verwaltet. Das zugrunde liegende Schlüsselmaterial verlässt ihn nicht — deshalb sind die Daten eines iPhones oder Macs an genau diesen Prozessor gebunden. Andere Plattformen nutzen vergleichbare, aber anders aufgebaute Sicherheitsbereiche oder separate Sicherheitschips.
Service Area: Ein für das Betriebssystem unsichtbarer Bereich, in dem eine Festplatte ihre eigene Verwaltung ablegt — Firmware-Module, Defektlisten und Kalibrierwerte. Ist sie beschädigt, meldet sich das Laufwerk falsch oder gar nicht.
SMART: Selbstüberwachung des Datenträgers. Zählt unter anderem neu zugewiesene Sektoren, Lesefehler, Betriebsstunden und Temperatur. Nützlich zur Vorbeugung, aber keine Vorhersage.
Spenderlaufwerk: Ein baugleiches Laufwerk, aus dem Ersatzteile entnommen werden. „Baugleich" heißt dabei mehr als gleiches Modell: Kopfbelegung, Vorverstärker, Firmware-Generation und Fertigungsserie müssen zusammenpassen.
Stripe / Blockgröße: Die Datenmenge, die in einem RAID-Verbund am Stück auf ein Laufwerk geschrieben wird, bevor das nächste an der Reihe ist. Einer von vier Werten, die für eine Rekonstruktion stimmen müssen.
Translator: Die interne Übersetzungstabelle eines Datenträgers zwischen logischer Adresse und physischer Position. Ist sie beschädigt, meldet das Gerät eine falsche Kapazität oder liefert keine Daten — obwohl der Speicher intakt ist.
TRIM: Befehl, mit dem das Betriebssystem einer SSD mitteilt, welche Bereiche nicht mehr gebraucht werden. Nach außen meldet das Laufwerk sie danach als leer, physisch liegen die Daten aber noch im Speicher, bis die Garbage Collection den Block leert. Deshalb lassen sich gelöschte Dateien bei vielen Controllern auch nach TRIM zurückholen — vorausgesetzt, das Laufwerk wird sofort vom Strom getrennt.
Vorverstärker: Winziger Baustein am Kopfstapel, der die extrem schwachen Signale der Köpfe verstärkt. Passt er nicht zum Laufwerk, werden die Köpfe falsch angesteuert — deshalb reicht bei einem Kopftausch die Modellnummer nicht aus.
Wear-Leveling: Verteilung der Schreibvorgänge über den gesamten Flash-Speicher, damit einzelne Zellen nicht vorzeitig verschleißen. Ein Grund dafür, dass eine Datei physisch an ganz anderer Stelle liegt, als das Betriebssystem annimmt.