CBL Datenrettung stellt zerstörtes Filmmaterial von SanDisk Extreme PRO 960 SSD wieder her

Eine auf Foto- und Filmdokumentationen für Unternehmen spezialisierte Agentur hatte ein Problem: Aufwendige Aufnahmen, die wegen spezieller Drehgenehmigungen und hoher Reisekosten nicht wiederholt werden konnten, waren zerstört. Dem zunächst beauftragten Datenretter war es nicht gelungen, die Daten wiederherzustellen. Als letzte Hoffnung wurde ein zweiter Versuch gewagt und tatsächlich: CBL Datenrettung gelang, was unmöglich schien.

Bis zum Schluss war nicht nachvollziehbar, wodurch die Daten auf der SSD gelöscht worden waren – ob durch einen Bedienfehler oder einen Softwarefehler – doch eines war klar: Jürgen Schmöller (Name geändert), Geschäftsführer einer niedersächsischen Filmproduktionsfirma, hatte ein Problem: Die SanDisk Extreme PRO 960 mit dringend benötigte Aufnahmen war gerade von einem der Marktführer der Datenrettungsbranche zurück geschickt worden. Der Dienstleister hatte jedoch nur unstrukturierte Fragmente bis maximal 2GB Größe von der SSD rekonstruieren können – nutzlos für das Filmprojekt.

Alles hatte so gut begonnen. Der Dreh, für den Schmöller und seine Kollegen eine lange Anreise und eine spezielle Drehgenehmigung gebraucht hatten, war vielversprechend gewesen. Das hochwertige, zu 4k hochauflösende Aufnahmen fähige Kamerasystem Atomos Shogun hatte sich wieder bewährt. Dank des guten Monitors der Kamera hatten sie das Footage vor Ort gesichtet und waren sicher, alles im Kasten zu haben. Atomos Shogun verwendet auswechselbare SSDs als digitale ‘Filmrollen’ und normalerweise schließen die Filmer die SSD-Kassette einfach über die Thunderbolt 1-Schnittstelle an einen Mac mit OSX 10.11.4 an, um das Material direkt darauf mit Final Cut Pro zu schneiden. Das hatte in der Vergangenheit problemlos und schnell funktioniert.

Zweite Meinung
Sollte er seinem Kunden mitteilen, dass er den zugesagten Film nicht würde liefern können? Der Filmer fürchtete einen gewaltigen Imageschaden und wollte nicht aufgeben. Ein Bericht im Internet über eine Datenrettung von Filmmaterial beim NDR brachte ihn auf die Firma CBL Datenrettung in Kaiserlautern, dem deutschen Labor der weltweit tätigen kanadischen CBL Data Recovery Technologies. Über 20 Jahre Erfahrung, kostenlose Diagnose und eine ‘keine Daten – keine Kosten’-Garantie – das klang nicht schlecht und Schmöller rief an. Am Donnerstag 9. Juni 2016 ließ er sich ermutigen, die Hoffnung noch nicht ganz aufzugeben. Die Techniker von CBL, die gerade einige Durchbrüche in der Entwicklung von Methoden zur SSD-Datenrettung gemacht hatten, wollten sich den Fall auf jeden Fall ansehen. Eine Stunde nach dem Telefonat kam der von CBL beauftragte Kurier und holte den Datenträger. Die SanDisk Extreme PRO 960 traf Freitag um zehn Uhr im Labor in Kaiserslautern ein und die Diagnose begann.

Ablauf einer Datenrettung

Freitag, 10:10 Uhr: Das Laufwerk wird im zertifizierten CBL Dokumentationssystem aufgenommen, eine automatische Eingangsbestätigung an den Kunden versandt.
10:15 Uhr: Der physisch einwandfreie Zustand der SSD wird im Labor festgestellt, die forensische Sektorkopie der SSD beginnt.
12:30 Uhr: Ergebnis-Protokoll der Spiegelung: 0 Errors. SSD lässt sich zu 100% ansprechen.
12:34 Uhr: Sektoranalyse mit Dateisystemanalyse. Das Ergebnis: Das verwendete File System (FS) ist exFAT.
12:50 Uhr: Die CBL-eigene Analyse-Software wird zum Auffinden von Rohdaten auf die Parameter von exFAT justiert.
13:20 Uhr: Auswertung der gefunden Blöcke, erneute Anpassung der Parameter zur Rekonstruktion der Ordnerstrukturen und Dateinamen.
14:00 Uhr: Abschluss der ersten Rekonstruktion des FS-Baums, Ordner und Dateinamen sind gefunden.
14:10 Uhr:Kontrolle der Dateiheader und Export des FS Baums für die Rücksprache mit dem Kunden.
14:20 Uhr:Abgleich der Daten und Orderstruktur mit dem Kunden. Dieser bestätigt, dass die Ordnerstruktur seine benötigten Daten wiederspiegelt. Er bekommt einen verbindlichen Kostenvoranschlag und beauftragt die Datenrettung.
15:10 Uhr: CBL Techniker berechnen die Parameter und bereiten die CBL-Software für die Gesamtwiederherstellung vor.
15:30 Uhr: Start der Gesamtwiederherstellung

Der weitere Ablauf wurde durch das Wochenende unterbrochen. In Fällen von extrem zeitkritischen Daten können Kunden einen ‘Rush-Service’ beauftragen. In diesem Fall wurde innerhalb der normalen Geschäftszeiten gearbeitet. Am Montag den 13. Juni begann um 8:10 die Auswertung der Gesamtwiederherstellung von 1,6TB. Diese, die nominelle Kapazität des Quelldatenträgers übersteigende Menge ergibt daraus, dass die Datenrettung auch zuvor absichtlich gelöschte Dateien rekonstruiert. Um halb neun begannen die Bereinigung der ungültigen und beschädigten Einträge woraufhin die Daten exportiert wurden, die zum Erstellen der Dateiliste für den Kunden nötig sind. Um 10:45 lag die Bestätigung des Medienunternehmens vor, dass die wiederhergestellten Daten, das dringend benötigte Footage umfassten. Dies ist ein wichtiger Moment, denn CBL Datenrettung arbeitet nach dem Prinzip ‘Keine Daten, keine Kosten’ und damit sind nicht irgendwelche rekonstruierten Daten gemeint, sondern die tatsächlich vom Kunden benötigten. Das heißt der Kunde definiert die Zieldaten der Datenrettung und damit den Erfolg.

Versand und Löschung der Sicherungskopie
Nach der Bestätigung durch den Kunden wurden die Daten auf einen neuen externen 2TB-Datenträger kopiert. Um 15:00 Uhr erfolgte die Qualitätskontrolle der kopierten Daten. Der Datenträger wurde aus dem Labormanagementsystem ausgetragen und ging in die Versandabteilung. 16:30 Uhr schließlich kam der Kurier und nahm das Paket mit den wiederhergestellten Daten auf einer externen USB 3.0-Festplatte und der Kunden-SSD im unangetasteten Ausgangszustand mit. Herr Schmöller bekam die Sendungsdaten übermittelt und am Dienstag um halb elf hatte er seine Filmaufnahmen wieder. Bei CBL wird immer auf die positive Rückmeldung vom Kunden gewartet, bevor die Kopie der Kundendaten mit dem CBL Datenschredder nach Behördenstandards zu Datenschutz unwiederbringlich vernichtet wird. Die Rückmeldung des Kunden war positiv.

Geschäftsführer Jürgen Schmöller schrieb: “Die Daten funktionieren hervorragend und werden bereits verarbeitet. Selbst die Filme, die bei Ihnen nicht abspielbar waren, konnten wir zu 95% zum Laufen bringen. Vielen Dank. Die Sicherungskopie kann gelöscht werden.”

Der Kunde zeigte sich sehr zufrieden und betonte, wie wertvoll die Datenrettung angesichts des drohenden Imageschadens gewesen sei.

Fazit des Technikers
Bei CBL war man über den guten und sehr schnellen Verlauf des Falls froh, denn wenn Konkurrenten bereits zuvor vergeblich eine Datenrettung versucht haben, müssen sich die Datenretter in Kaiserslautern in 60% der Fälle ebenfalls geschlagen geben.

“In diesem Fall wundert es mich, dass der Mitbewerber nicht mehr erreichen konnte“, sagt Conrad Heinicke, Projektleiter bei CBL Datenrettung. “Ich vermute, dass man sich dort nicht ausreichend mit dem Filesystem exFAT auskannte, mit dem der Datenträger formatiert war.”

exFAT ist ein speziell für Flashspeicher entwickeltes Dateisystem das 2006 mit Windows Embedded CE 6.0 eingeführt wurde.

Heinicke erläutert: “SSD-Datenrettung ist immer hochkomplex, auch wenn, wie in diesem Fall, der Datenträger physisch unversehrt ist. Daten auf SSD sind aufgrund des Wear Leveling stark fragmentiert. Starke Fragmentierung erschwert die Wiederherstellung gelöschter Dateien, besonders im Roh-Ergebnis, wenn also keine Rückschlüsse über das Dateisystem bezogen werden können. Gleiches gilt für verlorene Dateien außerhalb des Dateisystems. Die TRIM-Funktion setzt zudem freigewordene Sektoren auf 0, um sie für die erneute schnelle Benutzung ohne vorheriges Löschen freizugeben. Die Schwierigkeit beim beschriebenen Fall war die genaue Rekonstruktion der Dateisysteminformationen und deren Verwendung bei der Wiederherstellung der Dateien und Ordner der exFAT Partition. Hier sind genaueste Kenntnisse nötig, um funktionstüchtige Dateien zu rekonstruieren, sonst hat man wegen der starken Fragmentierung und der Trim-Funktion kaum Möglichkeiten auf eine erfolgreiche Wiederherstellung.”