Datenrettung von einer unsachgemäß geöffneten Western Digital Festplatte

Die gewaltsam geöffnete 2,5" Festplatte wurde nach der ersten qualifizierten Einschätzung im Economy Service in einer erweiterten Diagnose bearbeitet. Obgleich des desaströsen Zustands der Festplatte, konnte Attingo noch einen Großteil der spezifizierten Daten retten.

30. April 2018 - Sebastian Evers

Ausgangssituation des Datenverlusts:

Speichermedium mit Datenverlust:

• WD Festplatte (Western Digital WD5000BPVT-00HXZT3)

Zur Wiederherstellung spezifizierte Daten:

• Fotos und Bilddateien

Entsprechend der Schilderung des Kunden (im Auftrag für die Betroffenen) war der externe Datenträger nie heruntergefallen, aber die Festplatte klickte jetzt in regelmäßigen Intervallen. Außerdem sei der Datenträger bereits geöffnet worden, mehr sei aber nicht passiert.

Analyse, Durchführung der Datenrettung:

Bei der ersten Sichtung des Festplattenlaufwerks fiel der Technik sofort auf, dass die Festplatte bereits geöffnet wurde. Angesichts des Zustands der Schrauben wurde dafür kein Torx-Schraubendreher verwendet. Ein linearer Knick sowie Bruchspuren in der Abdeckung der Festplatte offenbarten den Versuch der unsachgemäß gewaltsamen Öffnung. Die Festplatte enthielt zwei Datenträgerscheiben mit drei Datenträgeroberflächen und drei Schreib-/Leseeinheiten.

Einer der Schreib-/Leseköpfe war abgerissen und haftete an der Innenseite der Festplattenabdeckung. Die anderen beiden Schreib-/Leseköpfe waren verbogen. Die Datenträgeroberflächen waren mit Schmierspuren (Fingerabdrücken) sowie anderen Verunreinigungen übersät. Des Weiteren lagen durch einen Headcrash verursachte Beschädigungen der Oberflächen vor. Diese befanden sich unter anderem auch im Bereich der P-Listen und G-Listen.

Anhand der immensen Beschädigungen und der geringen Chancen auf eine erfolgreiche Datenrettung wurde dem Kunden eine erweiterte Diagnose unterbreitet. Mit Hilfe aufwändiger Verfahren, mehrerer baugleicher Komponenten und viel Zeit war es den Technikern möglich den schwerwiegend beschädigten Datenträger temporär instand zu setzen. Im Zuge des schwerfälligen Ausleseprozesses der belegten Rohdatenbereiche konnten die Techniker weniger als die Hälfte der Rohdaten extrahieren.

Die gewonnen Rohdaten wurden darauf hin überprüft. Wegen der erheblichen physischen Defekte war das NTFS Dateisystem überwiegend nicht mehr rekonstruierbar. Dennoch konnten mehrere zehntausend Bilddateien mit bestehender Verzeichnisstruktur wiederhergestellt werden. Weitere zehntausend Bilddateien konnten nur in anonymer Form rekonstruiert werden.