„Können Sie die Daten retten?" lässt sich vor einer Zustandsprüfung nicht seriös beantworten. Zwei äußerlich gleiche Ausfälle können völlig unterschiedliche Ursachen haben – und damit sehr unterschiedliche Aussichten.
Zuerst die Unterscheidung: logisch oder physisch
Bei einem logischen Schaden ist die Hardware funktionsfähig, die Datenstruktur aber beschädigt: gelöschte Partitionstabelle, formatiertes Volume, defektes Dateisystem, verschlüsselnde Schadsoftware, versehentlich überschriebene Ordner. Der Datenträger lässt sich normal lesen; die Frage ist, wie viel sich aus den vorhandenen Blöcken rekonstruieren lässt.
Bei einem physischen Schaden ist das Bauteil selbst betroffen: Lese-Schreib-Köpfe, Motor, Platine, defekte Speicherzellen, Kontaktschäden nach Sturz oder Flüssigkeitseintritt. Hier ist ein Lesevorgang ohne vorbereitende Arbeiten nicht nur aussichtslos, sondern kann den Zustand verschlechtern.
Die Unterscheidung ist deshalb der erste Arbeitsschritt: Sichtprüfung, Stromaufnahme, Verhalten beim Anlauf, SMART-Werte, Fehlerbild beim Zugriff.
Festplatte und SSD verhalten sich unterschiedlich
Bei einer klassischen Festplatte liegen Daten physisch adressierbar auf Magnetscheiben. Ein defekter Kopf oder ein Lagerschaden bedeutet Werkstattarbeit, aber die Daten sind, solange die Oberfläche unbeschädigt ist, prinzipiell noch vorhanden. Ein Kopfschaden mit Oberflächenkontakt kann Spuren dauerhaft zerstören – jeder weitere Einschaltversuch vergrößert den Schaden.
Bei einer SSD entscheidet der Controller, wo Daten tatsächlich liegen. Wear Leveling verteilt Schreibvorgänge, Blöcke werden verschoben, und die logische Adresse sagt nichts über den physischen Ort. Fällt der Controller aus oder verliert er seine Zuordnungstabellen, sind die Speicherchips zwar intakt, aber die Zuordnung fehlt. Auslesen auf Chip-Ebene ist in Teilen möglich, die Rekonstruktion der Zuordnung jedoch aufwendig und nicht in jedem Fall erfolgreich.
TRIM verändert die Ausgangslage bei gelöschten Daten
Meldet das Betriebssystem freigewordene Bereiche per TRIM an die SSD, gibt der Controller diese Blöcke intern frei und räumt sie im Hintergrund auf. Danach liefert ein Lesezugriff typischerweise Nullen – unabhängig davon, welche Software eingesetzt wird.
Praktisch heißt das: Bei versehentlich gelöschten Dateien auf einer SSD zählt jede Betriebsstunde. Das Gerät sollte nicht weiterverwendet und möglichst zeitnah stromlos übergeben werden. Bei Festplatten ist der Zeitdruck geringer, aber nicht null, weil Hintergrunddienste, Updates und Auslagerungsdateien weiterhin schreiben.
Verschlüsselung: ohne Schlüssel keine Wiederherstellung
BitLocker, FileVault, LUKS und die geräteinterne Verschlüsselung moderner SSDs schützen den Bestand vollständig. Eine physische Lesbarkeit allein entschlüsselt den Datenbestand nicht. Ohne passendes Kennwort, Wiederherstellungsschlüssel oder anderes rechtmäßig verfügbares Schlüsselmaterial bleiben verschlüsselte Bereiche unzugänglich.
Vor der Übergabe lohnt daher die Frage, wo der Wiederherstellungsschlüssel liegt: im Microsoft- oder Apple-Konto, in der Unternehmensverwaltung, ausgedruckt, oder nirgends.
RAID: mehr Kapazität, mehr Abhängigkeiten
Bei RAID-Verbünden kommt zur Datenrettung die Rekonstruktion der Konfiguration hinzu: Reihenfolge der Datenträger, Blockgröße, Paritätsverfahren, Zeitpunkt des Ausfalls einzelner Mitglieder. Ein häufiges Muster ist, dass ein Laufwerk längere Zeit unbemerkt ausgefallen war und der Verbund erst beim zweiten Ausfall stehen bleibt.
Kritisch sind eigenmächtige Rebuild-Versuche: Ein Wiederaufbau auf einen bereits degradierten Verbund kann konsistente Reste überschreiben. Sinnvoll ist, alle Mitglieder einzeln zu sichern und die Rekonstruktion ausschließlich auf Kopien zu rechnen.
Was eigene Versuche anrichten können
Mehrfaches Ein- und Ausschalten bei mechanischen Geräuschen, Reparaturprogramme, die direkt auf das Original schreiben, ein Dateisystem-Check auf einem defekten Datenträger, Formatieren „zum Test", Öffnen des Gehäuses ohne geeignete Umgebung: Diese Schritte kosten regelmäßig mehr Daten, als sie retten.
Die belastbare Vorgehensweise ist umgekehrt: Gerät stromlos machen, Zustand prüfen, ein Sektorabbild anlegen, und alle weiteren Arbeiten ausschließlich auf diesem Abbild durchführen.
Warum eine Einschätzung erst nach der Prüfung möglich ist
Aussagen zur Erfolgsquote vor der Diagnose beruhen auf Statistik, nicht auf dem konkreten Fall. Erst der Zustandsbefund zeigt, ob ein Abbild vollständig gelesen werden kann, wie viele Sektoren fehlen, ob die Datenstruktur rekonstruierbar ist und ob die gesuchten Dateien überhaupt betroffen waren.
Sinnvoll ist daher die Reihenfolge: Zustandsprüfung, schriftlicher Befund mit Aufwandseinschätzung, danach Entscheidung über die Wiederherstellung. Am Ende steht eine Prüfliste der tatsächlich wiederhergestellten Dateien – nicht nur eine Größenangabe in Gigabyte. Ablauf und Umfang beschreibt die Seite zur Datenrettung.