Die Datenrettung bei verschlüsselten Festplatten

Solche Aufträge kommen relativ selten vor, doch seit einigen Jahren nutzen unsere Bürger breit verbreitete Programmen wie Bit Locker oder True Crypt, um ihre wertvollen Daten vor unerwünschter Neugier zu schützen. Man verschlüsselt ganz gerne die privaten Festplatten mit einer Militärstandart-Verschlüsselung, um keinen Zugang zu privaten Bilder und Dokumenten für nicht autorisierte Nutzer zu ermöglichen. Dabei gerät sehr oft simple Datensicherung in Vergessenheit. In diesem Artikel werden wir anhand von zwei Beispielen erläutern, welche Probleme den Nutzer bei Datenverlust auf verschlüsselten Datenträgern erwarten.
Der Kunde A brach uns vor einigen Wochen eine kleine 2,5 Zoll Hitachi Travelstar 5K320 (HTS543232L9A300) 320GB. Dabei wurde die komplette Festplatte verschlüsselt, der Schlüssel war vorhanden. Es gab nur kein Back Up vom Laufwerk. Auf der Festplatte die einem namenhaften sozialen Netzwerk gehört, waren essenzielle Unternehmensdaten gespeichert. Eigentlich kein großes Problem auf den ersten Blick. Die Festplatte sollte vorübergehend in Stand gesetzt werden, um später auf dem Profikopierer eine exakte Sektorenkopie vom Laufwerk zu erstellen. Danach wäre es ziemlich einfach anhand vom vorhandenen Schlüssel die logische Volumen mit True Crypt zu mounten bzw. zu restaurieren.
Nun in diesem Fall war alles ein wenig komplizierter. Die Festplatte erlitt einen heftigen Stoß/ Schlag in Folge dessen alle vier Schreib-Leseköpfe beschädigt bzw. stark verformt wurden. Die magnetischen Oberflächen waren zerkratzt. Es genügt zu erwähnen, dass schon eine beschädigte magnetische Oberfläche, mehr als genug Kopfschmerzen einem geübten Profi bereiten kann. In vielen Fällen wird solche Oberfläche nicht ausgelesen, im besten Fall teilweise.
Im Klartext: sobald der nagelneue Schreibleseköpfen – Block verbaut und die Festplatte gestartet wird, sorgt selbst ein einziger Kratzer dafür, dass die neue MR-Elemente von den verbauten SLK innerhalb weniger Minuten verschleift werden. Solche Datenwiederherstellung benötigt sehr viel Zeit sowie mehrere Ersatzdatenträger, jedoch darf man keine volle Sektorenkopie erwarten, es kann höchstens 25 – 75 % der gesamten physischen Oberfläche bei solchem Schaden ausgelesen werden.
Wie oben erwähnt, muss danach die Festplattenkopie mit True Crypt / Bit Locker gemountet werden. Es ist nachvollziehbar, dass so eine, zu mehr als 30% – 60% beschädigte Kopie meistens nicht als verschlüsseltes Laufwerk/Volume erkannt wird. Es kommt darauf an, ob die MFT-Tabelle sowie spezifische True Crypt Volumen Sektoren ausgelesen werden können. Wenn die verschlüsselte Festplatte nicht als solche von dem Verschlüsselungsprogramm erkannt wird, kann man leider auch keine logische Datenwiederherstellung durchführen, was bei üblichen Datenträgern zumindest ein Teilerfolg bescheren könnte. In diesem Fall waren alle Datenrettungsversuche leider Erfolglos.
Der Kunde B brach uns zeitnah eine Seagate Momentus 5400.6 500GB ST9500325AS Festplatte, die als komplettes Laufwerk verschlüsselt war. Die Firmware, sowie die Schreib-Leseköpfe der Festplatte waren stark beschädigt. Es müssten Translation – Module wiederhergestellt werden. Nach dem erfolgten SLK-Austausch und Firmware – Reparatur, konnte trotz mehreren defekten Sektoren eine zu 99% exakte Sektorenkopie erstellt werden. Diese Kopie wurde in True Crypt erfolgreich gemountet sowie später mit Hilfe von spezieller Software wiederhergestellt. Der Kunde war mit den Datenwiederherstellungsergebnissen absolut zufrieden.
Fazit: Was bei normalen Festplatten oder sonstigen Speichermedien mit schwerem physischen Schaden noch machbar wäre, ist bei verschlüsselten Datenträgern erschwert bzw. unmöglich.
Verschlüsseln Sie niemals die logische Laufwerke bzw. den gesamten Datenträger, wenn keiner Back Up vorhanden ist! So schützen Sie sich gegen unnötigen Ausgaben sowie totalen Datenverlust.