Frage, Datenrettung vom USB Stick

D

Domi

Member
Hallo Leute, ich habe mal eine kleine Frage an euch. Ein Kollege hat mir seinen USB Stick gegeben und meinte "einige Dateien lassen sich nicht öffnen" und fragte mich, ob es eine Möglichkeit gibt da noch dran zu kommen.

Nach meiner Recherche ist 'ddrescue' aufgetaucht und ich habe versucht, Daten wiederherzustellen. Es sind auch diverse Daten aufgetaucht, allerdings hat das Programm beim durchlaufen keine Fehler entdeckt, dennoch fehlen Daten.

Ich weiß, dass das Wiederherstellen von Flash-Speichermedien mehr Probleme macht oder Schwieriger ist, als bei gewöhnlichen Festplatte. Aber gibt es von eurer Seite noch ein paar Tipps / Tricks wie man noch mehr aus den Ergebnissen heraus holen kann (falls das überhaupt noch geht)?

Gruß, Domi
 
Kommt auf den Stick (Kontroller + Bauart), das verwendete Dateisystem, die "konkrete" Fehlermeldung und die Art / Größe der einzelnen Dateien / der Daten an.

Grundsätzlich ist man mit photorec + testdisk aber für den Anfang recht gut dabei...
 
Ist photorec besser als ddrescue?

Was das Dateisystem angeht, 'blkid' sagt vfat ist das Dateisystem. Der Stick selbst ist ein "Corsair Voyager Mini 32GB" und da der Stick primär unter Windows benutzt wurde, gab es keine Fehlermeldung. Einige Dateien (Word Dateien) ließen sich öffnen, andere wiederum nicht :o

Gruß, Domi
 
Ah.. Hab eben gesehen.. ddrescue ist zum auslesen vom Datenträger und erstellen eines Image und mit photorec kann ich dann die Dateien aus dem Image extrahieren.

Ist den der folgende Befehl korrekt, oder gibt es noch bessere Parameter?
Code: 
ddrescue -d -f /dev/sdf /home/user/corsair.img ddrescue.log

Also das Laufwerk 'sdf' und das Zielverzeichnis stimmt soweit. Ich konnte auch schon mit 'ddrescue' etwas vom Stick laden und mit 'tsk_recover' konnte ich Dateien wiederherstellen. Aber scheinbar nicht alles was gebraucht wird. Daher auch die Frage, was ihr da noch so für Tricks kennt :)

Gruß, Domi
 
hm, irgendwie passen Deine Aussagen hier nicht so recht zusammen - aber schön, daß Du erst mal Tools einzusetzen scheinst, ohne Dir vorher darüber klar zu sein, was die denn überhaupt tun und wie sie arbeiten...

Pauschale Aussagen jenseits von "Image erstellen und sichern, nicht auf Original-Daten arbeiten (so möglich) und dann mal die üblichen Tools drüber lassen" gibt's in dem Fall leider nicht. Jede Datenrettung ist individuell und das Vorgehen passt man an die jeweiligen Anforderungen an.

Wenn die Daten wichtig waren gilt übrigens, gerade bei USB-Sticks:
* Nimm die Daten aus der Original-Quelle, bevor sie auf den Stick kopiert (nicht verschoben!!!!) wurden
* Nimm die Daten aus dem Backup
 
Sorry, nicht falsch verstehen.. aber deine Aussage ist gerade falsch! Ich habe mich da schon belesen. gddrescue / ddrescue etc. kann man nutzen um Daten (ob defekt oder nicht) von einem defekten Medium wiederherzustellen. So habe ich es erlesen, so steht es in anderen Foren / Seiten etc.

Und mit 'tsk_recover' kann ich dann die Daten die von dem "defekten" Medium rekonstruiert wurden, wieder in einzelne Dateien ausgeben. So ist mein Verständnis. Wenn das falsch ist, kannst du nicht behaupten das ich nicht weiß was diese tun.

Wenn du anderer Ansicht bist, kläre mich bitte auf. Und wenn es ein Backup oder Original Dateien geben würde, wäre ich wohl nicht daran interessiert, genau diese Daten wiederherzustellen ;)

Ist-Zustand, USB Stick liegt hier, Dateien sind darauf kaputt, lassen sich nicht öffnen und wenn sich welche öffnen lassen, sind Hieroglyphen darin, what ever. Zumindest kann man sie nicht verwenden oder damit arbeiten. Nun ist der Wunsch, diese Dateien so gut wie möglich wiederherzustellen, mehr nicht.

Gruß, Domi
 
Was er Dir eigentlich sagen wollte (und womit er 100% Recht hat): hör auf mit dem Stick selbst zu arbeiten. Zieh ein Image und arbeite damit.

Wenn ein Hardwareschaden vorliegen könnte, macht man vieles mit weiteren Zugriffen noch viel schlimmer und ja, das gilt auch bei flash devices, zumindest wenn darauf geschrieben wird oder der Controller allgemein einen Schaden hat und sonstige Dinge mit den Daten anstellt.

So sparst Du Dir dieses Problem und mit dem Image kannst Du tun und lassen was Du willst, ohne die Situation ggfls. zu verschlimmern (womit ich unterstelle, dass Du immer eine vanilla Kopie des Images hast und eine working copy). Manchmal wird man auch verschiedene Tools testen müssen (d.h. auch vanilla und working copy), um möglichst viele Daten wiederherstellen zu können.

Wo wir beim Thema sind: ist bekannt, was genau dem Datenverlust zu Grunde liegt?
Aus heiterem Himmel fallen mir nämlich unschöne Varianten wie Hardwareschaden oder - in letzter Zeit doch recht häufig anzutreffen - auch Cryptomalware ein.
 
Last edited by a moderator:
Jeder weitere Zugriff auf den Stick verschlimmert das Problem.
 
Moin moin, vielleicht war meine Wortwahl auch etwas ruppig.. Hab seine Aussage vielleicht auch etwas ruppig und Hart aufgefasst. Wenn ich das Prinzip richtig verstanden habe, macht ddrescue ja ein 1:1 Image von dem Datenträger, oder habe ich das etwas falsch verstanden?

Zumindest habe ich das aus den Beschreibungen so heraus kristallisiert :) Und mit diesem Image wollte ich dann arbeiten. Am Stick selbst wollte ich auch gar nicht mehr wirklich arbeiten.

Was mir am liebsten wäre, ist ein 1:1 Image vom USB Stick (Sektor für Sektor) mit dem ich dann arbeiten kann und da war ja dann auch meine Frage ob der Befehl den ich verwendet hatte, gut war oder ob es da noch etwas besseres gibt?!

Gruß, Domi
 
ddrescue bzw. dd mit entsprechenden Parametern kann dir ein Image erstellen. Da gibt es wenig zu konfigurieren - das Ding kopiert so viele Sektoren, wie es lesen kann. Ich weiß nicht, wie ddrescue intern arbeitet, aber du kannst natürlich auch mit dd selbst schauen, bei welchen Sektoren er abbricht und prüfen, ob diese im zweiten / dritten Anlauf auslesbar sind (seek). Das aber erst, wenn du schon ein halbwegs vollständiges Image hast.

photorec hatten wir erst kürzlich wieder für einen Kunden im Einsatz und konnten sehr gute Ergebnisse erzielen. Danach wird es ohne professionelles Datenrettungslabor haarig bis unmöglich, da auch solche Tools i.d.R. nicht viel "Magie" beinhalten, sondern schlichtweg nach Rohdaten suchen, die aussehen wie der gewünschte Dateityp. Wenn aber eine Datei aufgrund fehlender Blöcke einfach nicht mehr auslesbar ist, kannst du es vermutlich vergessen.
 
Bei Flashspeicher (USB-Stick, Speicherkarten, SSD, etc.) gibt es keine klassischen Sektoren, sondern nur Zellen mit jeweils 1, 2 oder 3 Bit Inhalt. Da diese Zellen nur beschrieben aber nicht gelöscht werden können, werden bei Schreibvorgängen die jeweiligen Bits in neue als verfügbar markierte Zellen kopiert und anschliessend die vorigen Zellen als verfügbar oder dirty/defect markiert. Um immer Reserven für solche Kopiervorgänge und defekte Zellen zu haben, sind Flashspeicher physisch immer mehrere Prozent grösser als angegeben. So findet man dann auch in diesen Reservezellen gerne noch viele schöne Daten, welche längst gelöscht hätten sein sollen.
Back on track: Jedes Mal wenn Du den USB-Stick anstöpselst finden auomatisch einige Schreibvorgänge auf dem Stick statt, ganz ohne dass Du sie bewusst angestossen hast, beispielsweise das https://en.wikipedia.org/wiki/Wear_leveling oder die interne AES-Verschlüsselung oder Index/Timestamp-Updates von Mediaplyern bei aktiviertem Autoplay, etc. pp..
Daher rät Dir hier Jeder dringend davon ab, den USB-Stick nochmal irgendwo anzustecken.


ddrescue ist zwar nett für sektorbasierte Magnetspeicher wie HDDs oder Tapes, aber für Flashspeicher nur sehr bedingt tauglich.
Was Du benötigst sind speziell für Flashspeicher entwickelte Rescuetools und die gibt es selten kostenlos, selbst wenn, taugen sie oft nicht wirklich.

Fazit: Wenn die Daten wirklich wichtig sind, dann bitte an einen renomierten Datenrettungsdienst wie etwa Kroll wenden und die Profis versuchen lassen. Grosse Hoffnung darf man bei Flashspeicher aber generell nicht haben, denn diese lassen sich aus mehreren Gründen nur schwer bis gar nicht retten.

Fazit2: Niemals, niemals, niemals wichtige Daten ohne direktes paralleles Backup (HDD/Tape) auf Flashspeichern ablegen.
 
Moin moin PHP-Friends und Joe User, vielen lieben Dank für die ausführlichen Posts :)

Der Stick wurde von meinem Kollegen an zwei unterschiedlichen Geräten getestet, was ja in erster Linie schon mal schlecht ist. Wie ihr beschrieben habt! Danach hatte ich den Stick von meinem Kollegen / Bekannten in die Hand gedrückt bekommen und dieser wurde dann erst nach ein wenig lesen an meinen Ubuntu Server (HP Proliant) im Keller angeschlossen. Mit 'ddrescue' hatte ich dann eine Kopie von dem Stick erstellt (Befehl steht in Post 1) und nur noch damit gearbeitet.

Ich kann sagen, dass der Kollege von mir das Windows eigene Testdisk zum prüfen, reparieren und Wiederherstellen von defekten Sektoren verwendet hat. Ich selbst kann sagen, dass 'ddrescue' bei mir den Stick ohne Fehler ausgelesen hat. Zumindest hat mir das Programm keine Fehler (Anzahl oder MB) ausgegeben, während der Inhalt kopiert wurde.

Nach einem klärenden Gespräch, habe ich auch heraus gefunden das die Daten nur auf dem USB Stick waren :eek: Ich erklärte ihm sofort, dass er diese am besten immer auf dem PC / Notebook hat und nur für den Transport immer auf dem Stick hat. Das heißt auch gleichzeitig für mich, auf dem Stick wurde mit den Daten gearbeitet. Somit war mir dann auch klar, dass es keine Sicherung dieser Dateien gibt.

Blöde ist auch noch, dass mein Kollege nebenberuflich als Steuerberater arbeitet und unter diesen Daten auch Unterlagen der Kunden sind. Diese Info habe ich aber gestern Abend erst erhalten, als wir grob durch die mit 'photorec' ausgelesen Dateien geguckt hatten :o

Ich habe ihm nun nahe gelegt, die Dateien immer auf dem Notebook und USB Stick zu haben. Bevorzugt sogar noch eine Sicherung der Dateien vom Notebook auf externer Festplatte, falls der "worst case" eintritt :)

Gruß, Domi

p.s. Ich vermute mal es ist krollontrack.de gemeint, weiß zufällig jemand was so eine Rettung ungefähr kostet, 100 - 200 oder 1.000 - 2.000 Euro etc.?!
 
@Domi:
Warum stellst du ihm nicht gleich eine (verschlüsselte) Cloud zur Verfügung wo er seine Daten speichern kann?

Daten auf lokalen Festplatten ohne RAID zu haben ist immer so ne Sache...
Die externe Platte würde ich auch nicht optional sondern auf jeden Fall empfehlen. Kommt der nächste Crypto-Trojaner vorbei und der USB-Stick hängt gerade am Laptop ist beides verloren.

Thomas
 
Das Problem ist: Du wirst leider direkt nachfragen müssen und erst nach Begutachtung erfahren, was die Datenrettung voraussichtlich kosten würde.
Das kann ein paar hundert Euro kosten (z.B. sehr einfache Fälle) oder extrem teuer werden, wenn die Gründe für den Datenverlust schwerwiegend sind.

Dementsprechend steigt nämlich auch der Aufwand für die Datenretter .
 
Schade schade, hätte ja sein können das man ungefähr abschätzen kann was es kostet :)

@ThomasChr, da ich im RZ von Hetzner einen dedizierten Server habe und auf diesem ownCloud (für mich privat) betreibe und die Verschlüsselung aktiviert habe, wäre das ein Ansatz der mir die Tage auch in den Kopf kam. Zumal mein Server jede Nacht eine Datensicherung fährt.

Dazu kommt ja auch noch, wenn man mehrere Sync Clients hat, können (mit Glück) immer irgendwo heile Dateien sein, solange sie noch keinen Sync gemacht haben. Zumindest schlage ich das die Tage mal vor, wenn wir uns treffen und schaue mal, wie das Feedback ausfällt :)
 
Kleiner Einwand: wenn da sensible Daten von Kunden drauf gelagert werden (Nebentätigkeit hin oder her), vermute ich (als Laie, ich bin kein Jurist!), dass da auch gewisse datenschutzrechtliche Aspekte zu beachten sind.

Nicht, dass Dir das mal grob auf die Füße fällt.
 
Naja, sensible dürften die Daten auf jeden Fall sein da er für die eine oder andere Person / Firma als Steuerberater tätig ist. Aber bevor es da Ärger gibt, wäre die Variante mit der externe HDD (wie weiter zuvor angesprochen) doch die bessere Version.

Da muss ich dann nicht ein "Hoch Sicherheitsfass" auf machen, um die sensiblen Daten schützen zu können.
 
Je kleiner der Datenträger und je weniger Daten darauf gespeichert sind, desto günstiger die Datenrettung. Da USB-Sticks in der Regel nur wenige GB gross sind, sollte man mit einem niedrigen bis mittleren dreistelligen Betrag davonkommen.

Würde ich an Deiner Stelle dem "Steuerberater" voll in Rechnung stellen und ihm eine deftige Abmahnung verpassen, denn private Sticks haben in der Firma absolut nix verloren. Stell Dir vor, der hätte Malware eingeschleppt...
 
Ein NAS (zB Synology oder QNAP) mit Raid 1 oder 5 oder 6 in der Kanzlei, von diesem dann noch verschlüsselte Backups zeitplangesteuert auf einen externen Speicher (oder ein gleichartiges NAS an einem anderen Platz), wo dann versionierte Backups vorgehalten werden.

Wenn da Selbständige damit kommen, dass das ja ach so viel kostet, kann man ihnen mal die Rechnung einer Data Recovery unter die Nase halten.

Auf Mac Basis hätte im vorliegenden Fall evtl auch schon eine Time Machine geholfen, wenn man nicht so verrückt ist und wichtige Geschäftsdaten nur auf einem USB Stick speichert. Das ist ja wie Schlüssel im Zündschloss stecken lassen und hoffen, dass das Auto am nächsten Tag noch da steht! :eek::rolleyes::cool:
 
You must log in or register to reply here.
Back
Top