Datenwiederherstellung aus defektem NAS-System

Kundenfall

Mittelständisches Unternehmen (KMU) – 12 Arbeitsplätze
Branche: Dienstleistung
System: 2-Bay NAS (RAID1)
Dateisystem: ext4
Ausfall: NAS startet nicht mehr, Volumes nicht mountbar

IT-Projektbericht: Datenwiederherstellung aus defektem NAS-System

Nach einem plötzlichen Systemausfall war das NAS eines mittelständischen Unternehmens nicht mehr in der Lage, die gespeicherten Volumes bereitzustellen. Die Benutzer konnten nicht mehr auf Projektordner, Buchhaltungsdaten und Vertragsunterlagen zugreifen. Da kein aktuelles Offline-Backup vorhanden war und es sich um geschäftskritische Daten handelte, musste schnell, aber kontrolliert gehandelt werden.

Zunächst wurde das NAS-System vollständig vom Strom getrennt und außer Betrieb genommen, um weitere Schäden zu vermeiden. Anschließend wurden die beiden im RAID1 betriebenen Festplatten ausgebaut, eindeutig gekennzeichnet und einzeln an eine Linux-Workstation angeschlossen. Als Analyseumgebung kam ein Live-System auf Basis von Ubuntu zum Einsatz. Wichtig war dabei, ausschließlich read-only zu arbeiten, um keine zusätzlichen Schreibzugriffe auf die potenziell beschädigten Datenträger zu verursachen.

Nach dem Start des Systems wurden die Festplatten mittels lsblk und fdisk -l identifiziert. Ein erster Versuch, die Partition im Nur-Lesen-Modus zu mounten, schlug fehl. Das ext4-Dateisystem war inkonsistent, der Superblock beschädigt. Ein Reparaturversuch mit fsck im Schreibmodus wurde bewusst nicht durchgeführt, da dies die Datenstruktur weiter hätte zerstören können. Stattdessen wurde entschieden, direkt eine sektorbasierte Analyse durchzuführen.

Für die eigentliche Datenrettung kam PhotoRec zum Einsatz, ein forensisches Recovery-Tool, das unabhängig vom Dateisystem arbeitet und Rohdaten auf Blockebene analysiert. Die betroffene Festplatte wurde vollständig gescannt („Whole Disk Scan“), um auch Datenbereiche außerhalb der defekten Partitionstabellen zu erfassen. Als Zielmedium diente eine separate, ausreichend große SSD, um jegliche Schreibzugriffe auf die Originalplatte zu vermeiden. Der Scanvorgang dauerte mehrere Stunden, da das gesamte 1,6-TB-Medium sektorweise analysiert wurde.

PhotoRec stellte die gefundenen Dateien ohne ursprüngliche Ordnerstruktur wieder her. Die Dateien wurden nach Signaturen erkannt (z. B. PDF, DOCX, XLSX, JPG) und in nummerierten Verzeichnissen abgelegt. Damit begann der zweite, ebenso wichtige Teil des Projekts: die strukturierte Nachbearbeitung. Die wiederhergestellten Daten wurden nach Dateitypen sortiert, Dubletten mithilfe von Hash-Vergleichen entfernt und mit vorhandenen Cloud-Strukturen abgeglichen. Durch die Kombination aus Dateigröße, Zeitstempel und inhaltlicher Prüfung konnte die ursprüngliche Projektstruktur weitgehend rekonstruiert werden.

Besonderes Augenmerk lag auf geschäftskritischen Dokumenten wie Buchhaltungsunterlagen, Vertragsdokumenten und laufenden Kundenprojekten. Diese wurden priorisiert geprüft und in eine neue, saubere Ordnerstruktur überführt. Abschließend erfolgte eine Validierung mit dem Kunden, bei der stichprobenartig Dokumente geöffnet und auf Integrität geprüft wurden.

Das Ergebnis war äußerst positiv: Der überwiegende Teil der relevanten Daten konnte erfolgreich wiederhergestellt und in strukturierter Form bereitgestellt werden. Nicht rekonstruierbar waren lediglich temporäre Dateien und einzelne Cache-Bestände, die jedoch für den Geschäftsbetrieb nicht entscheidend waren.

Das Projekt zeigte erneut, dass RAID kein Backup ersetzt und dass eine forensisch saubere, read-only Vorgehensweise entscheidend für den Erfolg einer Datenwiederherstellung ist. Durch strukturiertes Arbeiten unter Linux und den gezielten Einsatz von PhotoRec konnte innerhalb kurzer Zeit ein potenziell existenzbedrohender Datenverlust abgewendet werden.