Mit den Bordmitteln von Linux lassen sich in begrenztem Umfang Dateien und Partitionen wiederherstellen sowie defekte Datenträger retten.

Völlig niedergeschlagen kommt Ihre gute Bekannte aus den Ferien zurück: Der Island-Urlaub sei der komplette Reinfall gewesen, jammert sie: schlechtes Wetter, mieses Hotel, und dann hätte auch noch ihre Digitalkamera die Speicherkarte gefressen. Sämtliche fotografierten Trolle und Geysire seien jetzt futsch. Glücklicherweise gibt es für genau solche Fälle spezielle Rettungswerkzeuge, mit denen Sie sich umgehend an die Arbeit und Ihre Bekannte glücklich machen können.

Keine Panik

Damit jedoch nicht noch mehr Schaden entsteht, gilt es, in solchen Notfällen erst einmal Ruhe zu bewahren. Erhalten Sie im laufenden Betrieb Lesefehler, sollten Sie umgehend ein Backup des Datenträgers erstellen und so schon einmal die noch lesbaren Dateien retten. Fehlen wie im Beispiel der Digitalkamera gleich mehrere Dateien und Verzeichnisse oder treten massive Lesefehler auf, schalten Sie das Gerät schnellstens aus. Nur so verhindern Sie, dass weitere Schreibzugriffe den Schaden noch vergrößern. Mit den nun anstehenden Schritten retten Sie übrigens nicht nur Festplatten, Speicherkarten und SSDs, sondern auch zerkratzte CDs, DVDs und Blu-rays – vorausgesetzt, die Scheiben benutzen keinen Kopierschutz.

Zunächst sollten Sie das fehlerhafte Medium möglichst mit einem physischen Schreibschutz versehen. Damit kann beim Rettungsversuch weder das Betriebssystem noch eines der Rettungswerkzeuge die Daten weiter zerstören. Die Speicherkarte aus der Digitalkamera entpuppte sich im eingangs beschriebenen Fall als eine etwas ältere, 2 GByte große SD-Karte, bei der man nur den kleinen Schreibschutzriegel an der rechten Seite verschieben musste.

USB-Sticks, Festplatten und SSDs besitzen meist keinen Schreibschutzschalter. Bei sehr wichtigen Daten können Sie einen Schreibschutz-Adapter kaufen, wie sie in der Computerforensik zum Einsatz kommen. Dieser Hardware-Schutz kostet jedoch einige hundert Euro. Eine Festplatte oder SSD mit weniger wichtigen Daten sollten Sie ausbauen und in ein externes USB-Gehäuse stecken. Das verhindert zumindest, dass das zur Rettung gestartete Linux gleich eigenmächtig die Festplatte nutzt. Letzteres passiert gerne mit Swap-Partitionen – oder solchen, die Linux fälschlicherweise dafür hält.

Wo ist Walter?

Starten Sie jetzt den PC, auf dem Sie die Rettung durchführen möchten. Sofern auf ihm kein Linux installiert ist, können Sie ihn einfach von einer beliebigen Live-CD starten. Erst wenn Linux läuft, schließen Sie das defekte Medium an. Eine SD-Karte schieben Sie beispielsweise in einen USB-Kartenleser und stöpseln diesen an den Linux-PC. Lassen Sie den Datenträger noch nicht einbinden, auch wenn Linux das vorschlägt.

Als Nächstes müssen Sie herausfinden, über welche Gerätedatei sich das defekte Medium erreichen lässt. Dabei hilft der Befehl blkid -o list, den Sie genau wie alle weiteren als Benutzer root absetzen. Der Befehl spuckt eine Liste mit allen angeschlossenen Datenträgern und ihren Gerätedateien aus (Abbildung 1). Orientieren können Sie sich am label. Einen weiteren Anhaltspunkt liefert die Größe der Partitionen, die der Befehl cat /proc/partitions ausspuckt (Abbildung 2).

blkid gelieferte Liste. Hier verfügt der Rechner über zwei Festplatten sda und sdb. Die SD-Karte kann somit nur das Laufwerk sdc sein.” width=”300″ height=”211″ /> Abbildung 1: Je mehr Partitionen und Festplatten ein Computer eingebaut hat, desto unübersichtlicher ist die von blkid gelieferte Liste. Hier verfügt der Rechner über zwei Festplatten sda und sdb. Die SD-Karte kann somit nur das Laufwerk sdc sein.

sbd1 um die SD-Karte handeln muss.” width=”202″ height=”300″ /> Abbildung 2: Die Größe der Partitionen untermauert, dass es sich bei sbd1 um die SD-Karte handeln muss.

Merken Sie sich den Namen der zu rettenden Partition oder des kompletten Datenträgers. Auf der Speicherkarte aus unserem Beispiel hat blkid eine Partition mit dem Gerätenamen /dev/sde1 ausgemacht (Abbildung 3). Finden die Programme bei Ihnen keine Partition, ist noch nicht alles verloren: Rufen Sie dann fdisk -l auf, das sämtliche angeschlossenen Datenträger nennt. Merken Sie sich dann die Gerätedatei des kompletten Datenträgers, im Beispiel also /dev/sde.

fdisk bestätigt, dass es sich bei der Platte namens sde um die SD-Karte handelt.” width=”300″ height=”103″ /> Abbildung 3: Der letzte Eintrag von fdisk bestätigt, dass es sich bei der Platte namens sde um die SD-Karte handelt.

Klonkrieg

Versuchen Sie jetzt nicht, die Dateien direkt auf dem defekten Datenträger wiederherzustellen. Die Gefahr ist einfach zu groß, dass die Werkzeuge dabei noch mehr zerstören. Zudem gibt es dann keine Möglichkeit für einen zweiten Rettungsversuch. Es empfiehlt sich deshalb, zunächst eine bitgenaue Kopie des Datenträgers anzufertigen.

Dies setzt wiederum voraus, dass die Festplatte des Rettungs-PCs genügend freien Speicher für die Kopie besitzt. Zudem müssen Sie die wiederhergestellten Daten irgendwo ablegen. Folglich sollte der komplette Datenträger zwei-, besser jedoch dreimal auf die Festplatte passen. Für eine 2 GByte große Speicherkarte sollte also mindestens 6 GByte freier Speicherplatz bereitstehen. Wenn Sie nicht nur eine Partition, sondern eine komplette Festplatte retten müssen, sollten Sie extra zur Datenrettung eine leere, größere Festplatte einbauen.

Das eigentliche Duplikat erzeugt dann das kleine Programm GNU Ddrescue. Es liest einen Datenträger Bit für Bit aus und speichert den Inhalt in einer Datei, dem sogenannten Image oder Abbild. In der Regel müssen Sie Ddrescue über den Paketmanager nachinstallieren, bei Ubuntu steckt es im Paket gddrescue. GNU Ddrescue hat in vielen Distributionen das Pendant dd_rescue abgelöst, in einigen Repositories finden Sie sogar beide Werkzeuge.

Die zwei Programme unterscheiden sich lediglich in ihren Parametern und ihrer Vorgehensweise: Das neuere ddrescue liest den Datenträger in recht großen Schritten aus, wobei es fehlerhafte Bereiche zunächst überspringt. Erst wenn es den kompletten Datenträger kopiert hat, sieht es sich die fehlerhaften Blöcke noch einmal an und versucht aus ihnen so viele Daten wie möglich auszulesen. Durch sein Gedächtnis können Sie den Lesevorgang zudem zwischendrin abbrechen und dann zu einem späteren Zeitpunkt fortsetzen. Das ist insbesondere bei großen Festplatten nützlich, bei denen das Auslesen mehrere Stunden dauern kann. Dagegen beißt dd_rescue sich erst einmal an den nicht mehr zu lesenden Stellen fest. Sofern Sie die Wahl haben, sollten Sie also GNU Ddrescue vorziehen.

Nullnummer

Beide Werkzeuge ersetzen nicht mehr lesbare Stellen in der Image-Datei durch Nullen. Damit lässt sich dann zwar nicht mehr die komplette Diplomarbeit retten, aber vielleicht zumindest doch ein Teil. Da das von ddrescue erzeugte Image extrem groß werden kann, sollten Sie es auf einer Partition speichern, die mit solchen Brocken umgehen kann. Nicht geeignet sind folglich externe USB-Festplatten mit FAT32-Dateisystem.

Um mit ddrescue den Inhalt der Partition /dev/sde1 in die Datei /home/tim/kopie.img zu kopieren, rufen Sie es wie folgt auf:

# ddrescue /dev/sde1 /home/tim/kopie.img logfile

In der Datei logfile speichert ddrescue ein paar Informationen. Nur mit ihnen lässt sich der Lesevorgang via [Strg]+[C] zwischendurch abbrechen und dann später mit dem obigen Befehl wieder fortsetzen (Abbildung 4). Mit ddrescue können Sie selbstverständlich auch den kompletten Datenträger retten:

# ddrescue /dev/sde /home/tim/kopie.img logfile

ddrescue wie hier später weiterarbeiten lassen können, sollten Sie es möglichst ohne Unterbrechung durchlaufen lassen. Insbesondere bei Festplatten haben sie je nach Schadensbild nur einen einzigen Versuch.” width=”300″ height=”184″ /> Abbildung 4: Auch wenn Sie ddrescue wie hier später weiterarbeiten lassen können, sollten Sie es möglichst ohne Unterbrechung durchlaufen lassen. Insbesondere bei Festplatten haben sie je nach Schadensbild nur einen einzigen Versuch.

Das ist vor allem sinnvoll, wenn blkid keine Partitionen erkannt hat oder Sie wissen, dass die Partitionstabelle defekt ist. Sofern möglich, sollten Sie vom erstellten Image eine Kopie anlegen. Schlägt der Rettungsversuch gleich fehl, müssen Sie dann den fehlerhaften Datenträger nicht erneut zeitraubend einlesen.

Hängepartie

Wenn Sie mit ddrescue lediglich eine Partition gesichert haben, können Sie versuchen, diese anschließend zu mounten. Der folgende Befehl hängt sie sicherheitshalber schreibgeschützt in das Verzeichnis /mnt ein:

# mount -o loop,ro /home/tim/kopie.img /mnt

Sichern Sie jetzt aus dem Verzeichnis /mnt alle wichtigen Dateien. Im Fall der Speicherkarte aus dem Fotoapparat tauchten so unter /mnt bereits ein paar Fotos wieder auf. Wie eine kurze Rückfrage bei der Fotografin ergab, fehlten aber dummerweise immer noch über die Hälfte der Aufnahmen. Die nun aufzufahrenden Geschütze funktionieren nur auf ausgehängten Medien, es steht also nun zunächst ein umount /mnt an.

Der Checker

Sofern auf der fraglichen Partition ein Ext-Dateisystem zum Einsatz kommt, können Sie nun den Befehl fsck darauf ansetzen:

# fsck.ext3 -p kopie.img

Der Parameter -p weist fsck an, Fehler direkt zu korrigieren. Bei einem Ext4-Dateisystem nutzen Sie anstelle von fsck.ext3 den Kollegen fsck.ext4. Analog verarztet fsck.vfat Partitionen mit FAT32-Dateisystem, wie es immer noch auf USB-Sticks und SD-Karten zum Einsatz kommt. Sobald fsck seine Arbeit beendet hat, hängen Sie das Image wie oben gezeigt ein und lesen die Dateien aus.

Für andere Dateisysteme gibt es übrigens analoge Reparaturwerkzeuge. Bei NTFS-Dateisystemen hilft etwa ntfsfix weiter, das zu den ntfsprogs gehört, die wiederum Teil der NTFS-Treiber sind. Auf den meisten Distributionen ist das Werkzeug daher standardmäßig installiert, sodass Sie das Kommando ntfsfix kopie.img direkt auf das Image ansetzen können.

Plattenküche

Wenn Sie mit ddrescue nicht nur eine Partition, sondern gleich den ganzen Datenträger gesichert haben, können Sie mit fdisk -l kopie.img überprüfen, ob die Partitionstabelle noch vorhanden und korrekt ist. Sie erhalten dann eine Liste mit allen Partitionen. Die Nummern hinter den Namen in der ersten Spalte entsprechen den jeweiligen Zahlen der Gerätedateien.

Bei einer Platte mit der neueren GPT-Partitionstabelle verwenden Sie gdisk, das Sie unter Umständen erst noch über den Paketmanager nachinstallieren müssen. Unter Ubuntu steckt es im Paket gdisk. Eine Aufstellung der Partitionen im Image liefert das Kommando gdisk -l kopie.img.

Fundstücke

Wenn Sie eine oder mehrere Partitionen vermissen, setzen Sie Testdisk auf das Image an. Dieses Programm versucht Partitionen aufzuspüren und wiederherzustellen. Testdisk müssen Sie über den Paketmanager nachinstallieren, unter Ubuntu steckt es im Paket testdisk. Anschließend nennen Sie dem Werkzeug lediglich den Dateinamen der Image-Datei, rufen also testdisk kopie.img auf.

Sie landen jetzt in der textbasierten Benutzeroberfläche aus Abbildung 5. Im oberen Teil präsentiert Testdisk noch einmal die Image-Datei. Stellen Sie sicher, dass unten der Punkt [Proceed] hervorgehoben ist, und rufen Sie ihn mit der Eingabetaste auf. Jetzt müssen Sie testdisk mitteilen, ob die Festplatte bereits die moderne GPT nutzt. In diesem Fall wählen Sie den Punkt [EFI GPT], andernfalls seinen Kollegen [Intel]. Abschließend starten Sie die [Analyse].

Abbildung 5: In Testdisk wählen Sie einen Punkt mit den Pfeiltasten, die Eingabetaste löst die entsprechende Aktion aus.

Testdisk fasst jetzt im oberen Teil die aktuelle Situation zusammen. Fehlende oder doppelt aufgeführte Partitionen weisen auf einen Defekt hin. Starten Sie in diesem Fall [Quick Search]. Testdisk geht jetzt auf die Suche und listet anschließend alle gefundenen Partitionen auf (Abbildung 6). Via [P] sehen Sie sich die Dateien und Verzeichnisse der entsprechenden Partition an, die Navigation erfolgt mit den Pfeiltasten und Eingabe. Mit [Q] geht es wieder zurück zur Aufstellung aller Partitionen.

Abbildung 6: Testdisk hat hier die fehlende primäre Partition wiederentdeckt.

Hat das Werkzeug bereits alle Partitionen aufgespürt, aktivieren Sie [Write]. Vermissen Sie noch eine oder mehrere Partitionen, wählen Sie [Deeper Search]. Testdisk führt dann eine tiefergehende Analyse durch, die etwas länger dauert. Sie fördert unter Umständen uralte Partitionen zutage, die sich sogar teilweise überlappen können. Steuern Sie in der Liste die bislang vermisste Partition an, im Zweifelsfall müssen Sie raten.

Über die Pfeiltasten können Sie aus der Partition eine primäre oder logische machen. Diese Partition stellt dann Testdisk gleich wieder her. Alle Partitionen mit einem D in der ersten Spalte ignoriert Testdisk, sie bleiben folglich gelöscht. Wenn Sie zufrieden sind, drücken Sie die Eingabetaste und lassen die neue Partitionstabelle mit [Write] speichern.

In jedem Fall bestätigen Sie die Rückfrage mit [Y] und aktivieren Ok. Über [Quit] springen Sie immer wieder ein Menü zurück, bis sich Testdisk schließlich beendet.

Auswahl

Um die wiederhergestellten Partitionen einzuhängen, installieren Sie über den Paketmanager das Programm kpartx (bei Ubuntu im gleichnamigen Paket) und setzen es dann auf die Image-Datei an:

# kpartx -a -v kopie.img

Das Werkzeug erstellt jetzt für jede Partition im Image eine eigene Gerätedatei unterhalb von /dev/mapper. Sie müssen in den angezeigten Informationen nur die Gerätedatei für Ihre Partition ablesen und diese dann per mount einhängen (Abbildung 7):

# mount -o loop,ro /dev/mapper/loop0p1 /mnt

Der Befehl aus diesem Beispiel hängt die erste Partition (loop0p1) aus dem Image in das Unterverzeichnis /mnt ein.

/dev/mapper/loop0p1 zugänglich.” width=”300″ height=”83″ /> Abbildung 7: Kpartx macht die wiederherstellte, erste Partition über den Gerätenamen /dev/mapper/loop0p1 zugänglich.

Bitte lächeln

Fehlen – wie im Fall der Speicherkarte mit den Fotos – immer noch Dateien, hilft das Werkzeug Photorec weiter. Es versucht gelöschte Dateien wiederherzustellen, indem es auf dem kompletten Datenträger nach Lebenszeichen beziehungsweise typischen Erkennungsmerkmalen von Dateien sucht. Wie der Name andeutet, wurde es einst zur Wiederherstellung von gelöschten Fotos erfunden, kann aber mittlerweile auch viele andere Dateien zurückholen.

Photorec steckt in der Regel im Paket testdisk. Sofern Sie es noch nicht installiert haben, spielen Sie es via Paketmanager ein. Anschließend übergeben Sie dem Tool nur noch mit photorec kopie.img die Image-Datei. Photorec nennt Ihnen jetzt im oberen Teil des Bildschirms noch einmal das Image, das Sie mit der Eingabetaste bestätigen. Anschließend erhalten Sie eine Auswahl aller gefundenen Partitionen.

Abbildung 8: Photorec steuern Sie wie Testdisk mit den Pfeiltasten, die Eingabetaste wählt den markierten Punkt aus.

Wählen Sie jetzt mit den Pfeiltasten die Partition aus, die Photorec durchsuchen soll, und drücken Sie die Eingabetaste. Als Nächstes wählen Sie das Dateisystem aus, das auf der Partition zum Einsatz kommt. Wenn Sie unsicher sind, können Sie die weiter oben vorgestellten Befehle fdisk und gdisk heranziehen. Im Fall der Speicherkarte mit den Fotos handelte es sich um FAT16, also wäre der Punkt [Other] richtig. Im nächsten Schritt aktivieren Sie [Whole]. Damit grast photorec die komplette Partition und nicht nur den leeren Speicherplatz ab.

Zum Schluss müssen Sie auf Ihrem Rettungs-Computer noch ein Verzeichnis auswählen, in dem Photorec alle gefundenen Dateien speichert. Unter Umständen stellt das Werkzeug gleich einzelne Dateien mehrfach wieder her. Im gewählten Verzeichnis sollte folglich genügend freier Speicherplatz zur Verfügung stehen. Wenn Sie ein passendes Verzeichnis gefunden haben, drücken Sie [C]. Photorec nimmt jetzt umgehend seine Arbeit auf. Je nach Größe der zu untersuchenden Partition kann dies einige Zeit in Anspruch nehmen. Sobald die Zusammenfassung erscheint, gehen Sie via [Quit] so lange zurück, bis sich Photorec beendet.

Anschließend steht noch etwas Fleißarbeit auf dem Programm: Photorec verteilt alle gefundenen Dateien noch einmal in mehrere Unterverzeichnisse mit teilweise kryptischen Namen. Aus denen müssen Sie wohl oder übel die vermissten Dokumente selbst herausfischen.

Fazit

Im Fall der Urlaubsfotos war Photorec der Retter. Das kleine Werkzeug konnte alle vermissten Aufnahmen zurückholen. Dennoch sind die vorgestellten Programme keine Allheilmittel: Wenn eine Anwendung die Diplomarbeit mit Datenmüll überschrieben hat, kann auch Photorec sie nicht mehr zurückholen.

Deshalb ist Vorsorge in jedem Fall besser als Nachsorge: Erstellen Sie häufig und regelmäßig Sicherheitskopien aller Ihrer Daten. Sie können sich an die Faustregel halten: Dateien ohne Backup existieren nicht.