Datenrettung für USB-Sticks

USB-Sticks und Speicherkarten können beide NAND-Flash, Controller, ECC und ein FAT- oder exFAT-Dateisystem verwenden. Trotzdem entstehen ihre Schäden in unterschiedlichen Abläufen: Ein USB-Stick transportiert häufig Dokumente, Zertifikate oder Gerätekonfigurationen, während eine Speicherkarte fortlaufende Foto- und Videodaten aus Kamera, Drohne oder Rekorder enthält. Quellgerät, Nutzung, Dateitypen und Zeitpunkt des Ausfalls bestimmen deshalb, welche Strukturen zuerst gesichert und wie die Ergebnisse geprüft werden.

Eine Prioritätenliste legt fest, welche Ordner, Dateitypen und Zeiträume zuerst gelesen und später praktisch geprüft werden. Bei einem instabilen USB-Stick kann das verfügbare Lesefenster begrenzt sein; geschäftskritische Dokumente, Zertifikate, Projektdateien oder einmalige Fotos erhalten deshalb Vorrang vor ersetzbaren Kopien. Ein hoher kopierter Datenumfang ersetzt nicht den Nachweis, dass die tatsächlich benötigten Dateien nutzbar sind.

Für jede Priorität werden möglichst der ungefähre Dateiname, der ursprüngliche Ordner, das Änderungsdatum, die zugehörige Anwendung und die erwartete Version angegeben. Diese Angaben lenken die Erfassung auf relevante Bereiche, wenn der Controller zurückgesetzt wird, NAND-Seiten nur instabil antworten oder nicht alle Blöcke in einem Durchgang erreichbar sind. Unbekannte Positionen rechtfertigen keinen unkontrollierten Vollscan.

Bereits vorhandene Kopien auf einem anderen Rechner oder in einer gesicherten Ablage werden getrennt inventarisiert. Bei verschlüsselten Containern wird außerdem geklärt, ob ein gültiges Passwort oder Schlüsselmaterial verfügbar ist; das Auffinden des Containers beweist noch nicht, dass sein Inhalt geöffnet werden kann. Größe, Zeitstempel und gegebenenfalls Prüfsummen zeigen, welche Version tatsächlich fehlt.

Die Kontrolle richtet sich nach dem Format: Dokumente werden über mehrere Seiten geöffnet, Archive intern getestet, Bilder vollständig dekodiert und Datenbanken oder CAD-Projekte mit geeigneten Werkzeugen strukturell geprüft. So beschreibt das Ergebnis die praktische Nutzbarkeit statt nur Namen, Erweiterungen oder eine Gesamtdatenmenge. Vollständige, teilweise beschädigte und nicht prüfbare Funde bleiben getrennt ausgewiesen.

Eine Liste rekonstruierter Namen genügt nicht. Repräsentative Dokumente, Tabellen, Präsentationen, Bilder, Archive und Projektdateien werden geöffnet oder strukturell geprüft. Nutzbar ist ein Fund erst, wenn seine Datenblöcke in der vorgesehenen Anwendung plausibel zusammenpassen.

Mehrere NAND-Lesestände können leicht unterschiedliche Bitfehler enthalten. Prüfsummen und Formatprüfungen helfen, die stabilste Variante zu wählen. Nullbereiche, unvollständige Archive, beschädigte Vorschaubilder oder unsichere Fragmentkombinationen bleiben gekennzeichnet und werden nicht als vollständig intakte Dateien gezählt.

Grenzen entstehen durch abgerissene interne Leiterbahnen eines Monolithen, physisch zerstörte NAND-Zellen, nicht korrigierbare ECC-Fehler, fehlende Mappinginformationen oder nicht verfügbare Verschlüsselungsschlüssel. Eine saubere Lötstelle kann solche Informationsverluste nicht ersetzen. Der Befund ordnet jede Grenze der betroffenen Ebene zu.

Eine einzelne, geschäftskritische Präsentation kann gezielter validiert werden als tausende austauschbare temporäre Dateien. Die geprüften Ergebnisse werden auf ein anderes gesundes Medium übertragen; der beschädigte Quellstick bleibt unverändert und wird nicht für die Rückgabe formatiert. Die Prüfung orientiert sich an den vorher genannten Prioritäten.