Je nachdem wie sehr eine Festplatte beschädigt ist, gestaltet es sich unterschiedlich schwierig, Windows oder überhaupt noch Daten kopieren zu können. Bei einem Kunden-Notebook startete Windows 7 zwar noch erfolgreich, allerdings stürzte das System alle zwei Minuten ab.

Alleine schon aufgrund der Geräuschentwicklung war schnell klar, das die Festplatte einen Defekt aufweist. Trotz sehr vieler fehlerhaften Sektoren meldete S.M.A.R.T. allerdings, das alles in Ordnung sei.

Wir entscheiden immer je nach Zustand und Verhalten einer Festplatte, ob man „nur“ noch versucht, soviele Nutzdaten wie möglich zu retten oder ob man den fehlerhaften Datenträger klont. In diesem Fall entschieden wir uns für letztgenanntes.

Eines noch vorweg: Datenrettung ist nichts für Ungeduldige. Ein Kopiervorgang kann durchaus Stunden oder Tage dauern.

Um „ungestört“ von den Abstürzen arbeiten zu können, wurde die Festplatte ausgebaut und an unser Werkstatt-System angeschlossen.

Drive Snapshot

Wie so oft, so auch diesmal setzten wir zunächst auf das bewährte Drive Snapshot. Dabei handelt es sich nicht um eine Klon- sondern Backup-Lösung. In der Vergangenheit haben wir schon oft in solchen Situationen Erfolg gehabt.

Wie man erkennen kann, hat der Vorgang eine Weile gedauert, ferner bekommt man die Anzahl an fehlerhaften Sektoren angezeigt. Über das erzeugte Protokoll bzw. den dort aufgeführten Befehl lässt sich ermitteln, welche Dateien beschädigt sind.

Tipp: Notepad++: Zeilenumbruch einfügen

Windows-Bordmittel: Robocopy

Um Robocopy auf eine neue Festplatte oder eine VHD als Ziel anwenden zu können, muss dieses zunächst initialisiert, partitioniert und formatiert sein. Allerdings geht es nicht ganz nur mit Bordmitteln, da zum erfolgreichen Kopieren mehr Rechte als die eines Administrators von Nöten sind. Das erreicht man am einfachsten mit dem Befehl PsExec aus der PsTools-Sammlung:

psexec -i -s <BEFEHL>

Der robocopy-Befehl lautet:

robocopy %source% %destination% /b /copy:datsou /mir /dcopy:dat /xf hiberfil.sys pagefile.sys swapfile.sys /xj /r:0 /w:0 /np /log:robocopy-log.txt /tee

Wichtig: Unbedingt den Parameter „/xj“ angeben, andernfalls schreibt Robocopy die Zielfestplatte voll (siehe hier).

Hinweis: Wir haben via „psexec -i -s cmd“ zuerst eine Eingabeaufforderung geöffnet und in dieser dann Robocopy ausgeführt.

FastCopy

Wie beim vorigen Kandidaten muss man auch für FastCopy im Vorfeld die Partitionen selbst anlegen, anschließend geht es mit dem Kopieren dafür weniger kryptisch und grafisch weiter. Alternativ kann man FastCopy ebenfalls über ein CLI steuern. Wie bei Robocopy sollte FastCopy ebenso im System-Kontext gestartet werden, um „Zugrif verweigert“-Fehler zu vermeiden:

PsExec -i -s FastCopy.exe

Wichtig: Den Haken setzen bei „ACL“ (Berechtigungen) und „AltStream“ (NTFS ADS).

Im erzeugten Protokoll (neben dem Textfeld gibt es eine eigene Text-Datei) kann man auslesen, welche Daten nicht kopiert werden konnten. Allerdings scheint dieser Mechanismus begrenzt zu sein, da sich in diesem Beispiel nach etlichen Einträgen folgende Zeile fand:

 Too Many Errors...

Dazu erwähnen muss man, das diese Meldung erst in Zeile 10512 erschien. Also wahrlich sehr viele Fehler.

Macrium Reflect v6

Mit Macrium’s Reflect hatten wir hingegen weder beim Klonen noch beim Backup Glück. Trotz gemäss des Knowledgebase-Artikels v5: Imaging disks with bad sectors durchgeführten „chkdsk LW: /r“ als auch aktivierten „Ignore bad sectors when creating images“ brach der Vorgang nach einer Weile ohne weitere Begründung ab. Schade, denn bei inakten Festplatten macht die Anwendung einen guten Job.

Disk2vhd

Mit Disk2vhd sah es nicht viel anders aus wie bei Macrium Reflect, von daher braucht es an dieser Stelle keine weiteren Worte, außer das dies ein Versuch war, das System als virtuellen Maschine testen zu können. Anschließend hätte sich die Frage gestellt, wie man von „Vhd2disk“ arbeiten kann.

Bemerkung: Ungetestet aber möglich um „Vhd2disk“ zu machen wäre z.B. Robocopy, FastCopy, evtl. 7-Zip und Co. im System-Kontext auszuführen um die Daten zu kopieren bzw. zu extrahieren.

HDD Raw Copy Tool 1.10 Free

Für den Fall, das die Partition(en) nicht mehr angezeigt werden, kann man die Festplatte 1:1 bzw. Sektor-für-Sektor kopieren. Aber Achtung: Es werden alle Sektoren und nicht nur die Belegten kopiert! Daraus folgt, das entweder für die Zieldatei oder die Zielfestplatte mindestens genauso viel Kapazität vorhanden sein muss wie die Quelle aufweist.

Die Ausnahme von der Regel sind solche Programme, die die RAW-Kopie komprimieren, so wie das hier vorliegenede HDD Raw Copy Tool es tun kann, allerdings kann man die Datei im weiter unten erwähnten OSFMount dann nicht verwenden. Wenn möglich sollte auf eine evtl. vorhandene Komprimierung verzichted werden.

Ein Tool das eine sogenannte Raw-Kopie in eine Datei oder auf eine andere Festplatte anfertigen kann ist HDD Raw Copy Tool von HDDGURU.

Ein solches RAW-Abbild (sofern es in eine Datei geschrieben wurde) kann mit OSFMount eingehängt werden. Dabei kann man dann Auswählen, ob nur eine oder alle vorhandenen Partitionen eingehängt werden sollen. Dies setzt natürlich voraus, das die Partitionen noch erkannt werden. Ansonsten kann man das Abbild einhängen und z.B. mit TestDisk nach Daten suchen lassen.

Per Vorgabe wird „Read-only drive“ (nur lesend) verwendet, das für das reine extrahieren von Daten aus dem Abbild i.d.R. völlig ausreicht. Möchte man hingegen das Abbild z.B. mit „chkdsk…“ bearbeiten, so sollte der Haken entfernt werden.

Noch nicht getestet

Noch nicht getestet wurden folgende Tools:

Bad Block Copy for Windows

NTFS File Copy Utility (ntfscopy)

Roadkil’s Unstoppable Copier

Fazit

Letztlich war das Backup und der anschließende Restore oder das Klonen auf eine neue Festplatte mit Drive Snapshot, Robocopy und FastCopy erfolgreich. Mit HDD Raw Copy Tool haben wir den Restore bzw. Klon nicht getestet. Nach der Rücksicherung bzw. dem Kopiervorgang musste nur kurz vom Windows-Medium die Computerreparaturoptionen ausgeführt werden, um den BCD zu aktualisieren.

Im Anschluss sollte Windows überprüft werden (Ereignisprotokolle, „chkdsk c: /f“, „sfc /scannow“, „Dism /Online /Cleanup-Image /ScanHealth“, „Dism /Online /Cleanup-Image /CheckHealth“, …). Je nach dem welche fehlerhafte Dateien die Kopier-/Klon-Protokolle ausgegeben haben, müssen ggf. neben Windows noch Programme repariert oder neu installiert werden. Sind Nutzdaten betroffen, bleibt zu hoffen das es eine Datensicherung gibt, auf die man zurückgreifen kann, andernfalls sieht es schlecht aus.

Neben den bereits erwähnten Möglichkeiten stehen noch weitere Optionen zur Verfügung. Wir nahmen diesen Kundenauftrag zum Anlass die genannten Methoden zu testen.

Tipp: Hilfreich und interessant zu diesem Thema ist der Artikel „Daten retten“ aus der c’t 24/2014.