USB-Stick oder SD-Karte soll formatiert werden: Warum die Datenrettung anders funktioniert als bei einer Festplatte

Sie nehmen die Karte aus der Kamera oder schließen einen USB-Stick an, auf dem sich die einzige Kopie Ihrer Abschlussarbeit befindet. Statt der Dateien erscheint die Meldung: „Der Datenträger ist nicht formatiert. Möchten Sie ihn formatieren?“ Auf den ersten Blick sieht das genauso aus wie bei einer externen Festplatte. Im Inneren handelt es sich jedoch um ein völlig anderes Gerät — mit anderer Technik, anderen Erfolgsaussichten und Ratschlägen, die bei einer Festplatte helfen können, hier aber Schaden anrichten.

Die kurze Antwort: Bestätigen Sie die Formatierung nicht und probieren Sie das Medium nicht weiter in anderen Kartenlesern oder Anschlüssen aus. In einem Flash-Speicher dreht sich nichts: Die Daten liegen in NAND-Chips, und ein Controller verwaltet, wo sie sich physisch befinden. Bei jedem Anschließen greift er auf seine eigenen Tabellen zu und führt selbst Schreibvorgänge aus. Starten Sie weder CHKDSK noch die „Datenträgerüberprüfung“, führen Sie auch keine „bloße Schnellformatierung“ durch und installieren Sie das Wiederherstellungsprogramm nicht auf dem Laufwerk, auf dem Sie die geretteten Daten speichern möchten. Wird das Medium noch mit der richtigen Kapazität erkannt, erstellt man zunächst ein sektorweises Abbild und führt die Wiederherstellung erst an diesem durch. Wird eine Kapazität von null angezeigt oder das Medium überhaupt nicht erkannt, muss der Speicher direkt ausgelesen werden — und das ist eine Aufgabe für einen Fachbetrieb, nicht für ein Programm aus dem Internet.

In einem USB-Stick dreht sich nichts — und das verändert das gesamte Vorgehen

Bei einer magnetischen Festplatte entspricht ein logischer Sektor einer bestimmten Stelle auf einer Platter-Oberfläche. Bei einem Flash-Speicher ist das nicht so. Zwischen Computer und Speicherzellen sitzt ein Controller, der eine eigene Zuordnungstabelle führt: Er verteilt Schreibvorgänge gleichmäßig über den Speicher, nimmt defekte Blöcke außer Betrieb und ersetzt sie durch Reserveblöcke. Kingston beschreibt dies in seinem Flash Memory Guide ausdrücklich: Controller „nehmen Bereiche mit defekten Zellen automatisch außer Betrieb und verschieben die Daten in Reserveblöcke“. Ein entsprechender Reservebereich wird bereits bei der Herstellung vorgesehen.

Die praktische Folge beschreibt das US-amerikanische NIST in seiner Richtlinie zur Datenvernichtung: Flash-Geräte „können Reservezellen enthalten und Wear-Leveling durchführen, sodass der Benutzer durch gewöhnliches Lesen und Schreiben nicht alle früheren Daten bereinigen kann“. Umgekehrt bedeutet das: Was das Betriebssystem sieht, ist nicht der gesamte Inhalt des Speichers. Deshalb ist es bei einem USB-Stick wenig sinnvoll, in Kategorien wie „defekte Sektoren“ zu denken. Auch der Austausch der Elektronik, der bei einer Festplatte in einem externen Gehäuse manchmal hilft, funktioniert hier nicht; eine externe Festplatte, die klickt oder formatiert werden soll, ist ein völlig anderer Fall.

Was die Meldung „soll formatiert werden“ bei einer Karte wirklich bedeutet

Fast immer bedeutet sie, dass strukturelle Einträge des Dateisystems beschädigt wurden — nicht, dass die Daten verschwunden sind. Dabei verwenden Speicherkarten nicht nur ein einziges Format: Laut SD Association kommt bis 2 GB FAT12/16 zum Einsatz, bei SDHC-Karten mit mehr als 2 GB und bis zu 32 GB FAT32 sowie bei SDXC-Karten mit mehr als 32 GB und bis zu 2 TB und bei SDUC-Karten mit mehr als 2 TB und bis zu 128 TB exFAT.

Gerade exFAT zeigt, warum man die Meldung ernst nehmen sollte, statt sie einfach zu bestätigen. Die Microsoft-Spezifikation beschreibt zwei Bereiche: den primären Bootbereich in den Sektoren 0 bis 11 und dessen Sicherung in den Sektoren 12 bis 23. Über die Sicherung heißt es ausdrücklich, sie „hilft bei der Wiederherstellung eines exFAT-Volumes, falls sich der primäre Bootbereich in einem inkonsistenten Zustand befindet“. Wird eine Karte als RAW angezeigt, liegt der Fehler daher häufig in den ersten Sektoren — und eine Kopie dieser Informationen befindet sich ein zweites Mal auf der Karte.

Der typische Auslöser ist banal: Die Karte wurde während eines Schreibvorgangs entnommen, der Akku der Kamera war leer, der USB-Stick wurde ohne sicheres Entfernen abgezogen oder der Strom fiel aus. Der Controller konnte seine eigenen Tabellen nicht vollständig schreiben, sodass das Dateisystem in einem unvollständigen Zustand zurückblieb. Die Daten befinden sich weiterhin in den Zellen, doch der Weg zu ihnen ist verloren gegangen.

Warum „ich probiere es noch einmal“ gerade hier schadet

Bei einer Festplatte verringert jeder Start die Erfolgsaussichten, weil die Mechanik erneut anläuft. Flash-Speicher besitzen keine solche Mechanik — dafür entsteht ein anderes Risiko. Bei jedem Anschließen startet der Controller, liest seine Tabellen ein und kann selbstständig Schreibvorgänge ausführen: eine unterbrochene Operation abschließen, einen Block neu zuordnen oder interne Aufräumarbeiten erledigen. Sie können das weder beeinflussen noch beobachten.

Hinzu kommen drei typische Selbsthilfeversuche, die die Lage zuverlässig verschlechtern:

1. Bestätigen der Formatierung. Bei einer Schnellformatierung werden laut Microsoft-Dokumentation zwar lediglich die Dateitabelle und das Stammverzeichnis gelöscht (Sektoren werden erst mit dem Schalter /P überschrieben, der bei der Schnellformatierung ignoriert wird), doch der Befehl format kann dem Gerät unmittelbar die Freigabe von Blöcken melden — deshalb existiert der Schalter /NoTrim, der dies unterbindet.
2. CHKDSK und andere „Reparaturwerkzeuge“. Sie schreiben in genau die beschädigten Strukturen auf dem Medium, das Sie auslesen möchten.
3. Installation eines Wiederherstellungsprogramms und stundenlanges Scannen. Schreibvorgänge auf dem Systemlaufwerk können gesuchte Daten überschreiben, und ein langer Scan setzt den ohnehin instabilen Controller dauerhaft unter Volllast.

Vier Symptome und was Sie tun sollten

Billige Karte, gefälschte Kapazität und schlichtes Lebensende

Speicherzellen überstehen nur eine begrenzte Anzahl von Schreib- und Löschvorgängen. Kingston nennt für seine Produkte Größenordnungen von bis zu 30.000 Zyklen pro physischem Sektor bei SLC, bis zu 3.000 bei MLC und etwa 500 bei TLC. Gleichzeitig weist das Unternehmen darauf hin, dass die „Datenerhaltung in Flash-Speichern dynamisch ist“, weil sie von der bisherigen Beanspruchung des Speichers abhängt. Wichtige Daten sollten deshalb auf einem anderen Medium gesichert werden. Eine Karte in einer Dashcam oder Drohne, die fortlaufend überschrieben wird, hält daher oft kürzer, als ihr Preis vermuten lässt.

Eine zweite Kategorie bilden Fälschungen. Eine Karte gibt vor, 1 TB groß zu sein, verfügt tatsächlich aber nur über einen Bruchteil dieser Kapazität. Daten oberhalb der realen Kapazitätsgrenze gehen einfach verloren, obwohl der Kopiervorgang scheinbar „erfolgreich“ abgeschlossen wurde. Erkennen lässt sich das mit einem Test, der das Medium mit pseudozufälligen Daten füllt und anschließend überprüft, ob dieselben Daten wieder gelesen werden können. Genau dies erledigen die beiden Werkzeuge f3write und f3read. Eine neue Karte sollte auf diese Weise geprüft werden, bevor sie als einziger Speicherort für wichtige Daten dient.

Wenn der Speicher direkt ausgelesen werden muss: Monolith und Rohdatenzugriff

Startet der Controller nicht, lässt sich über USB nichts mehr lesen. Bei microSD-Karten und den meisten heutigen USB-Sticks befinden sich Controller und Speicher zudem gemeinsam in einem vergossenen Gehäuse. Kingston beschreibt einen USB-Stick als Einheit, die „NAND-Speicher und Controller in einem einzigen gekapselten Bauteil enthält“. Es gibt also nichts, was man aufschrauben und austauschen könnte.

Das Laborverfahren unterscheidet sich von der Arbeit an einer Festplatte: Der Speicher wird direkt ausgelesen. ACE Lab beschreibt für sein Werkzeug, dass „der Chip vom Medium abgelötet und mit einem speziellen Lesegerät ausgelesen wird“. Erst danach beginnt die eigentliche Arbeit: Aus dem rohen Speicherinhalt müssen die Verarbeitungsschritte des Controllers rekonstruiert werden. Deshalb enthalten solche Werkzeuge Bibliotheken mit ECC-Algorithmen, XOR-Masken und Seitenformaten sowie Dutzende Verfahren, die die Transformationen des Controllers nachbilden. NIST fasst dies in seiner forensischen Methodik knapp zusammen: Damit aus einem ausgelöteten Chip ein zusammenhängendes Abbild entstehen kann, „muss der Wear-Leveling-Algorithmus durch Reverse Engineering rekonstruiert werden“.

Zwei Einschränkungen müssen dabei offen genannt werden. Erstens speichern manche Controller die Daten codiert oder verschlüsselt. Ohne den ursprünglichen Controller liefert der Speicher dann nur unbrauchbares Rauschen — und in diesem Fall hilft nichts mehr. Zweitens lässt sich nicht im Voraus versprechen, wie viele Daten gerettet werden können. Entscheidend sind der Zustand des Speichers und alles, was zuvor mit dem Medium geschehen ist. Die tatsächlichen Grenzen dieses Fachgebiets erläutert der Artikel darüber, wann eine Datenrettung möglich ist und wann nicht.

Was es kostet und was Sie vom Fachbetrieb verlangen sollten

Bei Flash-Medien richtet sich der Preis nicht nach der Datenmenge, sondern danach, auf welcher Ebene gearbeitet werden muss. Ein logischer Fehler bei einer Karte, die noch erkannt wird, bedeutet einige Stunden Arbeit. Das direkte Auslesen des Speichers gehört dagegen in eine andere Kategorie. Laut Preisliste wird die Datenrettung nach dem festgestellten Schaden berechnet. Eine Diagnose ohne anschließende Reparatur kostet als Richtwert ab 600 Kč, eine vollständige Sicherung der ausgelesenen Daten bis 50 GB ab etwa 1.200 Kč. Der genaue Betrag hängt stets vom Medientyp und dem Umfang des Schadens ab. Einen festen Termin oder ein bestimmtes Ergebnis versprechen wir im Voraus nicht — bei der Datenrettung in Brno erfahren Sie den Preis nach der Diagnose und entscheiden anschließend.

Bevor Sie das Medium abgeben, sollten Sie drei Fragen stellen: Wird mit einem Abbild oder direkt am Original gearbeitet? Erhalten Sie vor der Bezahlung eine Liste der gefundenen Dateien einschließlich der Ordnerstruktur? Und auf welchem Zielmedium werden die Daten übergeben, also welches Speichermedium müssen Sie mitbringen?

Damit beim nächsten Mal eine Sicherung genügt

Weder USB-Stick noch Speicherkarte sind ein Archiv. Es sind Transportmedien mit einem Controller, der irgendwann ausfallen kann — und die Aufforderung zur Formatierung erscheint ohne Vorwarnung, denn hier kündigt sich nichts durch Klickgeräusche an. Halten Sie sich deshalb an die 3-2-1-Regel: drei Kopien, zwei unterschiedliche Medien und eine Kopie außer Haus. In der Praxis bedeutet das, die Karte nach einem Einsatz zu leeren und die Dateien zusätzlich an einem anderen Ort zu speichern, statt sie bis zum nächsten Mal auf der Karte liegen zu lassen.

Zum Schluss ein aktueller Hinweis: Die neuesten SD-Express-Karten sind nicht mehr mit herkömmlichen Speicherkarten vergleichbar. Laut SD Association nutzen sie eine PCIe-Schnittstelle mit dem NVMe-Protokoll, und die schnellsten Klassen erreichen bis zu 3.940 MB/s. Technisch betrachtet sind es kleine NVMe-Laufwerke, die sich auch entsprechend verhalten — einschließlich der Geschwindigkeit, mit der gelöschte Dateien verschwinden können. Ein Grund mehr, eine Kopie anzulegen, bevor Sie sie benötigen.