Fehler 1: Das Laufwerk weiter benutzen oder neue Dateien speichern
Gelöschte Dateien sind auf der Speicheroberfläche in der Regel zunächst noch vorhanden – nur der Verweis auf sie wurde entfernt. Der Speicherplatz gilt für das System als frei und wird beim nächsten Schreibvorgang wiederverwendet. Jede neue Datei, jedes Foto, jedes Update kann genau den Bereich überschreiben, in dem die verlorenen Daten noch liegen. Ist ein Sektor einmal überschrieben, ist der ursprüngliche Inhalt an dieser Stelle unwiederbringlich verloren. Deshalb gilt: Nach einem Datenverlust das betroffene Laufwerk nicht mehr aktiv nutzen.
Fehler 2: Wiederherstellungssoftware auf dem betroffenen Laufwerk installieren oder Dateien dorthin zurückspeichern
Recovery-Programme müssen installiert und ausgeführt werden – dabei schreiben sie zwangsläufig Daten auf einen Datenträger. Geschieht das auf dem betroffenen Laufwerk selbst, kann genau der Bereich überschrieben werden, in dem die zu rettenden Dateien liegen. Dasselbe gilt für das Ziel der Wiederherstellung: Gefundene Dateien sollten immer auf einem separaten, zweiten Laufwerk gespeichert werden, niemals zurück auf das Original. Diese Grundregel wird häufig übersehen, weil sie im Moment der Erleichterung über gefundene Dateien schnell in den Hintergrund tritt.
Fehler 3: Ein Laufwerk mit physischen Anzeichen eines Defekts weiter betreiben
Ungewöhnliche Klick-, Schleif- oder Surrgeräusche bei einer Festplatte deuten auf einen mechanischen Defekt hin, etwa an den Schreib-Leseköpfen oder den Motorlagern. Wird das Laufwerk in diesem Zustand weiter eingeschaltet und betrieben, steigt das Risiko, dass sich der Schaden ausweitet – etwa durch Kontakt der Köpfe mit der Speicheroberfläche. Aus einem zunächst eingrenzbaren Defekt kann so ein Totalschaden werden, bei dem selbst im Reinraum keine Daten mehr zugänglich sind. Bei mechanischen Warnzeichen gilt: Laufwerk sofort ausschalten und nicht erneut starten.
Fehler 4: Selbst am Laufwerk oder an der Speicherkarte herumbasteln
Das eigenständige Öffnen einer Festplatte außerhalb eines Reinraums setzt die empfindliche Speicheroberfläche Staub und Partikeln aus, die beim nächsten Betrieb irreparable Kratzer verursachen können. Auch das Reinigen von Kontakten einer SD-Karte oder eines USB-Sticks mit ungeeigneten Mitteln – etwa Alkohol in falscher Konzentration, spitzen Gegenständen oder starkem Druck – kann Lötstellen und Kontaktflächen dauerhaft beschädigen. Was als kleiner Reparaturversuch gedacht ist, macht aus einem softwareseitig lösbaren Problem häufig einen physischen Defekt, der die Wiederherstellung erheblich erschwert oder unmöglich macht.
Fehler 5: Zu lange warten, bevor gehandelt wird
Je länger ein Speichermedium nach dem Datenverlust weiterläuft oder im Alltag genutzt wird, desto höher die Wahrscheinlichkeit, dass relevante Bereiche überschrieben werden – bei SSDs sogar unabhängig von aktiver Nutzung. SSDs führen im Hintergrund automatisierte Prozesse wie TRIM aus, die als gelöscht markierte Speicherblöcke eigenständig und dauerhaft bereinigen, sobald das Laufwerk mit Strom versorgt und vom Betriebssystem erkannt wird. Dieser Vorgang läuft ohne Zutun des Nutzers ab und kann Daten löschen, die bei einer Festplatte noch rettbar gewesen wären. Zögern kostet bei SSDs besonders viel Zeit, die für die Rettungschancen entscheidend ist.
Fehler 6: Bei Ransomware sofort bezahlen, ohne Alternativen zu prüfen
Eine Zahlung an Erpresser ist keine Garantie dafür, tatsächlich einen funktionierenden Entschlüsselungscode zu erhalten – belegte Fälle zeigen, dass Zahlende teils leer ausgehen oder nur Teile ihrer Daten zurückbekommen. Vor einer Zahlung lohnt sich die Prüfung, ob die verwendete Ransomware-Variante bereits identifiziert ist und ob kostenlose Entschlüsselungstools existieren, wie sie unter anderem von Strafverfolgungsbehörden und Sicherheitsforschern bereitgestellt werden. Zusätzlich sollten befallene Systeme sofort vom Netzwerk getrennt werden, um eine Ausbreitung auf weitere Geräte oder Backups zu verhindern. Eine vorschnelle Zahlung finanziert zudem die Kriminellen und motiviert weitere Angriffe, ohne dass die Datenwiederherstellung dadurch sicherer wird.
Häufige Fragen
Davon ist abzuraten. Jede weitere Nutzung des Laufwerks – auch scheinbar harmlose Aktionen wie das Öffnen von Programmen oder ein Neustart – kann Schreibvorgänge auslösen, die den freigegebenen Speicherbereich überschreiben. Je früher das Laufwerk außer Betrieb genommen wird, desto besser stehen die Chancen auf eine vollständige Wiederherstellung.
Beim Zurückspeichern schreibt das System aktiv Daten auf das Laufwerk. Befinden sich dort noch weitere, bisher nicht erkannte Dateireste, können diese durch den Schreibvorgang überschrieben werden. Ein zweites, separates Laufwerk als Speicherziel vermeidet dieses Risiko vollständig.
Klickgeräusche sind ein typisches Anzeichen für einen mechanischen Defekt, etwa an den Schreib-Leseköpfen. Das Laufwerk sollte sofort ausgeschaltet und nicht erneut gestartet werden, da jeder weitere Betrieb den Schaden vergrößern kann. In diesem Fall ist eine fachgerechte Prüfung unter kontrollierten Bedingungen der sinnvollste nächste Schritt.