Gastkommentar: Bad Clusters

Moderne Festplatten verfügen über viele Milliarden Sektoren. Bedingt durch die Produktion weisen diese bereits bei Auslieferung Bad Clusters auf. [...]

Moderne Festplatten verfügen über viele Milliarden Sektoren. Sektoren sind die kleinsten adressierbaren Speichereinheiten von Festplatten. Bedingt durch die Produktion von Festplatten weisen diese bereits bei Auslieferung defekte Bereiche (Bad Clusters) auf, sprich ein Teil der Sektoren ist fehlerhaft, was völlig normal ist. Nach Abschluss der Produktion werden alle Sektoren in der Fabrik getestet. Eine Liste aller fehlerhaften Sektoren wird in der Festplattenfirmware in der sogenannten Primary Defect List (PList) gespeichert. Da jede Festplatte über einen versteckten Reservebereich an Speicherkapazität verfügt, haben trotzdem alle Festplatten einer Serie exakt gleich viele Sektoren. Nur die Größe des freien Reservebereichs ist unterschiedlich.

Jedoch entstehen auch während des Betriebs der Festplatte weitere defekte Sektoren. Muss der Datenträger, um einen Sektor auszulesen, mehrere Versuche unternehmen, wird dieser umgelagert (Remapping): Ein Sektor aus dem Reservebereich wird herangezogen und ersetzt den fehlerhaften Sektor – die Position des defekten Sektors wird in die Growing defect list (GList) eingetragen. In einer eigenen Liste wird vermerkt, wo auf dem Datenträger ein Sektor tatsächlich liegt (Translator). Ist ein Schreibvorgang aufgrund eines defekten Sektors nicht möglich, kann dieser einfach sofort umgelagert werden. Der Anwender wird davon nie erfahren.

Vor allem Sektoren in der GList sind für Datenretter bei computerforensischen Analysen interessant: Zum Beispiel nach einer absichtlichen Vernichtung aller Daten mit speziellen Löschprogrammen ist es uns oft noch möglich, Beweise aus solchen als defekt markierten Sektoren auszulesen. Meist sind es zwar nur Fragmente von Dateien, die vor Gericht aber ein ausreichender Beweis sein können.

Ist irgendwann der Speicherplatz des Reservebereichs aufgebraucht, kommt es zu Lese- bzw. Schreibfehlermeldungen während des Betriebs: Die Festplatte kann nun nicht mehr etwaige neue fehlerhafte Sektoren vor dem Anwender verstecken. Oft stellen wir auch fest, dass erst zu diesem Zeitpunkt das Self-Monitoring der Festplatten Alarm schlägt – und nicht, wie man erwarten sollte, deutlich davor.

* Nicolas Ehrschwendner ist Geschäftsführer der Attingo Datenrettung GmbH.