Ein kaputter Firmware-Chip einer WD-Festplatte (Bild: Kuert Datenrettung)An das Datenrettungsunternehmen Kuert Datenrettung wurde eigentlich nur eine 2,5-Zoll-Western-Digital-Festplatte zur Datenrekonstruktion eingeschickt. Business-as-usual, dacht man sich zunächst. Doch es war komplizierter als gedacht: Der Firmware-Chip auf der Platine der Festplatte wies hierbei eine Beschädigung an der linken unteren Ecke des Chips auf. Man entschloss sich zu einem neuen Verfahrensansatz. Ein gewagtes Vorhaben, denn der vorliegende Rettungsfall konnte anscheinend zuvor durch mehrere andere Datenrettungsunternehmen nicht gelöst werden.

Eine Kooperation war also angesagt. Im Rahmen eines deutsch-ungarischen Forschungszusammenschlusses, unter Beteiligung der Kuert Datenrettung Deutschland, der Universität Budapest/EFI Labs sowie Chip- und Forensik-Spezialisten der ungarischen Kürt-Gruppe wurde ein neues Verfahren entwickelt. »Dieses neuartige und für die Datenrettungsbranche, unserer Kenntnis nach weltweit einmalige Verfahren, bedeutet einen Durchbruch bei der Datenrettung von ausgefallenen Speichermedien«, freut sich Martin Eschenberg, Marketing-Verantwortlicher bei Kuert in Bochum.

Zunächst wurde der vorliegende beschädigte Firmware-Chip untersucht. Im Rahmen der Untersuchung wurde festgestellt, dass der Chip zuvor zu stark erhitzt worden ist. Hierdurch begann sich das Kunststoffgehäuse des Chips zu wölben, bzw. zu delaminieren.

Anzeige

Vorherige Erhitzung mittels Infrarot-Technologie führte anscheinend zur Beschädigung des Chips

Röntgenbild des beschädigten Firmware-Chips zeigt den fehlenden Pin links unten (Bild: Kuert Datenrettung)Semiprofessionelle Rettungsunternehmen bevorzugen bei der Entfernung von Chips in der Regel die Erhitzung mittels kostengünstiger Infrarot-Technologie, um den Chip von der Platine zu lösen. Der Nachteil dieser Technologie ist, dass man die Temperatur, die auf das Material einwirkt, nicht messen und somit auch nicht exakt regulieren kann. Die gebrochene linke Ecke des Chips resultiert somit wahrscheinlich auf einem vorausgegangenen gescheiterten Versuch, den Chip von der Platine mittels Hitzeeinwirkung und Hebelwirkung von der Platine zu lösen.

Durch die gebrochene linke Ecke des Chips wurde auch ein interner Anschlusspin beschädigt. Damit wurde auch die interne Verdrahtung an dieser Stelle unterbrochen. In der Mitte des Chips befindet sich der sogenannte »Kern« (DIE) des Chips sowie die Verbindungsdrähte zu den Kontakten des Chips. Weitergehende Untersuchungen stützten die These, dass wohl eine Überhitzung des Chips, im Rahmen eines unsachgemäß ausgeführten Datenrettungsversuchs, dafür verantwortlich war..

Weitere Untersuchungen ergaben, dass sich der Chip aufgrund zu starker Erhitzung vom Plastikgehäuse gelöst hat. Man konnte auch Brüche an der Kabelverbindung oberhalb der internen Anschlusskontakte des Chip-Kerns erkennen.

Auch die Verdrahtungen am Chip-Kern waren an vier Stellen beschädigt

Während der Untersuchung des Chips, mittels hochauflösender Röntgenbilder, wurde offensichtlich, dass nicht nur die abgebrochene Ecke und die Delaminierung des Chips den Zugriff auf die Datenebene verhindern, sondern zudem auch die Verdrahtungen am Chip-Kern selbst an vier Stellen beschädigt waren. Der Durchmesser der internen Goldverdrahtung von den äußeren Kontakten bis hin zu den Kontakten des Chip-Kerns beträgt 20 Mikrometer, was ungefähr 30 Prozent des Durchmessers eines menschlichen Haars entspricht.

Innerhalb des Chip-Kerns waren links und rechts die Anschluss-Konnektoren für die Verdrahtung ersichtlich. Diese wurden mittels Ultraschall mit den Anschlüssen des Chip-Kerns verschweißt. Im Rahmen des Datenrettungsprozesses verwendet Kuert ein identisches IC und »entkernt« dieses, um im Anschluss den Chip-Kern des defekten Original-ICs in das Ersatz-IC zu »transplantieren«. Danach wird die interne Verdrahtung mittels Ultraschall neu verschweißt.

Kuert: neues Verfahren nicht nur für Fimrware-ICs

Anschließend ließ sich laut Kuert der Inhalt des vormals defekten Firmware-Chips auslesen. Mit Hilfe der Firmware-Daten war dann ein Zugriff auf die Dateninhalte der ausgefallenen Festplatte wieder möglich.

Kuert betont, dass die im Rahmen der deutsch-ungarischen Zusammenarbeit gewonnenen Erkenntnisse nicht nur auf Firmware-ICs beschränkt sind, sondern sich auf nahezu alle Arten von Chip-Beschädigungen an Speichermedien und Controller anwenden lassen. »Das gilt vor allem für alle Arten von SSDs mit hoher hardwarebasierter und in Teilen einzigartiger Verschlüsselung (beispielsweise Sandforce-Controller), für die bislang kein theoretischer Ansatz zur Rettung nach Ausfall des Controllers beispielsweise bei Überspannungsschäden bestand«, erläutert Eschenbach.

Der neue Verfahrensansatz sei deshalb so bedeutend, weil es laut Eschenbach einzigartige Möglichkeiten eröffnet, alle Arten von physikalisch beschädigten Firmware-ICs mit hardwarebasierter Verschlüsselung oder einzigartigen betriebsspezifischen Informationen eines Datenträgers oder RAID-Controllers im Datenverlustfall wiederherzustellen: »Unabhängig von der Art der Beschädigung und des Beschädigungsgrads ist die einzige Voraussetzung hierbei, dass der ‚DIE’ im Innern des Chips unversehrt ist.«