Kameraaufnahmen nach einem Rekorderdefekt: retten, bevor sie überschrieben werden

Die kurze Antwort: Bei Kameraaufnahmen spielt die Zeit gleich in zweifacher Hinsicht eine Rolle: erstens wegen des Defekts, zweitens weil der Rekorder in einer Schleife aufzeichnet und die ältesten Aufnahmen fortlaufend selbst überschreibt. Solange das System läuft, wird das Ereignis gelöscht, auch wenn niemand etwas unternimmt. Funktioniert der Rekorder noch und kennen Sie den Zeitpunkt des Vorfalls, exportieren Sie den betreffenden Abschnitt sofort. Funktioniert er nicht oder meldet er einen Laufwerksfehler, schalten Sie ihn aus und entnehmen Sie die Laufwerke, damit die Aufzeichnungsschleife stoppt. Und vor allem: Ein Laufwerk aus einem NVR oder DVR lässt sich an einem gewöhnlichen Computer in der Regel nicht öffnen – stattdessen wird eine Initialisierung oder Formatierung angeboten. Bestätigen Sie das nicht, denn laut Microsoft-Dokumentation werden bei der Initialisierung sämtliche Daten auf dem Laufwerk gelöscht. Ob eine bestimmte Aufnahme wiederhergestellt werden kann, hängt vom Zustand des Laufwerks und vom verwendeten Format ab; Gewissheit bringt erst eine Diagnose.

Mit Kameraaufnahmen befassen sich Menschen fast immer unter Stress und fast immer zu spät – nach einem Einbruch, einem Unfall auf dem Parkplatz, einer Sachbeschädigung oder wenn die Versicherung Nachweise verlangt. Die folgenden Schritte sollen verhindern, dass in den ersten Stunden auch noch das Wenige zerstört wird, das möglicherweise übrig ist.

Warum ein Rekorderlaufwerk anders behandelt werden muss als ein Computerlaufwerk

Ein Rekorder ist kein Windows-Computer. Er speichert das Videomaterial in einer vom Hersteller festgelegten eigenen Struktur und nicht als gewöhnliche Dateien in einem bekannten Dateisystem. Dazu gehören die am Markt häufig anzutreffenden Marken Hikvision, Dahua, Uniview, Axis, Ajax, Reolink, TP-Link VIGI sowie zahlreiche unter anderen Namen vertriebene OEM-Geräte. Die Speicherstruktur unterscheidet sich je nach Hersteller, Modellreihe und Firmwareversion; die Hersteller veröffentlichen diese Details nicht.

Die praktischen Folgen sind unabhängig von der Marke stets dieselben:

• Nach dem Anschließen des Laufwerks an einen Computer erscheint keine Partition mit den Videoaufnahmen. Das System erkennt das Laufwerk entweder überhaupt nicht oder zeigt es als unbekannt beziehungsweise nicht initialisiert an.
• Windows bietet Datenträger initialisieren, Volume erstellen oder Formatieren an. Das klingt, als würde das Laufwerk dadurch „zugänglich“. Tatsächlich geschieht das Gegenteil: Microsoft weist bei der Initialisierung ausdrücklich darauf hin, dass sämtliche Daten auf dem Laufwerk gelöscht werden.
• Übliche Wiederherstellungsprogramme für „gelöschte Dateien“ finden hier in der Regel nichts Brauchbares, weil sie nicht nach der Struktur suchen, die tatsächlich auf dem Laufwerk gespeichert ist. Werden sie auf dem Originallaufwerk ausgeführt, geht außerdem Zeit verloren, in der bereits eine Sektorkopie erstellt werden könnte.

Daraus ergibt sich die erste Regel: Auf dem Originallaufwerk wird nichts ausprobiert. Gearbeitet wird mit einem sektorweisen Abbild, das auf einem anderen Datenträger erstellt wurde. Erst darin wird nach der Struktur der Aufzeichnungen gesucht.

Die Aufzeichnungsschleife läuft weiter, auch wenn niemand hinsieht

Videoüberwachungssysteme sind für einen unbeaufsichtigten Betrieb ausgelegt. Sobald das Laufwerk voll ist, werden die ältesten Aufnahmen durch neue überschrieben, damit die Aufzeichnung nicht abbricht. Wie viel Zeit Ihnen bleibt, richtet sich daher nicht nach dem Kalender, sondern nach der Technik:

Deshalb kommt es vor, dass einem Unternehmen drei Wochen nach einem Vorfall die Kameras einfallen – während das System längst eine andere Woche aufzeichnet. Wird die Aufnahme benötigt, ist das Ausschalten des Rekorders günstiger als weiteres Abwarten. Einige Tage ohne Überwachung sind unangenehm; ein überschriebenes Ereignis ist unwiederbringlich verloren.

Die ersten dreißig Minuten nach einem Vorfall

1. Prüfen Sie, ob der Rekorder noch Aufnahmen wiedergibt. Wenn ja und Sie den ungefähren Zeitpunkt kennen, exportieren Sie den betreffenden Abschnitt mit ausreichendem zeitlichem Puffer auf einen USB-Datenträger – beispielsweise eine Stunde davor und eine Stunde danach. Das ist der schnellste und sicherste Weg, und das Gerät muss dafür nicht zerlegt werden.
2. Speichern Sie beim Export auch den Player, sofern der Rekorder dies anbietet. Die ausgegebenen Daten sind häufig kein gewöhnliches Video, sondern ein Containerformat für die herstellereigene Wiedergabesoftware.
3. Wenn der Rekorder nichts wiedergibt, piept, einen Laufwerksfehler meldet oder ständig neu startet, schalten Sie ihn aus. Versetzen Sie ihn nicht in den Ruhezustand und starten Sie ihn nicht „zur Sicherheit noch einmal“ neu – schalten Sie ihn aus und ziehen Sie den Netzstecker.
4. Entnehmen Sie die Laufwerke und kennzeichnen Sie deren Reihenfolge in den Einschüben. Bei Rekordern mit mehreren Laufwerken ist die Reihenfolge wichtig; ein Aufkleber und ein Foto des Geräteinneren kosten nur eine Minute.
5. Notieren Sie den ungefähren Zeitpunkt des Ereignisses, die Nummern oder Bezeichnungen der Kameras und ob Datum und Uhrzeit im Rekorder korrekt eingestellt sind. Abweichende Systemzeiten sind häufig und verlängern die Suche unnötig.
6. Formatieren und initialisieren Sie nichts und versuchen Sie nicht, das Laufwerk zu „reparieren“.

Wenn das Laufwerk im Rekorder selbst defekt ist

Das Laufwerk eines Videoüberwachungssystems verrichtet die härteste Arbeit aller Laufwerke in einem Unternehmen: Es wird jahrelang ununterbrochen und ohne Pause beschrieben. Deshalb bieten Hersteller spezielle Produktreihen für Überwachungssysteme an; am bekanntesten sind WD Purple und Seagate SkyHawk. Ein gewöhnliches Desktop-Laufwerk hält in einem Rekorder so lange, wie es eben hält. Häufig bemerkt niemand den Defekt, weil niemand die Aufnahmen kontrolliert, solange sie nicht benötigt werden.

Typische Anzeichen für ein ausfallendes Laufwerk sind:

• Der Rekorder piept und meldet einen Laufwerksfehler oder das Laufwerk fehlt vollständig im Menü.
• Bei der Wiedergabe gibt es Lücken – bestimmte Tage oder Stunden sind schlicht nicht vorhanden.
• Die Wiedergabe friert ein, während das Livebild der Kameras einwandfrei funktioniert.
• Der Rekorder startet fortlaufend von selbst neu.
• Aus dem Laufwerk sind Klick- oder Pfeifgeräusche zu hören.

Der letzte Punkt ist ein klares Stoppsignal. Ein klickendes Laufwerk darf nicht eingeschaltet werden – und schon gar nicht wiederholt. Was dabei im Inneren geschieht, erläutert der Artikel Was tun, wenn eine Festplatte klickt?. Bei Systemen mit mehreren Laufwerken besteht außerdem dieselbe Gefahr wie bei Unternehmensspeichern: Der Versuch, ein Array mit einem schwächer werdenden Laufwerk neu aufzubauen, kann die Situation endgültig verschlimmern. Die technischen Zusammenhänge erklärt der Beitrag über ein degradiertes Array und ein abgestürztes Volume auf einem NAS.

Die zweite Kopie, die häufig vergessen wird

Bevor Sie sich mit dem Laufwerk aus dem Rekorder befassen, prüfen Sie alle Orte, an denen die Aufnahme ein zweites Mal gespeichert worden sein könnte. Das ist oft die günstigste Lösung der gesamten Situation und wird in der Panik leicht übersehen:

• Speicherkarte direkt in der Kamera. Einige IP-Kameras können zusätzlich lokal auf einer Speicherkarte aufzeichnen, meist als Absicherung bei einem Netzwerk- oder Rekorderausfall. Ist diese Funktion aktiviert, befindet sich auf der Karte möglicherweise genau das Material, das auf dem Rekorder fehlt.
• Cloud oder Hersteller-App. Systeme mit einem Cloud-Dienst speichern kurze Ereignisclips außerhalb des überwachten Objekts. Diese bleiben von einem Rekorderausfall unberührt.
• Ein zweiter Rekorder oder Server, sofern das System an zwei Orten oder zusätzlich in einer Überwachungssoftware auf einem Unternehmensserver aufzeichnet.
• Benachrichtigungen per E-Mail oder App mit Vorschaubildern. Sie ersetzen kein Video, können gegenüber einer Versicherung aber den Zeitpunkt und das Stattfinden des Ereignisses belegen.

Auch hier gilt das Prinzip der Aufzeichnungsschleife: Die Speicherkarte in einer Kamera ist klein und wird schneller überschrieben als das Laufwerk im Rekorder. Wenn eine solche Kopie vorhanden sein könnte, prüfen Sie sie zuerst und nicht erst am Ende.

Was zugesichert werden kann – und was nicht

Die ehrliche Antwort lautet: Es hängt von zwei voneinander unabhängigen Faktoren ab, und beide müssen günstig ausfallen.

• Zustand des Laufwerks. Entscheidend ist, ob sich ein konsistentes sektorweises Abbild auslesen lässt. Hier handelt es sich um die gleiche Arbeit wie bei jedem anderen Laufwerk, einschließlich der Behandlung mechanischer Defekte.
• Aufzeichnungsformat. Entscheidend ist, ob sich die vom Rekorder geschriebene Struktur im Abbild finden und zusammensetzen lässt und ob daraus ein abspielbares Video für den benötigten Zeitraum exportiert werden kann.

Es kann vorkommen, dass der erste Schritt gelingt und der zweite nicht – oder umgekehrt. Deshalb lässt sich bei Kameraaufnahmen am Telefon kein Ergebnis versprechen. Zunächst wird eine Diagnose durchgeführt, die zeigt, was realistisch ist. Erst danach wird über die weitere Arbeit entschieden. Welche Preisspannen je nach Defektart üblich sind, beschreibt der Artikel Was kostet die Datenrettung von einer Festplatte?. Bei Videoüberwachungssystemen kommt der zusätzliche Aufwand für die Verarbeitung des Aufzeichnungsformats hinzu.

Versicherungsfall, Polizei und personenbezogene Daten

Kameraaufnahmen werden häufig als Beweismittel benötigt – für eine Versicherung, die Polizei oder ein Gericht. Úřad pro ochranu osobních údajů (tschechische Datenschutzbehörde) hat hierzu eine Methodik für Videoüberwachungssysteme sowie Antworten für die Öffentlichkeit veröffentlicht. Daraus ergeben sich mehrere Punkte, die auch technisch relevant sind:

• Aufzeichnungen sollen nur so lange wie für den jeweiligen Zweck erforderlich gespeichert werden; bei einem erfassten Vorfall so lange, wie es für die Bearbeitung des Falls und den rechtlichen Schutz notwendig ist.
• Beweismaterial darf der Polizei, einem Gericht oder der Ordnungswidrigkeitenkommission einer Gemeinde übergeben werden. Auch die Weitergabe an eine Versicherung zur Wahrung eigener Vermögensinteressen ist zulässig.
• Der Betreiber muss Verzeichnisse von Verarbeitungstätigkeiten führen – einschließlich Zweck, Datenkategorien, Empfängern, Speicherfristen und Sicherheitsmaßnahmen.

Für Unternehmen folgt daraus eine praktische Konsequenz: Die Übergabe des Rekorders und der Laufwerke an einen Dienstleister ist eine Verarbeitung personenbezogener Daten. Verlangen Sie deshalb eine schriftlich geregelte Vertraulichkeit, einen eindeutig festgelegten Auftragsumfang und die Löschung der Arbeitskopien nach Übergabe des Ergebnisses. Bei uns gehört dies zum Standard; das Ergebnis erhalten Sie als Export auf einem von Ihnen bestimmten Datenträger.

Was Sie mitbringen sollten

• Den vollständigen Rekorder, nicht nur die Laufwerke – ein Teil der Informationen über die Aufzeichnungsstruktur ist im Gerät gespeichert.
• Sämtliche Laufwerke, einschließlich der vermeintlich defekten, mit gekennzeichneter Reihenfolge der Einschübe.
• Den ungefähren Zeitpunkt des Ereignisses und den benötigten Zeitraum einschließlich Datum, Uhrzeit und zeitlichem Puffer.
• Nummern oder Standorte der Kameras, deren Aufnahmen Sie benötigen.
• Die Zugangsdaten zum Rekorder, sofern bekannt, sowie Informationen darüber, wer das System installiert hat.
• Alle bereits exportierten Daten – selbst ein schlecht abspielbarer Export kann wichtige Hinweise liefern.

Kamerarekorder, NAS-Systeme, RAID-Verbünde und einzelne Laufwerke bearbeiten wir in unserem eigenen Labor in Brünn. Was unsere Datenrettung umfasst, erfahren Sie auf einer separaten Seite. Wenn Sie gerade mit einem aktuellen Vorfall zu tun haben, erreichen Sie uns am schnellsten telefonisch unter 775 556 063. Alternativ können Sie uns über die Kontaktseite schreiben. Geben Sie dabei am besten gleich die Marke des Rekorders, die Anzahl der Laufwerke und den ungefähren Zeitpunkt des Ereignisses an.

Häufig gestellte Fragen

Wir haben das Laufwerk aus dem NVR ausgebaut und Windows möchte es formatieren. Ist die Aufnahme verloren?

Nicht unbedingt – dieses Verhalten ist normal. Der Rekorder speichert das Videomaterial in einer eigenen, Windows unbekannten Struktur. Deshalb bietet Windows eine Initialisierung oder Formatierung an. Brechen Sie den Vorgang ab und trennen Sie das Laufwerk vom Computer. Eine Bestätigung würde jedoch Schaden verursachen: Laut Microsoft-Dokumentation werden bei der Initialisierung sämtliche Daten auf dem Laufwerk gelöscht.

Der Vorfall liegt drei Wochen zurück und das System überschreibt nach vierzehn Tagen. Lohnt sich eine Untersuchung noch?

Eine Nachfrage lohnt sich, die Erwartungen sollten jedoch realistisch bleiben. Wenn die Aufzeichnungsschleife inzwischen vollständig durchgelaufen ist, wurde die ursprüngliche Aufnahme durch neue Daten überschrieben. Das lässt sich nicht rückgängig machen. Entscheidend ist, ob seit dem Vorfall ohne Unterbrechung aufgezeichnet wurde. Nach einem Stromausfall, einem vollen Laufwerk bei deaktivierter Überschreibung oder einem Laufwerksdefekt könnte die Aufzeichnungsschleife gestoppt haben, bevor die betreffende Aufnahme überschrieben wurde.

Ein Rekorder von Hikvision oder Dahua meldet einen Laufwerksfehler und zeichnet nicht mehr auf. Sind ältere Aufnahmen verloren?

Nicht zwangsläufig. Ein Laufwerksfehler bedeutet, dass der Rekorder nicht schreiben kann – nicht, dass frühere Aufnahmen vom Laufwerk verschwunden sind. Entscheidend ist, das System nicht erneut einzuschalten und weder eine „Reparatur“ noch eine Formatierung des Laufwerks zuzulassen. Eine Diagnose des Laufwerkszustands zeigt, welche Daten noch ausgelesen werden können.

Können wir die Kameras weiterlaufen lassen, bis wir den Rekorder vorbeibringen?

Nicht, wenn Sie eine bestimmte ältere Aufnahme benötigen. Solange das System aufzeichnet, läuft die Überschreibeschleife weiter und das Ereignis wird nach und nach gelöscht. Ein sinnvoller Kompromiss besteht darin, den benötigten Abschnitt sofort zu exportieren und erst danach über das weitere Vorgehen zu entscheiden. Gibt der Rekorder die Aufnahme nicht mehr wieder, schalten Sie ihn aus und bringen Sie ihn zu uns.

Wir haben vier Laufwerke in einem Array. Können wir eines austauschen und das Array neu aufbauen lassen?

Davon raten wir ohne vorherige Diagnose ab. Der Neuaufbau belastet alle Laufwerke gleichzeitig, einschließlich bereits verschlissener Datenträger. Bei einem System, das schon einmal ausgefallen ist, können dadurch auch die noch lesbaren Daten verloren gehen. Zuerst werden Abbilder der Laufwerke erstellt; erst aus diesen Abbildern wird das Array rekonstruiert.

Erhalten wir die Aufnahme in einem Format, das unsere Versicherung akzeptiert?

Ziel ist eine abspielbare Datei mit Zeitstempel für den benötigten Abschnitt, gegebenenfalls zusammen mit dem Player des Herstellers. Ob dies technisch möglich ist, hängt vom Zustand des Laufwerks und vom Aufzeichnungsformat ab. Die Machbarkeit kann erst durch eine Diagnose und nicht am Telefon bestätigt werden.

Quellen

• Microsoft Learn: Initialisieren neuer Datenträger
• Microsoft Learn: Problembehandlung bei der Datenträgerverwaltung
• ÚOOÚ: Metodika ke kamerovým systémům
• ÚOOÚ: Kamerové systémy — otázky a odpovědi
• Western Digital: WD Purple – Laufwerke für Überwachungssysteme

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).