Leitungswasser-und Blitzschäden an elektronischen Geräten

Transkript

1 J. Kupfria n MSS-MEDIA öb uv SV für Sc hä de n a n rotie re nd e n Da te ns pe ic he rn Leitungswasser-und Blitzschäden an elektronischen Geräten Versicherungsforum, Köln

2 J. Kup fria n MSS-MEDIA öb uv SV für Sc hä d e n a n rotie re nde n Da te ns p e ic h e rn Jürgen Kupfrian Lösenbacher Landstr. 57 D Lüdenscheid Telefon : Fax : Handy : Datenrettung@Kupfrian.de öffentl. best. u. vereidigter Sachverständiger für Schäden an rotierenden Datarecovery MSS-MEDIA Versicherungsforum, Köln

3 Die Themen 1. Wasser-und Überspannungs-/ Blitzschäden aus meiner Statistik 2. Schäden durch Wasser 2.1 Beispiele 2.2 Fallbeispiele 2.3 Sanierung oder Neuanschaffung 3. Schäden durch Blitz und Überspannung 3.1 Störeinflüsse, der Weg vom Blitz zur Elektronik 3.2 Mängel in der E-Installation 3.3 Schadenursachen, der Computer läuft nicht an der Steckdose 3.4 Fallbeispiele 4. Feststellungs-und Nachweismethoden mit Hilfe gespeicherter Daten 3

4 Gemeldete Nicht zu bestätigende Überspannungsschäden 1. Statistik und Überspannungsschäden Überspannungsschäden Erhoffte Überspannungsschäden 4

5 2. Wasser, Feuchtigkeit und Elektronik Tritt Leitungswasser aus, fliest es durch Mauerwerk hindurch, sind wir i.d.r. mit einer wässrigen Lösung konfrontiert. Diese enthält u.a. anorganische Säuren, wie Salpetersäure, Schwefelsäure, Salzsäure und Kohlensäure, gelegentlich auch organische Säuren, wie Ameisensäure und Oxalsäure. Diese reagieren mit dem Caciumcarbonat (CaC03) im Bindemittel unter Austreiben der schwächeren, gebundenen Säure, der Kohlensäure. Zitat: Der Sachverständige 01/02/2003/Dr. Horst Reul Schadenfälle mit reinem Leitungswasser sind eine Rarität 5

6 2.1.1 HP Netserver nach Regenwassereinwirkung HP Netserver nach Regenwassereinwirkung Je nach Bauart fließt Flüssigkeit durch das System 6

7 2.1.2 PC Server nach Wassereinwirkung Flüssigkeit drang über den oberen Spalt der Seitenwandung ein und tropfte in den inneren Gehäuseboden Leicht aufliegender Staub zeigt an, dass keine Flüssigkeitsansammlung im Bodenbereich vorlag 7

8 2.1.3 Bandlaufwerk nach Schlammwassereinwirkung Korrosion 8

9 2.1.3 Flüssigkeit in einer Festplatte Festplatten sind nicht dicht 9

10 2.1.4 Chemische Reaktion an Kontakten 10

11 2.1.5 Herstellerangaben 11

12 2.2 Der Fall Schadenmeldung 12

13 2.2.1 Weitere Schadendetails Beschreibung der VN: Der Schaden trat morgens ca Uhr ein. Die Geräte waren direkt verbunden (Server Client), beide sind beschädigt. Vor dem Schadeneintritt gab es keine Störungen. Festplatten wurden zwecks Datensicherung entnommen, diese konnte störungsfrei durchgeführt werden. 13

14 2.2.2 Die Feststellungen Untersuchung durch Demontage, Inaugenscheinnahme, Mikroskopie/Endoskopie. Elektrische Vermessung von Baugruuppen und Bauteilen. Nur am Rechnerfuß eines Rechners, außen, lagen Feuchtigkeitsspuren vor. Die Gehäuse der Monitore zeigten weder innen, noch außen Ablaufspuren Einsteckkarten zeigen Schäden an Leiterbahnen, durch Lötmaßnahmen, Karten funktionslos 14

15 2.2.3 Das Ergebnis der Untersuchung Der von der VN dargestellte schädigende Einfluss konnte nicht nachgewiesen werden. Nachgewiesen konnten Schäden an elektronischen Baugruppen, die weder auf den normalen Betrieb noch durch Überspannungseinwirkung zurückzuführen waren, sondern auf eine gezielte Manipulation. Die Auswertung gespeicherter Daten der Festplatte belegte, dass die Rechner nach dem dargelegten Zeitpunkt noch in Betrieb waren. Nebenfeststellung: Auf der Festplatte befanden sich Darstellungen aus Kinderpornographie und Pornographie mit Tieren. 15

16 2.3.1 Sanierung oder Neuanschaffung Einige Grundsatzfragen Waren die Geräte zum Ereigniszeitpunkt eingeschaltet? Waren Sicherungsautomaten im EDV- Stromnetz ausgelöst worden? Wieviel Zeit liegt zwischen Ereigniseintritt und Feststellung? Welche Erstmaßnahmen waren nach dem Ereignis ergriffen worden? 16

17 2.3.2 Sanierung oder neu Beeinflussungs-und Entscheidungskritierien Alter der Geräte (technische Grenznutzungsdauer für PC s, 3-4 Jahre? Unterliegen die Geräte noch einer Herstellergarantie? Bestehen Wartungsverträge, gibt es deshalb Beschränkungen für eine Sanierung? Gibt es noch Ersatzteile aus laufender, serienmäßiger Produktion? Welche Unternehmen kommen für eine Sanierung in Frage? 17

18 3. Elektrische Störeinflüsse Quelle, Peter Gabler, Ihr Computer läuft nicht an jeder Steckdose, Fachbereich Elektronik und EDV im BVS,

19 3.1.1 Der Weg vom Blitz zur Elektronik Einwirkung direkt auf das Gebäude, Über die Energieversorgung Über Telekommunikationsanschlüsse 19

20 3.1.2 Die Verbindungen eines Rechners nach außen Stromanschluss Tastatur und Maus RS223 Drucker Monitor Netzwerk 20

21 3.1.3 Die Verbindungen eines Rechners innen Netzteil CD-ROM Diskette Festplatte Mainboard 21

22 3.1.4 Überspannung auf einem Mainboard Stromanschluss PCI-Slot 22

23 3.2 Schadenursache, Mängel der E-Installation Quelle, Peter Gabler, Ihr Computer läuft nicht an jeder Steckdose, Fachbereich Elektronik und EDV im BVS,

24 3.3 Computer laufen nicht an jeder Steckdose 24

25 3.4 Der Fall Schadenmeldung 25

26 3.4.1 Das Untersuchungsergebnis 26

27 Sofortmaßnahmen nach Schäden an elektronischen Speichermedien Gültig für die folgenden Datenträgertypen Disketten, 3 1/2, 5 1/4 und 8 Zoll, Computerbänder, 600 bis 3600 ft (Standard), Computerbandcassetten, Streamer, Datbänder, Videotapes, Bänder aus Ton-u. Filmaufzeichnung Wechselplatten (einschließlich Syquest), Festplatten aller Kapazitäten und Bauarten Optische-und magnetoptische Datenträger und CD-s Allgemeine Verhaltensregeln - Keine Funktionstests vornehmen - Datenspeicher soweit wie möglich aus dem Gefahrenbereich bringen - Zustand u. bereits erfolgte Maßnahmen dokumentieren, u. was auf den Datenträgern an Informationen gespeichert ist. - Prüfen auf welchen Datenträgern firmeninterne oder personenbezogene Daten gespeichert sind (ggfs. gesondert lagern) - Versicherung informieren - Unterstützung durch die MSS anfordern - Sorgfältige Planung des Einsatzes von Back-Up-Verfahren Sofortmaßnahmen nach Ausfall aus dem Betrieb heraus - Gerät von der Stromversorgung trennen und Sachverhalt prüfen. - Kontakt zu Wartungsgeber oder Datenrettungsunternehmen aufnehmen und Informationen einholen - Sorgfältige Risiko-und Kostenabwägung - Sofern eigene Rettungsversuche erfolgen, das Verhalten des Speichermediums genau beobachten (hören). Sofern unnormales Verhalten, sofort außer Betrieb nehmen. Versuche einstellen, da Risiko der Schadenerhöhung. - Keine automatischen Datenrettungsversuche mit div. Softwaretools vornehmen Sofortmaßnahmen nach Brandschäden - Verbliebene Rauchgase ins Freie ableiten. - Alle Datenträger aus dem betroffenen Bereich (sofern möglich) herausbringen. - Sofern die Datenträger nicht feucht wurden (durch Löschwasser), relative Luftfeuchtigkeit so schnell wie möglich unter 40 % senken um Korrosionsfortschritt zu verhindern. - Bei Temperaturen nicht über 35 Grad Celsius einlagern. - Nasse oder feuchte Disketten, Bänder und Bandcassetten nicht zwangstrocknen (Löschwasser), sondern feucht aufbewahren, ggfs. mit destilliertem Wasser befeuchten oder abspülen und dann feucht lagern. Unverzüglich Unterstützung anfordern. - Bei Festplatten, Wechselplatten, magnetoptischen oder optischen Datenträgern Luftfeuchtigkeit absenken, bei Temperaturen nicht über 35 Grad Celsius lagern, nicht abwischen, keiner Wärmebehandlung unterziehen. Sofortmaßnahmen nach Wasserschäden - Sofern eine elektrische Versorgung besteht, schnellstmöglich abschalten - Nasse oder feuchte Disketten, Bänder und Bandcassetten nicht zwangstrocknen, sondern feucht aufbewahren, ggfs mit destillierrtem Wasser befeuchten oder abspülen und dann feucht lagern. Unverzüglich Unterstützung anfordern. - bei Festplatten oder vergleichbaren Datenträgern, elektronische Bauteile entfernen (lassen), diese können mit anderen vergleichbaren Bauteilen bearbeitet (oder zunächst gelagert) werden. Datenspeicher ggfs. feucht aufbewahren, keinen höheren Temperaturen aussetzten. - Ansonsten wie oben, nach Brandschäden behandeln. Sofortmaßnahmen nach starkem Staubanfall o. Löschpulvereinwirkung - Datenträger sofort außer Betrieb nehmen, besonders wichtig bei Wechseldatenträgern wie Disketten, Bändern, Bandcassetten, Wechselplatten (Syquest). - Keinesfalls abwischen, abblasen oder abpinseln (z.b. elektronische Teile/Controller von Festplatten). - Bei Löschpulver o.ä. : Trocken lagern, um Korrosion zu begrenzen. J. Kupfrian öbuv SV April ~WRO2007.doc/V2/96 - by J. Kupfrian, MSS-MEDIA, Lösenbacher Landstr. 57/D Lüdenscheid, Tel , Fax J. Kupfrian öbuv SV

28 4. Feststellungs-und Nachweismethoden mit Hilfe gespeicherter Daten Veränderungen, Schäden am Gehäuse Schäden an elektronischen Bauteilen, außen und innen Prüfung des Zustandes im Festplatteninneren (Clean-Area) Logisch-/strukturelle Analyse u.a. mit Hilfe forensischer Verfahren 28

29 4.1.1 Die Schadenmeldung 1 29

30 4.1.2 Die Schadenmeldung 2 30

31 4.2. Der Auftrag Befundung von mehreren Rechnern hinsichtlich Ausfall- /Schadenursache 31

32 4.3 Arbeitsschritte Prüfung der Aktenlage Persönliche Abholung der Schadteile Erfassung der zu Schaden gekommenen Geräte Festlegung der Untersuchungsmethode Untersuchung der Rechner Demontage von Speichermedien zur getrennten Analyse 32

33 4.4 Methodische Vorbereitung der Festplattenauswertung Prüfung des äußeren Zustandes Prüfung u. Vermessung der Bordelektronik, Antriebsmotor, Positionierer Einsicht durch Öffnung Prüfung der Lauffähigkeit Erstellung einer physischen Kopie, Cloning Entscheidung über die erforderliche Rechnerausstattung (Betriebssystem, Schnittstellen) Welche Software, Hilfstools Prüfung/Änderung von Einstellungen des Betriebssystems (Anzeigeoptionen) 33

34 4.5.1 Äußere Beurteilung Physische Schäden am Gehäuse Verletzung von Aufklebern u. Siegeln 34

35 4.5.2 Die elektronischen Komponenten Elektronik, innen Bordelektronik, außen 35

36 4.5.3 Innere Sichtung Befestigung des Head-Arm-Assy gebrochen Kopfdeformation 36

37 4.6 Physische Übertragung, Cloning Zielmedium ausnullen Tools zur physischen Übertragung auswählen Annäherung an einen echten Clone 37

38 4.7 Integration des Clones in ein Prüfsystem Eine Möglichkeit zur Einsicht in logische Strukturen ohne Strukturveränderungen 38

39 4.8.1 Sichtung der Partitionierung Der MBR (Masterbootrecord) mit Partitionsangaben mit zwei unterschiedlichen Editioren dargestellt 39

40 4.8.2 Prüfung des Startsektors Unverzichtbar für einen geordneten Zugriff auf gespeicherte Daten Der Startsektor folgt dem Partitionseintrag i.d.r. nach 63 Sektoren, bei Extend Volume. Ggfs mit in PA definierter Einsprungadresse als NON-EXTEND 40

41 4.8.3 Die Suche nach Dateiveränderungsdaten unter Windows 2000 ab Win2000 ändert sich das Verzeichnisdatum, sobald eine unter ihm angesiedelte Datei geändert wird. 41

42 4.8.4 Drei Datumsangaben CR = i.d. R. Erstellungsdatum (ggfs. auch durch Kopierprozess zu erzeugen) Mod. Date = letztes Änderungsdatum Letzter Zugriff (ACC) 42

43 4.8.5 Die Suche mit forensischer Software Automatisierter Scan mit Detailausweis: aller belegten Bereiche (folglich Verzeichnisund Dateieintragungen) aller freien Bereiche (gelöschte oder nicht als in Benutzung ausgewiesene Bereiche) 43

44 4.8.6 Die Suche nach Log-Files Novell/Arcserve Arcserve.log Syslog.err Vol$log.err Win2000 SysEvent.evt AppEvent.evt SecEvent.evt Eventvwr.msc Protokolle von Virenscannern, Datensicherungssoftware, u.a.m 44

45 4.8.7 Die Suche nach Log-Files Beispiel, Protokoll von Scan-Disk Microsoft ScanDisk Protokolldatei erstellt am um 09:21. Laufwerk C: wurde mit folgendem Ergebnis auf Fehler berprft: Verzeichnisstruktur ScanDisk hat keine Fehler gefunden. Dateizuordnungstabelle ScanDisk hat keine Fehler gefunden. Dateisystem ScanDisk hat keine Fehler gefunden. Oberfl chenanalyse ScanDisk hat keine Prfungen durchgefhrt. 45

46 4.8.9 Die Suche nach Log-Files Schadentag , Datumseinträge nicht vom System vergeben llllllll Virenscan 46

47 5. Ergebnisse der Prüfmaßnahme Auf einem Teil der Rechner war über Monate, z.t. Jahre nicht mehr gearbeitet worden Zwei Rechner waren anderen Nutzern zuzuweisen, die mit der Anspruchstellerin in keiner Beziehung standen Einige Rechner waren bis kurz vor Übernahme in Betrieb gewesen 47