Ausgangslage: ein Rechner, der nicht mehr zuverlässig startet

Der Umstieg auf Microsoft 365 war bei diesem Kunden bereits beschlossen. Nach der Bestandsaufnahme vor Ort hatten wir neue Arbeitsplätze und einen Microsoft-365-Tenant geplant, die Hardware war beschafft, der Starttermin stand fest. Schon bei diesem ersten Termin beim neuen Kunden hatten wir allerdings den Eindruck, dass der alte Arbeitsplatzrechner nicht mehr lange durchhalten würde.

Ganz bis zum geplanten Start hielt er nicht: Kurz vorher startete er nicht mehr zuverlässig. Auf ihm lagen über Jahre gewachsene Daten, darunter die Buchhaltung. Aus der geplanten Umstellung wurde eine Umstellung mit Datenrettung, und der Zeitplan rückte etwas nach vorn.

Wichtig zur Einordnung: Ein Festplattenausfall allein ist kein Grund, gleich die gesamte IT-Landschaft umzustellen. Meist reichen ein neuer Datenträger und eine Wiederherstellung. Hier traf der Ausfall auf ein Projekt, das ohnehin geplant war – deshalb haben wir beides in einem Zug erledigt.

Am Ende stand deutlich mehr als eine Reparatur: Daten gerettet, neue HP-Arbeitsplätze eingerichtet, ein Microsoft-365-Tenant mit Business Premium aufgebaut und alle Geräte zentral über Microsoft Intune verwaltet. In diesem Beitrag beschreiben wir, wie wir dabei vorgegangen sind und welche Entscheidungen sich auch für andere Unternehmen lohnen.

flowchart TD
    D[Diagnose] --> R[Datenrettung]
    R --> W[Neue Arbeitsplätze]
    W --> M[Microsoft 365]
    M --> S[Sicherheit]
    S --> I[Geräteverwaltung mit Intune]
    I --> E[Einarbeitung]

Schritt 1: Diagnose – zwei Datenträger, zwei Probleme

Die erste Regel bei einem instabilen System: nicht weiter damit arbeiten, sondern zuerst den Zustand der Datenträger prüfen. Jeder weitere Startversuch kann einen vorgeschädigten Datenträger zusätzlich belasten.

Die SMART-Werte – die Selbstdiagnose, die SSDs und Festplatten mitführen – zeigten ein deutliches Bild:

Damit war klar: Hier geht es nicht um eine Reparatur, sondern um eine Datenrettung, bevor die Datenträger endgültig ausfallen.

Und die Datensicherung?

Eine Datensicherung gab es durchaus. Sie brach aber regelmäßig ab – ausgerechnet an den defekten Sektoren, deren Daten sie hätte schützen sollen. Bemerkt hat das niemand, denn es gab kein Monitoring, das einen fehlgeschlagenen Sicherungslauf gemeldet hätte. Alle gingen davon aus, dass die Daten gesichert sind, während die Sicherung Lauf für Lauf scheiterte. Das ist kein Einzelfall: Eine Sicherung, die still abbricht, fällt typischerweise erst auf, wenn man sie braucht.

Schritt 2: Datenrettung mit ddrescue

Für die Rettung haben wir GNU ddrescue eingesetzt, ein Werkzeug, das Datenträger sektorweise kopiert. Der entscheidende Unterschied zu einer normalen Kopie: ddrescue liest zuerst alle gut lesbaren Bereiche und kehrt erst danach zu den problematischen Stellen zurück. Über eine sogenannte Mapfile merkt es sich, welche Blöcke bereits gesichert sind. So kann ein Rettungslauf unterbrochen und fortgesetzt werden, ohne dass bereits gelesene Bereiche erneut belastet werden.

Bei der SSD gelang die vollständige Sicherung ohne Lesefehler.

Die Festplatte war deutlich hartnäckiger. Die Lesegeschwindigkeit brach immer wieder stark ein, und die Verbindungen erwiesen sich als instabil. Wir haben deshalb die Rettungsstrategie angepasst und im Verlauf Zielmedien, SATA- und USB-Anbindungen sowie das Rettungssystem gewechselt, bis die Kopie stabil lief. Genau hier entscheidet sich eine Datenrettung: Wer eine sterbende Platte mit falschen Werkzeugen oder zu vielen Leseversuchen bearbeitet, verliert im schlimmsten Fall genau die Daten, die man retten wollte.

Ein Reinraumlabor haben wir nicht. Das wird nötig, wenn eine Festplatte mechanisch defekt ist und geöffnet werden muss. In sehr vielen Fällen lassen sich die Daten aber ohne Öffnen der Platte retten – so wie hier. Und wenn doch ein Labor gebraucht wird, sorgt eine schonende erste Sicherung dafür, dass bis dahin nichts zusätzlich verloren geht.

KI-Agent als Werkzeug bei der Auswertung

Die Protokolle einer Datenrettung lassen sich hervorragend von einem KI-Agenten auswerten – ohne den Datenschutz zu gefährden. Die Mapfile von ddrescue ist eine einfache Textdatei: Sie enthält nur Positionen, Größen und einen Status je Bereich, also gelesen, fehlerhaft oder noch offen. Die SMART-Daten sind Zähler und Zustandswerte des Datenträgers. Dateiinhalte oder personenbezogene Daten stecken in beidem nicht.

Ein Agent erkennt darin schnell, wo die defekten Bereiche liegen, ob sie sich häufen und ob sich ein weiterer Leseversuch lohnt. Dabei bekommt er nur die Protokolle zu sehen: keinen Zugriff auf den Datenträger und keine geretteten Daten. Die Entscheidung über den nächsten Schritt treffen wir. Und wo doch einmal sensible Inhalte ausgewertet werden sollen, geht das mit lokaler KI auf eigener Hardware.

Anschließend haben wir die geretteten Daten ausgewertet und die Buchhaltungssoftware samt ihrer Sicherungsstruktur geprüft, damit beim Umzug nichts verloren geht.

Schritt 3: Neue Arbeitsplätze statt Reparatur

Bei einem jüngeren Rechner wären neue Datenträger eine sinnvolle Option gewesen. Dieser Rechner war aber ohnehin alt, und der Ersatz stand bereits bereit: Als HP Business Partner hatten wir die neuen Arbeitsplätze schon ausgewählt und beschafft und haben sie jetzt nur früher in Betrieb genommen als geplant: kompakte Business-PCs vom Typ HP EliteDesk 8 Mini mit Intel Core Ultra, dazu Monitore an Doppel-Monitorarmen vom Typ Ergotron HX.

Die Mini-PCs haben nur etwa einen Liter Volumen und sitzen per VESA-Halterung direkt hinter dem Monitor am Arm. So bleibt der Schreibtisch frei, und es steht kein Rechner im Fußraum. Weil der Arm dann neben den Monitoren auch den PC hält, haben wir bewusst die kräftigere HX-Serie gewählt statt eines Standardarms.

Die geretteten Daten haben wir unter Erhaltung der Datei-Zeitstempel auf die neuen Systeme übernommen. Das klingt nach einem Detail, ist aber wichtig: Änderungsdaten zeigen, welche Version einer Datei die aktuelle ist, und bei geschäftlichen Unterlagen sind sie oft auch für Nachweise relevant. Eine einfache Kopie hätte sie auf das Datum der Übertragung gesetzt.

Schritt 4: Microsoft 365 Business Premium als Fundament

Statt die neuen Rechner wieder als Einzelplätze ohne zentrale Verwaltung aufzustellen, haben wir einen Microsoft-365-Tenant mit Business-Premium-Lizenzen aufgebaut:

Business Premium haben wir bewusst gewählt, weil der Plan neben den Office-Anwendungen auch Intune für die Geräteverwaltung und Conditional Access für die Zugriffssteuerung enthält. Damit lässt sich auch ein kleines Unternehmen nach denselben Prinzipien absichern wie ein großes.

Schritt 5: Sicherheit von Anfang an mitplanen

Die Entra-ID-Umgebung haben wir so geplant, dass die Sicherheitsfunktionen schrittweise aktiviert werden können, ohne den Betrieb zu stören:

Diese Bausteine haben wir vorbereitet. Das Break-Glass-Konto ist dabei kein optionales Extra: Wer Conditional Access einführt, ohne einen Notfallzugang zu haben, kann sich im ungünstigsten Fall selbst aus dem eigenen Tenant aussperren.

Schritt 6: Geräte zentral verwalten mit Intune

Die neuen Arbeitsplätze sind Microsoft Entra joined und in Microsoft Intune registriert. Das bedeutet: Die Anmeldung am Rechner erfolgt mit dem Microsoft-365-Konto, und Einstellungen, Sicherheitsrichtlinien und Software kommen zentral aus der Verwaltung statt von Hand auf jedes Gerät.

Bei der Registrierung traten zunächst Probleme mit der MDM-Anmeldung auf, die wir analysiert und behoben haben. Solche Hürden sind bei der Ersteinrichtung nicht ungewöhnlich, lassen sich aber nur sauber lösen, wenn man die Zusammenhänge zwischen Entra ID, Lizenzzuweisung und Intune kennt.

Anschließend haben wir Intune-Richtlinien umgesetzt und die benötigte Software zentral verteilt: Adobe und TeamViewer werden als Microsoft-Store-Apps über Intune bereitgestellt. Der Vorteil: Neue oder neu aufgesetzte Geräte erhalten die Programme automatisch, und Updates laufen ohne manuelles Nachinstallieren. Zum Abschluss haben wir geprüft, dass Zuweisung und Installation auf allen verwalteten Geräten tatsächlich angekommen sind.

Schritt 7: Inbetriebnahme und Einarbeitung

Nach der abschließenden Funktionsprüfung haben wir die Mitarbeitenden in die neuen Systeme eingearbeitet. Neue Anmeldung, neue Geräte, neue Abläufe: Ohne Einarbeitung bleibt selbst die beste Einrichtung hinter ihren Möglichkeiten zurück. Der Kunde hat uns das in seiner Bewertung so zusammengefasst: alles aus einer Hand, fachgerecht und reibungslos.

Was andere Unternehmen daraus mitnehmen können

  1. Bei Startproblemen nicht weiter probieren. Ein Rechner, der nur noch sporadisch startet, ist ein Warnsignal. Jeder weitere Versuch kann einen vorgeschädigten Datenträger zusätzlich schädigen.
  2. Datenrettung ist Handwerk. Die richtige Reihenfolge, die richtigen Werkzeuge und Geduld bei langsamen Lesevorgängen entscheiden, wie viel sich retten lässt.
  3. Eine Datensicherung braucht Überwachung. Eine Sicherung, die niemand kontrolliert, ist nur eine Annahme. Erst ein Monitoring, das fehlgeschlagene Läufe meldet, macht daraus einen verlässlichen Schutz. Und eine funktionierende Sicherung ist immer günstiger als eine Datenrettung, deren Erfolg bei vorgeschädigten Datenträgern nie garantiert ist.
  4. Ein Neuanfang ist die Chance für eine saubere Struktur. Zentrale Identitäten, verwaltete Geräte und automatische Softwareverteilung kosten bei der Einrichtung etwas mehr Zeit, sparen aber bei jedem neuen Mitarbeiter und jedem neuen Gerät.
  5. Sicherheit vor dem Schalter planen. Mehrfaktor-Anmeldung und Conditional Access gehören von Anfang an ins Konzept, inklusive Notfallzugang.

Ihre IT aus einer Hand – aus Hannover

Von der Datenrettung über die Hardware-Beschaffung bis zu Microsoft 365 und Intune: Wir betreuen kleine und mittlere Unternehmen in Hannover und der Region. Mehr über unsere IT-Services, unsere Planung und Beschaffung und unseren Ansatz zur IT-Sicherheit finden Sie auf unserer Website. Wenn bei Ihnen ein Rechner Probleme macht oder Sie über einen Umstieg auf Microsoft 365 nachdenken, sprechen Sie uns an.

Quellen: GNU ddrescue Manual · Microsoft Learn – Notfallzugriffskonten in Microsoft Entra ID · Microsoft Learn – Temporary Access Pass · Microsoft Learn – Conditional Access · Microsoft Learn – Microsoft Entra joined devices · Microsoft Learn – Cutover-Migration nach Exchange Online · Microsoft Learn – Google-Workspace-Migration · Microsoft Learn – IMAP-Migration · Microsoft Learn – Microsoft-Store-Apps in Intune