Fallbericht: Familiendatenbank aus Fragmenten rekonstruiert – mit KI-Unterstützung

Die Ausgangslage

Genealogie-Programme sind für Datenretter eine besondere Herausforderung. Sie speichern nicht ein Dokument, sondern Dutzende miteinander verknüpfte Tabellen: Personen, Ehen, Orte, Quellen, Lebensphasen, Bildverweise. Fehlt eine Tabelle oder passen die Stände nicht zusammen, öffnet das Programm die Datenbank nicht – auch wenn jede einzelne Datei „gerettet“ ist.

Im vorliegenden Fall arbeitete die Software mit einer klassischen Paradox-Datenbank. Wir hatten eine vollständige Sektorkopie des Datenträgers erstellt, dazu lag das Ergebnis einer sogenannten RAW-Wiederherstellung vor: Dateien, die anhand typischer Signaturen aus dem Datenstrom geschnitten werden, ohne Namen und ohne Ordner. Für Fotos funktioniert das oft gut. Für eine Datenbank aus vielen kleinen, zusammengehörigen Tabellen ist es nahezu wertlos.

KI als Werkzeug im Labor

In unserem Labor ergänzen KI-gestützte Analysewerkzeuge die Arbeit unserer Ingenieure. Ihre Stärke liegt nicht in „Magie“, sondern in drei sehr praktischen Dingen:

• Lesen und Verstehen in Minuten. Die KI hat die Programm-CD durchsucht und daraus abgeleitet, wo und in welchem Format das Programm seine Daten ablegt – Ordnerstruktur, Tabellennamen, Bildverzeichnisse. Für einen Menschen ist das ein halber Tag Handbuchlektüre.

• Große Datenmengen auswerten. Eine Dateiliste mit rund 245.000 Einträgen wurde nach Programmordnern, Sicherungskopien und Änderungsdaten sortiert und die relevanten Kandidaten herausgefiltert – in Sekunden.

• Formate rekonstruieren und Skripte schreiben. Der Aufbau eines einzelnen Datensatzes – Feldreihenfolge, Längen, Datums- und Zahlenkodierung – wurde aus intakten Fragmenten erschlossen, die passenden Auswerteprogramme entstanden direkt mit.

Die Strategie und die Bewertung jedes Zwischenergebnisses liegen dabei immer beim Ingenieur.

Schritt 1: Das Dateisystem rekonstruieren

Die Partition auf der Kopie war nicht mehr lesbar; das Verzeichnis der Dateien (die MFT) galt als leer. Eine vollständige Tiefenanalyse fand jedoch über 400.000 einzelne MFT-Einträge und rund eine halbe Million Verzeichniseinträge. Daraus ließ sich ein virtueller Datenträger mit über 300.000 Dateien zusammensetzen – mit den originalen Namen und großen Teilen der Ordnerstruktur.

Die Programmordner, mehrere Sicherungsstände von 2008 bis 2015, die aktuellen Datenbanken und Dutzende Bildordner waren namentlich vorhanden. Auf den ersten Blick sah es nach einem vollständigen Erfolg aus.

Schritt 2: Die Stichprobe, die alles änderte

Bevor wir einem Kunden „Ihre Daten sind gerettet“ schreiben, prüfen wir den Inhalt, nicht die Dateinamen. Aus den gesicherten rund 10 GB wurden 37 Dateien verschiedener Jahre und Typen zufällig ausgewählt und auf gültige Dateiköpfe geprüft – Fotos, PDFs, Datenbanktabellen.

Das Ergebnis: Nur zwei der 37 Dateien waren intakt. 22 bestanden vollständig aus Nullen, der Rest enthielt fremde Daten. Namen, Größen und Daten stimmten, der Inhalt nicht.

Eine erste Vermutung war ein Versatzfehler beim Zusammensetzen der Partition. Wir haben das an einer konkreten Tabelle überprüft: An der Stelle, auf die der MFT-Eintrag zeigte, lagen bei beiden möglichen Partitionsanfängen Nullen bzw. Fremddaten. Damit war klar: Die Verweise stimmen, die Daten sind an diesen Stellen nicht mehr da. Die Partitionsgröße endete exakt auf der Grenze eines 512-GB-Datenträgers. Alles spricht dafür, dass das Original eine SSD war, die nach dem Löschen oder einer Neuinstallation per TRIM die freigegebenen Bereiche geleert hat.

Schritt 3: Nicht nach Dateien suchen, sondern nach Datensätzen

Wenn Dateien nicht mehr zusammenhängend existieren, bleibt nur der Weg eine Ebene tiefer. Eine Paradox-Tabelle besteht aus Blöcken fester Größe; jeder Block beginnt mit einem kleinen Kopf, und die Personendatensätze darin haben eine feste Länge. Diese Blöcke werden beim Bearbeiten der Datenbank immer wieder neu geschrieben – auch an anderen Stellen des Datenträgers. Ein Teil davon überlebt, auch wenn die Datei selbst verloren ist.

Aus den wenigen intakten Fragmenten älterer Sicherungen haben wir mit KI-Unterstützung den Aufbau eines Personendatensatzes ermittelt: 996 Byte, 37 Felder – Personennummer, Verweise auf Vater und Mutter, Namen, Geburt, Taufe, Tod und Bestattung mit Datum und Ort, Taufpaten, Todesursache, Quellen, Änderungsdatum. Daraus entstand ein binäres Suchmuster für den Blockkopf.

Mit diesem Muster haben wir die gesamte Partition – knapp 500 GB – Sektor für Sektor durchsucht. Zwei Durchläufe von je etwa anderthalb Stunden fanden rund 10.900 Datenblöcke mit zusammen über 41.000 Datensätzen. Die Fundstellen wurden zusammengeführt und gesichert.

Schritt 4: Das Puzzle zusammensetzen

41.000 Datensätze bedeuten nicht 41.000 Personen. Dieselbe Person lag in zahlreichen Fassungen vor – aus Sicherungen verschiedener Jahre, aus Zwischenständen, aus temporären Kopien. Außerdem stellte sich heraus, dass der Kunde nicht eine, sondern vier getrennte Familiendatenbanken geführt hatte, deren Personennummern sich überschneiden. Ein einfaches Zusammenführen nach Nummern hätte Personen verschiedener Familien vermischt.

Die Lösung war eine Zuordnung über Zusammenhänge statt über Nummern:

• Datensätze, die physisch zusammenhängend auf dem Datenträger lagen, stammen aus derselben Datei und damit aus derselben Datenbank.

• Diese Fragmente wurden mit bekannten Ständen abgeglichen – Personennummer plus Name – und so schrittweise den vier Datenbanken zugeordnet.

• Unklare Fragmente wurden über die Eltern-Verweise geprüft: Passt ein Fragment zu einer Datenbank, finden die Verweise auf Vater und Mutter dort ihre Personen.

• Von jeder Person wurde die Fassung mit dem jüngsten Änderungsdatum übernommen.

Das Ergebnis

Am Ende standen vier saubere Datenbanken mit 2.261, 443, 406 und 150 Personen – zusammen rund 3.260 Personen mit über 900 Familienverknüpfungen. Die jüngsten Änderungen reichen bis Anfang 2025.

Für die Übergabe haben wir jede Datenbank in drei Formen aufbereitet:

• als fertige Datenbank der Genealogie-Software, die wir in der Originalversion des Kunden installiert, per Import aufgebaut und geöffnet haben,

• als GEDCOM-Datei, dem Austauschformat der Ahnenforschung, das auch andere Programme lesen,

• als Excel-Tabelle mit allen Feldern und der ursprünglichen Personennummer, damit der Kunde jeden Eintrag selbst kontrollieren kann.

Dazu eine bebilderte Anleitung, wie die Datenbanken in seinem Programm geöffnet werden.

Ehrlich gehört dazu auch, was nicht zurückkam: Ehedaten, Lebensphasen, Notizen und die Bilder samt ihrer Verknüpfungen waren in diesem Fall nicht mehr vorhanden. Bei einem Teil der Personen ist nur ein älterer Bearbeitungsstand erhalten. Das steht so auch in den Unterlagen für den Kunden.

Was KI in der Datenrettung leisten kann – und was nicht

KI-gestützte Analyse hat die Bearbeitung dieses Falls erheblich verkürzt: Software-Dokumentation lesen, Hunderttausende Einträge auswerten, ein undokumentiertes Datensatzformat entschlüsseln, Suchmuster und Auswerteprogramme erstellen und das Ergebnis in der Genealogie-Software prüfen. Ohne diese Unterstützung hätte ein solcher Fall ein Vielfaches an Zeit gekostet – und wäre für viele Kunden nicht bezahlbar gewesen.

Was sie nicht ersetzt:

• die Hardware-Kompetenz, die überhaupt erst eine saubere Sektorkopie ermöglicht,

• die professionelle Laborausstattung, mit der auf Sektorebene gesucht und gelesen wird,

• die Erfahrung des Ingenieurs, der entscheidet, welcher Weg zum Ziel führt, und jedes Ergebnis auf Plausibilität prüft.

KI macht gute Labore schneller. Sie macht aus einer Werkstatt ohne Fachwissen kein Labor.

Was Sie daraus mitnehmen können

• SSDs löschen gründlich. Gelöschte oder neu formatierte Bereiche werden oft innerhalb von Minuten geleert. Je früher der Datenträger ausgeschaltet wird, desto mehr bleibt erhalten.

• Programm-Datenbanken brauchen Fachleute. Für Genealogie, Buchhaltung, Praxis- oder Warenwirtschaftssoftware reicht eine Dateiwiederherstellung meist nicht. Entscheidend ist, ob das Programm die Daten wieder öffnet.

• Exportieren Sie regelmäßig. Eine GEDCOM- oder CSV-Exportdatei auf einem USB-Stick ist bei Familienforschung die einfachste Versicherung für Jahrzehnte Arbeit.

• Verlangen Sie eine Inhaltsprüfung. Fragen Sie Ihren Dienstleister, ob die geretteten Dateien stichprobenartig geöffnet wurden – nicht nur, wie viele es sind.

Häufige Fragen

Kann man eine Datenbank retten, wenn die Dateien selbst zerstört sind? Teilweise. Datenbanken bestehen aus Blöcken mit festem Aufbau, die beim Arbeiten mehrfach auf den Datenträger geschrieben werden. Wenn einzelne dieser Blöcke an anderer Stelle überlebt haben, lassen sich daraus Datensätze rekonstruieren. Wie viel zurückkommt, hängt davon ab, wie viel physisch noch vorhanden ist.

Warum hat die RAW-Wiederherstellung nicht gereicht? RAW-Verfahren schneiden Dateien anhand typischer Signaturen aus dem Datenstrom. Für Fotos oder Dokumente funktioniert das oft. Eine Datenbank aus vielen kleinen, voneinander abhängigen Tabellen lässt sich so nicht wieder zusammensetzen: Namen, Zusammengehörigkeit und Versionsstände gehen verloren.

Welche Programme können so gerettet werden? Grundsätzlich alle, die ihre Daten in Datenbanken mit festem Satzaufbau ablegen – etwa Paradox, dBase, Access, SQLite oder proprietäre Formate älterer Branchensoftware. Jeder Fall erfordert eine eigene Analyse des Formats.