Festplatten-Betrug: Erkennungshilfe per Software
Gebrauchte Seagate-Festplatten lassen sich mittels smartmontools entlarven, andere Programmierer ziehen nach. Dazu haben wir Tipps fĂĽr Toshiba- und WD-Platten.
(Bild: c't / ll)
Der Skandal um gebrauchte Seagate-Festplatten weitet sich immer mehr aus: Mittlerweile erreichen uns auch Meldungen von Lesern, die ihre Laufwerke bereits im Sommer vergangenen Jahres erworben haben. Auch bei diesen Laufwerken weisen Produktionsdatum und FARM-Werte auf einen frĂĽheren Gebrauch hin.
Klassiker für die Erkennung des Betrugs sind die smartmontools, die für Linux, macOS und Windows zur Verfügung stehen. Der Befehl smartctl -a /dev/sd[X] liefert die Standardwerte zu den Laufzeiten, der Befehl smartctl -l farm /dev/sd[X] die erweiterten FARM-Werte. Die Betriebsstunden der SMART-Werte können gelöscht sein; die Betriebsstunden in den FARM-Werten stellen dagegen die echten Laufzeiten dar.
Besitzer eines Synology-NAS können zwar auf die smartmontools zugreifen, die dort installierte Version unterstützt allerdings bisher die Abfrage der FARM-Werte nicht. Die Installation der neueren Version ist recht kompliziert, einfacher ist es, das Docker-Image (Github) eines Reddit-Nutzers zu verwenden.
Nutzer des SMART-Tools Hard Disk Sentinel können ebenfalls seit der Beta-Version 6.20.7 die FARM-Werte von Seagate-Festplatten auslesen. Bitte lesen Sie dazu unbedingt die Anleitung, da eine automatische Erkennung nicht stattfindet. Das Ergebnis befindet sich zusammen mit dem Wert aus der Standard-SMART-Abfrage im zweiten Absatz der Textdatei, die das Tool nach der Erkennung der gerätespezifischen Informationen ausgibt.
Verdrehtes Datum
In den FARM-Werten der Seagate-Laufwerke findet sich auch das Feld Assembly Date. Dieses ist in einigen Fällen wohl leer, eine Erklärung dafür können wir nicht liefern.
Wenn es aber gefüllt ist, ist die Ausgabe der smartmontools sehr verwirrend. Das Tool gibt Werte wie 1283 aus, es gibt jedoch weder eine solche Festplatte aus dem Jahr 2012 noch eine Woche 83. Die Erklärung ist aber einfach: Beide Ziffern müssen vertauscht werden. Aus 12 wird (20)21, aus 83 wird 38 – und damit eine Festplatte, die in der 38. Woche des Jahres 2021 produziert wurde.
Seagate ohne FARM-Werte
Seagate hat die FARM-Werte nicht für alle Laufwerke implementiert. Lediglich die Exos-Modelle und die NAS-Laufwerke Ironwolf und Ironwolf Pro (und evtl. die Surveillance-Laufwerke namens SkyHawk) reagieren auf eine solche Abfrage. Wer etwa eine Barracuda abfragt, erhält – wie bei Festplatten von Toshiba und Western Digital – bei smartctl -l farm /dev/sd[X] eine Fehlermeldung.
Zudem ist unsicher, ob die FARM-Erkennung ĂĽber USB-Adapter in jedem Fall funktioniert; einige Leser melden Schwierigkeiten damit. Sicherer ist es auf jeden Fall, die Platte per SATA direkt am Mainboard anzuschlieĂźen. Auch von der Verwendung eines SATA-Vervielfachers wĂĽrden wir abraten.
Andere Hersteller
Ob Laufwerke von Toshiba und Western Digital ebenfalls betroffen sind, ist aktuell nicht klar. Die FARM-Werte gibt es nur bei Seagate. Daher haben wir bei Toshiba und Western Digital nachgefragt, ob es abseits der SMART-Werte noch weitere Diagnosemöglichkeiten gibt.
Toshiba antwortete recht schnell: Nein, außer den üblichen SMART-Werten und einiger zusätzlicher herstellerspezifischer Werte (etwa für den Helium-Füllstand) gebe es keine zusätzlichen Protokolldaten.
Von Western Digital haben wir nach mehr als einer Woche noch keine Antwort erhalten. Allerdings deuten die vorliegenden Informationen darauf hin, dass es solche Werte zumindest für die Modellreihen Red und Purple geben könnte. Denn Western Digital hatte vor ein paar Jahren die Device Analytics (WDDA) für die Integration in Überwachungssysteme veröffentlicht, um die etwa in NAS-Gehäusen installierten Festplatten besser zu überwachen. Es gibt jedoch keine Quellen, nur Linux shared-objects, keine vernünftige API-Doku – und auch die Lizenz ist fraglich.
Der Programmierer der smartmontools, Christian Franke, hat uns einige Tipps gegeben, wie man unter Umständen eine gebrauchte Festplatte mit gelöschten SMART-Werten erkennen kann. Vor allem bereits gefüllte Logs – Self Test Log und Error Log – sind ein deutlicher Hinweis auf einen vorherigen Gebrauch. Die Ausgabe von smartctl -a /dev/sd[X] sollte also "No self-tests have been logged" hervorbringen, sonst wurden bereits Selbsttests durchgeführt.
Verwenden Sie für die Ausgabe des Logs aber besser den Befehl smartctl -x /dev/sd[X]. Die Ausgabe des Befehls mit dem Parameter -a enthält nur die "traditionellen" SMART-Ausgaben, die keine 48-Bit-ATA-Kommandos benötigen. Die Ausgabe von -x enthält dagegen auch das "Extended Comprehensive Error Log" (-l xerror) und das immer noch wenig bekannte "Device Statistics Log" (-l devstat). "Device Statistics" enthält einige Werte, die auf langen Betrieb hindeuten können, etwa Lifetime Power-On Reset, Power-on Hours und Logical Sectors Read/Written.
Bei WD gibt es noch eine Spezialität, die helfen könnte: Die "SATA Phy Event Counters" (smartctl -x oder -l sataphy) enthalten unter der ID 0x8000 einen "Vendor specific"-Zähler, der anscheinend auch die Betriebszeit erfasst und persistent ist. Den könnten die Ganoven auch vergessen haben.
Wenn Sie weitere Methoden oder Programme kennen, mit denen man eine neue von einer gebrauchten Festplatte mit gelöschten SMART-Werten unterscheiden kann, schicken Sie uns gerne eine Mail.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
(ll)
