SchijfdokterHome / Kennis / MacBook start niet op: zo haal je je data eraf
MacBook start niet op: zo haal je je data eraf
Een MacBook die niet opstart betekent zelden dat je bestanden weg zijn, maar op een moderne Mac loopt de weg ernaartoe anders dan bij welke andere laptop ook. De opslag zit vast op het bord en is versleuteld met sleutels die aan díé machine hangen. Dat bepaalt alles wat erna komt.
Eerst de vraag die alles bepaalt: welke Mac is het?
Voor dataherstel vallen MacBooks in drie groepen, en in welke groep jouw machine zit, bepaalt wat er nog mogelijk is.
- Oudere Intel-Macs zonder T2-chip. De opslag is een gewone SSD of harde schijf, soms zelfs los uit te nemen. Staat FileVault uit, dan is de inhoud leesbaar zodra je de opslag op een gezonde computer aansluit.
- Intel-Macs met de T2-chip. De T2 doet het opslagbeheer en de versleuteling. De opslag is daarmee aan de machine gebonden, ook als je nooit iets hebt ingesteld.
- Macs met Apple Silicon (M-serie). Hetzelfde principe, nu ingebouwd in de hoofdchip. De Secure Enclave beheert de sleutels.
In het Apple-menu, onder "Over deze Mac", zie je of er een M-chip of een Intel-processor in zit. Bij een Intel-Mac is daarmee nog niet gezegd of er een T2 in zit; dat zoeken wij op aan de hand van het modelnummer, en dat is geen detail maar het verschil tussen twee totaal verschillende routes.
Wat versleuteld betekent op een moderne Mac
Apple is hier in zijn eigen beveiligingsdocumentatie heel precies over, en het is belangrijk om dat goed te lezen. Elk APFS-volume wordt standaard aangemaakt met een eigen versleutelingssleutel. Staat FileVault uit, dan is die sleutel beschermd met de hardware-identiteit van de machine zelf. Zet je FileVault aan, dan komt jouw wachtwoord daar als extra slot bij. Al het werk met die sleutels gebeurt in de Secure Enclave, en de sleutels worden volgens Apple nooit rechtstreeks aan de processor doorgegeven.
Daar volgt één harde consequentie uit. De opslag van een T2- of M-Mac is niet "een schijf met jouw bestanden erop". Het is een versleutelde opslag die alleen in combinatie met díé ene chip betekenis heeft. De techniek waarmee we bij een USB-stick het geheugen rechtstreeks uitlezen, levert hier dus geen bestanden op maar versleutelde blokken. Dat is geen tekortkoming van ons gereedschap; dat is het ontwerp.
Versleuteld of onversleuteld: het onderscheid dat de uitkomst bepaalt
Onversleuteld, op een oudere Mac. Dit is het gunstigste geval en het komt nog vaak voor. De machine kan dood zijn, het bord kan verbrand zijn: de opslag eruit halen en uitlezen is dan gewoon werk. Wat erop staat, staat er leesbaar op.
Versleuteld, en jij hebt de sleutel. Staat FileVault aan en ken je het inlogwachtwoord of heb je de herstelsleutel, dan kunnen we een kopie van het volume ontsleutelen en de bestanden eruit halen. Dat lukt ook als macOS het volume zelf niet meer wil koppelen. Je wachtwoord of die sleutel is daarbij geen formaliteit maar de voorwaarde.
Versleuteld, en de sleutel is er niet. Dan is er niets. Wij kraken geen versleuteling, en niemand anders doet dat ook. Als iemand je dat belooft, is dat een reden om weg te lopen.
De route die het vaakst werkt: de Mac zelf nog één keer meekrijgen
Omdat de sleutels in de chip zitten, loopt de weg naar je bestanden bij een T2- of M-Mac via het bord, niet via de opslag. Daarom is dit altijd onze eerste vraag: krijgen we deze machine nog in macOS Recovery?
Lukt dat, dan is er een route die Apple zelf beschrijft. In macOS Recovery op een Mac met Apple Silicon zit de optie Schijf delen, waarmee je de schijf van die Mac beschikbaar maakt voor een andere Mac die je eraan hangt. Om in Recovery te komen kies je een beheerdersaccount en voer je het wachtwoord daarvan in. Bij Intel-Macs doet de doelschijfmodus hetzelfde werk; die start je met de T-toets of via de instelling voor de opstartschijf. Staat er een Time Machine-back-up klaar, dan zit het terugzetten daarvan ook in Recovery.
Start de Mac helemaal niet meer op, dan is reparatie van de voeding of het bord geen reparatie meer maar de enige toegangsweg naar je data. Lukt dat niet, dan is dat het eindpunt, en dat zeggen we liever meteen dan na drie weken.
Wanneer de data definitief weg is
Dit zijn de gevallen waarin wij niets meer kunnen, en we noemen ze expliciet omdat er in deze hoek van het internet veel valse hoop wordt verkocht.
- FileVault aan, en zowel het wachtwoord als de herstelsleutel kwijt. Apple schrijft het zelf zonder omhaal: kun je je inlogwachtwoord niet herstellen en ben je ook je herstelsleutel kwijt, dan kun je niet inloggen en zijn je bestanden en instellingen voorgoed verloren.
- Een bord dat niet meer aan de praat te krijgen is. Zonder de chip die de sleutels beheert, blijft de versleutelde opslag versleuteld.
- Het volume is gewist of macOS is opnieuw geïnstalleerd. Bij een moderne Mac is wissen geen overschrijven maar het weggooien van de sleutel. Apple noemt dat met zoveel woorden: de mediasleutel wordt door de Secure Enclave gegarandeerd gewist. Daarna is de inhoud wiskundig onbereikbaar, ook voor ons.
- De opslag zelf is het defect. Dit is de eerlijke kanttekening die er bij hoort. Zijn de geheugenchips of de opslagcontroller stuk, dan is geen enkele route gegarandeerd, ook niet als je alle wachtwoorden hebt. Wij beloven dus niet dat we de data van een MacBook altijd eraf halen; we zeggen na onderzoek wat er in jouw geval mogelijk is.
Wat je nu beter niet doet
- Niet opnieuw installeren. Dit is de meest voorkomende manier waarop data na een niet-opstartende Mac alsnog verloren gaat.
- Niet wissen en niet "terugzetten naar fabrieksinstellingen". Dat gooit de sleutel weg; zie hierboven.
- Geen schijfreparatie in Schijfhulpprogramma voordat er een kopie is. Een reparatie schrijft op de plek waar jouw gegevens staan.
- Start de Mac nog wel eens op? Maak dan nu een Time Machine-back-up of kopieer in elk geval je belangrijkste map naar een externe schijf, voordat je gaat uitzoeken wat er aan de hand is.
Hoe wij het aanpakken
Eerst kijken we of de machine nog in Recovery komt, want dat is de kortste weg. Lukt dat niet, dan gaat het bord naar de werkplaats om te kijken of het nog tot leven te brengen is. Bij een oudere Mac zonder chipgebonden versleuteling halen we de opslag eruit en maken we een sectorkopie; al het verdere werk doen we op die kopie en nooit op het origineel. Staat FileVault aan en heb je de sleutel, dan ontsleutelen we die kopie. Je krijgt terug wat er te halen viel, met een lijst van wat er wel en niet uit is gekomen.
De opslag in een MacBook is een SSD, en daarmee gelden de regels uit ons artikel over een kapotte SSD uitlezen hier ook: elke keer opstarten geeft de controller gelegenheid om op te ruimen, en tijd is bij een SSD geen neutrale factor. Uitzetten en laten liggen is ook hier het beste wat je kunt doen.
Wat het kost
Onderzoek en intake zijn gratis. Voor data uit een laptop of pc met een losse schijf rekenen we €95 tot €195; zit de opslag op het moederbord of is er versleuteling in het spel, zoals bij elke T2- en M-MacBook, dan is dat €195 tot €450. Daarna hoor je een vaste prijs voordat er iets gebeurt. Blijkt er niets te halen, dan betaal je niets voor het onderzoek. Alle bedragen staan ook bij data uit een laptop of pc.
Hoort bij Laptop of pc die niet meer start.
Zelf niet aan beginnen? Laptop of pc die niet meer start: Windows, macOS of Linux start niet, of het apparaat is helemaal dood. We halen de data eruit voordat er verder wordt gerepareerd.
Veelgestelde vragen
Mijn MacBook gaat niet meer aan. Is mijn data weg?
Meestal niet. In de meeste gevallen is het de voeding, het beeld of het bord, en staat alles nog op de opslag. Maar de uitzondering hoort er eerlijk bij: is de opslag zelf het defect, dan kan de data wel weg zijn. Dat weten we pas na onderzoek.
Kunnen jullie de geheugenchips uitlezen, zoals bij een USB-stick?
Bij een Mac met een T2-chip of een M-chip levert dat geen bestanden op. De inhoud is versleuteld met sleutels die in de Secure Enclave van die ene machine zitten, en die komen daar niet uit. Daarom werken we bij deze Macs via het bord en niet via de chips.
FileVault staat aan en ik ken alleen mijn inlogwachtwoord. Is dat genoeg?
Ja, dat is genoeg, zolang je het echt kent. Een herstelsleutel werkt net zo goed. Zoek die sleutel nu op en leg hem ergens anders neer dan op de Mac zelf; dat is het enige wat je op dit moment gratis kunt doen om je kansen te vergroten.
Mijn Mac vraagt om een herstelsleutel die ik nooit heb gezien.
Die sleutel is gemaakt op het moment dat FileVault werd aangezet en moet ergens zijn vastgelegd. Kijk in je Apple-account, in je wachtwoordbeheer, bij je werkgever of bij de beheerder die de laptop heeft opgeleverd. Zonder wachtwoord én zonder sleutel is er geen weg terug.
Kan ik de SSD uit mijn MacBook halen en in een behuizing stoppen?
Bij oudere modellen kan dat en is het een normale route. Bij de T2- en M-modellen zit de opslag vast op het bord en zou het ook niets opleveren, omdat de versleuteling aan de chip hangt die je achterlaat.
Gaat het om een bepaald model?
Per model staat hier wat we er in de praktijk aan zien, met de onderdelen die bij dat type het vaakst de oorzaak zijn.