Windows Server puede perder datos por fallo de RAID, corrupción de Active Directory, ransomware, fallo de controladora o error humano. La recuperación exitosa depende de actuar rápido, no reiniciar el servidor y llamar a un laboratorio especializado. Los datos de servidor son recuperables en el 75-85% de los casos si no se han sobreescrito. Esta guía está dirigida a responsables de IT, administradores de sistemas y directores de empresa que necesitan entender sus opciones reales.
Datos clave — Recuperación de datos en Windows Server
- Tasa de éxito en laboratorio: 75-85% (según tipo de fallo y estado de los discos)
- Coste estimado: 500-3.000€ + IVA según escenario
- Plazo estándar: 3-15 días laborables
- Servicio urgente: 24-72 horas disponible para empresas
- Normativa: ISO 27001 certificado, RGPD art. 28, NIS2
- Diagnóstico: Gratuito en 4 horas, sin compromiso
Los 6 escenarios más comunes de pérdida de datos en Windows Server
No todos los fallos en Windows Server son iguales. El tipo de incidencia condiciona el proceso de recuperación, el coste y las posibilidades de éxito. A continuación describimos los seis escenarios que tratamos con mayor frecuencia en empresas.
1. Fallo de controladora RAID (RAID 5, RAID 6, RAID 10 con 1-2 discos fallidos)
El escenario más frecuente en servidores físicos HP ProLiant, Dell PowerEdge e IBM System x. La controladora RAID (HPE Smart Array, PERC, LSI) deja de reconocer uno o varios discos del array, o directamente falla ella misma. Con RAID 5 la pérdida de un segundo disco durante la reconstrucción es devastadora. Con RAID 6 se tolera el fallo simultáneo de dos unidades.
- Gravedad: Alta — el servidor deja de arrancar o los volúmenes quedan inaccesibles
- Acción recomendada: Apagar el servidor, NO intentar reconstruir desde BIOS, llamar al laboratorio
2. Borrado accidental de shares o bases de datos
Un administrador elimina por error una carpeta compartida, una base de datos SQL Server o un buzón de Exchange. En Windows Server las Shadow Copies (VSS) pueden ser la primera línea de recuperación, pero en muchos entornos están desactivadas o son insuficientes para el punto de restauración necesario.
- Gravedad: Media-alta — los datos pueden haberse sobrescrito parcialmente
- Acción recomendada: Detener toda escritura en el volumen afectado, no reiniciar, contactar laboratorio
3. Ransomware: cifrado de datos (LockBit, BlackCat, Akira, Cl0p)
Los grupos de ransomware activos en 2025-2026 como LockBit 3.0, BlackCat/ALPHV, Akira y Cl0p atacan preferentemente servidores Windows accesibles por RDP o VPN sin MFA. Cifran todos los volúmenes accesibles, incluidos los compartidos por red, y en muchos casos exfiltran datos antes de cifrarlos (doble extorsión). Pagar el rescate no garantiza la recuperación y puede incumplir normativas OFAC.
- Gravedad: Muy alta — afecta a todos los datos accesibles desde el servidor comprometido
- Acción recomendada: Aislar el servidor de la red inmediatamente, no apagar (preserva datos en RAM y procesos activos), contactar laboratorio y CERT/INCIBE
4. Corrupción de Active Directory (base de datos NTDS.dit)
El fichero ntds.dit es la base de datos de Active Directory. Su corrupción puede deberse a un fallo de disco durante la escritura, un apagado incorrecto del Domain Controller, un error en una actualización de Windows Server o un snapshot de VM mal gestionado. Sin AD funcional, los usuarios pierden acceso a todos los recursos del dominio.
- Gravedad: Crítica — paraliza la operativa de toda la empresa
- Acción recomendada: No intentar recuperación autoritativa sin asistencia especializada; un error puede forzar la reinstalación completa del dominio
5. Corrupción de SQL Server o Exchange Server
Los ficheros MDF/LDF de SQL Server y los ficheros EDB/STM de Exchange pueden corromperse por fallos de disco, falta de espacio en el volumen de logs, pérdida de alimentación o bugs del propio motor de base de datos. En SQL Server, una corrupción de página (suspect database) puede bloquear el acceso a millones de registros.
- Gravedad: Alta — pérdida de datos operativos, históricos o de comunicaciones
- Acción recomendada: No ejecutar DBCC CHECKDB con opción de reparación sin respaldo previo; contactar laboratorio
6. Daño físico del servidor (incendio, inundación, sobretensión)
Eventos como incendios, inundaciones o caídas de tensión pueden dañar físicamente los discos del servidor. En estos casos la recuperación requiere sala limpia certificada ISO 14644 Clase 100 para abrir las unidades en un entorno libre de partículas, sustituir los cabezales o los platos dañados, y leer los datos mediante equipamiento especializado como PC-3000 UDMA.
- Gravedad: Crítica — puede requerir trabajo de sala limpia con piezas de donante
- Acción recomendada: No encender el servidor, proteger los discos de más humedad o polvo, transportar en bolsa antiestática sellada
Qué hacer en los primeros 30 minutos
Las decisiones tomadas en los primeros 30 minutos después de un fallo de servidor determinan en gran medida la tasa de éxito de la recuperación. Cada minuto que un servidor con RAID degradado permanece encendido puede estar sobrescribiendo datos potencialmente recuperables.
STOP — Acciones que NO debes realizar
- No reinicies el servidor — Un reinicio puede completar la escritura de datos corruptos o iniciar una reconstrucción RAID automática que destruya datos
- No ejecutes chkdsk en el volumen afectado — chkdsk puede marcar clústeres como libres y sobrescribir datos recuperables
- No ejecutes sfc /scannow sobre el volumen con pérdida de datos — mismas implicaciones que chkdsk
- No reconstruyas el RAID desde la BIOS o la controladora — Si uno de los discos participantes tiene sectores defectuosos, una reconstrucción puede causar pérdida total e irreversible
- No instales software de recuperación en el propio servidor afectado — las instalaciones generan escrituras que sobrescriben datos borrados
Acciones correctas en los primeros 30 minutos
- Documenta el estado del RAID — Captura pantallas de la interfaz de la controladora (HPE SSA, OMSA, WebBIOS) antes de cualquier cambio
- Exporta los registros de eventos de Windows — System, Application y Security logs pueden revelar la causa exacta del fallo
- Anota todos los detalles del hardware — Modelo de servidor, controladora RAID, número y posición de cada disco, capacidad, fabricante
- Aísla el servidor de la red si sospechas ransomware — Desconecta físicamente el cable de red o deshabilita el adaptador de red desde otro equipo de gestión
- Llama al laboratorio de recuperación — Con la información documentada, el técnico puede orientarte sobre los pasos exactos para tu caso específico
Nota crítica: Un servidor con array RAID en estado degradado (un disco fallido, reconstrucción en pausa) que permanece encendido puede estar modificando los metadatos del array con cada operación de escritura. En entornos de producción con alta carga de escritura, este riesgo es particularmente elevado.
Recuperación de datos según tipo de servidor
El proceso técnico varía significativamente según el rol del servidor y los servicios que alojaba. A continuación se describe el enfoque de recuperación para los cinco entornos más habituales en empresas.
| Tipo de servidor | Proceso de recuperación | Ficheros clave |
|---|---|---|
| Domain Controller (AD) | Extracción y reparación del fichero ntds.dit, reconstrucción del catálogo global, restauración autoritativa del dominio. En casos de ransomware sobre AD, análisis forense de las entradas del directorio para identificar cuentas comprometidas. | ntds.dit, SYSTEM hive, registros de eventos de AD |
| File Server con RAID | Reconstrucción virtual del array RAID a partir de las imágenes forenses de los discos individuales (determinación de stripe size, orden de discos, offset de inicio). Recuperación del sistema de ficheros NTFS o ReFS sobre el volumen virtual. | Metadatos NTFS ($MFT, $Bitmap), configuración del array en la controladora |
| SQL Server | Extracción de los ficheros MDF/LDF mediante herramientas de bajo nivel si el motor no puede montarlos. Reconstrucción de páginas dañadas, recuperación de transacciones del log, extracción de datos a nivel de tabla cuando el fichero está parcialmente sobrescrito. | .mdf (datos), .ldf (log de transacciones) |
| Exchange Server | Recuperación del fichero EDB (Exchange Database) mediante herramientas forenses, extracción de buzones individuales incluso cuando la base de datos no monta, exportación a formato PST o EML. Compatible con Exchange 2010, 2013, 2016, 2019 y Exchange Online (datos locales). | .edb (mailbox DB), .stm, .log (transaction logs) |
| VMware / Hyper-V | Recuperación de ficheros VMDK o VHDX desde el datastore dañado o el volumen RAID subyacente. Extracción del sistema de ficheros del guest OS (NTFS, ext4) desde dentro de la imagen de disco virtual. Compatible con snapshots corruptos y datastores VMFS dañados. | .vmdk, .vhdx, .vhd, metadatos VMFS/NTFS |
Cuanto cuesta recuperar datos de un servidor Windows
Los precios de recuperación de datos en servidores dependen del tipo de fallo, la complejidad del entorno y si se requiere intervención física en sala limpia. A continuación se muestran rangos orientativos para los escenarios más comunes. El presupuesto definitivo siempre se emite tras diagnóstico gratuito.
| Escenario | Precio estimado | Plazo estimado |
|---|---|---|
| RAID 5 con 1 disco fallido (fallo lógico) | 500-900€ + IVA | 3-7 días lab. |
| RAID 5 con 2 discos fallidos simultáneos | 1.200-2.500€ + IVA | 5-15 días lab. |
| RAID 0 array completo (fallo de un disco) | 800-1.800€ + IVA | 5-12 días lab. |
| Servidor físico con daño físico (incendio, inundación, sobretensión) | 1.500-3.500€ + IVA | 7-20 días lab. |
| Ransomware (sin descifrador público disponible) | 800-2.000€ + IVA | 5-15 días lab. |
| SQL Server / Exchange corrupto (sin daño físico) | 600-1.500€ + IVA | 3-10 días lab. |
Los precios son orientativos. El presupuesto definitivo se emite tras diagnóstico gratuito en laboratorio. El servicio urgente (24-72h) tiene un coste adicional que se comunica antes de aceptarlo. Si no recuperamos los datos, no cobramos.
RGPD y NIS2: implicaciones legales para empresas
Un fallo de servidor que provoca pérdida o exposición de datos personales no es solo un problema técnico: tiene consecuencias legales directas. Conocer las obligaciones aplicables es esencial antes de elegir un proveedor de recuperación de datos.
Notificación a la AEPD en 72 horas (RGPD art. 33)
El Reglamento General de Protección de Datos obliga a los responsables del tratamiento a notificar a la Agencia Española de Protección de Datos cualquier brecha de seguridad que afecte a datos personales en un plazo máximo de 72 horas desde que se tiene conocimiento de ella. Una pérdida de datos en un servidor Windows Server que contenga información de clientes, empleados o pacientes es, en la mayoría de los casos, una brecha notificable. Incumplir este plazo puede derivar en sanciones de hasta el 2% del volumen de negocio anual global.
Directiva NIS2: obligaciones ampliadas para infraestructuras críticas
La Directiva NIS2, que amplía el alcance de NIS1 a sectores como energía, transporte, sanidad, banca, infraestructura digital y proveedores de servicios gestionados (MSP), impone obligaciones de notificación de incidentes y gestión de riesgos de ciberseguridad. Las empresas en el ámbito de NIS2 deben tener procedimientos documentados de respuesta a incidentes, lo que incluye la recuperación de datos tras un ataque de ransomware o fallo de servidor.
Contrato de encargo del tratamiento (DPA, art. 28 RGPD)
Cuando una empresa envía su servidor a un laboratorio de recuperación de datos, está cediendo el acceso a datos personales a un tercero. Esto requiere la firma previa de un Contrato de Encargo del Tratamiento (DPA, Data Processing Agreement) tal como exige el artículo 28 del RGPD. Este contrato define las obligaciones del laboratorio en cuanto a confidencialidad, limitación del uso de datos y destrucción certificada una vez finalizado el servicio.
Por qué importa la certificación ISO 27001
Un laboratorio certificado en ISO/IEC 27001 dispone de un Sistema de Gestión de la Seguridad de la Información (SGSI) auditado externamente. Esto garantiza cadena de custodia documentada, controles de acceso físico y lógico a los datos, procedimientos de destrucción certificada y registros de auditoría que pueden aportarse en caso de inspección de la AEPD.
RecuperaTusDatos y el cumplimiento normativo
- Certificación ISO/IEC 27001 — AENOR (cadena de custodia, SGSI auditado)
- Certificación ISO 9001:2015 — Sistema de gestión de calidad
- DPA estándar incluido — Proporcionamos el contrato art. 28 como parte del servicio a empresas
- RGPD art. 33 — Podemos asesorarte sobre la notificación a la AEPD y documentar el incidente
- Miembro del ecosistema INCIBE (Instituto Nacional de Ciberseguridad)
- Destrucción certificada de copias de trabajo al finalizar el caso
Checklist para empresas antes de llamar al laboratorio
Preparar esta información antes de la llamada inicial acelera significativamente el diagnóstico y permite al técnico orientar con precisión las primeras acciones.
- Apagar el servidor si emite ruidos mecánicos (clic, rascado, zumbido) o mantenerlo encendido si funciona en modo degradado sin ruidos físicos
- Documentar el estado del RAID en la BIOS o interfaz de la controladora (HPE SSA, Dell OMSA, Adaptec Storage Manager) con capturas de pantalla
- Exportar los registros de eventos de Windows (System, Application, Security) antes de apagar
- Identificar qué datos son críticos y cuál es la prioridad de recuperación (ficheros concretos, base de datos, buzones...)
- Verificar si existe algún backup, aunque sea antiguo o incompleto — puede reducir el alcance de la recuperación necesaria
- Preparar el Contrato de Encargo del Tratamiento (RGPD art. 28) — lo podemos proporcionar nosotros si no disponéis de él
- Anotar: modelo exacto del servidor, modelo de la controladora RAID, número y posición de cada disco, capacidad y fabricante de cada disco, última fecha conocida de funcionamiento correcto
Preguntas frecuentes
¿Pueden recuperar datos de un servidor HP ProLiant, Dell PowerEdge o IBM?
Sí. Trabajamos habitualmente con HP ProLiant (G6 a Gen11), Dell PowerEdge (series R y T) e IBM/Lenovo System x, así como con sus controladoras RAID asociadas: HPE Smart Array P4xx/P8xx/Pxxx, Dell PERC H3xx/H7xx/H8xx, LSI MegaRAID y Adaptec. El diagnóstico incluye análisis individualizado de cada disco del array y determinación de los parámetros RAID necesarios para la reconstrucción virtual.
¿Se puede recuperar Active Directory después de un ataque de ransomware?
En muchos casos sí. Si el fichero ntds.dit no fue cifrado completamente o si existen copias en shadow storage, es posible extraer y reparar la base de datos de AD. También podemos recuperar versiones anteriores del ntds.dit si el ransomware no eliminó las shadow copies. En escenarios de cifrado total sin backup, la recuperación es más compleja pero no imposible dependiendo del tipo de ransomware y la variante del cifrado empleada.
¿Qué pasa si el RAID sigue funcionando pero hay datos borrados accidentalmente?
Si el servidor sigue funcionando y solo hay ficheros borrados, el procedimiento más seguro es suspender toda actividad de escritura en el volumen afectado y contactarnos de inmediato. En estos casos podemos trabajar con una imagen forense del volumen sin necesitar el servidor físico. La tasa de éxito para recuperación de ficheros borrados en NTFS que no han sido sobrescritos es muy elevada, por encima del 90%, y el proceso suele completarse en 2-5 días laborables.
¿El servicio para empresas incluye acuerdo de confidencialidad (RGPD art. 28)?
Sí. RecuperaTusDatos proporciona como parte estándar del servicio a empresas el Contrato de Encargo del Tratamiento (DPA) requerido por el artículo 28 del RGPD. Este contrato cubre la confidencialidad de los datos tratados durante el proceso de recuperación, la prohibición de uso para cualquier fin distinto al encargo, y la destrucción certificada de todas las copias de trabajo al finalizar el caso. También podemos firmar un NDA específico si la empresa dispone de su propio modelo.
¿Disponéis de servicio urgente de 24 horas para empresas?
Sí. Ofrecemos servicio urgente para empresas con diagnóstico en 4 horas y resolución en 24-72 horas para los casos que no requieran intervención física en sala limpia. Para casos con daño físico de discos, el plazo urgente es de 48-96 horas sujeto a disponibilidad de piezas de donante. El servicio urgente tiene un coste adicional que se comunica antes de confirmar el encargo. Llámanos directamente o escríbenos por WhatsApp para activar el protocolo de emergencia.
¿Necesitas recuperar datos de un servidor Windows?
RecuperaTusDatos — laboratorio especializado para empresas. ISO 27001, INCIBE, DPA incluido.
Diagnóstico gratuito en 4 horas. Sin recuperación, sin coste. Recogida urgente en toda España.
Solicitar diagnóstico gratuitoO llámanos: 900 899 002
WhatsApp