Dateiwiederherstellung mit Diskeditor

[Oldi55]

Hallo miteinander,

Erstmal folgende Infos: Festplatte 500MB mit 2 Partitionen, in der 1. Partition befindet sich unter anderem ein Ordner mit Truecrypt.
Nun zum Problem: in dem Ordner mit Truecrypt befand sich außer den Programmdateien auch eine Schlüsseldatei. Bevor jetzt alle wieder schimpfen;-), ja mir ist bekannt dass man eine Sicherheitskopie machen soll - und ich habe sie nicht gemacht. Nun weiter, erstellt habe ich die Datei am 13.10.16, das letzte mal benutzt am 18. oder 19.10. Nun wollte ich gestern wieder auf mein verschlüsseltes Archive zugreifen, aber die Schlüsseldatei ist nicht mehr vorhanden. Ich habe in dem Ordner keinerlei Dateioperationen (kopieren, verschieben,etc.) durchgeführt, und kann mir daher das verschwinden nicht erklären.
Ich habe nun verschiedene Datenrettungstools (Recuva, Wise Data Recovery, R-Studio, Easeus Data Recovery, Testdisk/Photorecovery) drüberlaufen lassen, keines der Tools hat die Datei gefunden. Jetzt habe ich vor, mit einem Diskeditor zum Bsp. HxD selber direkt auf der Platte zu suchen.
Und jetzt meine direkte Frage dazu: Gibt es eine Möglichkeit, sich mit einem Diskeditor nur den Bereich eines bestimmten Ordners anzeigen zulassen, bzw. gibt es einen Diskeditor mit ich sag jetzt mal "Dateiverfolgung"?

Meine Überlegung ging dahin, wenn ich dort Fragmente des Dateinamens finde (beim löschen wird ja nur der 1. Buchstabe des Namens gelöscht, wenn ich richtig liege) die Datei binär wieder zusammen zusetzten und neu zu speichern. Ich weis aber nicht mehr genau wie das geht, vorallem nicht unter NTFS. Anfang der 90er habe ich das mal mit dem Norton Diskeditor gemacht, da konnte man sich über die offsets und eof durchhangeln.

Wäre nett wenn jemand helfen könnte oder andere Vorschläge hat.

Oldi55

 

[Wookie81]

Du weißt, dass du die Festplatte nicht mehr verwenden sollst, sondern solche Wiederherstellungen nur auf einer Sicherheitskopie versuchen sollst? Also Computer ausmachen, neue Festplatte kaufen und 1zu1 Kopie machen.

Wenn du nicht zumindest Reste der Datei findest, dann gibt es - so weit mir bekannt - keine Möglichkeit rauszufinden wo die Datei abgelegt war. Bestimmte Bereiche der Festplatte kann man mit Tools absuchen, wobei andere sicher sagen können, welche Tools geeignet sind.

Bist du sicher, dass du sie nicht verschoben hast, sie im Papierkorb gelandet ist (ich weiß, was du geschrieben hast, aber auch mir passiert es, dass ich aus versehen eine Datei verschiebe..) oder oder oder? Dateien verschwinden selten von selbst. Kennst du vielleicht Teile / Inhalte der Datei oder war sie zufällig generiert? War sie vielleicht mal auf nem USB Stick gespeichert?

 

[teufel82]

Die Schlüsseldatei ist bestimmt so klein, dass sie direkt in der MFT gespeichert wird.

Am einfachsten wäre es vlt. wenn Du eine Kopie (Image) erstellst und anschließend mit der Systemwiederherstellung von Windows auf den Tag, wo's noch ging bzw. wo alles da war, zurück "springst"?

 

[Oldi55]

Danke erstmal, Festplatte ist kopiert, habe dafür Sicherheitshalber eine 4TB-Platte im Schrank.
Die Datei war eine leere Textdatei von mir erstellt, Truecrypt verwendet dann diese um damit und durch Mausbewegen eine Schlüsseldatei zu erstellen. Werde mal in der MFT suchen, mit FAT kenne ich mich aus, wie die Sachen in NTSF abgelegt werden weis ich allerdings nicht. Wenn jemand Hinweise auf Lektüre dazu hat, bitte schreiben. Kann aber nur rudimentär Englisch.
Werde jetzt mal googlen.
Systemwiederherstellung gute Idee, geht aber nicht. 1. werden bei mir nur die Partitionen mit Betriebssystemen überwacht, und 2. glaube ich die Systemwiederherstellung macht nur ein Backup bei Treiberinstallationen etc. oder man muß manuell einen Wiederherstellungspunkt setzen.

Oldi55