Datenverlust? Kann TestDisk helfen?

[LieberNetterFlo]

Hallo zusammen

ich hab da nen Problem, aber alles mal von vorne ...

Ausgangslage:

Festplatte: Samsung Spinpoint 500 Gb (465Gb nutzbar) SATAII
hängt an einem Raidcontroller aber im "Basic" Mode, also
Standard IDE Mode oder wie man das nennen könnte ...
Windows Vista Business 64 Bit Edition
2 Partitionen (jeweils ~50%) Primär NTFS
beide jedoch mit Bestcrypt Volume Encryption verschlüsselt.

so, was hab ich gemacht/wie es es zu dem "Datenverlust" gekommen:

• wollte aus den beiden Partitionen eine machen, beide jedoch erstmal entschlüsseln hat mir zu lange gedauert.
• Dann hab ich von Partition #2 einfach mal alle Daten auf eine externe Platte (USB) verschoben und die Partition dann gelöscht.
• Nun hab ich eine neue NTFS Partition erstellt mit den Default werten und Quick-Formatierung (Die war dann ja NICHT mehr verschlüsselt).
• Weiterhin hab ich die Daten von der noch vorhandenen ersten verschlüsselten Partition auf die 2te verschoben
• Jetzt hab ich die erste verschlüsselte Partition gelöscht.
• Dann dacht ich mir "Warum den Raidcontroller nicht mal auf AHCI umstellen" (und dacht eigentlich die Partitionsstruktur sollte davon nicht betroffen sein!!!)
• Windows wieder gestartet (dann hat er automatisch neue Treiber installiert) und dann war die NTFS Partition plötzlich RAW
• Ok, scheiß dacht ich mir, wieder ins BIOS, wieder auf Basic zurückgestellt, aber nix wars, Partition immernoch RAW

nun steh ich hier

TestDisk hab ich schon durchlaufen lassen, des findet auch eine NTFS Partition, aber der im
Tutorial angesprochene "Vista Check" taucht nie auf Ich hab die Werte dann trotzdem
geschrieben und Rechner neugestartet, aber Partition is immernoch RAW.

Was kann ich tun?

(ich hoffe mein vorgehen ist soweit verständlich ^^ wenn noch ne Frage is, stellt sie!)

MFG

Flo

p.s. bin mir ziemlich sicher dass die Daten auf den zweiten 50% der Platte noch vorhanden
sind, nur stimmt die Partitionsinformation nicht mehr ...) auf den ersten 50% sind natürlich
noch irgendwelche Pseudodaten (verschlüsselte Daten die ich auch nicht mehr brauche,
da die ja auch auf den zweiten 50% nur unverschlüsselt liegen ...)

UPDATE: sodele, bin mit sicher dass es dumm war TestDisk eine neue struktur schreiben zu lassen
es hat eine Erweiterte und Logische Partition erstellt *seufz* dabei wars doch eine Primäre
(Windows Vista erstellt immer Primäre in dem Wizzard unter "Datenträgerverwaltung" wenn man
nur weiter drückt ... oda?)

Edit zum UPDATE: das kann man ja jederzeit wieder ändern seh ich gerade

aber warum findet TestDisk eine NTFS und schreibt die Struktur auch, aber windows zeit immernoch RAW an?

 

[JackCarter]

1. Regel, schreibe gar nichts und das heisst rein gar nichts auf die HD wo du die daten retten möchtest.

testdisk kenn ich nicht.
es gibt tools, die die partitionstabelle wiederherstellern.
oder sonst tools mit welchen man daten wiederherstellt, ich nutze immer getdataback NTFS.

 

[LieberNetterFlo]

hey

keine sorge, ich hab seit ich das teil als RAW gesehen habe nix drauf geschrieben ...
das einzige war die Tabelle mit TestDisk wiederherstellen, was jedoch nicht so ganz klappt

TestDisk findet zwar eine NTFS Partition, wenn ich die auf die Platte schreibe und neu starte
sagt Windows immernoch RAW ...

Welches Tool das RAW daten durchsucht stellt denn eventuell Imagedateien (ISO, NeroImage, etc..)
und Videos wieder her?

mfg Flo

 

[Fiona]

Teile mal mit, mit mit welcher Version oder LiveCD du bootest, da du ja dein Betriebssystem gelöscht hast?
Hast du ein Windows?

Wehen deiner zweiten Partition, auf der du die Daten der ersten kopiert hast, brauche ich Infos.
Am besten einen Screen nach Analyse, Quick Search und Deeper Search.
Wenn deine Partitionstabelle in Ordnung ist, sieht es entweder nach Fehler im Bootsektor oder Dateisystem aus.
Kann ich so, ohne Infos nicht beurteilen.

Teile es erstmal mit, damit ich weiß, wie es mit einer Diagnose weitergehen kann.

Viele Grüße

Fiona

 

[Mueli]

Es war sicher keine gute Idee Dein Vorhaben auf die Schnelle ausführen zu wollen. Vielleicht solltest Du von Deinem Crypt-Tool mal etwa schreiben, also z.B. auf welcher Basis gecryptet wird, fileweise oder auf Partitionsbasis.

Es gibt zwei Möglichkeiten, die dafür verantwortlich sein können, eine Partition als RAW zu erkennen, die Partitionstabelle oder der Bootsektor. Im Bootsektor steht ein Pointer, der uf die MFT verweist, bei der Partitionstabelle sollte es klar sein, denn wenn diese in den Wald zeigt ......

Führe mal eine Diagnose mit Testdisk wie folgt aus.
Lade Dir dazu Testdisk 6.10.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

 

[LieberNetterFlo]

Teile mal mit, mit mit welcher Version oder LiveCD du bootest, da du ja dein Betriebssystem gelöscht hast?
Hast du ein Windows?

Ich boote mein normales Windows Vista SP1 X64 die Platte ist die 3te in meinem System ...

#1 Windows + Temp Partition
#2 Daten und Spiele Partition
#3 die die ja jetzt nimma geht-Backup partitionen

Wegen deiner zweiten Partition, auf der du die Daten der ersten kopiert hast, brauche ich Infos.
Am besten einen Screen nach Analyse, Quick Search und Deeper Search.
Wenn deine Partitionstabelle in Ordnung ist, sieht es entweder nach Fehler im Bootsektor oder Dateisystem aus.
Kann ich so, ohne Infos nicht beurteilen.

Teile es erstmal mit, damit ich weiß, wie es mit einer Diagnose weitergehen kann.

Viele Grüße

Fiona

screenshots hängen an .. (der Deeper Scan wird nachgereicht ... das dauert immer so lange *seufz*)

mfg Flo

EDIT @ Mueli

Bestcrypt Volume Encryption - Verschlüsselt die komplette Partition Sektorweise (ich hab AES (Rijndael) - 256-bit key gewählt), mehr infos auf www.jetico.com
... doch eigentlich sollten die Daten NICHt verschlüsselt sein -> siehe oben -> neue Partition erstellt (die die jetzt
leider RAW ist) und diese auch NICHT verschlüsselt ...

Nochmal der Hinweis: es kommt KEINE Abfrage bezüglich Vista!! leider *seufz*

EDIT#2: ich hab mal meine vorgehensweise visualisiert

EDIT#3: ich hab die tiefenanalyse angehängt ... was nun?

 

[LieberNetterFlo]

hey

was sollte ich jetzt machen?
der erkennt wie es aussieht die erste Partition noch (die ja verschlüsselt ist) und 2 weitere (ich schätze mal die ältere verschlüsselte und die neuere unverschlüsselte) ...

welche soll ich nun herstellen?

mfg Flo

 

[Fiona]

Unter Vista kommt keine Frage nach Vista-Check, da Vista bereits erkannt wird, oder Testdisk es automatisch anhand der Struktur erkennt.
Somit nicht nötig.

(ich schätze mal die ältere verschlüsselte und die neuere unverschlüsselte) ...

Normal ist mir unbekannt, das sich bei verschlüsseln die Geometrie und somit auch die Partitionslänge leicht ändert.

Markiere mal deine unterste Partition und drücke p ob deine Daten oder eine Fehlermeldung angezeigt wird.

Teile es mal mit.

Viele Grüße

Fiona

 

[LieberNetterFlo]

moin

ich bekomme leider bei beiden einen Fehler und TestDisk kann keine Dateien/Ordner anzeigen ..

mfg Flo

 

[Fiona]

Mache mal eine Diagnose des Bootsektors, von deiner jetzt in der Partitionstabelle vorhandenen Partition, ob dann deine Daten angezeigt werden.
Ist ein Trick um vielleicht an die Daten zu kommen.
Bestätige mal in Testdisk durch, bis du das Menü Analyse siehst.
Bestätige aber nicht bei Analyse sondern bei Options.
Gehe auf die Option "Allow partial last cylinder" und bestätige mit Eingabe um es auf yes zu setzen.
Verlasse das Mneü Options bei Ok.
Gehe jetz auf das Mneü Advanced!
Hier solltest du deine bschädigte Partition auswählen.
Bestätige bei Boot und gehe auf Rebuild BS.
Hinterher zeigt Testdisk dir das Ergebnis an.
Wenn Testdisk zu lange sucht (mehr als einige Minuten, teile es mit.
Hinterher solltest du das Menü List sehen.
Gehe mal da drauf und teile mit, ob deine Daten oder wieder eine Meldung angezeigt wird.
Gehe dort erstmal nicht auf das Menü Write, um keine Änderungen vorzunehmen.

Teile es mal mit.

Viele Grüße

Fiona

 

[LieberNetterFlo]

hi

screenshot hängt an .. der scant ziemlich lange ...

ich glaub meine chancen stehen schlecht *seufz*

mfg Flo

 

[Fiona]

Wenn es länger dauert, habe ich normal die Erfahrung, das der Bootsektor nicht den Pfad zum Dateisystem findet.
Kann aber bei dieser Größe von 250 GB mal dauern.
Lasse es laufen und teile es mit.
Mache auchmal folgendes, prüfe mal hinterher ob du im Menü Advanced Boot das Mneü Repair MFT siehst.
Gehe dann mal darauf und setze mir einen Screen.
Hinweis dazu ist, es ist nur ein Companion zu chkdsk.
Bestätige daher dort nicht mit y um zu versuchen das Dateisystem im Fall zu reparieren.
Würde dann weine Diagnose mit Datenrettungssoftware in der Testversion kommen, um zu prüfen, ob deine Ordner und Dateien zumindest dort richtig angezeigt werden.
Infos folgen dann.

Viele Grüße

Fiona

 

[LieberNetterFlo]

hm

welche der 2 Partitionen die beim Advanced Scan angezeigt werden ist denn eher die,
auf der die Daten sein sollten? die eine is ja ein bissel größer wie die andere ...

mfg Flo

 

[Fiona]

Das Menü Advanced zeigt dir nur die Partitionen die in deiner Partitionstabelle sind.
Wäre nach meines Wissens nur die erste und die zweite.
Die zweite die nach der tieferen Suche gefunden wird, ist nicht in deiner Partitionstabelle.
Daher sollte diese dort nicht gelistet sein.
Nach Deeper Search, könnte die im Fall für eine Diagnose des Bootsektors mal wiederhergestellt werden.
Infos wenn du es machen möchtest, würden folgen.
Dabei machst du nichts kaputt und der Zustand könnte genauso wiederhergestellt werden.
Anleitung kann ich setzen.
Aber nur wenn du es möchtest.

Ich habe nur einen Screen während der Suche bei Rebuild BS.
Daher kann ich es nicht richtig beurteilen was an Partitionen angezeigt wird.
Dazu bräuchte ich dann einen Screen vom Menü Advanced / Boot.

Viele Grüße

Fiona

 

[LieberNetterFlo]

hey

hier mal ein paar screenshots aus den verschiedenen menus ...
ich hab die vermutung da geht nix mehr mit Testdisk

mfg

Flo

 

[Fiona]

Lade dir mal Scavenger in der Testversion und scanne mal deine Festplatte mit den langen scan.
http://www.de.quetek.com/prod02.htm

Teile mal mit, ob der deine Daten anzeigt.

Viele Grüße

Fiona

 

[LieberNetterFlo]

hi

wollte nur nochmal eine letzte Rückmeldung geben.

Ich hab jetzt mit 3 verschiedenen Recovery-Tools
nach Dateien gesuch, jeweils 3-4 Stunden

leider habe ich nur einen Bruchteil der Daten gefunden
und erst recht nicht das was ich gesucht hab *Seufz*

Ich muss wohl damit leben und werd versuchen
solche Aktionen in Zukunft zu unterlassen.

Lieber Sicher, dafür halt länger!!

mfg Flo