Datenwiederherstellung einer formatierten und zuvor verschlüsselten Festplatte möglich?

[Fusionator]

Acronis kannst du für den Zweck vergessen. Das ist Quatsch.
In jedem entsprechenden Thread hier wird ddrescue oder ddrescue-gui empfohlen. Aber was macht man danach mit dem 8 TB großen Image einer kaputten Bitlocker Partition? Ich wüsste nicht einmal wo ich da ansetzen soll.

Hast du dir eigentlich bei dem YouTube Video mal die ersten 3 Kommentare durchgelesen? Das hätte schon gereicht.

Aus deinen bisherigen Aktionen entnehme ich, dass du da die Zusammenhänge nicht verstanden hast. Formatieren eines Laufwerks hat noch nie Daten zurückgebracht und verschlüsselte Daten mit Datenrettungssoftware zu scannen kann einfach keine Ergebnisse liefern, da sonst die Verschlüsselung nichts verschlüsselt hätte.

Aus diesem Grund wäre es wohl wirklich besser sich an eine entsprechende Firma zu wenden.

https://datenrettung.net/

Diagnose kostet da nicht die Welt. Anrufen und mal das Problem schildern kostet noch weniger. Kann mir nicht vorstellen, dass die solche Fälle nicht kennen oder nicht schon mal hatten. Bei deiner Platte scheint es ja auf eine reine Software-Datenrettung hinauszulaufen. Das dürfte jetzt auch keine immensen Kosten verursachen.

 

[Dodedi]

Hast du dir eigentlich bei dem YouTube Video mal die ersten 3 Kommentare durchgelesen? Das hätte schon gereicht.

Leider erst im Nachhinein... Ihr müsste euch dabei bitte in meine Lage versetzen: Ich stehe Samstagmorgen auf, halb benebelt von der Wirkung einer Schlaftablette. Starte den Rechner, alles läuft wie gewohnt. Nur als ich die eine verschlüsselte Festplatte aufrufen wollte, kam dieser komischer Fehler, den ich bisher noch nie hatte und die Festplatte will sich über den Explorer nicht aufrufen lassen => Panikmodus! Erste Recherche mit CHKDSK und DiskPart liefert keine Besserung, Festplatte wird in Dateiträgerverwaltung als "RAW" angezeigt, was jetzt? Ich suche auf die schnelle ein Youtube-Video, das mein geschildertes Problem behandelt. Ich werde bei diesem einen Video fündig (so dachte ich zumindest), sehe "Ah diese Firma kenne ich und macht einen seriösen Eindruck", werde beim "format fs=ntfs quick" kurz stutzig, aber führe es dennoch aus weil dort vermeintliche Profis am Werk sind... Also ja, Profis im Betrügen offensichtlich.

Dass die Aktion von mir sehr dämlich war, gebe ich offen zu. 5 Minuten Ruhe bewahren, vorher Handlungsschritte durchdenken und erst dann ausführen, kann einem später viel Ärger ersparen wie man hieran sieht. 😶

Und Dankeschön für die Empfehlung mit datenrettung.net, werde ihren Diagnoseservice mal kontaktieren und dann mal schauen. Bei den Anschaffungen, die demnächst leider notgedrungen anstehen (nein, nicht Weihnachten^^), habe ich aktuell keinen Nerv einen vierstelligen Betrag für diese verdammte Festplatte zu berappen. 🤦‍♂️

 

[Fusionator]

5 Minuten Ruhe bewahren, vorher Handlungsschritte durchdenken und erst dann ausführen, kann einem später viel Ärger ersparen wie man hieran sieht. 😶

Im Zweifelsfall gar nichts machen und sich gleich professionelle Hilfe ist immer noch besser. Und wenn man etwas macht dessen Auswirkungen man nicht kennt ist es aus gerade ersichtlichen Gründen besser an einem Image/Kopie des Datenträgers zu arbeiten.
Die Suche nach dem Begriff „how to convert RAW to NTFS„ fördert z.B. solchen Unfug wie Laufwerk formatieren zu Tage. Klar, du hast danach ja auch ein NTFS Laufwerk 🤦‍♂️

Datenrettung ist halt bei 8 TB schon heftig, denn im Idealfall würdest du dir jetzt ein Image ziehen. Von dem Image macht man dann eine Kopie oder spielt es auf eine passende zweite Platte zurück. Davon startet man dann die Datenrettung und braucht natürlich noch eine Platte für die wiederhergestellten Daten.


Wenn irgendetwas schief läuft, kann man wieder auf das Original Image zurückgreifen.
Hast du dir eigentlich den Wiederherstellungsschlüssel gesichert?
Ist auch etwas, was bei Bitlocker Pflicht ist!

Nach kurzem googeln scheint es schon Möglichkeiten zu geben:
https://www.normanbauer.com/2013/07...a-from-a-deleted-bitlocker-enabled-partition/
Aber wohl nicht mit formatierten Laufwerken. Und jeglichen Versuch in der Richtung würde ich nur mit einem Image durchführen.

Selbstverständlich gibt es kostenpflichtige Software:
https://www.m3datarecovery.com/bitl...overy-from-bitlocker-encrypted-raw-drive.html

Und bestimmt noch mehr.

 

[Evil E-Lex]

ch fürchte nein. Habe mir damals wirklich keinen Kopf drum gemacht, dachte mir nur "das Ding verschlüsseln, Passwort kennste ja, what could possibly go wrong..."

Heißt, den Recovery-Key hast du auch nicht? Dann ist es völlig egal, wer es macht oder welches Tool verwendet wird. Die Daten sind unwiederbringlich verloren. Durch die Schnellformatierung hast du den Bitlocker-Header gelöscht und ohne Recovery-Key besteht keine Möglichkeit das Dateisystem wiederherzustellen.

 

[Dodedi]

Ich habe die halbe Wohnung auf den Kopf gestellt und den Wiederherstellungsschlüssel gefunden! 😄 Bin mir hundertprozentig sicher, dass es der richtige Key ist! Es sind 8 Blöcke à 6 Zahlen, die jeweils mit Bindestrich getrennt sind und dem Passwort zugeschrieben, welches ich immer zum Entsperren dieser Festplatte verwendet habe.

Also besteht noch Hoffnung, richtig???

 

[Purche]

Sofern Du den Recovery Key noch hast, gibt's wohl Tools die damit umgehen können, z.B. das hier: https://www.easyuefi.com/data-recovery/bitlocker-data-recovery.html

Die Partition darf demnach (schnell-)formatiert etc. sein, solange die Bitlocker Metadaten-Bereiche noch auffindbar sind...

 

[Evil E-Lex]

Also besteht noch Hoffnung, richtig???

Ich muss die Hoffnung leider etwas schmälern: Habe dein Szenario eben nachgestellt, indem ich

1. eine VHDX-Datei mit 1 GB Größe erstellt habe
2. diese mit NTFS formatiert habe
3. ein paar Dateien reinkopiert habe
4. dann mit Bitlocker verschlüsselt
5. und abschließend geprüft, ob die Verschlüsselung funktioniert
6. Dann habe ich die VHDX ausgeworfen und neu verbunden
7. Die VHDX-Datei habe ich dann über die Datenträgerverwaltung schnellformatiert

Jetzt habe ich mittels des Befehls reapir-bde versucht, die Inhalte des Bitlocker-Volumes in eine Imagedatei zu schreiben. Der Befehl lautete wie folgt:
repair-bde J: E:\testimage.img -rp 599126-395384-296076-533830-276133-048972-463573-060280 -lf e:\log.txt
J: ist hierbei das verbundene Laufwerk der VHDX-Datei. E:\testimage.img ist die Zieldatei als Image. Mit -rp wird der Wiederherstellungsschlüssel angegeben und mit -lf wird eine Logdatei erzeugt.

Das Ergebnis war wie folgt:
BitLocker-Laufwerkverschlüsselung: Reparaturtool, Version 10.0.19041
Copyright (C) 2013 Microsoft Corporation. Alle Rechte vorbehalten.

Die Suche nach BitLocker-Metadaten wird gestartet.

Die Startsektoren werden auf den Zeiger auf Metadaten durchsucht:
Die Startsektoren werden auf den Zeiger auf Metadaten durchsucht:
Die Startsektoren werden auf den Zeiger auf Metadaten durchsucht:
100%
Sektorbegrenzungen werden auf Metadaten durchsucht: 100%
Suche nach BitLocker-Metadaten wurde abgeschlossen.

FEHLER: Auf dem Eingabevolume wurden wichtige Informationen zum
Entschlüsselungsschlüssel beschädigt. Verwenden Sie die Option "-KeyPackage",
um ein Schlüsselpaket angeben zu können.
Das Volume kann unter Umständen nicht wiederhergestellt werden.

 

[Fusionator]

Das muss ich auch mal nachstellen und diese Hasleo Software ausprobieren. Oder du machst das mal schnell @Evil E-Lex

 

[Evil E-Lex]

Die Frage ist, ob die besser funktioniert. Liest man im Kleingedruckten steht dort:

2. If the metadata area of a BitLocker encrypted drive is severely corrupted, you will not be able to recover data from this partition even if you have the correct BitLocker password or the 48-digits BitLocker recovery key.

Die Software zu installieren ist für mich keine Option, da ich das auf der Arbeit nebenbei mache. Ich möchte meinen Arbeitsplatz-PC nicht mit Drittanbietersoftware belasten. Meine Tests vorhin waren kein Problem, da ich dort nur auf Windows-Boardmittel zurückgreifen musste.

 

[Fusionator]

Ok, kein Thema. Ich hab hier einen fliegenden Aufbau für solche Spielerein Da kann nichts kaputt gehen.

 

[Dodedi]

Hmm, also ich habe jetzt etwa 4 Stunden lang Hasleo Bitlocker durchlaufen lassen und es fand sehr, sehr viele Dateien. Bereits 3,8 Millionen beim Stand von 15% der Tiefensuche. 🤣 Die wiederhergestellten Dateien (auf 10 Stück in der Trial limitiert) funktionierten sogar! Aber leider verfügen nahezu sämtliche Dateien nur über Murks als Namen und von der ursprünglichen Ordnerstruktur ist nichts mehr erhalten. Und zu vielen Dateiformaten kann dieses Tool anscheinend nichts wiederherstellen, falls ich die Liste links mit den roten Icons (die komplett leer sind) richtig interpretiere?

Ich habe gelesen, dass "Tenorshare 4DDiG" die Originaldateiennamen und Ordnerstrukturen wiederherstellen kann, allerdings berichten viele User bei Trustpilot von Scam. Hat schon jemand vielleicht Erfahrungen damit gemacht?

"R-Studio" soll auch sehr gut sein, wird bspw. von dem Admin hier und in diesem Review empfohlen. Scheint aber in der Bedienung auch vergleichsweise kompliziert zu sein... Wäre es einen Versuch wert oder ist diese Platte endgültig ein Fall für Spezialisten?

 

[Evil E-Lex]

"R-Studio" soll auch sehr gut sein,

R-Studio ist sehr gut, hilft dir aber in deinem Fall nicht weiter. Denn du hast nicht einfach eine NTFS-Partition neu formatiert, sondern du hast durch das Schnellformatieren die Bitlocker-Metadaten stark beschädigt. Das Recovery-Tool muss mit diesem Spezialfall umgehen können. R-Studio kann das meines Wissens nach nicht.

 

[Dodedi]

R-Studio ist sehr gut, hilft dir aber in deinem Fall nicht weiter. Denn du hast nicht einfach eine NTFS-Partition neu formatiert, sondern du hast durch das Schnellformatieren die Bitlocker-Metadaten stark beschädigt. Das Recovery-Tool muss mit diesem Spezialfall umgehen können. R-Studio kann das meines Wissens nach nicht.

D'oh! 🤦‍♂️

 

[Purche]

Ich glaube es liegt eher daran, dass das ursprüngliche Dateisystem mehr auffindbar ist. Daher bleibt dem Recoverytool nur File carving, also bekannte Vorder- und Hinterteile typischer Dateitypen zu suchen und alles dazwischen als Dateiinhalt rüberzuretten. Und zu hoffen, dass das Dateisystem nicht zu fragmentiert war. Da ist dann natürlich kein Dateiname dazu vorhanden (da der nicht im Dateiinhalt sondern nur im Dateisystem stand).

An den Bitlocker Metadaten dürfte es nicht liegen. Das Entschlüsseln klappt ja offenbar korrekt, sonst hätten die geretteten Dateien keinen sinnvollen Inhalt beim Öffnen...

Erlaubt es das Tool, das entschlüsselte raw Image unkomprimiert(!) abzuspeichern? Klar, das wird dann eine 8tb Datei. Aber da könntest du dann beliebige Datenrettungstools rüber jagen (wie z.b. photorec), die den Job ggf. noch etwas besser hinkriegen...

 

[Fusionator]

Hmm, also ich habe jetzt etwa 4 Stunden lang Hasleo Bitlocker durchlaufen lassen und es fand sehr, sehr viele Dateien. Bereits 3,8 Millionen beim Stand von 15% der Tiefensuche.

Ist das auch wirklich plausibel? Ich hatte da schon einen anderen Verdacht, aber wenn du sagst, dass die Dateien funktionieren, dann wird das Tool nicht nur so tun als hätte es was gefunden (und Einen zum Kauf der Vollversion verleitet).

Du kannst ja noch dieses Tool probieren:
https://www.diskinternals.com/efs-recovery/

 

[Dodedi]

Erlaubt es das Tool, das entschlüsselte raw Image unkomprimiert(!) abzuspeichern? Klar, das wird dann eine 8tb Datei.

Soweit ich sehe nicht, kann aber auch an der Trial-Version liegen? Aber ja, eine neue 8 TB Festplatte muss ich mir ohnehin alsbald anschaffen. 😉

Ist das auch wirklich plausibel? Ich hatte da schon einen anderen Verdacht, aber wenn du sagst, dass die Dateien funktionieren, dann wird das Tool nicht nur so tun als hätte es was gefunden (und Einen zum Kauf der Vollversion verleitet).

Ja, zumindest die Dateien, die ich testhalber wiederherstellen ließ. Die eine .wmv, mp4, .pdf, .jpg, .psd, .zip, .gz, .docx sowie die .chm-Datei ließen sich öffnen und wurden auch korrekt dargestellt bzw. abgespielt. Zwar alles ohne die Originalnamen, aber immerhin etwas! Die bis zu dem Zeitpunkt gefundenen .rar-Fiels waren allerdings alle nur 1 KB groß und wie befürchtet ließ sich die eine .rar, die ich wiederherstellen ließ, auch nicht öffnen ("unerwartetes Archivende"). Nur konnten leider sehr viele andere Dateien offenbar überhaupt nicht wiederhergestellt werden, was mir Sorgen macht.

Ich habe das EFS Recovery mal ausprobiert und es findet die Partition als Bitlocker-Platte. Ich habe es etwa 1,5 Stunden laufen lassen. Leider gibt es anscheinend keine Preview dazu, falls etwas gefunden werden konnte. Ich habe den Vorgang mal abgebrochen um zu sehen, was bislang aufgetrieben werden konnte, und tatsächlich... nichts. :/

Ergänzung (13. Dezember 2021)

Nachtrag: Ich habe Hasleo BitLocker Data Recovery nochmal kurz laufen lassen und was mir erst jetzt aufgefallen ist, dass wenn ich die Tiefensuche manuell beende (wollte jetzt keine 20+ Stunden mit der Trial verbringen), werden bei mir neben den "RAW Recovery Files" mit den fehlenden Dateinamen auch "Lost Partition 1 (NTFS)" sowie "Lost Partition 2 (NTFS)" als Baumstruktur ganz klein oben links in der UI angezeigt. Aus welchem Grund auch immer zwei Partitionen vorhanden sind, aber darunter ist jeweils der Ordner "More Lost Files"... Und darin sind Ordner und Dateien mit Originalnamen, Datum etc. enthalten!!!

Ich werde mir mal eine Lizenz von dem Tool kaufen und die Platte durchscannen bis sie qualmt! 😆
Vielen Dank für die Tipps. Werde später mal berichten wie viel sich auf diese Weise tatsächlich retten ließ.

 

[Fusionator]

Und wo wirst du dann die gefundenen Daten speichern?

Werde später mal berichten wie viel sich auf diese Weise tatsächlich retten ließ.

Da bin ich mal gespannt.

 

[Dodedi]

Und wo wirst du dann die gefundenen Daten speichern?

Na exakt dort, wo ich die Daten auch her habe! Nein Spaß, so bescheuert bin ich auch wieder nicht. 😉

 

[instöchio]

Sorry der Link geht nicht
Acronis true Image.
Kannst du im Internet runterladen.
Schlüssel kaufen für Vollversion.

Warum so umständlich?
Die besten Versionen die ich habe, sind Acronis 2011 und 2012. Klein, flink und sauber.
Und die waren kostenlos bei meinen externen USB-HDs mit dabei.
Alle nachfolgenden Acronise wurden immer schwieriger.
Acronis 2018 will sogar noch eine Internetverbindung. Sonst funktioniert es nicht.
WOZU bitte ein Inet??