dccp crypted hdd formatiert

Marc.B.

Cadet 4th Year
Registriert
Apr. 2006
Beiträge
106
hi habe mein windows neuinstalliert und dann eine hdd formatiert...
leider hat win bei neuinstallation die laufwerksbuchstaben geändert, sodass ich die falsche hdd formatiert habe.

d.h. ich habe jetzte meine mit drivecrypt pluspack von securstar verschlüsselte hdd "schnell" formatiert.

habe mit securstar support geredet die meinten es ist möglich es wiederhinzubekommen.. angeblich mit getdataback aber habe bis jetzt nich wirklich verstanden wie -.-

securstar logs:

Peter: maybe a recovery tool. but only RAW data recovery

macht drivecrypt irgendwelche files oder dateisysteme?
Peter: it does not create... the encrypted partition will be seen as raw data

Peter: there are some chaches... once i amde the same mistale... i recovered 45-50% of data

Peter: Off the record... i used get data back for NTFS(there is for FAT32

Peter: i told you... the partition will appear as RAW data(nonsense) for the programm

Peter: if you can make a RAW data recovery, you could recover your data

es geht hier um 200gb und das wäre schon scheiße wenn alles weg wär!



plz help - thx.
 
Guckt man nicht immer vorher in die Platte die man Formatiert bzw. geht wirklich sicher das es die richtige ist - gerade bei solchen größen?

Anyway, das Wiederherstellen von Daten über Recoverytools wird in an die eine Millionen Threads im Forum behandelt, Suchfunktion hilft da ausgesprochen gut weiter.
 
//Ich nehme mal deinen Thread mit ins besser passende Datenrettungsforum.

Wenn du genau identisch formatiert hast benötigst du Datenrettungssoftware für Raw-Scan um an die Daten auf der Festplatte zu kommen.
Wenn es geringfügig unterschiedlich war wie zum Beispiel vorher logische Laufwerk und jetzt primär oder eine andere Größe oder Dateisystem, dann könntest du vielleicht die gesamte Festplatte wiederherstellen.
Auch sollte drive crypt eine Recovery disk for "disaster recovery" haben.
Schaue dir dazu auchmal die Infos in deinen Porgramm an und teile es mal mit.
Auch solltest du wenn nötig oder vorhanden Certificates und Passwords haben um die Daten wenn die gefunden werden entschlüsseln zu können.
Teile es mal mit.

Datarecovery Software für Windows arbeitet entweder mit Fat oder NTFS.
Ich setze dir mal Infos zum Scannen mit günstiger Datenrettungssoftware die hier relativ gute Ergebnisse hat.

Infos;

Sichere Alternative ist Datenrettungssoftware.

Link zu Datenrettungssoftware hier;
Freeware hat nicht immer gute Ergebnisse und ist deshalb kein Maßstab für eine Diagnose.
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553

Gute Ergebnisse sind Restorer2000, Scavenger und Recover My Files.
Freeware hat nicht immer gute Ergebnisse.

Du kannst dir ja mal den kostengünstigen Restorer2000 Pro (Shareware 49.99 $ ca. 38 €) in der Testversion anschauen was der an Daten nach Diagnose anzeigt.
Hatte hier bereits gute Ergebnisse und macht auch wenig Probleme mit verschiedene Dateiformate.
In der Bedienung für einige ein wenig gewöhnungsbedürftig.
Daher noch ergänzende Hinweise wegen Bedienung.
Mache damit mal einen genauen Sektorscan.
Markiere die Festplatte und nicht eine Partition..
Scanne die Festplatte indem du auf das dritte Icon im Menü mit dem Laufwerkssymbol und dem Fernrohr gehst (Diese Option sucht nach Partitionen macht aber einen Sektorscan).
Hinterher kannst du oben im rechten Fenster in Restorer auf die Festplattensymbole (erkannte Partitionen) klicken und auf deine Daten untersuchen.
Wähle bitte zuerst die Laufwerkssymbole aus die deiner Partitionsgröße und Dateisystem entsprechen.
Da kannst du auch wenn im rechten Fenster mehrere angezeigt werden wechseln indem du in Restorer2000 im Menü oben ganz links auf das Laufwerkssysmbol klickst.
Dann kommst du wieder zurück und kannst im rechten Fenster das nächste Laufwerkssymbol zum untersuchen auf Daten auswählen.

Untersuche die mal und teile es mit.

Viele Grüße

Fiona
 
Zuletzt bearbeitet:
Aber schon klar das es keine "files" gibt ja?

Peter: i told you... the partition will appear as RAW data(nonsense) for the programm


die daten war nicht in sog. containern sondern die ganze hdd war verschlüsselt...
 
die daten war nicht in sog. containern sondern die ganze hdd war verschlüsselt...
War auch das Bios und der MBR komplett verschlüsselt?
Sicherlich hat mir securestar nicht ihr Rezept ihrer Verschlüsselung verraten.
Hier geht es darum ob die Festplatte nach encryption Fat oder NTFS-kompatible ist.
Laut securstare kann man ein Backup machen mit Drive Image oder True Image.
Das wird wohl bedeuten das die Festplatte das Dateisystem beibehält.
Solange drive crypt das Dateisystem compatible beibehält solltest du das Laufwerk scannen können.
Ich habe gelesen das drivecrypt keine Partitionen erstellt oder Laufwerke formatiert.
Oder ist das bei dir anders.

GetDataBack hat nicht immer gute Ergebnisse.
Daher die Empfehlung an Restorer mit dem Sektor oder Raw-Scan (ist dasselbe).
Hattest du Zertifikate usw. beibehalten!
Auch sollte drive crypt eine Recovery disk for "disaster recovery" haben.
Habe ich auf der Homepage gelesen.
Hattest du dir das angeschaut und ist die vorhanden?
Beim identischen formatieren wird der Bootsektor und das Dateisystem in den Sektoren überschrieben.
Datenrettungssoftware für Endanwender kann keine überschriebenen Daten wiederherstellen.
Daher kannst du die Formatierung mit Datenrettungssoftware nicht rückgängig machen.
Datenrettungssoftware liest die Daten mit Low Level Treibern in den Sektoren.
Daher können nur die Daten aus den Sektoren gelesen und auf ein anderes Laufwerk wiederhergestellt werden.
Auch wichtig ist ein Schreiben auf dem Datenträger überschreibt Daten mit Sektoren.
Diese wären dann nur von Datenrettungsfirmen wiederherstellbar.
Auch hast du mir auch nicht mitgeteilt ob es identisch formatiert war.
Wenn nicht könnte sogar die Partition wiederhergestellt werden.

Datenrettungsfirmen mit dem Versuch einer Wiederherstellung von enctypted Drives sind sehr teuer.
Wurde aber schon geschafft.
Wie die das machen verraten die nicht.
Hatte darüber einiges gelesen war entweder bei Kroll Ontrack oder vielleicht Convar.

Viele Grüße

Fiona
 
r2k7xc.gif



ntfs1
r2k28vk.gif



ntfs2
r2k35ki.gif



am 8.4. is mir das passiert... -.-

vorheriges dateisystem war ntfs, es war nur diese eine hdd verschlüsselt, auf der befand sich kein os, es gab keine recovery disk/tool

als laie würde ich mal behaupten das dateisystem was ich suche ist ntfs2.


was ich mich allerdings frage ist, warum beginnt ntfs2 bei 58,3 GB müsste ja heißen das man nur 150gb nutzen könnte...

habe jetzt alle gefundenen dateien wiederhergestellt (auf ne andere hdd).. was mach ich mit solchen files wie $MFT etc jetzt?



was ist "identisch formatiert"? es war nfts und es ist jetzt ntfs.. wenn du das meinst!
 
Zuletzt bearbeitet:
was ich mich allerdings frage ist, warum beginnt ntfs2 bei 58,3 GB müsste ja heißen das man nur 150gb nutzen könnte...
Restorer hat verschiedene Wege eine Partition zu erkennen.
Infos dazu auf english;
Number Represents file system and sequental number of recognized partition.

Origin Represents method(s) used to recognize this partition. Possible methods are:
B - partition was created by boot record
F - partition was created while analysis of drive's files
O - other partition(s)

Infos zu deinem Scan.

Die Dateien die angezeigt werden sind versteckte Systemdateien vom Dateisystem.
Damit kannst du nichts anfangen und sind als Systemdateien nicht zu gebrauchen.
Die Ordner sind nur Recycler und System Volume Information als Systemordner.
NTFS_0002ixt absolut leer wie fabrikneu.
Daher nicht zu gebrauchen.
Einzigste Chance wäre mal den Ordner $$$Folder134 zu untersuchen.
Auch wenn der rot dargestellt wird ist es nur ein Hinweis auf die Ordnerstruktur und braucht keinen Einfluß auf Daten zu haben.
Auch weißt du nicht ob drivecrypt dort was gemacht hat.
Teile es mal mit.

Vermeide im Moment jeglichen Schreibzugriff auf das Laufwerk.

Geht um Anfrage an den Support mit Folgenden Fragen nach versehentlichen formatieren!

Weiter geht es mit Recovery disk for "disaster recovery"
Ist hier im Link unter Features and Benfits;
http://www.securstar.com/products_drivecryptpp.php
Kläre mal was es bedeutet.
Nächste Frage wäre;
Das Dateisystem wird als NTFS erkannt aber Raw Recovery Software erkennt keine Daten vom verschlüsselten Laufwerk.
Frage auch ob Änderungen am MBR oder Bootsektor vorgenommen wurden.
Datenrettungssoftware für Windows erkennt nur NTFS oder Fat.
Wenn dort Änderungen vorgenommen werden kann es möglich sein das Datenrettungssoftware die nicht erkennt da nicht mehr kompatible.

Frage auch nach Schritte für eine Wiederherstellung da wenn du im Fall (normal üblich das Zertifikat) und das Password hast bei einem Disaster wie Formatieren wieder an die Daten kommst.
Hatte hier zumindest glaube ich einen Fall bei dem es möglich war.
Hersteller sollten im Fall eine Möglichkeit offen halten wie du an die Daten kommst.

Mache mal eine Diagnose mit Testdisk ob Testdisk Partitionen findet.
Wenn Drivecrypt Eingriffe auf der Partitionstabelle im MBR oder dem Bootsektor vornimmt kann eine Möglichkeit bestehen das noch Infos gefunden werden.
Ist aber alles Standard-Kompatible.
Solange du nicht explizit mit Write, y und Ok bestätigst nimmst du keine Änderungen vor.
Auch arbeitet Testdisk nur mit dem MBR, der Partitionstabelle und evtl. wenn nötig mit dem Bootsektor.
Rührt somit nicht an Daten in den Sektoren.
Auch sollte nicht geändert werden da ich nicht weiß ob Drivecrypt in dem Bereich Änderungen vornimmt.
Ist somit mal vorweg eine Diagnose.

Lade dir mal Testdisk Version 6.4 beta.
Link dazu gibt es hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Starte Testdisk, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.

Bestätige bei Proceed und setze mir auch einen Screenshot.
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffene Partition und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.
Teile es mit

Teile es erstmal mit.

Viele Grüße

Fiona
 
so hier mal die testdisk screens:

part3xr.gif


mit p zeigt er ordner an - ja

die mail an securstar support is raus.. antwort ma abwarten


kurze sache zur benutzung von drivecrypt plus pack:
wenn man auf die hdd zugreifen wollte, als sie noch verschlüsselt war, hat windows gefragt ob ich die hdd formatieren will - ich konnte also nicht zugreifen, erst durch entschlüsselung von drivecrypt konnte man die hdd normal benutzen.
windows konnte mit der verschlüsselten hdd sogut wie garnix anfangen... -> darum können vermutlich auch recovery tools nix mit anfangen...
der eine support typ meinte ja er hats mit getdataback geschafft, leider versteht ich das auch nich *g
 
Zuletzt bearbeitet:
mit p zeigt er ordner an - ja
Das alleine reicht nicht aus.
Es wäre wichtig wenn für dich relevante Daten angezeigt werden.
Nur mit System Volume Information oder Recycler kannst du nichts anfangen und wären nur Standard-System-Ordner.
wenn man auf die hdd zugreifen wollte als sie noch verschlüsselt war, hat windows gefragt ob ich die hdd formatieren will - ich konnte also nicht zugreifen, erst durch entschlüsselung von drivecrypt konnte man die hdd normal benutzen
Dadurch konnte Windows und Datenrettungssoftware kein Fat oder NTFS-Dateisystem erkennen.
Also muß am Bootsektor oder Dateisystem auch was geändert worden sein.
Wenn die da was auf ein nicht Standard-Format geändert haben erkennt auch Testdisk die Partition nicht.

Warte daher mal den Support ab und teile es mit.

Viele Grüße

Fiona
 
Zuletzt bearbeitet:
48min hab ich mit support geredet... kam aber eigtl garnix raus...


Peter: Well you are right bootaut is wrtitten in the MBR

// recovery disk ...
Peter: The recovery is not intended in to recover a formatted parition.
it is for in case isf the OS fails, it decrypts the partition in dos maode using a boot disk, (ER disk)

Peter: but if there is no recognizble(because it is encrypted) this makes difficult...

// was hat er damals gemacht als bei ihm das gleiche war...
Peter: i aborted the formating in about 1 sec
Peter: so i could not delete the whole header...

Peter: but because DCPP uses sector based encryption(which means that every sector on the partition is encrypted, regardless if is occupied or not)

// man kann mit dcpp nix machen bis...
Peter: you need to "undo" the formatting
Peter: after that you can decrypt/access using the roiginal DKS file
 
Undo a format oder unformat einer Partition ist nicht mehr möglich.
Unformat bezieht sich in erster Linie auf Datenrettungssoftware das nach versehentlichen formatieren die Daten in den Sektoren liest und auf einen intakten Datenträger kopiert werden muß.
Wenn nach der Verschlüsselung das Laufwerk als unformatiert von Windows erkannt wird dann bedeutet es auch das das Dateisystem nicht mehr erkannt wird.
Nun kommt das nächste Problem das Datenrettungssoftware für Windows nur NTFS oder Fat erkennt.
Andere Datenrettungssoftware auch nur für deren Betriebssystem.
Daher sieht es so aus das du mit Datenrettungssoftware nicht weiterkommst.
Es gibt absolut kein Unformat-Tool mehr wie in Windows 3.1 oder 3.11.
War auch für Fa12 und Fat16.
Datenrettungssoftware ist nicht in der Lage überschriebene Sektoren wiederherszustellen.
Betrifft in deinem Fall das vorige Dateisystem nach Neuerstellung und den Bootsektor.
In erster Linie denke ich das in deinen Fall nur Datenrettungsfirmen helfen könnten.
Die haben die Möglichkeit mit spezieller Hardware die Daten noch auszulesen.
Das funktioniert mit der Signalstärke binär.
Auch wird dabei binär unterschieden das 0 zumeist schwächer ist als 1 und trotzdem kann man die Daten noch als Ghost auslesen.
Geht bis zu ca. 7 fachen überschreiben.
Ansonsten wird es aufwendiger da nur noch versucht werden kann die Daten anhand der äußeren Bereiche in den Sektoren zu lesen.

Überlege dir vielleicht mal ob als Verschlüsselungssoftware dir der Safe Steganos ausreichen würde.
Erstellt nur eine Sle-Datei mit hoher Verschlüsselung und kann als virtuelles Laufwerk genauso angesprochen werden.
Du kannst direkt mit den Daten auf dem Laufwerk arbeiten.
Auch werden alle Daten wenn du die auf das Laufwerk schiebst sicher entfernt.
Die Datei kannst du sehr gut sichern.
Ich hatte bereits einen Fall wie bei dir gesehen.
Auch gab es hier bereits einige male Probleme die zum Teil gelöst werden konnten da nur Daten verschlüsselt waren.

Wenn ich wissen würde wie eine Formatierung bei Fat32 oder NTFS rückgängig gemacht werden könnte dann wäre hier bestimmt viel gelöst.
Daher muß man bei Unformat aufpassen und genau lesen da es sich im Endeffekt immer nur auf das unterstützte Dateiformat und kopieren der Daten auf ein anderes Laufwerk beschränkt.
Testdisk ist im Gegensatz ein Partitions-Tool für die Wiederherstellung einer Partition die in der Partitionstabelle steht oder für Bootsektorrecovery.
Hat somit auf das Dateisystem oder den Daten in den Sektoren keinen Einfluß bis auf eine neuere Option bei Fat eine Wiederherstellung zu versuchen wenn chkdsk abbricht.

Viele Grüße

Fiona
 
Zuletzt bearbeitet:
Also heißt das soviel wie - es gibt keine Lösung für mein Probem.

Ich benutze Steganos Safe für 200mb - 6gb alles andere ist, wie ich finde, mit dem doof zu verschlüsseln..
 
Soweit ich Infos vom Support von diesem Peter gelesen habe sind da keine brauchbaren Infos dabei.
Ob es Datarecovery-Lösungen bei drivecrypt pluspack nach versehentlichen Formatieren von verschlüsselten Festplatten gibt weiß ich nicht.
Ist ein wichtiger Aspekt bei Verschlüsselungssoftware und sollte nach Möglichkeit solange Zertifikate und Kennwörter existieren berücksichtigt sein.
Ich weiß aber anhand der Infos vom Support leider keinen Weg da nur der dir im Falle eine Lösung bereitstellen könnte.
Seine Infos sind einfach unbrauchbar.
Wichtigste Frage wäre ob es eine Lösung für eine verschlüsselte und ausversehen formatierte Festplatte mit drivecrypt pluspack gibt.
Do you have any solution for Datarecovery of an accidentally formatted and a former totally encrypted harddrive with drivecrypt pluspack?
Dafür benötigst du eine kurze und bündige Antwort.

Viele Grüße

Fiona
 
Zuletzt bearbeitet:
Wird dann wohl leider ein Fall für Datenrettungsfirmen sein.

Ich sehe es äußerst kritisch das Festplatten nach Verschlüsselung unformatiert sind.
Alleine schon aus dem Grund das Windows des öfteren meldet das der Datenträger nicht formatiert ist ob du den formatieren möchtest.
Da reicht schon ein falscher Klick.

Viele Grüße

Fiona
 
Zurück
Oben