erste Sektoren der Systemfestplatte überschrieben - ist da noch was zu retten?

[cicebear]

Hallo liebe Forengemeinde,
Asche auf mein Haupt! Ich bin so ein Idiot. Ich habe mit einem Cloneprogramm die ersten Sektoren meiner Systemfestplatte (Windows XP, NTFS) überschrieben. Leider hat das Cloneprogramm gar nicht gefragt, wo die Daten hin geschrieben werden sollen, sondern sofort angefangen. So ca. 30 Sekunden hat es geschafft, dann war der Strom weg.** (Ich habe den Hauptschalter ausgeschaltet weil ESC auch nicht reagierte.)
Hier im Forum finde ich immer nur die gegensätzlichen Anfragen bezüglich eines mehrfachen Überschreibens, damit die Daten wirklich sicher gelöscht sind. Da ich diese nun "nur" einmal überschrieben habe, kann man die irgendwie wieder herstellen? Wenn nicht, besteht eine Chance, die noch nicht überschriebenen Daten, auf den höheren Sektoren zu retten, oder sind sie durch die Zerstörung des MBR und der MFT verloren? Bitte dringend um Hilfe. .*
Cicebear
PS: Ja, ja, ich weiß: regelmäßige Backups schützen vor Datenverlust. Bitte keine Vorträge über das Thema!
PPS: Habe gerade eine günstige Rettungssoftware gefunden: System GO! Daten Retter X2. Kennt die jemand? Soll auch auf Sektorebene arbeiten. Es gibt auch noch die Version X3, aber der Unterschied erschließt sich mir nicht. Werde morgen mal beim Hersteller anrufen. Www.systemgo.de

 

[Greffetikill]

Wenn er angefangen hat Sektoren zu überschreiben, wirst du die Daten nicht mehr Retten können.
Was waren es für Daten?

 

[mastertier79]

Bezüglich deines Problems gibts auch kostenlosen Programme. siehe:

http://www.chip.de/Downloads-Download-Charts-Top-100-der-Woche_32368489.html?xbl_category=39017

Die können auch nicht mehr bzw. weniger als das von dir vorgeschlagene und von Computer Bild ausgezeichnete (wobei eine Auszeichnung von Computerbild genausoviel wert ist wie der madige Windows-Leistungsindex)

Normalerweise kann ein Clone-Programm nicht die Systemfestplatte überschreiben - vor allem nicht den Bootsektor (außer du hast das auserhalb des Betriebssystems gemacht) und fragt vor allem vorher wohin es schreiben will.
Das Programm möchte ich sehen wo man den Clone-Vorgang nicht abbrechen kann!
Entweder erzählst du hier "bullsh*t" oder du hast das schlechteste Pogramm benutzt das verfügbar ist oder einfach blind auf "weiter" gedrückt ohne zu lesen (am wahrscheinlichsten).

 

[Holt]

Nimm TestDisk, FAQ und Anleitung sind doch oben angepinnt. Du solltest, wenn Du keinen Zweitrechner für die Datenrettung zur Verfügung hast, ggf. Windows / Linux auf eine andere Platte installieren um ja nicht noch mehr auf der Platte zu schreiben, von der Du die Daten retten willst.

 

[cicebear]

@Greffetikill: ich habe noch keine Ahnung was das für Daten waren. Ich hoffe, dass die ersten Sektoren auf der Platte nur Betriebssystemdateien und keine wichtigen Daten waren.
Ich dachte immer, ein einfaches Überschreiben der Daten reicht nicht, um die Daten sicher zu löschen. Demzufolge müssen sie doch noch herzustellen sein. (Auch, wenn ich mir nicht erklären kann, wie das funktionieren soll.). Demnach müsste ja ein einfaches Überschreiben der Festplatte mit Nullen oder Einsen auch ausreichen, wenn ich sie löschen wollte.

@mastertier79: Ja, das ganze ging natürlich am Boot System vorbei. Das Programm heißt mclone (Mass Clone) und liegt dem Trinity Rescue Kit (TRK) bei. Die Bootdisk startet man auf beiden (oder beliebig vielen) Rechnern (ein Server, x-beliebig viele Clients) und der Clonevorgang passiert dann über das Netzwerk. Ich habe versucht den Vorgang mit ESC abzubrechen, aber die Taste reagierte nicht. (CTRL-C oder ähnliches habe ich dann nicht versucht). Ich habe den Server dann einfach ausgeknipst und dann hielt auch der Client an. Auch möglich, dass ich nicht richtig gelesen habe.

Ich werde es dann mal mit Testdisk versuchen um den Rest zu retten. Mit den überschriebenen Sektoren kann ich dann ja wohl abschließen.
Vielen Dank.

 

[Fiona]

MBR ist nicht das Problem.
Als ein Sektor groß und erste physikalisch ausführbare Sektor hat es nichts mit Partitionen zu tun.
Schlimmer ist es wenn du in die Partition mit den Daten über den ersten Sektor, den Bootsektor hinaus hineinschreibst.
Dort liegen gewöhnlich geballte Daten und Ordnerstrukturen, soweit Defrag auch ab und an ausgeführt wurde.
In Testdisk würde Deeper Search helfen, um das Backup vom Bootsektor welches bei NTFS genau am Ende der Partition liegt zu finden.
Wenn dann Testdisk deine Daten anzeigt hast du Glück.
Die könntest du dann in Testdisk kopieren.
Infos auch hier;
https://www.computerbase.de/artikel/storage/beratung-datenrettung-mit-testdisk.859/
Wenn dein Dateisystem als beschädigt angezeigt wird, bleibt nur Datenrettungssoftware ähnlich Restorer Ultimate oder scavenger.
Könntest du auch in der Testversion vorher testen.
Scanne das gesamte Laufwerk.

Viele Grüße

Fiona

 

[cicebear]

So, ich habe nun Testdisk laufen gehabt. Es zeigt mir leider nur zwei kleine Partitionen an. Der größte Teil ist unpartitioniert. GParted zeigt die gesamte Festplatte als "unallocated" an. Beim "deep search" hat Testdisk dann doch noch eine Partition gefunden. Leider sind darin nur zwei leere Ordner zu finden.
Seltsamerweise steht auf der Festplatte Werte für C/H/S 16383/16/63 mit 160.836.480 Sektoren.
GParted zeigt mir die gleiche Anzahl an Sektoren, jedoch mit C/H/S 10011/255/63. Ebenso untersucht Testdisk 10011 Cylinder.
Befor ich nun irgendwelche Reparaturversuche unternehme, würde ich gerne ein Image von der Platte machen. Dazu habe ich PhotoRec (bei testdisk) oder ddrescue gefunden. Bei PhotoRec meine ich aber gesehen zu haben, dass das auch nur auf vorhandenen Partiionen siuchen kann. (und die ist ja leider nicht vorhanden)
Ich habe mir die SystemRescueCD auf einen USB Stick geladen und davon gebootet. Wenn ich nun ein Image von der Platte ziehen will, wohin kann ich denn die Daten speichern? Ich habe zwei externe Festplatten. Eine mit FAT32 und eine mit NTFS (und eine auf dem NAS). Auf die FAT32 brauche ich doch bestimmt nicht versuchen das Image zu speichern. Bei NTFS bin ich mir nicht sicher, ob TestDisk das schreiben kann, wenn es von der SystemRescueCD gestartet wird. Oder muss ich mir eine der beiden Platten partitionieren und mit einem anderen Dateisystem formattieren? Welches Programm eignet sich dazu, die Platte zu partitionieren ohne, dass mir die Daten darauf flöten gehen? GParted?
Bin momentan etwas hilflos. Mit Linux stehe ich ohnehin immer auf Kriegsfuß. Viele schwören ja darauf, aber ich finde die Installation (mit Kompilierung) und die Dateisystem mit dem mounten einfach zu kompliziert. Aber dafür kann es wohl auch mehr als Windows.
Ich habe mal die testdisk.log mit hochgeladen. Vielleicht kann jemand Euch etwas damit anfangen.

 

[cicebear]

Update: Ich habe nun eine meiner USB Festplatten freigeräumt und sie mit ext4 formatiert. Dann habe ich zunächst einmal mit Photorec die Dateien gerettet, die Photorec sichern konnte. Danach habe ich von der Platte einmal ein Image mit pv und ein Image mit dd gemacht ( ddrescue schien mir nicht angebracht, da die Platte ja physikalisch in Ordnung ist, als odas gleiche Ergbenis geliefert hätte, wenn ich die Funktinen der Programe richtig verstanden habe). Dann habe ich die Checksummen der dd und pv Sicherung verglichen und keinen Unterschied festgestellt. Dazu musste ich mich ersteinmal in Linux und die Programme einlesen, denn diesbezüglich bin ich leider von keinerlei Sachkenntnis getrübt.
Dann habe ich mich mal über die Festplattenstruktur und NTFS schlau gemacht. In meinem Fall sieht es nun so aus, das der Clonevorgang ca. 30 Sekunden gedauert hat. Bei einer Übertragungsgeschwindigkeit von max. 100 Mb/s (12 MiB/s) über das Netzwerk, dürften also die ersten ca. 400 MiB der Platte überschrieben worden sein, inklusive des MBR und des Bootsektors der ersten Partition. Wo die MFT liegt, weiß man nicht, weil das nicht festgelegt ist. NTFS reserviert ca. 12,5 % der Festplatte für die MFT, was ungefähr 9 GiB entspricht. (Leider habe ich nicht gefunden, ob die 12,5% inklusive der MFT Kopie sind, aber ich denke mal ja). Wenn ich nun annehme, dass die MFT am Anfang der Partition lag, muss ja noch ein großer Teil davon erhalten sein. Wenn sie woanders lag, eher mehr. Aber eigentlich müsste die Kopie vollständig erhalten sein, wenn ich mal davon ausgehe, dass sie max. ca 6 GiB groß ist. Wo diese liegt, sollte doch in der Kopie des Bootsektors am Ende der Partition stehen.
Dadurch, dass der MBR mit dem von der anderen Platte überschrieben wurde, hat meine Platte nun die falschen Partitionsinformationen. Das kann ich auch nachvollziehen, weil die angezeigte, erste kleine Partition die gleiche, wie auf der Platte des ursprünglichen Systems ist. Daher kann ich auch die Laufwerke nicht mounten, weil eben keine gültigen Partitionen bestehen.
Ich würde gerne mit dem Image arbeiten, aber weil es ein Image einer Platte und nicht einer Partition ist, weiß ich nicht, wie ich sowas unter linux einbinden kann.
Zum einen sollten nach meine Überlegungen die Daten noch zu retten sein. Photorec rettet leider nur ihm bekannte Dateitypen (ich vermisse Excel Word und PDF). Außerdem fehlen die Dateinamen. Ich habe auch schon ein paar Programme gefunden, die eventuell helfen, nur leider sind es Windows Programme (was ich persönlich gut finde, weil die Installation von Programmen unter Linux für Laien wie mich eine Katastrophe ist), was mir im Moment nicht weiter hilft, weil ich kein lauffähiges Windowssystem habe.
Bin momentan ratlos, wie ich nun weiter komme. Ich bin für jeden Tipp dankbar.

Ergänzung (19. Januar 2014)

Entschuldigung, dass ich den post in zwei Teile splitte, aber ich habe es auf meinem Tablet nicht geschaft, das Fenster hoch zu scrollen um an das Ende des Textes zu gelangen!
Eine weitere Idee wäre folgende: Ich nehme ein Partitionsprogramm (z.B. GParted), lösche alle Partitionen (nicht den Inhalt der Sektoren, sonden nur in der Partitionstabelle im MBR) und lege eine neue Parttion an. Dann habe ich zumindestens schon einmal Zugriff auf die Daten mit Betriebssystemen, die nur Partitionen, aber keine Laufwerke ansprechen können. Dabei sollte aber moglichst wenig überschrieben werden. Dann brauche ich ein Programm, welches mit die Daten retten kann. Werden die Partitionen von den Parttionierungsprogrammen in den Datensektoren überschrieben, oder nur am Anfang der Partition?
Wie ihr seht, fallt es mir schwer, meine Gedanken zu Ordnen. Bin wegen der Sache ziemlich durch den Wind.

 

[YMiD]

Die bekannten Programme für Datenrettung auf NTFS laufen verständlicherweise nur unter Windows.
Hast du absolut keine Möglichkeit an einen Rechner mit Windows zu gelangen, oder eine leere Festplatte zu beschaffen um Windows darauf zu installieren?