Externe Festplatte - MFT beschädigt

[Mueli]

Datenrettungstools gehen über die gesamte Oberfläche, also die Daten, MFT usw., Testdisk hingegen geht über die Partitionstabelle, Bootsektoren und Kennzeichen von Partition-Start und End. Datenrettungstools gehen quasi mit Forensik-Methoden vor.

Die Suche via Partition Type None macht vom Ergebnis her sicher kaum Sinn, zeigt aber wie viele Anzeichen von Partitionen gefunden werden. Ich hatte das mal auf einer alten 30'er laufen lassen und bekam zwei Seiten mit Partitionen (es war nur eine drauf!) gelistet.
Bei Partitionen im Allgemeinen muss man sich immer die Partition-Start und -End (in CHS) dabei ansehen, durch Überlappungen und über die maximale Cylinder-Anzahl hinaus gehende Werte schließen sich viele schon mal aus.

 

[scorpiono]

-> Sprich ich könnte es auch bleiben lassen ^^

Ok nur fällt mir immoment auch nichts besseres ein. Also falls ich dir noch irgendwelche Informationen anbieten kann die eventuell helfen sags Oder hast du noch irgendeine Idee was ich noch Ausprobieren könnte?

Achja wie war das nun mit Fiona? Habe gesehen das sie hier (vor kurzem) ein paar Posts gemacht hat.
@Fiona: Wäre toll wenn du mal ein Blick auf mein Problem werfen könntest.

 

[Mueli]

Zu dem Restorer2000 Scan wollte ich nochmal etwas nachschicken, hast Du mal auf der linken Seite einen Doppelklick auf die gefundene Partition gemacht? Das Scan-Ergebnis kann man übrigens auch abspeichern!

 

[scorpiono]

unnötiges Zitat entfernt ... Forenregeln beachten!

Falls du den Scan von Restorer2000 meinst: Ja, das hab ich auch
Falls du TestDisk meinst: Nein habe keinen Weg gefunden

Bei Restorer2000 kommt bei Doppelklick auf eine Partition die Dateiinhalte und bei manchen auch noch "Lost Files" (mit Windows Papierkorb gelöschte Files).
Direkt nach dem Scan wurden allerdings auch noch ganz viele Dateien angezeigt ohne Namen "2359269.jpg" Die werden jetzt nicht mehr angezeigt, also werden nicht mehr nach dem laden des Scans angezeigt.

 

[Mueli]

In Testdisk kann man die Partitionstabelle speichern oder auch ein Image erstellen, auch Sektoren lassen sich speichern (dumpen).

Meine Aussagen bezogen sich auf Restorer, hier kannst Du in den Ergebnissen auch nach bestimmten Files suchen und sie auch anzeigen lassen. Wenn Teile der MFT zerstört sind, ist bei vielen Dateien der Name nicht wieder herstellbar. Ich habe das mal probiert mit meiner Disk für die Auslagerungsdatei und dem Temp-Verzeichnis, da kann ich viele Files wider herstellen, viele sind aber auch def. weil Bereiche bereits wieder überschrieben wurden.

 

[scorpiono]

In Testdisk kann man die Partitionstabelle speichern oder auch ein Image erstellen, auch Sektoren lassen sich speichern (dumpen).

Also ich meinte jetzt eigentlich die Scan Ergebnisse speichern (die von Analyse)

Meine Aussagen bezogen sich auf Restorer, hier kannst Du in den Ergebnissen auch nach bestimmten Files suchen und sie auch anzeigen lassen. Wenn Teile der MFT zerstört sind, ist bei vielen Dateien der Name nicht wieder herstellbar. Ich habe das mal probiert mit meiner Disk für die Auslagerungsdatei und dem Temp-Verzeichnis, da kann ich viele Files wider herstellen, viele sind aber auch def. weil Bereiche bereits wieder überschrieben wurden.

Jo so gehts mir auch. Viele der Dateien ohne Namen mit unnormalen Dateigrößen (Bilder bis zu 12 GB) lassen sich nicht öffnen bzw. sind defekt (zur Hälfte grau etc)

Aber wie gesagt wenn du noch Tipps zum weiteren Vorgehen hast lass es mich wissen.

Ich verstehe einfach nicht warum Windows mir alles ohne Probleme Anzeigt aber bei TestDisk und der Linux Live CD das ganze Probleme verursacht.

 

[scorpiono]

Ich hatte den "none"-quickscan übrigens bei 77% abgebrochen.

So sieht es jetzt aus:

77_quick_scan_none.jpg


Hat die Fehlermeldung "seems to small!" irgendwas auszusagen?


Ich habe das Fenster offen gelassen falls ich also probieren soll eine der Paritionen herzustellen sagt es das Fenster ist noch offen bzw. ich muss den Scan nicht nochmal machen. (Habe aber nur 77%)

Also falls das irgendwie hilft oder ihr noch irgendeine Idee habt. Weil prinzipiell habe ich jetzt ja seit 3 thread seiten keine Veränderung ^^

 

[Mueli]

Könnte daher rühren, dass Du die Geometry wieder bei 240 belassen hast zum scannen. Ist allgemein ein Indiz dafür, dass eine Partition zu groß ist und die Disk 'sprengt', also die Cylinder-Endwerte über den maximalen Cylinder-Wert der Disk (121602 bei 255 Heads) hinausgeht.

Ich habe Fiona angeschrieben und sie wird sich Deines Problems annehmen, nur muss sie ja leider viel 'Stoff' durcharbeiten!

Mir fällt im Moment nichts mehr ein, außer mit Restorer2000 nochmal zu probieren und in dem Scan-Ergebnis etwas mehr zu stöbern. Wenn die problematische Disk nicht überschrieben (oder genullt) überschrieben wurde, sollten die Daten noch drauf sein. Dass die Namen der Dateien nicht mehr oder teilweise nicht wieder hergestellt werden können ist normal wenn die MFT und MFTmirr zerschossen sind, da muss man hergehen und die Files einzeln zu untersuchen, einzelne Dateitypen haben in ihrem Header die Informationen zum Inhalt (typischer Weise Word- und Multimedia-Files) und sind daher teilweise auch ohne den Eintrag in der MFT wieder herstellbar.

 

[scorpiono]

Könnte daher rühren, dass Du die Geometry wieder bei 240 belassen hast zum scannen. Ist allgemein ein Indiz dafür, dass eine Partition zu groß ist und die Disk 'sprengt', also die Cylinder-Endwerte über den maximalen Cylinder-Wert der Disk (121602 bei 255 Heads) hinausgeht.

Hmm eigentlich habe ich die Geometry vorher auf 255 gesetzt. Wo dus aber erwähnst ich bin mir nicht mehr 100%ig sicher.

Ich habe Fiona angeschrieben und sie wird sich Deines Problems annehmen, nur muss sie ja leider viel 'Stoff' durcharbeiten!

^^ Wohl war.
Naja aber grundsätzlich hat sich ja in den 3 Seiten am eigentlichen Problem nicht viel verändert außer das ich einpaar mal mit TestDisk versucht habe die Partitionen wiederherzustellen, das nicht klappte und ich einpaar Dateien gerettet hab.

Mir fällt im Moment nichts mehr ein, außer mit Restorer2000 nochmal zu probieren und in dem Scan-Ergebnis etwas mehr zu stöbern. Wenn die problematische Disk nicht überschrieben (oder genullt) überschrieben wurde, sollten die Daten noch drauf sein. Dass die Namen der Dateien nicht mehr oder teilweise nicht wieder hergestellt werden können ist normal wenn die MFT und MFTmirr zerschossen sind, da muss man hergehen und die Files einzeln zu untersuchen, einzelne Dateitypen haben in ihrem Header die Informationen zum Inhalt (typischer Weise Word- und Multimedia-Files) und sind daher teilweise auch ohne den Eintrag in der MFT wieder herstellbar.

Also damit dass ich die Dateinamen nicht wiederherstellen kann habe ich mich mehr oder weniger Abgefunden. Schön wäre es wenn einpaar der Dateien nach einem wiederherstellen der Partitionsstrukter mit chkdisk wieder auftauchen würden aber auch das ist neben der Partitionstruktur eher nebensächlich.

Was mich noch interessieren würde wie könnte ich denn so etwas in Zukunft vermeiden. Weil mir nichts persönlich aufgefallen ist wie ich der Externen Festplatte schadenzugefügt haben könnte. Da ich ja wie gesagt erst durch zufall gemerkt hatte das die 2 Partitionen fehlen. (ansonsten waren anfangs ja auch keinerlei Probleme an der funktionierenden Partition)
Ich hatte sie eigentlich immer eingesteckt und mit jedem Boot geladen. Sprich nicht während formatieren oder so herausgezogen. Oder öfters ein und aus gesteckt während darauf geschrieben/gelesen wurde. Um genau zu sein habe ich einmal sogar den PC herunter gefahren da ich mit Windows Sicher Entfernen die Festplatte nicht ausschalten konnte (trotz vergeblich beenden sämtlicher Programme/ des Explorer prozesses).

Nur an eine Sache musste ich sofort denken als ich die 2 fehlenden Partitionen bemerkte. Ein Absturz des PC's. (musste den Resetknopf drücken) Aber dabei hatte ich nicht bewusst irgendwas auf die Platte geschrieben (weis nicht welche Prozesse da im Hintergrund aktiv waren) und meine System Festplatte hatte davon auch keinen Schaden genommen. Insofern ist mir das ganze immer noch sehr rätselhaft, da ich die Festplatte erst ca 4-5 Monate besitze und mir ein ähnliches verhalten nur bei Festplatten passiert ist die anschließend garnicht mehr ansprangen.

 

[Fiona]

Nach chkdsk etc. mache mal eine Diagnose mit Scavenger in der Testversion (ist gegenwärtig für eine Diagnose und völlig ausreichend) ob deine Daten ordnungsgemäß angezeigt werden.
http://www.de.quetek.com/
Markiere bitte die Festplatte und nicht eine Partition!
Führe den langen scan aus, da der genauer ist.
Teile mal das Ergebnis mit.

Viele Grüße

Fiona

 

[scorpiono]

Ok

Ich habe jetzt mal einen Deeper Scan mit Scavenger über die gesamte Platte laufen lassen. Als Ergebnis werden so ziemliche alle Dateien auf der Festplatte angezeigt u.a. auch mit dem Papierkorb gelöschte etc. Komischerweise aber keine unbenannten Dateien (also 2424289.jpg etc)

Ich weis jetzt leider nicht genau welche Informationen du brauchst deshalb habe ich mal ein Screenshot gemacht

scavenger_deepscan.jpg

 

[Fiona]

Wenn deine Daten soweit sichtbar sind und keine Ausschußdaten angezeigt werden, ist es schonmal gut.
Grund ist, beim Einsatz von Partitionierungstools und manchmal nach chkdsk, verschiebt sich freier Speicherplatz (ca. 8 MB bei der Geometrie ein Cylinder) nach vorn.
Wenn sich die Partitionsstruktur verschiebt, können in den Partitionen Ausschußdaten angezeigt werden, obwohl diese in Ordnung sind.
Ging um dieses Bild;
http://depg.de.funpic.de/01/c/ac58a9373d5cf8e03333bda4c.jpg
Und auch dieses;
http://x200.x2.funpic.de/01/c/1adde5aee85e3e10cff9f43a3.jpg
Ich möchte jetzt nochmal eine Diagnose mit Testdisk um zu sehen, ob die Länge richtig erkannt wird, un die richtigen Partitionen mit Daten wiederhergestellt werden können.
Setze mir mal zum abgleich alle drei Bilder.
Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.11 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Teile mal mit, auf welcher Partition du deine Daten siehst!
Meldungen das Partitionen nicht wiederhergestellt werden können, kannst du ignorieren, da es sich hierbei um magic values von Apple HFS-Partitionen handelt, die nur anhand von Überbleibseln so erkannt werden.
War bei dir dieser Screen;
http://depg.de.funpic.de/01/c/0d76357d5f68f6b565bdbaa19.jpg
Einfach bei Proceed brestätigen, dann wird das Ergebnis angezeigt.

Teile es mal mit.

Viele Grüße

Fiona

 

[scorpiono]

Wenn deine Daten soweit sichtbar sind und keine Ausschußdaten angezeigt werden, ist es schonmal gut.

Wenn du Dateien ohne Dateinamen meinst (also 87379326.jpg ...) stimmt das insofern nicht ganz. Da mir Restorer2000 genau solche Dateien angezeigt hat. Mit PhotoRec ließen sich ebenfalls JPG Dateien ohne Filename herstellen. Desweiteren besteht immer noch das Problem mit den spurlos verschwundenen Ordnern / 0 byte Dateien nach dem ersten CHKDSK

Beispielsweise Fotos fehlen aus einem Ordner:

1.jpg
2.jpg
4.jpg
7.jpg
8.jpg
9.jpg

Die Bilder 3, 5 und 6 sind spurlos verschwunden und waren vor dem chkdsk noch als 0 byte dateien vorhanden. Manchmal fehlen auch ganze Ordner.
Ich konnte mir das durch die durch meine Digital Kamera nummerierten Dateinamen ( IMG_323266.jpg ) herleiten.

Ich habe mir jetzt mal TestDisk 6.11 (vorher 6.10 genutzt) für Windows/Xp/Vista geladen.


Wenn ich auf Analyse kommt folgender Screen:



Das mit den 240 Heads ist mittlerweile bei jedem mal so, ich habe es jetzt aber mal ignoriert und einfach weiter gemacht.
Deshalb bekam ich auch, bevor ich zu Quick Scan kam, folgenden Screen:



Den ich einfach mit Enter bestätigt hatte. Worauf hin ich zum Quick Scan Ergebnis kam.

1-3 = Sachen die mir angezeigt wurden wenn ich "P" gedrückt habe
Die Nummerierung richtet sich von oben nach unten (also erst 1 "LEER" dann 2 Recover und dann 3 Volume)

Edit:

Ok nach einer weiteren 240 Heads Warnung bekam ich dann die DeeperScan Ergebnisse:



(wieder die "P"-Nummerierung von oben nach unten)

 

[scorpiono]

Sooo

Ich hab jetzt auch noch einen weiteren Scan None gemacht (ohne Geometry auf 255 zu stellen)

Leider hatte ich das alte Fenster geschlossen deswegen habe ich es nochmal laufen lassen hat ca 3 Tage gebraucht aber dafür diesmal auch 100 % (Aber eben nur Quickscan)

100_none_quick.jpg


100_none_quick_contin.jpg


Hoffe mal das hilft

 

[Mueli]

Ich hatte es schon in Post 41 geschrieben, der Scan mit Partitionstyp None nicht zielführend sein wird, die Ergebnisse sind einfach nicht realistisch, weil Partition-Start, Partition-End und erst recht Partition-Size (size in sectors) viel zu groß sind. Ich hoffe, dass Fiona noch etwas einfällt, ansonsten solltest Du Dich mal auf den Restorer2000, File Scavenger oder GetDataBack konzentrieren.

 

[scorpiono]

Ich hatte es schon in Post 41 geschrieben, der Scan mit Partitionstyp None nicht zielführend sein wird,

Hm ich hatte Fiona aber so verstanden das ich ihr die zeigen soll auf welcher Partition ich die Dateien sehe.

die Ergebnisse sind einfach nicht realistisch, weil Partition-Start, Partition-End und erst recht Partition-Size (size in sectors) viel zu groß sind.

Hmm wie gesagt kenne ich mich nicht so aus. Ich dachte nur aufgrund des letzten Absatzes in Fionas post das ich ihr wie gesagt nur sagen soll wo ich meine Dateien sehe und dachte das ihr das eventuell hilft.

Das ich mit den Nonescans wahrscheinlich nichts wiederherstellen kann war mir dank dir ja bereits klar.

Stimmt die Size denn nur nicht weil die Heads falsch sind oder ist das immer so.

Ich hoffe, dass Fiona noch etwas einfällt, ansonsten solltest Du Dich mal auf den Restorer2000, File Scavenger oder GetDataBack konzentrieren.

Ja immoment bleibt mir wohl nicht viel anderes übrig außer zu warten.
Ich habe bereits zwischendurch ein Freeware Programm (aus dem FAQ) getestet namens Recuva (scheint aus der Beta herrauszu sein) Es fehlen zwar noch einpaar Funktionen wie Scan Speichern und die gesamte Disk Scannen aber ansonsten wurden mir damit vergleichbare Ergebnisse zu Scavenger und Restorer2000 angezeigt.

Achja und meine Frage nach Problem vermeidung besteht weiterhin. Mir ist schon klar das dass in diesem Fall schwer zu sagen ist da ich selbst nichtmehr genau weis wann es passiert ist und dadurch auch nicht was ich genau davor gemacht habe. Aber gibt es irgendwelche anderen Gründe, bei externen Festplatten, die häufig dazu führen dass Plötzlich Partitionen bei Windows nicht mehr angezeigt werden?Und wie gesagt herrausziehen während darauf zugegriffen wurde kann ich bereits ausschließen.

 

[Mueli]

Vermeiden kann man derartige Ausfälle leider nicht, das liegt in der Natur der Sache, einmal die Hardware selber und dann Programm - und Systemabstürze, von Viren mal ganz abgesehen, die sowas verursachen können. Ich kenne das Programm Testdisk auch ja noch nicht so lange, aber allein die Möglichkeit aus diesem Programm die Partitionstabelle die Partitionierung zu sichern, ist eine gute Idee(habe ich übrigens gemacht). Da ich über 30 Jahre in der IT gearbeitet habe, mache ich natürlich Bandsicherungen, für kleine Mengen verwende ich DAT und für größere Sicherungen verwende ich DLT (Digital Linear Tape) und für Daten die ich häufiger gebrauchen könnte (wie Briefe, Datenbanken etc.) verwende ich noch Magneto Opticals Discs und neuerdings auch DVD-RAM (wg. der günstigeren Laufwerke und Medien).
Ich bin wahrscheinlich übervorsichtig, aber ich habe auf Großrechnern und Servern zu viel gesehen.

Meine Systeme habe ich aber auch in dieser Hinsicht vorausschauend installiert, wie mindestens ein zweites System auf jedem PC, dann ist bei mir auch auf jedem System die Recovery-Console installiert (Installationsmedium einlegen und in einer Console <Laufwerksbuchstabe des Optischen Laufwerks>:\Winnt32.exe /cmdcons ausführen).
Darüber hinaus arbeite ich auch viel mit einer BartsPE-CD.

Datenrettung habe ich auch auf meinen PC's selber nur einmal betreiben müssen und dies war dann 'händisch' per Diskeditor. Für einen Bekannten habe ich dann nochmal von einer def. Disk Daten ziehen müssen und habe da R-Studio verwendet, was mir gut gefallen hat, aber dies ist immer Pfriemelei.

 

[scorpiono]

Hmm ich denke dann mach ich wohl lieber ab jetzt ein backup von meinen Partitionen.



Thema DiskEditor.
Glaubst du sowas würde in meinem Fall Sinn machen? Wenn man auch auf meine jetzige Erfahrung im Umgang mit Festplatten schaut.


Ist es eigentlich möglich mit TestDisk einfach die gesamte Partitionstabelle zu löschen und eine platten übergreifende, 931 GB große Partition zu machen. Und die Dateien aller Partitionen dann mit chkdsk da drin wiederherzustellen sodass Dateinamen und Ordner struktur erhalten bleibt?

Achja und was ich nochmachen wollte ist einfach alles nochmal für Fiona kurz zusammen zufassen.

Also hier das ganze im schnell durchlauf.

1. Ich stelle fest das mir von den Partitionen X,Y und Z die Partitionen X und Y fehlen
   (ca nach max 1ner Woche genau Ursache unbekannt)
2. Ich versuche mit TestDisk die zwei Partitionen wiederherzustellen
   (u.a. bin ich dabei soviel ich mich erinnere auf "Rebuild BS" und "MBR Code" gekommen)
3. Ich habe geschafft dass die Partitionen X und Y wieder in Windows Angezeigt werden.
4. Ich stelle fest das ich plötzlich auf Ordner in Z nicht mehr zugreifen kann "Folder corrupt or Filesystem damaged) oder Dateien 0byte groß sind
5. Nach kurzem Googeln lasse ich erst ein chkdsk /f und dann /r laufen.
6. Nun werden mir einpaar der vermeintlich nicht zugängigen Dateien in Z:/folder000 angezeigt. Ordner sind zwar unbenannt (also Folder000125) aber die Dateien darinnen bzw. Ordner darinnen sind richtig bennant.
7. Ich stelle fest dass immer noch Dateien fehlen bzw. 0byte groß sind. und führe einen verbose Scan mit dem Programm CheckDisk aus ohne jeglichen Erfolg (siehe erster Post)
8. Ich wende mich ans Forum und führe Scans mit Tools wie Restorer2000 aus die mir die fehlenden Dateien in abnormen größen und ohne namen und schwer beschädigt anzeigen.
9. Zuletzt wird mir bei TestDisk der Geometry 240 Fehler angezeigt und ich versuche die Partitions struktur mit MBR Code und Deeper Scan + Write wiederherzustellen. Die änderungen werden aber nicht übernommen und nach einem Neustart von TestDisk zeigt auch TestDisk wieder alles wie vorher an.

So hoffe das hilft.

Das Hauptproblem ist nach wie vor das mir in TestDisk bei einer gemotry von 255 zwar die richtigen Partitionen angezeigt werden. Sie aber nicht übernommen oder sofort zurückgesetzt werden (bin ich mir nicht sicher).

 

[scorpiono]

Hi


wollte nur nochmal nachhaken ob sich noch jemand mit dem Thema befasst.

Falls Fione und Mueli hier aufgeben muss ich es wohl auch. Nur bei Fiona in ich mir nicht sicher ob sie bsiher keine Zeit hatte nochmal ins Thema schaut oder einfach auch keine Lösung weis. Deshalb wollte ich zursicherheit nochmal nachfragen.

 

[sumano]

mal ne frage, hab hier ziemlich das gleiche problem nur kann ich da anstatt testdisk auch getdataback verwenden?? also komplett durchgehen lassen und dann wieder per copy die daten sichern oder ist das nicht möglich??

mfg sumano