Externe Festplatte: Schnellformatierung rückgängig machen?! Invalid fat boot sector

[Moloz]

Hallo zusammen

Da ich hier
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/
und hier
http://www.cgsecurity.org/wiki/Erweiterte_FAT_Reparatur

leider nicht fündig geworden bin..

Ich habe eine 1,5 TB Festplatte
Mit Windows 10 aus Versehen eine Schnellformatierung gemacht.
Datenwiederherstellungssoftware erkennt Dateien, aber ohne den ursprünglichen Namen.
Da es 10.000e Dateien sind, wollte ich Testdisk ausprobieren, um MFT zu reparieren.

Aber ich komme nicht weiter.
Habe Testdisk gestartet.
Es wurde keine wiederherstellbaren Partitionen gefunden, bin dann auf DEEPER SEARCH
Bekomme nun dieses Ergebnis

Was mache ich nun bei "INVALID FAT BOOT SECTOR?", wie sollte ich vorgehen?

 

[Ichthys]

Ich erspare Dir mal die Frage, ob Du Sicherungen hast, denn diese hast Du nicht, ansonsten würdest Du ja nicht fragen.
Also wieder das übliche Progamm:

1. Deine Daten sind weg. Ja, ich kenne die Tatsache, dass nur die Zuordnungstabelle gelöscht wurde. Meiner Erfahrung nach sind die Daten dennoch futsch.
2. Ja, es gibt TestDisk. Ich kenne aber bislang keinen Fall, bei dem die Wiederherstellung tatsächlich geklappt hat. Anmerkung: Bin kein Experte, wenn die hier reinschauen, gerne mich korrigieren, falls ich verkehrt liege.
3. Falls Du Geld hast, geh damit zum Experten. Aber ob er Dir die Daten wiederherstellen kann? Womöglich. Ob Du es Dir leisten kannst? Eher nicht.

Es tut mir leid, aber das hier ist leider (hartes) Lehrgeld.

 

[Dr. McCoy]

Willkommen im Forum!

Bitte keine Schreibvorgänge am Datenträger durchführen, der betroffen ist, und von dem Daten gerettet werden müssen! Boote stattdessen ein Rettungssystem von USB, und lass alle gefundenen, rekonstruierbaren Daten z.B. mittels ddrescue auf einem mindestens ebenso großen zusätzlichen Datenträger schreiben. Geht z.B. damit:

-> https://www.caine-live.net/

 

[Moloz]

Deine Daten sind weg.

Bitte??
Hast du meinen Beitrag denn eigentlich gelesen?
Die Daten sind noch da(!), nur halt ohne Dateinanmen.
Wieso sollen die Daten weg sein?
Ist eine externe Festplatte, wurde nach der Schnellformatierung nichts mehr drauf geschrieben.
Verstehe nicht ganz.

Ergänzung (25. August 2019)

Willkommen im Forum!

Bitte keine Schreibvorgänge am Datenträger durchführen, der betroffen ist, und von dem Daten gerettet werden müssen! Boote stattdessen ein Rettungssystem von USB, und lass alle gefundenen, rekonstruierbaren Daten z.B. mittels ddrescue auf einem mindestens ebenso großen zusätzlichen Datenträger schreiben. Geht z.B. damit:

-> https://www.caine-live.net/

Danke.
Die Daten zu retten, ist das einfachste.
Nur wie kriege ich eben das Inhaltsverzeichnis bzw Partitionstabelle wieder hin?
Ich dachte mir, Testdisk könnte das.

 

[MatrixOne]

Ich mache in solchen Fällen dann eine 1 zu 1 Kopie mit ddrescue auf der SystemRescueCD.

 

[Moloz]

Ok, also eine 1:1 Kopie, damit ich zumindest "testen" kann danach.
irgendeine Idee, wie ich die Partitionstabelle retten kann?
Nach Abschluss steht bei mir nun:
THE FOLLOWING PARTITIONS CAN`T BE RECOVERED:

 

[Dr. McCoy]

Es geht nicht darum, dass Du die Partitionstabelle "rettest", sondern, dass Du Deine Daten rettest!

 

[BFF]

Es wurde keine wiederherstellbaren Partitionen gefunden

Warum sollte auch was gefunden werden?
Du hast ja nur schnellformatiert und keine Partitionsdaten veraendert. Die Verwendung von Testdisk war/ist also falsch.

Datenwiederherstellungssoftware erkennt Dateien, aber ohne den ursprünglichen Namen.

Welche verwendest Du?

BFF

 

[Schalk666]

Ich hatte mal Probleme mit einer Usb-Platte weil ich beim kopieren übers Stromkabel getrampelt bin und den Strom-Stecker rausgezogen hatte. (danach stand bei Dateisystem "RAW").
Auch mit Testdisk konnten nur kleine (unfragmentierte ?!) Dateien gerettet werden.
Ich konnte ein paar kleine, alte Savegames retten, aber die meisten Dateien (ab ein paar MB) waren defekt (z.b. CRC-Error) und das Ordnersystem konnte auch nicht wiederhergestellt werden.

Da die Daten nich besonders wichtig waren hab ich mir dann lieber alles neu und sauber besorgt, als mich mit korrupten Daten rumzuärgern.

Die Partitionstabelle / das Dateisystem ist wie die Achillesferse einer Festplatte. Ohne die genauen Adressen sind die Daten halt nur zig Milliarden Nullen und Einsen.

Edit: seitdem bin ich beim "rumpfuschen" an Partitionen extra vorsichtig, formatieren hat halt keinen "rückgängig" Button.

Elektronik kann halt jederzeit ausfallen und wenn man kein Backup der Daten hat scheinen diese nicht besonders wichtig zu sein.

 

[Moloz]

Welche verwendest Du?
BFF

Ich finde es mit
-Recuva
-PCI FIle Recovery
- O&O Recovery

Die Schnellformatierung dauerte keine 2sek und da habe ich gehofft, dass das Dateisystem mit Testdisk evtl. wiederhergestellt werden kann.

Welche Software ist denn für meinen Fall ideal?

Ergänzung (26. August 2019)

Es geht nicht darum, dass Du die Partitionstabelle "rettest", sondern, dass Du Deine Daten rettest!

Wie gesagt, Daten retten ist kein Problem.
Nur was soll ich mit 10.000e Dateien ohne Dateinamen anfangen?
Das wäre sehr mühsam, die alle umzubennnen.

 

[Dr. McCoy]

Wie gesagt, Daten retten ist kein Problem.

Du hast jetzt also bereits eine Datensicherung vorliegen, alle Daten sind im sicheren Hafen?

 

[Schalk666]

Die Dateinamen gehören auch zum Dateisystem.
Die Rettungssoftware kann (wahrscheinlich am Datei-Header) z.b. eine Jpeg oder Pdf Datei erkennen, aber alles was mit Ordnern oder Dateinamen zu tun hat wird/ist/war im Dateisystem gespeichert.

Einerseits ist das gut und funktional z.b. beim verschieben oder umbenennen von Dateien, aber andererseits ist bei den kleinsten Problemen am System schnell die * * * am dampfen.

 

[BFF]

Das wäre sehr mühsam, die alle umzubennnen.

Bei Bildern/MP3 laesst sich ein Name erzeugen der aus den Meta/Exif/Tag erzeugt werden kann. Wie das geht steht irgendwo in der Anleitung von PhotoRec.

-> https://www.cgsecurity.org/wiki/After_Using_PhotoRec

Das so gut wie immer keine Dateinamen mehr erkannt werden wenn man ein NTFS-Laufwerk (schnell)formatiert, ist halt so da diese Information durch das Formatieren vom Datentraeger entfernt wurde. Ist halt etwas anderes als das Loeschen der Dateien. Und nicht jedes Proggi schaut gruendlich.

BFF

 

[Moloz]

Du hast jetzt also bereits eine Datensicherung vorliegen, alle Daten sind im sicheren Hafen?

Ich habe 40 Dateien "getestet", alles sauber übertragen und gerettet. Und zwar mit allen Recovery-Tools, alles zuverlässig.
Das alles durchzuziehen würde einen ganzen Tag dauern, wollte ich notfalls die Tage in Angriff nehmen.
Aber halt mit Dateinamen wie "File 001" bei einer Software, die andere spuckt aus "Cluster.....avi" usw.
Ich hoffe, dass jemand hier noch einen heißen Tip hat.

Ergänzung (26. August 2019)

Die Dateinamen gehören auch zum Dateisystem.
Die Rettungssoftware kann (wahrscheinlich am Datei-Header) z.b. eine Jpeg oder Pdf Datei erkennen, aber alles was mit Ordnern oder Dateinamen zu tun hat wird/ist/war im Dateisystem gespeichert.

Ok, aber wie stelle ich das DATEISYSTEM wieder her?
Zumindest irgendein Begriff, wo ich weiter suchen kann.
Ich bin eher Anfänger und hatte hier die FAQ gelesen, wo zu TESTDISK geraten wurde.
Und da bin ich halt an den Punkt gekommen (s.o. Screenshot), wo ich nicht weiter weiß.

Ergänzung (26. August 2019)

Bei Bildern/MP3 laesst sich ein Name erzeugen der aus den Meta/Exif/Tag erzeugt werden kann. Wie das geht steht irgendwo in der Anleitung von PhotoRec.

-> https://www.cgsecurity.org/wiki/After_Using_PhotoRec

Danke für den Tip.
Aber in meinem Fall sind es fast auschließlich Videos auf der externen Festplatte.

 

[Dr. McCoy]

Ich habe 40 Dateien "getestet", alles sauber übertragen und gerettet. Und zwar mit allen Recovery-Tools, alles zuverlässig.

Also nochmal: So lange Du nicht alle wichtigen Daten extern wiederhergestellt hast, rate ich dringend von weiteren Schreibzugriffen auf die Platte ab, sonst kannst Du am Ende im schlechtesten Fall gar keine Daten mehr wiederherstellen, und stehst mit leeren Händen da, statt wenigstens mit den Dateien ohne ursprümgliche Namen.

 

[Moloz]

Also nochmal: So lange Du nicht alle wichtigen Daten extern wiederhergestellt hast, rate ich dringend von weiteren Schreibzugriffen auf die Platte ab, sonst kannst Du am Ende im schlechtesten Fall gar keine Daten mehr wiederherstellen, und stehst mit leeren Händen da, statt wenigstens mit den Dateien ohne ursprümgliche Namen.

Die Platte läuft auch nicht mehr. Ich habe halt geschaut, ob gewisse Recovery Tools den Dateinamen auch wiederherstellen können, was leider nicht der Fall war. Ich werde mich gedulden

 

[BFF]

Ok, aber wie stelle ich das DATEISYSTEM wieder her?

Da gibt es nichts wiederherzustellen.

Anyway.

ob gewisse Recovery Tools den Dateinamen auch wiederherstellen können, was leider nicht der Fall war.

Dann schau Dir mal den Tip im Post #3 von @Dr. McCoy sehr genau an.
In diesem Live-Linux findest Du z.B. das Program Autopsy aus dem Sleuth-Kit. Gibt es auch als Windows-Download dort. Warum ich darauf hinweise? Schau mal.

Dieses Bild zeigt das (Wiederherstelungs)Ergebnis von PhotoRec. Der Quell-Datentraeger ist ein 32GByte-USB-Stick im NTFS-Format. Auf diesen wurden 24 Videodateien kopiert und danach schnellformatiert.

Das duerfte ungefaehr auch das sein, was Du hast. Richtig?

Dieses Bild nun zeigt das Ergebnis des gleichen Datentraegers. Allerdings ist das diesmal das Proggi Autopsy.

Mit etwas(sehr viel) Geduld, sollte es vielleicht moeglich sein das Du an die Namen kommst.
Denn die netteste Funktion ist dann noch diese hier.

Weil dann hat man am Ende das hier.
Das Extrahieren hab ich mal nicht bis zum Ende gemacht.

Das Umbenennen ab hier duerfte wohl kein Problem mehr sein, oder? @Moloz

Aber!
Es kann natuerlich dennoch sein, das einzelne Dateien nicht vollstaendig wiederhergestellt werden koennen. Weder mit PhotoRec noch mit Autopsy. Ist mir hier mit dem o.g. Stick auch widerfahren. Und es kann sein, dass wenn die Platte mehr als halb voll war auch das Autopsy an seine Grenzen stoesst, bei der Namenswiederherstellung.

Viel Glueck!

BFF

 

[Ichthys]

Bitte??
Hast du meinen Beitrag denn eigentlich gelesen?
Die Daten sind noch da(!), nur halt ohne Dateinanmen.
Wieso sollen die Daten weg sein?
Ist eine externe Festplatte, wurde nach der Schnellformatierung nichts mehr drauf geschrieben.
Verstehe nicht ganz.

Ergänzung (25. August 2019)

Danke.
Die Daten zu retten, ist das einfachste.
Nur wie kriege ich eben das Inhaltsverzeichnis bzw Partitionstabelle wieder hin?
Ich dachte mir, Testdisk könnte das.

Guten Morgen,

das kann ich Dir sagen. Weil ich es spaßeshalber in der Vergangenheit probiert hatte und auch bei Bekannten, denen ich helfen sollte, beobachtet habe, dass auch Dateien im guten Zustand oft genug beschädigt waren. Je größer die Datei ist, desto höher ist die Wahrscheinlichkeit, dass diese beschädigt wurde. Daher darfst DU auch unter keinen Umständen auf der Festplatte was raufschreiben lassen. Denn Windows neigt zum Fragmentieren, d. h. sobald einiges auf die Festplatte geschrieben wurde, werden irgendwann die Dateien nicht mehr in einem Stück, sondern blockweise verteilt über die Platte geschrieben. Wenn Du nun etwas auf die formatierte Platte schreiben würdest, würden neue Dateien wieder in einem Rutsch geschrieben werden, da ja nun wieder Platz ist.
Und das könnte bedeuten, dass Du nun gleich mehrere Dateien auf einen Schlag beschädigt hast, da ja schon bei einem Megabyte je nach Formatierung Platz für hunderte oder gar tausende Fragmente diverser Dateien liegen könnten.
Aber - falls ich mich irren sollte, in diesem Fall sehr gerne.

 

[BFF]

Fast richtig.

Wenn Daten "nur" geloescht wurden und noch anderweitig Daten sichtbar sind auf der Platte mag Windows u.U. automatisch defragmentieren wollen.
Nach einer Schnellformatierung ist da aber nix sichtbar fuer Windows und da kommt auch nix mit defragmentieren.
Etwas anders sieht es bei SSD aus wegen TRIM. Da heisst es so schnell wie moeglich Image ziehen mit Fremdsystem und SSD zur Seite packen.

Recht hast Du mit wenn neue Daten auf die (formatierte) Platte geschrieben werden. Die Warscheinlichkeit einer Wiederherstellung geht dann in Richtung 0.

BFF

 

[Ichthys]

Du hast mich auch fast richtig verstanden. Ich meinte, dass Windows die Daten u. U. fragmentiert ablegt. Und nach einer Schnellformatierung und anschließendem Wiederbeschreiben ist die Chance daher sehr hoch, dass viele Dateien unwiederbringlich über den Jordan gehen, selbst wenn nur eine kleine Datei geschrieben wurde. Wenn der Sektor 8KB groß ist und man eine 1MB große Datei schreibt, hat man ja bis zu 128 Dateien z. T. überschrieben. Das ist ja hier das Problem.
TRIM ist, wie Du vollkommen zu recht anmerkst, noch ein ganz anderes Thema, was ich so noch nicht im Blick hatte. Rein theoretisch müste man TRIM am besten sofort deaktivieren, falls das möglich ist.

Wichtig ist nur beim aktuellen Thema, dass die wiederhergestellten Dateien nicht auf die Quellfestplatte geschrieben wurden.