Externe HDD Partitionstabelle weg...

[Zuse2k]

Externe HDD Partitionstabelle weg.../Verschl./Dringend...

Hallo CB-Community,
da ich ein kompliziertes Problem habe, hoffe ich ihr könnt mir helfen.

Es geht um folgendes....
Mir hat es von meiner externen HDD die Parittionstabelle geschossen.Verursacht wurde dies durch eine Widerherstellung einer Partition mit Testdisk.Es waren insgesammt 6 Parititionen und alle bis auf die eine die ich mit Testdisk richten wollte verschlüsselt(mit Drive Crypt Plus Pack ). Das Dateisystem wurde als Raw angezeigt. Ist es Möglich die ursprüngliche Partitionstabelle wiederherzustellen?.... (Kann Testdisk Raw Partitionen wieder aufspüren?)

Nun wird der Bereich wo die ersten 5 verschl. Partitionen lagen als unzugeordnet angezeigt.

Ist es Möglich anhand der ehemaligen Paritionsreihenfolge und Paritionsgrößen eine Partitionstabelle manuell zu erstellen?

Ich hoffe ihr könnt mir helfen, da ich mit den Nerven so ziemlich am Ende bin. Es handelt sich auf dieser Platte nämlich um sensible Datein... (Ja ich weiß von sowas macht man immer ein Backup, aber diese waren nur ausgelagert wg. Systemneuinstallation usw....)

Lg & Danke im Vorraus.

Zuse2k

Ps: Es wurde nur mit Testdisk gearbeitet. Die Daten auf der HDD wurden nicht überschrieben oder foramtiert.....

EDIT: Ich hoffe mein Post ist genug nachvollziehbar beschrieben.
Hilfe wäre auch per ICQ oder mIRC möglich.

 

[1668mib]

Hi und willkommen!
Kannst du vielleicht noch etwas erläutern, wann es die Tabelle zerschossen hat?

Ein manuelles Erstellen einer Partitionstabelle sollte schon möglich sein, kann sich allerdings als mühsam herausstellen, da man die Größen ja meist nur in groben Gigabyte-Größen kennt, wird es schwer werden ohne Tools wie TestDisk die exakten Sektorgrenzen zu finden.

Theoretisch kann man die Partitionstabelle z.B. mit einem Hex-Editor, der direkt auf die Platte schreiben kann, bearbeiten, aber das würde ich nicht empfehlen... Partition Magic enthält ein Programm, ich glaube es heißt PTEdit, welches das Bearbeiten erlaubte, aber den User nicht wirklich unterstützt - man muss dann schon wissen, was man macht.

Und kleiner Tipp: Nichts überstürztes machen, aber ich denke das wirst du eh beherzigen.

 

[Zuse2k]

Also es geschah ca. so:
Auf der letzten Paritition war ein Ordner weg.
PM sagte bei der Fehlerüberprüfung: Fehler Nr.1627 Upcase-Tabelle ist falsch
Also nahm ich Testdisk und drchsuchte meine Platte auf NTFS Partitionseinträge... Es wurde dann auch einer für diese unverschl. Partition gefunden und ich drückte dann kurzerhand auf Write... dann wurde ich zum Restart aufgefordert. gemacht getan. fertig war der Spass -.-
Die letzte Partition war zwar dann da aber alle 5 anderen zu einer : unzugeordnet..
(keine der Partitionen wird im Windows unter Arbeitsplatz angezeigt)

Das war so um ca 23 Uhr rum gestern. (04.09.07)

---

z. Z. mache ich grad ne Analyse nach Dateisystem None. Da ja durch die Verschl. Raw war...

Er hat auch schon ein wenig gefunden nach 3 Std ca. der Stand : 35 %

search_part()
Disk /dev/sdb - 500 GB / 465 GiB - CHS 60801 255 63

HFS+ magic value at 1518/233/34
part_size 2968939614
D HFS+ 1518 233 34 788332208 128 20 2968939614
HFS+, 12618333 TB / 11476307 TiB
This partition ends after the disk limits. (start=24401382, size=2968939614, end=2993340995, disk end=976768065)
D UFS 1651 40 40 2303436567 217 17 3538681628 [í$Äñê”3Žûl”Ú—™Ùàéׁ0b­¾¼RaöázüI})–„5„Ù 6è4«a]¸zR_ur&ÖJEa¬.q~ÝóŠ¶UFS1]
UFS1, 8568155 TB / 7792691 TiB
This partition ends after the disk limits. (start=26525874, size=3538681628, end=3565207502, disk end=976768065)
D UFS 1651 42 26 2303436567 219 3 3538681628 [í$Äñê”3Žûl”Ú—™Ùàéׁ0b­¾¼RaöázüI})–„5„Ù 6è4«a]¸zR_ur&ÖJEa¬.q~ÝóŠ¶UFS1]
UFS1, 8568155 TB / 7792691 TiB
This partition ends after the disk limits. (start=26525986, size=3538681628, end=3565207614, disk end=976768065)

HFS+ magic value at 7473/24/55
part_size 4158529696
D HFS+ 7473 24 55 3576331225 105 63 4158529696
HFS+, 4939912 TB / 4492823 TiB
This partition ends after the disk limits. (start=120055311, size=4158529696, end=4278585006, disk end=976768065)
D UFS 2 8901 162 48 4164511884 58 39 34845542 [TCWcæQkè*×ÄQƒ}iÌ饲‡ÉùÛÁ3É0‡¹ôˆasL"¦dÿÙ[ÉÿÕåá¡ôÞiS¹¥€´Ñð?iN?Ž‘”.„´w_`9±UFS2]
UFS2, 16461452 TB / 14971604 TiB
This partition ends after the disk limits. (start=143004818, size=34845542, end=177850360, disk end=976768065)
D UFS 2 8901 164 34 4164511884 60 25 34845542 [TCWcæQkè*×ÄQƒ}iÌ饲‡ÉùÛÁ3É0‡¹ôˆasL"¦dÿÙ[ÉÿÕåá¡ôÞiS¹¥€´Ñð?iN?Ž‘”.„´w_`9±UFS2]
UFS2, 16461452 TB / 14971604 TiB
This partition ends after the disk limits. (start=143004930, size=34845542, end=177850472, disk end=976768065)

HFS+ magic value at 10388/186/22
part_size 1082807840
D HFS+ 10388 186 22 157279207 196 44 1082807840
HFS+, 107275 TB / 97566 TiB
This partition ends after the disk limits. (start=166894959, size=1082807840, end=1249702798, disk end=976768065)

HFS+ magic value at 11428/194/21
part_size 1704071400
D HFS+ 11428 194 21 332165394 23

falls euch das was hilft...
+ Screen

+ Screen 100%

 

[Fiona]

Ich weiß dein Betriebssystem und Servicepack nicht.
Auch nicht um was für Dateisystem es sich handelt.
Partition Table Type None sollte so gut wie nie ausgeführt werden.
Gibt auch ganz selten Medien dafür.
Manchmal hilft es bei USB-Sticks.

Mache mir mal eine Diagnose, exakt nach dieser Anleitung;

Lade bitte Testdisk Version 6.9 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige bei Proceed und setze mir auch einen Screenshot.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[Zuse2k]

Sry hatte ich vergessen....

Es handelt sich um Windows XP + Service Pack 2
Das Dateisystem aller Partitionen ist NTFS gewesen. Doch da ich die ersten 5 Partitionen verschlüsselt habe sind dort halt nur Rohdaten also RAW zu erkennen. Es handelte sich um eine komplette Partitionsverschlüsselung, also kein Container o.ä. .Das dafür verwendete Programm ist Drive Crypt Plus Pack.

Diagnose folgt...

 

[Fiona]

Die Analyse wird mit Testdisk nicht viel nützen.
Wenn du die Partitionen komplett verschlüsselt hast, wird jeder Sektor einschlißlich Bootsketor usw. alles verschlüsselt.
Standard Programme für Windows arbeiten aber nur mit NTFS oder FAT.
Daher kann es gut sein, das die Partitionen nicht mehr von normalen Programmen erkannt werden.
Hattest du in Testdisk die Option Save nach bestätigen bei Analyse ausgeführt?
Dieses wäre dann ein Backup von deiner Partitionstabelle, mit dem du die Partitionstabelle wieder zurückladen könntest!

Viele Grüße

Fiona

 

[Zuse2k]

Nein die Option Save habe ich leider nicht ausgeführt, das ist ja das Problem.
Wenn ich nur die Partitionstabelle hinbekommen würde, könnte ich sie ja wieder entschlüsseln und somit die genaue Partitionstabelle auslesen... Große und Reihenfolge weiß ich ja noch ungefähr. Deswegen hab ich vorher auch auf Dateisystem None gesucht.
Normal müsste es ja funktionieren wenn ich einen Table um den nicht zugeortneten Bereich setzte, sodass ich dann alles entschlüsseln kann. Dann wäre ja der Table auch wieder irg. zu finden oder?

Ps: Vor der Verschlüsselung waren die Partitionen ja auch nur mit NTFS normal erstellt worden... vlt kann man die Einträge noch finden?

vlt hilft dir der komplette Log von None Scan etwas:

EDIT: Hab noch nen Screen von der genauen Plattenaufteilung der verschl. Platten gefunden =) Siehe Anhang + Oben 2ten Screen angehängt. P geht dort auch, die Partition ist ja unverschl. und noch an der selben Stelle! Es geht eig nur um die 5 Verschl. vorne.

EDIT2: Oben 3ten Screen zur Anleitung angefügt.

 

[Fiona]

Ich finde nur zufällige als Überbleibsel erkannte Werte von Macintosh-Partitionen.
Deine gefundene NTFSPartition zeigt in der Testdisk.log zumeist Ergebnisse nach chkdsk.
Dateien wie File0815.chk kann oft mit unchk wiederhergestellt werden.
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553

Das Problem bei dir im Moment ist, wenn die Partition erkannt werden soll, braucht die einen Partitionstyp wie Fat32 ist zum Beispiel 0c oder NTFS ist 07.
Der ist aber bei verschlüsselte Partitionen unbekannt (jedenfalls weiß ich den nicht, da nicht Standard).
Erst dann könntest du, wenn der Bootsektor (auch verschlüsselte) in Ordnung ist, die Partition wieder entschlüsseln.
Auch gibt es ein Backup vom Bootsektor, der über den Bootsektor kopiert werden kann.
Dann hättest du Chancen.
Daher immer, wenn du etwas auf einer verschlüsselten Festplatte machst, sollten alle Partitionen entschlüsselt sein.
Hinterher könntest du die wieder verschlüsseln.
Wende dich mal an den Support von Drive Crypt, ob die dir etwas zum Partitionstyp oder Partitionswiederherstellung in der Partitionstabelle mitteilen können.
Auch eine Idee war;
https://www.computerbase.de/forum/threads/verschluesselte-partition-mit-truecrypt-zerstoert.314669/
Dieses war nur eine Idee um eine verschlüsselte Partition wieder zu rekonstruieren.

Frage mal den Support, ob es eine Möglichkeit gibt.

Viele Grüße

Fiona

 

[Zuse2k]

Danke für die Info mit UNchk. Hab jetzt wenigstens den Inhalt der unverschl. Platte wieder.

Ich werd jetzt mal deine Idee probieren und ein Sektor Klon erstellen und dann auf meiner Platte die Partitionen wieder so einrichten wie sie waren und verschlüsseln. Beim MBR sichern und so müsstest du mir aber wieder helfen... Danke für deine Idee...

Könntest du mir dann beim MBR im Icq oder so hilfestellung geben?Wäre n1

Auf jeden Fall noch mal Vielen Dank für die bisherige Hilfe!

VG Zuse2k

 

[Fiona]

Ich unterstütze teilweise über IRC-Chat auf CB.
https://www.computerbase.de/chat/
Du kannst dich da direkt einloggen.
Geht praktisch genau wie bei ICQ.
Aber erst wenn nötig und sollte ich vorher wissen, damit ich dort online bin.
Ansonsten folgt Anleitung soweit möglich.
Frage auch mal bei Support von Drive Crypt an, wie du eine Partitionstabelle restaurieren könntest.

Viele Grüße

Fiona