Festplattencrash

[nielex]

Hallo!

Ich habe gestern, mein Notebook neu mit WinXP bespielt.
Nach der Installation, konnte ich ich in der Datenträgerverwaltung feststellen, dass die Grössenangabe der Festplatte nicht korrekt dargestellt wurde. Weiters wurde ein Teil der Festplatte als freier Speicher gekennzeichnet. Auf Grund meiner Neugierde bin ich dem nachgegangen, und hab versucht, ob ich ein logisches Laufwerk anlegen könnte. Kurz vor Abschluss dieses Vorgangs, habe ich dann einen Bluescreen erhalten. Sämtliche Partitionen sind seit diesem Vorfall nicht mehr zugänglich. (z.B mit Knoppix). Eine erneute Windows Installation ist fehlgeschlagen. Leider waren natürlich auch wichtige Daten auf der Festplatte.

Ich hab bereits eine Analyse mit TestDisk 6.6 durchgeführt, leider weiss ich Moment nicht, wie es weiter gehen soll.

Die ursprüngliche Partitionierung der Festplatte (WDC WD1200BEVS):

1.) NTFS [WinXP]
2.) NTFS [DATEN]
3.) Partition mit TrueCrypt verschlüsselt
4.) Linux
5.) Linux Swap
6.) Linux home

Ich wäre euch sehr dankbar, wenn ihr mir bei diesem Problem helfen könntet.

EDIT: Bilder hinzugefügt

 

[Fiona]

Gab bei dir wohl ein Speicherplatzkonflikt mit der erweiterten Partition und den logischen Laufwerk, das falsch als Primäre gesetzt wurde.
Kritisch wird es mit dein verschlüsselten Laufwerk.
Hast du dazu den Volume Header gesichert?
Testdisk unterstützt bei True Crypt-Partitionen in der neuesten Version auch eine Bootsektorreparatur.
Habe ich mich aber noch nicht beschäftigt und sollte dringend schnell erledigt werden.
Zumindest kann versucht werden deine WinXP, Linux und deine NTFS-Datenpartition wiederherzustellen.
Gehe dazu erstmal auf die tiefere Suche Search an diesem Screen;
https://www.computerbase.de/forum/attachments/87479/
Lasse diese laufen.
Markiere hinterher deine gefundenen Partitionen nacheinander und drück p ob deine Daten oder eine Fehlermeldung angezeigt wird.
Teile es mit.

Infos folgen dann.

Viele Grüße

Fiona

Edit:

Habe gesehen, das du den Screen eingefügt hast!
Die Partitionsstruktur passt, ausgenommen deine verschlüsselte Partition fehlt noch im Moment!
Dazu mußt du dich noch bis zu eine Woche gedulden!

Kann bei dir Bootprobleme geben.
Hierbei mußt du eine Partitionswiederherstellung und Bootprobleme unterscheiden.
Grund ist, Testdisk atbeitet nach Intel Standard.
Wenn du einen Bootmanager wie Grub oder sonstiges verwendet hast, werden die Einstellungen überschrieben, da Grub den MBR auf eigene Weise verwaltet..
Dieses mußt du wiederherstellen.
Infos dazu hier unter Multiboot;
http://www.cgsecurity.org/wiki/Nach_dem_Gebrauch_von_TestDisk
Um WinXP zu starten, sollte dann fixmbr in der Wiederherstellungskonsole ausgeführt werden.

Bestätige bei [Write] mit Enter, y und Ok.
Beende Testdisk und starte den Computer neu.

Wenn chkdsk bei Systemstart kommen will, beende chkdsk erstmal.
Geht innerhalb von 10 Sekunden durch beliebigen Tastendruck.

Überprüfe das Ergebnis und teile es mit.

Viele Grüße

Fiona

 

[nielex]

Hab jetzt eine tiefere Untersuchung durchgeführt. (Bild hinzugefügt)

Die Daten der beiden Partitionen [WinXP,Daten] können aufgelistet werden.

Leider scheint die TrueCrypt Partition nicht auf.

Ist es sinnvoll, die Analyse mit der aktuellsten Version durchzuführen?

 

[Fiona]

Glaube ich nicht.
Unter True Crypt gibt es die Option dein Volume Header zu sichern.
Hier wäre ein Versuch, später, mit Gparted zum Beispiel im Fall wenn dein verschlüsseltes Laufwerk ein logisches Lauwerk war, die erweiterte Partition zu vergrößern.
Dann könntest du mit der Volume Header-Datei wahrscheinlich die Partition wiederherstellen.
Wenn diese nicht gemounted werden kann, könnte versucht werden mit Testdisk den Bootsektor zu reparieren.
Infos mal vorab hier unten bei Das Testdisk-Programm ausführen unterhalb bei Apple;
http://www.cgsecurity.org/wiki/Schr...beispiel#Das_TestDisk-Programm_ausf.C3.BChren
Dazu solltest du aber warten.
Auch geben sich hier einige Mühe den Volumen Header wieder zu rekonstruieren, wenn keiner vorhanden ist;
https://www.computerbase.de/forum/t...-truecrypt-wird-nicht-mehr-aufgemacht.357059/
Gibt da aber bereits so 4 oder 5 Fälle die auch noch warten.
Ich mache nur etwas, wenn ich absolut sicher bin.

Viele Grüße

Fiona

 

[nielex]

Also Linux ist jetzt eigentlich mal egal. (Neuinstallation)
Wichtig wäre für mich, wie ich zu der verschlüsselten Partition komme, da natürlich
gerade da die wichtigen Dateien abgespeichert wurden.

Besteht eigentlich die Möglichkeit, dass die trueCrypt Partition keinen Schaden davongetragen hat, und nur nicht
durch TestDisk erkannt wurde.

Als Info: Die Partition wurde vollständig mit TrueCrypt verschlüsselt. (Passwort und Schlüsseldatei)

Ist es eigentlich normal, dass während der tieferen Suche, doppelte Einträge vorhanden sind?

 

[Fiona]

Hierbei muß wohl davon ausgegangen werden, das die verschlüsselte Partition nicht mehr konform ist, und so nicht mehr erkannt wird.
Windows zum Beispiel erkennt nur Fat oder NTFS.
Hast du die True Crypt die Volume Header-Datei gespeichert um die Partition wieder herzustellen?
Auch Infos;
http://www.truecrypt.org/docs/?s=backing-up-volumes-and-headers
Aber wie gesagt, auch mit der Bootsektorreparatur muß ich mich schlau machen.

Viele Grüße

Fiona

Edit:

Grub oder Partitionierungstools verwalten den MBR und die Partitionstabelle auf eigene Weise.
Testdisk findet diese Partitionen mit einer anderen zumeist verkehrten Geometrie und zeigt diese an.
Siehst du zumeist bei den Partitionen an den zweiten und dritten Wert, das der nicht mehr konform ist.
Dazu gibt es mal Infos über primäre und logische Partitionen, wie die aufgebaut sind hier;
http://www.cgsecurity.org/wiki/Partitionserkennung_primär_und_logisch
Hat somit nichts mit Testdisk zu tun, sondern ist abhängig von den genannten Tools die sowas verursachen.
Wenn in Testdisk nach bestätigen bei Analyse (gegenwärtige Zustand der Partitionstabelle) eine Partition doppelt angezeigt wird, ist es ein Hinweis auf den Bootsektor oder ein korruptes Dateisystem.

 

[nielex]

Eine Speicherung der Volume Header Datei habe ich soweit ich weiss nicht gemacht.
Ich habe natürlich nur die Schlüsseldatei gesichert und hab mir natürlich das Passwort gemerkt.

Ergebnis:

Windows startet wieder, jedoch kann ich auf die Partition der Daten nicht zugreifen.
Bild vom Vorgang write hinzugefügt.

 

[Fiona]

Ich weiß jetzt nicht was die Bootsektorreparatur macht und ob es ausreicht.
Dauert noch ein wenig.
Im Fall habe ich deine Bilder, so das eine normale Partition auf den Speicherbereich erstellt werden kann.
Dazu müßte ich wissen ob es auch ein logisches Laufwerk war, an deiner Datenpartition direkt angeschlossen hatte und bis zum Ende der Festplatte gegangen ist.
Auch ist der Partitionstyp ob FAT oder NTFS wichtig.
Hierbei sollte nicht formatiert werden.
Infos würde ich dann setzen.
Aber dazu muß ich einfach wissen, was die Bootsektorwiederherstellung macht und ob es was nützt.
Ist somit keine verbindliche Zusage und meinerseits nur vorab Infos.
Ob es klappt, weiß ich nicht.

Viele Grüße

Fiona

 

[nielex]

Wie gesagt, ein Zugriff auf die daten Partition ist immer noch nicht möglich.
TrueCrypt hat im Auswahlfenster nur die Partitionen, die auch bis jetzt erkannt wurden.

 

[Fiona]

Da ist noch der Bootsektor (Partitionssektor) kaputt.
Gehe mal auf Backup BS und bestätige mit Eingabe, y und Ok.
Dann wird das intakte Backup vom Bootsektor über den Bootsektor kopiert und der Bootsektor ist repariert.
Starte den Computer neu und teile es mit.
Achte aug chkdsk und breche es im Fall ab, um keine Änderungen an der Partition vorzunehmen.

Viele Grüße

Fiona

 

[nielex]

Dank deiner Hilfe, konnte ich die partition Daten wieder herstellen.

ICH MÖCHTE MICH AN DIESER STELLE RECHT HERZLICH BEI DIR BEDANKEN!

Und wie gehts jetzt weiter?

 

[Fiona]

Ich werde bersuchen mich mit der Bootsektorwoederherstellung bei True Crypt-Partitionen diese Woche zu beschäftigen.
Melde dich vielleicht mal am Wochenende bei mir via PN oder Anfang nächster Woche.

Werde ich dir dann mitteilen.
Solange der hintere Speicherbereich jetzt ungenutzt ist, gibt es auch keine Änderungen die eine Weiderherstellung erschweren könnten.

Viele Grüße

Fiona

 

[nielex]

Hallo!

Du ich habe da eine Frage, dass heisst in meinem Fall wäre es sehr hilfreich wenn ich die abgespeicherten Informationen des MBR zur Verfügung hätte?

Der MBR ist ja der erste Sektor auf der Platte, und weist eine Grösse von 512 Bytes auf.

Wenn ich ein Image der ersten Partition erstelle, wird dann der MBR mitabgespeichert oder wird der erste Sektor davon ausgeschlossen?

Sorry, ich muss ehrlich zugeben, mit dieser Seite der Computerwelt, hab ich mich bis jetzt sehr wenig beschäftigt.

 

[Fiona]

True Image sichert den MBR mit.
Bootsektor ist schwieriger und zumeist mit Diskeditoren zu sichern.
Testdisk kann wenn du bei Analyse bestätigst ein Backup der Partitionstabelle erstellen.
Die Datei ist dann im Testdisk-Verzeichnis und heißt backup.log.
Diese kann gesichert werden.
Ob der gesamte MBR gesichert werden soll ist eine andere Frage und betrifft nur den Bootloader (446 Byte) und die Signatur von 2 Byte, das der MBR gültig ist.
Um den MBR zu sichern, solltest du mal MBR-Tool anschauen.
Wäre möglich das der den MBR komplett sichert.
Eigentlich reicht ein normales Backup von wichtigen Daten und für das System und Programme ein Image

Viele Grüße

Fiona

 

[nielex]

Ich hab eigentlich gemeint, dass ich ein Image der ersten Partition (Systempartition)
besitze.

Sollte, wie du erwähnt hast der MBR gesichert werden, hätte ich die notwendigen Informationen zur Verfügung.

Die Frage stellt sich jetzt nur, ob die Daten des MBR dafür ausreichend sind, damit die TrueCrypt Partition wieder hergestellt werden kann.

 

[nielex]

Was meinst du dazu?

 

[Fiona]

Ich weiß nicht, ob True Image überhaupt andere Partitionen in der Partitionstabelle mitsichert oder nur die betreffende.
Wäre der Hammer, wenn du von einem älteren Image die Systempartition wiederherstellst und andere Partitionen in der Partitionstabelle überschrieben werden.
Kann ich mir überhaupt nicht vorstellen.
Wenn du eine Partition in die Partitionstabelle einträgst, dann wird die auch unformatiert angezeigt und der Laufwerksbuchstabe ist im Explorer sichtbar.
Wenn du andere Partitionen geändert hättest, wären die erstmal weg.

Daher halte ich davon nicht viel.

Viele Grüße

Fiona

 

[nielex]

Ja, in diesem Fall hast du recht, es wäre natürlich furchtbar, wenn man durch eine Wiederherstellung die Partitionstabelle so verändert, dass die anderen Partitionen nicht mehr zugänglich sind.



Ach,....

 

[nielex]

Kann ich eigentlich jetzt wieder mit meinem Rechner arbeiten, bzw. Daten auf die 2 Partitionen (WinXP und Daten) ablegen? Ich brauch nämlich mein Notebook ganz dringend.