Formatiertes Truecrypt-Volumen retten

[Gyni]

Hallo,

ich Idiot habe ein riesiges Problem.
Ich wollte meine primäre Festplatte mit Darik's Boot and Nuke formattieren. Was ich beim Start des Programms nicht beachtet habe ist, dass meine sekundäre Festplatte, die ein einziges Truecrypt-Volumen ist, vom Programm gleich mitformattiert wurde. Als ich das bemerkte waren bereit 0,16 % der sekundären Festplatte mitformattiert.
Ich brach die Formatierung natürlich sofort geschockt ab.

Daraufhin konnte ich die sekundäre Festplatte nicht mehr mounten.
Mit einem backup von der header-datei konnte ich zwar diesen Zustand ändern. Nun kann ich die platte wieder mouten, aber die Dateien sind nicht mehr vorhanden.

Kann mir bitte jemand sagen ob noch einen Chance besteht die Dateien wieder herzustellen ?

Habe bereits versucht das eingebundene Laufwerk(nfts) mit PC Inspector File Recovery wieder herzustellen aber das Programm bricht mit einer Fehlermeldung die Wiederherstellung von anfang an ab.

Bin verzweifelt und hoffe das ihr mir helfen könnt.

Danke

Gueni

 

[Fiona]

Leider ein bekanntes Problem.
Normal kommst du so nicht an die Daten.
Datenrettungssoftware für Windows arbeitet nur mit FAT oder NTFS.
Wenn das Dateisystem verschlüsselt ist, erkennt Datenrettungssoftware das Dateisystem nicht mehr.

Mit einem backup von der header-datei konnte ich zwar diesen Zustand ändern. Nun kann ich die platte wieder mouten, aber die Dateien sind nicht mehr vorhanden.

Probiere mal das Backup vom Bootsektor über den Bootsektor zu kopieren.
Ich weiß wo die sich befinden.
Wäre die einzigste Möglichkeit, wenn du nicht fertig formatiert hattest und die verschlüsselte Partition sich wieder richtig in der verschlüsselten Partitionstabelle befindet.

Um den Bootsektor genau zu lokalisieren, wäre es nur möglich wenn ich Infos bekomme ob es eine Partition auf der Festplatte war und die den gesamten Speicherbereich belegt hatte.
Ansonsten wenn mehrere Partitionen auf der Festplatte waren, und die anderen noch vorhanden sind, brauche ich die Infos.
Zu zurückkopieren brauchst du einen Diskeditor, da wahrscheinlich auch Testdisk das Dateisystem nicht mehr erkennt.
Daher geht es nur manuell.

Testdisk gibt mir nur die CHS-Werte der Festplatte.
Dann brauchst du einen Diskeditor, mit dem du das verschlüsselte Backup vom Bootsektor über den verschlüsselten Bootsektor kopieren kannst.
Damit wäre es dann vielleicht möglich, das du wieder Zugriff auf deine Daten erhältst.
Ansonsten setze dich mal mit dem Support von Truecrypt auseinander, wenn du bedenken hast, oder echt teuere Spaß wären Datenrettungsfirmen bei verschlüsselte Dateien.
Kann nicht jede!

Teile mal mit, was du machen möchtest und ob du einen Diskeditor hast.
Soweit möglich folgen dann Infos.
Einfache Lösung wäre Acronis Disk Director Suite mit dem Modul Disk Editor.
Disk Probe würde auch gehen und ist als Freeware auf der Windows CD.
Ist aber eine kompliziertere Klickerei.

Viele Grüße

Fiona

 

[Gyni]

Hi Fiona,

danke für deinen Rat.

Also wo fang ich an.
Die Backup-Header-Datei wurde von dem Programm Truecrypt erstellt. Mit Hilfe dieser Datei konnte Truecrypt den "Volume-Header" wieder herstellen, so dass ich den verschlüssteten Datenträger mit Hilfe von key-file und passwort wieder einbinden kann. Allerdings ist das Dateisystem des eingebunden Laufwerks nicht mehr vorhanden.

Entspricht die "Volume-Header-Datei" dem Inhalt meines gelöschten Bootsektors ? Und wenn ja wie kann ich diesen mit der backup-datei überschreiben?

Bei der der irrtümlich, zu einem geringen Prozentsatz formatierten Festplatte, handelte es sich um nur eine einzige Partition die den gesamten Speicherbereich belegt und von Truecrypt erstellt wurde.

Habe mir Acronis Disk Director besorgt incl. Disk Editor besorgt, wie soll ich nun vorgehen ?
und wo kann ich den Bootsektor finden?

Das Forum von Truecrypt ist zur Zeit down, bleibe aber dran. Eine Dattenrettungsfirma kommt für mich aus Kostengründen nicht in Frage.

Danke für deine Mühe

Grüße

Gueni

 

[Fiona]

Mache mir mal zuerst zwei Screens über den Zustand deiner Festplatte mit Testdisk.
Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.9 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.

Geht mir erstmal darum um den MBR und die Partitionstabelle zu überprüfen.

Geht dann weiter, das mit Disk Editor der Sektor 0 (absolute Sektor 63) im Disk Editor markiert und als Datei gespeichert wird (ist paraktisch dein Bootsektor). Nur auf diesem 512 Byte großen Speicherbereich wird gearbeitet.
Damit hast du erstmal ein Backup.
Der letzte Sektor der Partition (Position teile ich dir anhand der Daten von Testdisk auch mit) ist normal das Backup vom Bootsektor.
Dieser wird markiert, in die Zwischenablage kopiert und auf dem ersten Sektor wieder eingefügt.
Wird dann gespeichert und du kannst versuchen auf das Dateisystem wieder zuzugreifen.
Im Fall kannst du den Sektor komplett wieder wie vorher wiederherstellen.

Viele Grüße

Fiona

 

[Gyni]

Vielen herzlichen Dank.

Hab heute leider keine Zeit mehr. Werd mich morgen gleich dran machen

Edit:
Sorry hab noch ne frage.
Soll ich das gemountete (logische Laufwerk), von truecrypt angelegte, Laufwerk testdisken ? Oder soll ich das wahre, physikalische Laufwerk mit testdisk untersuchen ?


Vielen Dank Grüße

Gunter

 

[Fiona]

Hattest du vielleicht den Companion, Photorec zu Testdisk benutzt?
Testdisk arbeitet nur mit Festplatten und zeigt alle erkannte Werte und Partitionen an.
Setze mir mal die Screens direkt nach Analyse und Quick Search.
Geht mir um CHS-Werte und Diagnose ob eine Partition erkannt wird.

Viele Grüße

Fiona

 

[Gyni]

Hallo Fiona,

hier ein paar Bilder

wenn das verschlüsselte laufwerk eingebunden wäre erscheint noch ein weiteres Laufwerk "Drive F:".
Hab es aber nicht eingebunden für diese Analyse

Mit dem Diskeditor hab ich noch nicht rumgetan. will da keinen Fehler machen.
Im Disk Editor hat der letzte absolute Sektor der vom Programm angezeigt wird die Nummer 781.417.664 (Zylinder 48.640, Kopf 254, Sektor 63).
Soll ich diesen Sektor von Zeile 0000-01F8 kopieren und in den absoluten Sektor 63 (Zylinder 0, Kopf 1, Sektor 1) einfügen ?

Bild letzter angezeigter Sektor

Bild vom Sektor 63

Danke für deine Hilfe,
wäre ein schönes Weihnachtsgescheck wenn meine Daten wieder da wären.

Grüße

Gunter

 

[Fiona]

Soll ich diesen Sektor von Zeile 0000-01F8 kopieren und in den absoluten Sektor 63 (Zylinder 0, Kopf 1, Sektor 1) einfügen ?

Ist wohl richtig.
Alle Sektoren vor 63 sind normalerweise reserviert?
Markiere jetzt mal den Sektor 63 im Cylinder 0 und Head 1.
Speichere ihn dann in eine Datei (dann hast du ein Backup!).
Markiere dann den Sektor 63 aus Cylinder 48640 und Head 254.
Kopiere ihn und füge den ganz vorn auf Sektor 63 Cylinder 0 und Head 1 ein.
Speichere es ab.
Starte den Computer neu.
Versuche dann dein Laufwerk erneut zu mounten.
Step by Step-Anleitung könnte ich im Fall erst morgen setzen, da ich es im Büro machen müßte.

Da du nur den einen Sektor geändert hast, kannst du es im Fall wieder rückgängig machen.
Auch dazu kann ich Anleitung schreiben.

Viele Grüße

Fiona

 

[golf16v]

@Fiona ?! kann das evtl hier bei meinem problem auch helfen ?!

 

[Fiona]

Nein hatte dein Fall schon gelesen.
Hier im Fall ist anformatiert.
Bei dir ist eine Fehlermeldung wegen falsches Password oder kein TrueCryptVolumen.
Sieht eher nach einem Fehler mit TrueCrypt aus.
Weiß ich aber noch nicht.,

Viele Grüße

Fiona

 

[golf16v]

heisst das du gibst die daten noch nicht verloren !?

 

[Gyni]

Hi Fiona,

hab alles gemacht wie du es empfohlen hast, aber leider sind die Daten nach dem einbinden der Festplatte immer noch nicht da.
Aber vielen Dank für deine Hilfe. Echt super support von dir.

Ich hab trotzdem frohe Kund zu berichten, denn ich hab mir das Programm "GetDataBack for Nfts" besorgt und siehe da, nachdem das eingebunde Laufwerk ein paar Stunden gescannt wurde, hat das Superprogramm 99% meiner Daten gefunden


Hurra, ein frohes Fest und guten Rutsch

 

[golf16v]

das kann man ja fast nicht glauben , truecrypt formatiert und man kann es retten , da geb ich mit meinem problem die hoffnung auch nicht auf !


@ Gyni freut mich für dich das es bei dir geklappt hat

 

[Fiona]

Freut mich auch das es geklappt hat!
Ist wohl Glück, das GetDataBack oder Datenrettungssoftware unterliegende Daten richtig erkannt hat.
Normal passiert das nicht, sonst bräuchte niemand seine Daten verschlüsseln.
Wurde hier auch schon öfters probiert.
Den Zusammenhang weiß ich nicht.
Kannst du ja auchmal mit Datenrettungssoftware probieren.
Mache einen Sektorscan.
Das bedeutet markiere die Festplatte und nicht die verschlüsselte Partition.
Datenrettungssoftware untersucht dann alles auf jegliche FAT oder NTFS-Partitionen und zeigt die Daten an.
Ich setze dir mal einen Hinweis mit Datenrettungssoftware und einen intensiven Sektorscan.
Infos;
Mache mir mal einen Scan mit Datenrettuntgssoftware in der Testversion.
Nehme mal dazu den kostengünstigen Restorer2000 (english) und lasse den mal nach Partitionen suchen.
Liefert in der Testversion gute Ergebnisse zum vergleichen.
Dazu folgende Anleitung;
Gute Ergebnisse sind Restorer2000, Scavenger und Recover it All.
Linkk dazu hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Freeware hat nicht immer gute Ergebnisse.

Du kannst dir ja mal den kostengünstigen Restorer2000 Pro (Shareware 49.99 $ ca. 38 €) in der Testversion anschauen was der an Daten nach Diagnose anzeigt.
Hatte hier bereits gute Ergebnisse und macht auch wenig Probleme mit verschiedene Dateiformate.
Daher noch ergänzende Hinweise und Tips wegen der Bedienung um optimale Ergebnisse zu erzielen.
Mache damit mal einen genauen Sektorscan.
Markiere die Festplatte und nicht deine Partition..
Scanne die Festplatte indem du auf das Icon im Menü mit dieser Uhr oder ähnlich gehst (Diese Option sucht nach Partitionen macht aber einen Sektorscan).
Dabei kannst du den Start auf der Festplatte festlegen und die Größe auch.
Dadurch scannst du nicht die gesamte Festplatte und sparst Zeit beim scannen und auch beim durchsuchen der Partitionen und Daten.
Hinterher kannst du oben im rechten Fenster in Restorer auf die Festplattensymbole (erkannte Partitionen) klicken und auf deine Daten untersuchen.
Wähle bitte zuerst die Laufwerkssymbole aus die deiner Partitionsgröße und Dateisystem entsprechen.
Da kannst du auch wenn im rechten Fenster mehrere angezeigt werden wechseln indem du in Restorer2000 im Menü oben ganz links auf das Laufwerkssysmbol klickst.
Dann kommst du wieder zurück und kannst im rechten Fenster das nächste Laufwerkssymbol zum untersuchen auf Daten auswählen.

Poste dann in deinem Thread weiter.

Viele Grüße

Fiona

 

[golf16v]

@fiona war das jetzt noch für mich gedacht !?

weil bei mir besteht ja nur das problem das ich das scheiss ding nicht mehr einbinden kann und ich nicht weis warum !?

schreiben wir in meinem thread weiter

 

[Fiona]

Ja war für dich gedacht!
Geht in deinem Thread weiter!

Gruß Fiona

 

[Gyni]

Grüß euch

Die Partition konnte GetDataBack nicht wiederherstellen, ich kann "nur" über das Programm auf meine Daten zugreifen. Ich muss die einzelnen Dateien der verschlüsselten Festplatte erst auf ein anderes Laufwerk kopieren um sie nutzen zu können.

@Fiona: Da ich im Augenblick nicht genug freien Festplattenspeicher habe um den kompletten Inhalt der verschlüsselten Platte auf ein anderes Laufwerk zu kopieren werde ich vor der gesamten Datenrettung keine weiteren Schritte unternehmen. Wenn meine Dateien gesichert sind werde ich gerne weitere untersuchungen anstellen. Ich bitte um Verständnis, ist mir zu riskant selbst wenn es sich nur um einen scan handelt.

@ golf16v: Hi, ich kannn das Truecrypt Volume auch nur einbinden weil ich vor der irrtümlichen Formatierung ein Backup der Volumen-Header Datei erstellt habe. (Diese Option findest du, wenn du bei Truecrypt auf den Button "Vol-Operations" drückst)

Komischerweise muss ich diese Datei auch jedesmal restoren bevor ich das verschlüsselte Laufwerk wieder mounten kann.

Hab mitterweile auch in einem englischen Forum gelesen, dass du nur eine Chance hast die Daten zu retten, wenn du die Platte mounten kannst. Denn das gemountet Laufwerk verfügt über ein normales Nfts oder Fat Dateisystem was sich einfacher wiederherstellen lässt.

Viel Erfolg für deine Rettungsaktion

@ all: Frohes Fest

Gunter

 

[golf16v]

@Gyni , ich hab dummerweise erst gestern ein Volumen Headerfile gemacht , und das bringt mir imho leider nichts , da sie ja schon schrott ist .. Ich hoffe das ich auch irgendwie an die daten ran komme wäre scheisse wenn nicht