Mit DCPP verschlüsselte Partionen wieder herstellbar?

[various66]

Hallo,

ich habe folgendes Problem:

Ich betreibe in meinem PC 3 Festplatten. Die erste ist in 3 Partionen unterteilt, und zwar wie folgt:

- 10 GB NTFS mit WinXP ( C: )
- 60 GB NTFS mit Anwendungsdaten ( D: )
- 250 GB NTFS mit Anwendungsdaten ( E: )

Die gesamte Platte ist mit DCPP verchlüsselt, und das Betriebssystem auch noch mit Bootauth versehen. Das System lief bisher absolt zuverlässig. Bis gestern, denn da versuchte ich auf einer 2. Platte Vista draufzupacken. Aus für mich nicht nachvollziehbaren Gründen konnte ich danach mein altes System nicht mehr starten. Ich konnte mich zwar noch im Bootauth erfolgreich einloggen, danach meldete er aber, dass er kein BS gefunden habe.

Da ich eine Recovery-Disk incl. Keystore habe, entschied ich mich, mit dieser Diskette das Laufwerk C: zu decrypten. Alles lief ordentlich durch, und der ursprüngliche MBR wurde auch wieder hersgestellt. Leider konnte ich mein BS danach immer noch nicht starten, da er weiterhin kein BS findet. So weit, so schlecht.

Hab mir dann mal mit einer Live-DVD die Partitionen auf HD1 angesehen und musste zu meinem Entsetzen festellen, dass alle Partionen "versemmelt wurden. Eigentlich müssten es 3 sein, nun sind es 6! Ich vermute, dass da beim decrypten etwas in die Hose ging. Von der Zeit (ca. 10 min.) kann es sich eigentlich nur an Win-Partionen zu schaffen gemacht haben.

Lange Rede, kurze Sinn: Mit den mir bekannten und hier im Forum vergestellten Progs war ich nicht in der Lage, die ursprüngliche Partitionstabelle wieder herzustellen. Da ich den Keystore gesichert habe müsste es doch reichen, die Partitionstabelle zu restaurieren (ggf. Win incl DCPP neu einzurichten) um wieder an meine Daten an D. und E: zu kommen, oder nicht??

Leider habe ich keine Ahnung, ob das überhaupt möglich ist, und wenn ja, wie ich das bewerkstelligen kann.

Bin für jeden Hinweis dankbar......


Grüße

 

[Fiona]

Beim verschlüsseln sind Laufwerke nicht mehr Standard Fat oder NTFS.
Daher haben Partitionierungstools und Datenrettungssoftware diese zu finden.
Da du aber ein Lauifwerk entschlüsseln konntest, mache mir mal eine Diagnose nach dieser Anleitung, um zumindest zu versuchen dein Betriebssystem wiederherzustellen.
Schreib eher nichts, da du sonst deine anderen verschlüsselten Partitionen verlieren könntest.
Wenn es dann Chancen gibt dein BS wiederherzustellen, würden zuvor Infos folgen, den MBR oder die Partitionstabelle zu sichern.
Mach mir mal eine Standard-Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.7 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige bei Proceed und setze mir auch einen Screenshot.
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[various66]

Hallo Fiona,

so, komme nun endlich dazu, Deinen Tipp zu befolgen. Vorweg aber folgender Hinweis: Die C-Partition habe ich in der Zwischenzeit aus einem sehr aktuellen Backup wieder zurückschreiben können. Dabei habe ich die Partitionsgröße so gewählt, dass sie kleiner ist als früher, damit keinesfall in den ehemaligen Bereich der D & E-Partition geschrieben wird (um die es mir im wesentlichen, da keine ganz aktuellen Sicherungen vorliegen, geht). Ist mir bekannt, dass man normaler Weise auf eine Platte, auf der man Daten rekonstruieren möchte, nicht schreibt. Im konkreten Fall habe ich mich aber auf den Plattenbereich beschränkt, den ich ohnehin nicht wieder herstellen muss. Hoffe, ich habe keinen Denkfehler....

Hab nun mit Test Disk gemäß Deinen Hinweisen die Platte untersuchen lassen. Die einzelnen Schriite bzw. Ergebnisse hänge ich Dir mal als ScreenShots an.

Ist es mit vertretbarem Aufwand noch möglich, die Partitionenstabelle der erweiterten Partition wieder herzustellen?

Danke und Grüße

various66

 

[Fiona]

Mir ging es darum, das deine Windowsinstallation nach dem decrypten untersucht wird, warum die nicht bootet.
Da hätte es Wege gegeben den Bootsektor zu überprüfen und gegebenenfalls nur den zu reparieren.
Dabei hättest du nur eine Reparatur an der Partition aber nicht in der Partitionstabelle vorgenommen.
An der Partitionstabelle oder MBR hättest du nichts machen sollen.
Da wahrscheinlich auch der MBR, Partitionstabelle und die Bootsektoren von den anderen Partitionen verschlüsselt sind, findet Testdisk die nicht.
In Testdisk werden im Moment nur noch zusätzlich eine zweite Partition angezeigt, die bis zum Ende der Festplatte geht.
Eine dritte sehe ich nicht, die nach deinen Beschreibungen noch in Betracht kommen würde.

Wichtig wäre, werden irgendwie nach deiner letzten Aktion noch die anderen zwei verschlüsselten Laufwerke im Gerätemanager in Windows angezeigt (egal ob unformatiert etc.).
Teile es mal mit.

Viele Grüße

Fiona

 

[various66]

..... nach der fehlgeschlagenen "Decryptaktion" von DCPP hatte ich ja 6 Partition. Im Gerätemanager wird (natürlich) C: angezeigt, sowie eine nicht zugeordnete, rd. 289 GB große Partition.

Bin übrigens davon überzeugt, dass Vista bei der "missglückten" Installation mein WinXP zerschossen hat. Denn unmittelbar vor dem Zurücksichern habe ich das "kaputte" " Windows gesichert, und später auf eine andere Partition der 2. Platte zurückgeschrieben (siehe im Anhang LW K: Dort wird "fehlerfrei" angezeigt, aber DCPP ist trotz korrektem Keystore nicht in der Lage, diese Partition zu lesen. Auch hierzu nochmals 2 Screens. Mich wundert, dass er die Sicherung (die ich "sectorweise" durchführen lasse) nicht lesbar ist. An der Art der Sicherung liegt es nicht, denn die hat schon mehrfach funktioniert, und wird vom Hersteller so empfohlen. Ist für mich ein Hinweis, dass die Partition von Vista tatsächlich beschädigt/überschrieben wurde.....

Grüße various66

 

[Fiona]

Problem im Moment ist, das der Speicherplatz als frei angezeigt wird.
Ich bräuchte von den beiden fehlenden Partitionen die Werte wie groß die waren.
Hier hängt im Moment das Problem!
Normal ist es sinnvoll; bevor was an einer verschlüsselten Festplatte die beschädigt ist, gemacht wird, diese zu klonen.
Zu testen wäre, auf der geklonten Platte entweder wenn nötig Partitionen erstellen und identisch zu verschlüsseln.
Der verschlüsselte MBR sollte mit MBR-Tool gesichert werden (darin befinden sich deine Partitionen).
Die Festplatte erneut klonen und den verschlüsselten MBR mit Partitionstabelle zurückzuschreiben.
Die Partitionen wäre dann vorhanden
Auch wäre der Speicherplatz vom Backup des verschlüsselten Bootsektors bekannt, und könnte mit einem Diskeditor ausgelesen werden.
NTFS und Fat32 haben immer ein Backup vom Bootsektor.
Bei NTFS, liegt es zum Beispiel genau am Ende der Partition im letzten Cylinder, Kopf 254 (normal Festplattenstandard) und Sektor 63.
Bei einem beschädigten Bootsektor, könnte das Backup des Bootsektors über den Bootsektor kopiert werden.
Dann ist der repariert.
Wenn dann weiter keine Fehler im Dateisystem sind, wäre es dann vielleicht möglich die Partition wieder zu entschlüsseln.

Irgendwie solltest du an die vorigen Partitionsdaten kommen.
Ich weiß noch nicht wie!

Viele Grüße

Fiona

 

[various66]

Ich habe eine Sicherung des MBR incl. Track 0. Zumindest zeigt mir das TrueImage im Wiederherstellungsdatensatz an. Könnte das weiter helfen?

Grüße

various66

 

[various66]

Hallo Fiona,

hab mich nun für das Einspielen der Sicherungen entschieden. Nicht die beste, aber in meinem Fall die einfachste Lösung.

Danke für Deine Mühe; bitte schließe ggf. den Thread.

Grüße various66

 

[Fiona]

Sorry, aber ich weiß das es kompliziert ist.
Eine Versuch wäre gewesen die Festplatte zweimal zu klonen um es zu testen.
Dabei hätte sich die Diagnose nur auf die Partitionstabelle (MBR) und Bootsektor bezogen.
Bei einem Fehler im Dateisystem nutzlos.
Auch ob eine identische Verschlüsselung und sichern des MBR's geholfen hätte wäre fraglich.
Es war mir nicht möglich deine Werte zu ermitteln.
Backup Image Software, ist nicht gerade hilfreich, da nur Daten komprimiert und gesichert werden.
Leere Sektoren werden ignoriert.
Ist somit nicht aussgaekräftig.

Viele Grüße

Fiona

 

[various66]

Das 2-fache klonen einer 320 GB-Platte ist selbst bei meinen 6 Platten im System platz- und organisationsbedingt nicht so ohne weiteres machbar

Hinsichtlich der Image-Software bin ich nicht Deiner Meinung, denn ich sichere nicht komprimiert (das ist auch der Grund, weshalb ich die System- nicht aber die Daten-Partitionen encryptet gesichert hatte) sondern sectorweise. Ich hatte (und habe) also ein 1:1 Abbild der verschlüsselten Partition incl. MBR und Track 0. Und dass das funktioniert hat mir das Einspielen ja gezeigt.....

Trotzdem Danke für Deine Mühe

Grüße

various66