Mit TrueCrypt verschlüsselte externe Festplatte - Zugriff auf verschlüsselte Daten?

[thomasM80]

Hallo liebe Forenmitglieder,

meine externe Festplatte von Western Digital

https://www.amazon.de/gp/product/B004445JFY/ref=oh_aui_search_detailpage?ie=UTF8&psc=1

hat relativ plötzlich den Geist aufgegeben. Beim Einstecken gingen keine Lichter mehr an und es gab keine Geräusche mehr, also keine Lebenszeichen. Daraus habe ich geschlossen, dass die Stromversorgung kaputt sein dürfte. Ich habe mich dann entschieden, eine USB-Docking Station

https://www.amazon.de/gp/product/B00GIDSYYW/ref=oh_aui_detailpage_o01_s00?ie=UTF8&psc=1

zu kaufen. Die Festplatte gibt auch wieder ihre gewohnten Laute von sich, jedoch wird sie nicht angezeigt im Explorer. Ich habe dann Computerverwaltung -> Datenträgerverwaltung gewählt. Dort wird der Teil der Festplatte, der mit TrueCrypt verschlüsselt ist, und eine Größe von 930 GB (von insgesamt 1000) hat, prinzipiell angezeigt, allerdings als "nicht zugeordnet". TrueCrypt findet sie prinzipiell ebenfalls, bringt aber eine Fehlermeldung ("Incorrect Password or no TrueCrypt Volume"). Soweit ich mich erinnere, zeigte TrueCrypt vor dem Ausfall der externen Festplatte noch einen weiteren Plattenteil an, der aber jetzt verschwunden ist. Nach meinen bisherigen Recherchen scheinen Informationen über Partitionen verschwunden zu sein. Gibt es eine Möglichkeit, noch auf die Daten zuzugreifen? Vieles würde ich nicht vermissen oder an anderer Stelle wieder bekommen. Jedoch habe ich unter anderem alle Fotos meiner Tochter seit Geburt auf der Platte. Einen Großteil davon hatte ich auch noch auf einem alten iPhone (3?), aber wie es der Zufall so will, hat es meine Frau geschafft, just vor einigen Tagen dieses zurückzusetzen beim Versuch, irgendeine App zu installieren, sodass die Bilder dort auch noch weg sind.
Ich werde auch versuchen, die Daten vom iPhone wiederherzustellen, aber zunächst möchte ich es mit der externen Festplatte probieren.
Bereits im Voraus vielen Dank für Eure Hilfe.

 

[Sephe]

Die chancen stehen sehr schlecht, vor allendingen weil die Festplatte auch noch verschlüsselt wurde.

Da ja so wichtige Sachen wie Fotos aus den ersten lebensjahren darauf sind, hast du doch sicherlich noch irgendwo ein Backup auf einer zweiten Festplatte abgelegt, oder?

Ich würde an deiner Stelle erst einmal "Crystaldiskinfo" anschmeissen und eine 1zu1 Kopie (Bitweise) anlegen, damit du bei der Datenrettung nicht noch mehr kaputtmachen kannst.

WICHTIG!

Ich habe es schon öfters gehabt, dass USB-SATA Dockingstationen an der Partitionstabelle rumpfuschen.

Schließ die Festplatte UNBEDINGT direkt per SATA in deinem PC an - ohne eine USB-SATA-Bridge dazwischen!

 

[thomasM80]

Von den Bildern habe ich deshalb keine weitere Sicherungskopie, weil ich diese, wie beschrieben, noch auf dem iPhone hatte, das meine Frau aber zurückgesetzt hat. Vielleicht stehen die Rettungschancen dort besser. Ansonsten kann ich zumindest bei meinen Verwandten und Bekannten nachfragen, denen ich über die Jahre Bilder geschickt habe.
Mein Informationsstand ist, dass sich an einer bestimmten Stelle der Festplatte ein "Header" von TrueCrypt befindet, den man prinzipiell mit einem Programm namens TestCrypt wiederfindet.
Kann es sein, dass das Problem, das hier in #4 beschrieben wird, auftritt

https://www.computerbase.de/forum/t...em-mounten-keine-daten.1178688/#post-13551371

d.h. die externe Festplatte verwendet einen Controller, der auf einem anderen System basiert, als der USB-Dock, sodass der Header nicht gefunden werden kann? Würde es dann eventuell helfen, einfach eine externe Platte gleichen Typs nochmals zu kaufen und die Festplatten auszutauschen?

 

[Dorian_WD]

Hallo thomasM80,

Tut mir leid, dass du solche Schwierigkeiten mit der Platte hast. Wie Sephe sagte, wäre es wegen der Verschlüsselung etwa schwieriger, wenn überhaupt möglich, die Daten zu retten. Mit einem Datenrettungsprogramm, wie dieses, das in dem verlinkten Thema erwähnt wurde, könntest du es auch probieren.
Mit so einem Datenrettungstool könntest du auch probieren, die Bilder von dem Handy deiner Frau wiederherzustellen. Hoffentlich wurden diese noch nicht überschrieben und du schaffst es, diese zu retten.

Wenn das nicht hilft, dann bleibt die Option, ein Datenrettungsunternehmen zu kontaktieren.

lg

 

[Sephe]

Von den Bildern habe ich deshalb keine weitere Sicherungskopie, weil ich diese, wie beschrieben, noch auf dem iPhone hatte, das meine Frau aber zurückgesetzt hat.

Entschuldige mal bitte, aber Daten auf einem iPhone sind KEINE Sicherungskopie!

Auch bei dem iPhone hast du KEINEN direkten Zugriff auf den Speicher und MUSST dort zwingend den Weg über das Betriebssystem gehen.

Somit hast du auch hier keine Datenrettungsoptionen - vor allendingen wird das iphone jetzt aktuell anscheinend verwendet, und überschreibt munter die Speicherbereiche, an denen vorher die Fotos lagen. -> Keine Chance mehr.
Andernfalls muss ein Forensik-Unternehmen ran. (Speicher auslöten und extern auslesen. Kosten liegen definitiv bei einem 4stelligen bis 5stelligen Eurobetrag)

d.h. die externe Festplatte verwendet einen Controller, der auf einem anderen System basiert, als der USB-Dock, sodass der Header nicht gefunden werden kann? Würde es dann eventuell helfen, einfach eine externe Platte gleichen Typs nochmals zu kaufen und die Festplatten auszutauschen?

Nein, nicht schon wieder was kaufen und ausprobieren.
Es gibt unzählige Revisionen dieser externen Festplatten. Wenn dann müsstest du einen mit genau der gleichen Revision kaufen.

So wie du es erklärt hast, ist es korrekt. Die USB-SATA-Brige-Controller unterscheiden sich. Manche stellen die Festplatte als 4K-Sektorgröße bereit, manche nicht, und manche konvertieren munter zwischen den Größen)

- Bitte schließ die Festplatte einmal DIREKT per SATA an deinem Mainboard an.

- Hast du die Truecrypt-Header-Datei gesichert? (Diese lässt sich exportieren und wegsichern im Falle einer Beschädigung des Truecrypt-Archivs)

- Poste bitte ein Bild von der Datenträgerverwaltung

 

[thomasM80]

Das iPhone wurde seither nicht mehr benutzt, da ich ein Smartphone im Normalfall nicht brauche und nur bei Bedarf als Telefon mitführe. Ich habe versucht, das Ding mit einer Testversion von DrPhone von Wondershare zu scannen, habe aber nichts gefunden. Ich werde mich also mit dem Gedanken abfinden müssen, dass die Bilder weg sind.
Ich habe bis Freitag eine wichtige berufliche Deadline einzuhalten und werde die ganze Angelegenheit bis dahin liegen lassen, melde mich dann aber nächste Woche nochmals und werde versuchen, die Platte direkt im Computer anzuschließen.
Wahrscheinlich muss ich hier einfach Lehrgeld bezahlen für meine Fehler im Zusammenhang mit der Datenspeicherung.
Natürlich ist ein iPhone per se keine Sicherheitskopie. Ich habe es einfach so gesehen, dass ich die Daten an zweierlei Speicherorten habe, was das Risiko eines Verlusts reduziert. Nachdem meine Frau das iPhone platt gemacht hat, hätte ich eigentlich sofort eine weitere Sicherheitskopie anlegen sollen. Nun gut, es ist wahrscheinlich nichts mehr zu machen.

 

[Simpson474]

Ist es die 2 TB oder die 3 TB Version der Festplatte? Bei 2 TB wird meist keine 4 KB Emulation durchgeführt, bei 3 TB eigentlich immer. Dein eigentliches Problem dürfte die Hardwareverschlüsselung des Western-Digital Gehäuses sein, wodurch deine Daten doppelt verschlüsselt sind. Am einfachsten wäre es, wenn nur das Netzteil des Gehäuses defekt ist. In diesem Fall sollte sogar das Netzteil der Docking-Station funktionieren, außer es wurde ein komplett anderer Stecker verbaut. Du kannst im Grunde alle 12V Netzteile probieren (z.B. von der FRITZ!Box), es muss aber die Polarität (Plus innen ist quasi Standard) und die Spannung (12V auf keinen Fall ein 19V Netzteil von einem Notebook verwenden) passen. Lässt sich das Gehäuse nicht mehr zum Leben erwecken, so ist das bei der Sicherheit der Western Digital Teile meist kein Weltuntergang. So lange dass Passwort nicht manuell geändert wurde, kann bei den Geräten eine baugleiche Platine verwendet werden, da die Schlüssel bei allen Geräten identisch sind.

 

[thomasM80]

Ist es die 2 TB oder die 3 TB Version der Festplatte? Bei 2 TB wird meist keine 4 KB Emulation durchgeführt, bei 3 TB eigentlich immer. Dein eigentliches Problem dürfte die Hardwareverschlüsselung des Western-Digital Gehäuses sein, wodurch deine Daten doppelt verschlüsselt sind. Am einfachsten wäre es, wenn nur das Netzteil des Gehäuses defekt ist. In diesem Fall sollte sogar das Netzteil der Docking-Station funktionieren, außer es wurde ein komplett anderer Stecker verbaut. Du kannst im Grunde alle 12V Netzteile probieren (z.B. von der FRITZ!Box), es muss aber die Polarität (Plus innen ist quasi Standard) und die Spannung (12V auf keinen Fall ein 19V Netzteil von einem Notebook verwenden) passen. Lässt sich das Gehäuse nicht mehr zum Leben erwecken, so ist das bei der Sicherheit der Western Digital Teile meist kein Weltuntergang. So lange dass Passwort nicht manuell geändert wurde, kann bei den Geräten eine baugleiche Platine verwendet werden, da die Schlüssel bei allen Geräten identisch sind.

Es ist sogar nur 1 TB, das Ding ist aus dem Jahr 2011. Oben im Eingangspost hatte ich fälschlicherweise die 2 TB Variante verlinkt.
Das Netzteil der Dockingstation passt nicht, auch sonst passt keines, das ich schon habe, hatte ich bereits probiert.
An der externen Festplatte selbst dürfte ich kein Passwort geändert haben (ist schon eine Weile her).
Ich habe mir jetzt einfach die (hoffentlich exakt) baugleiche Festplatte nochmals bestellt und von der alten alle Bestandteile säuberlich aufbewahrt. Dann werde ich zunächst schauen, ob es nur am Netzteil liegt. Sollte das nicht passieren, versuche ich, die alte Platte in das neue Gehäuse einzubauen. Wenn ich die Platte bekommen habe melde ich mich nochmals hier.
Auf jeden Fall nochmals vielen Dank!

 

[DoS007]

Vielleicht kann ich mit meiner Erfahrung zu der WD My Book (ich habe 3TB Version) weiterhelfen.

Per SATA Anschluss usw. kannst du alles zur Datenrettung vergessen.

Zur Diagnose solltest du Folgendes tun:
1. Per SATA anschließen, SMART-Werte mit crystaldiskinfo prüfen und sicherstellen das alles in Ordnung ist
2. Per USB anschließen, SMART-Werte überprüfen, ob alles in Ordnung ist. (ggf. wird nicht gezeigt, oder gezeigt das alles in Ordnung ist, ggf. Wackelkontakt)

Wenn 1. vernünftig klappt: Du kannst mit sehr hoher Wahrscheinlichkeit deine Daten retten. Vermutlich wird bei dir, wie auch bei mir, nur der Adapter kaputt sein (der Strom und USB Anschluss nach außen gibt).

1. Daten retten über SATA geht wegen Verschlüsselung nicht. Wenn also nur der USB-Adapter hardwaremäßig kaputt ist, hast du genau 2 Möglichkeiten um deine Daten zu retten:
In beiden Fällen nimmst du das Gebäuse auseinder (z.B. https://www.youtube.com/watch?v=5DEFdA4--Xw ).
a) Du nimmst den USB-Adapter ab, säuberst ihn und steckst ihn wieder drauf und schließt Strom- und USB-Kabel wieder an. Bei mir ging es dann manchmal wieder, es handelte sich bei mir um einen Wackelkontakt. Wenn du kurz wieder auf die Daten zugreifen kannst (bis der Abbruch durch den Wackelkontakt wieder einsetzt), nutzt die FreeFileSync um deine Daten per Aktualisierung woanders hin zu retten (natürlich vorher mit truecrypt wieder eingehängt).
b) Du hast nicht mal einen Wackelkontakt und das Ding ist unbrauchbar. Dann guckst du auf die Nummer von dem USB-Adapter und suchst/kaufst hier den entsprechenden Adapter: http://parts.com.hk/1/index.php?mai...t6iiltutghgmpevpjac2ahkc1&keyword=wd+my+book+ . Die Nummer bestimmt, soweit ich weiß, die Verschlüsselung (das ist auch das wonach du suchst, also z.B. "4061-705149-000 REV AB" oder sowas).

Das du jetzt noch genau den gleichen Adapter beim Kauf einer neuen My Book kriegst, halte ich für wenig wahrscheinlich.

Viele Grüße
DoS007

 

[thomasM80]

Viele Grüße
DoS007

Auch Dir vielen Dank. Das Netzteil der alten Platte scheint kaputt zu sein, ich habe es nachmessen lassen. Natürlich kann man daraus nicht folgern , dass sonst nichts kaputt ist, insbesondere könnte ich beim Ausbauen irgendetwas kaputt gemacht haben. Ich bin aber insgesamt vorsichtig optimistisch, dass ich die Daten wieder kriege. Wäre natürlich eine geistige Höchstleistung, so einen riesigen Heckmeck zu veranstalten, wenn nur das Netzteil kaputt ist.

 

[thomasM80]

Ich habe eine neues Netztteil gekauft und die Platte läuft prinzipiell wieder. Allerdings habe ich weiterhin keinen Zugriff auf die Daten: mit Truecrypt konnte ich zwar die Festplatte mounten, nachdem ich die Option "use backup header embedded in volume if possible verwendet habe", jedoch wird auf dem Laufwerk dann kein Dateisystem erkannt.
Sieht schlecht aus, oder hat noch jemand eine Idee, was man noch machen kann?

 

[Triversity]

Professionelle Datenrettung kann vielleicht helfen (einfach mal anfragen und deine Situation schildern). Wobei du da halt schnell vierstellig auf den Tisch legst. Aber wer kein Backup anlegen will, muss das halt früher oder später auf die harte Tour lernen...

 

[Simpson474]

Wenn das Einbinden in TrueCrypt schon mal funktioniert, dann sollte die Entschlüsselung wieder funktionieren. Das Problem ist wohl, dass durch deinen Umbau in den PC das Dateisystem im TrueCrypt-Volume zerstört wurde. Versuch mal die Testversionen von GetDataBack bzw. R-Studio, ob damit die Daten angezeigt werden: wichtig dabei ist, dass du die Festplatte zunächst in TrueCrypt einbindest und anschließend im Datenrettungsprogramm den Laufwerksbuchstaben von TrueCrypt auswählst, denn nur so sind die Daten entschlüsselt. Bei GetDataBack ist diese Option etwas versteckt, dort muss zunächst eine Box mit der Aufschrift "Logische Laufwerke" aufgeklappt werden.

 

[thomasM80]

Wenn das Einbinden in TrueCrypt schon mal funktioniert, dann sollte die Entschlüsselung wieder funktionieren. Das Problem ist wohl, dass durch deinen Umbau in den PC das Dateisystem im TrueCrypt-Volume zerstört wurde. Versuch mal die Testversionen von GetDataBack bzw. R-Studio, ob damit die Daten angezeigt werden: wichtig dabei ist, dass du die Festplatte zunächst in TrueCrypt einbindest und anschließend im Datenrettungsprogramm den Laufwerksbuchstaben von TrueCrypt auswählst, denn nur so sind die Daten entschlüsselt. Bei GetDataBack ist diese Option etwas versteckt, dort muss zunächst eine Box mit der Aufschrift "Logische Laufwerke" aufgeklappt werden.

Die Testversion von GetDataBack for NTFS habe ich bereits versucht, insbesondere habe ich den Laufwerksbuchstaben von TrueCrypt ausgewählt. Der Scan dauerte knapp einen Tag und hat am Ende nichts gefunden. Ich war davon etwas enttäuscht, da er beim Scannen rechts oben "Erkannte Dateien: n Starts, 0 benutzerdef." anzeigt, wobei n eine mit zunehmender Dauer des Scans ansteigende Zahl war. Ich hatte gehofft, dass er hier etwas gefunden hätte. Es kam dann eine Meldung, dass kein Dateisystem gefunden worden sei (soweit ich mich erinnere), ich solle es mit der FAT-Variante nochmals versuchen, was ich bisher nicht getan habe, weil es eine Weile dauert.
R Studio hatte ich ebenfalls probiert. Dauerte nicht ganz so lang und zeigte Dateien an, insbesondere verpackte Archive, angeblich eine Datei eines Systems, das ich aber gar nicht verwende, diverse Video-Dateien etc. Keine Ahnung, ob es sich dabei wirklich um Dateien oder nur um Fehldiagnosen handelte.

Kann es sein, dass ich das Dateisystem alleine dadurch zerstört habe, dass ich dem als "RAW" in der Datenträgerverwaltung angezeigten Datenträger einen Laufwerksbuchstaben, allerdings ohne Formatierung, zugewiesen habe? In irgendeinem alten Thread hat das bei jemandem funktioniert, und ich dachte, dass ich nichts kaputt machen würde, wenn ich das Laufwerk nicht formatiere.

Ich könnte mich schwarz ärgern. Hätte ich lediglich ein neues Netzteil gekauft, wäre möglicherweise nichts passiert.

 

[Simpson474]

Lass mal TestCrypt über die HDD laufen (ohne diese in TrueCrypt einzubinden), denn möglicherweise wurde auch nur die Paritionierung zerstört und der Anfang der Partition stimmt nicht mehr.

 

[thomasM80]

Lass mal TestCrypt über die HDD laufen (ohne diese in TrueCrypt einzubinden), denn möglicherweise wurde auch nur die Paritionierung zerstört und der Anfang der Partition stimmt nicht mehr.

TestCrypt habe ich schon einmal (ohne Erfolg) scannen lassen, als ich die Platte noch in der USB Docking Station hatte. Denkst Du, dass es sich lohnt, das nochmals zu wiederholen, nachdem die Platte wieder als externe Festplatte läuft?

 

[Simpson474]

Es könnte sich lohnen, da der Test mit der USB Docking Station aufgrund der Verschlüsselung zu keinem Ergebnis kommen konnte.

 

[thomasM80]

Es könnte sich lohnen, da der Test mit der USB Docking Station aufgrund der Verschlüsselung zu keinem Ergebnis kommen konnte.

OK, danke, dann werde ich es nochmals durchlaufen lassen und mich mit dem Ergebnis wieder melden.

Ergänzung (13. Oktober 2016)

TestCrypt ist fertig. Ich habe einen Screenshot vom Ergebnis erstellt.

 

[Simpson474]

Binde das TrueCrypt-Volume direkt in TestCrypt per Rechtsklick auf den zweiten gefundenen Header ein, mit etwas Glück siehst du dann deine Daten.

 

[thomasM80]

Binde das TrueCrypt-Volume direkt in TestCrypt per Rechtsklick auf den zweiten gefundenen Header ein, mit etwas Glück siehst du dann deine Daten.

Ich vergaß: beim Start des Scannens kam eine Fehlermeldung, dass ein Programm einen nicht signierter Treiber zu verwenden versuche und deshalb kein Mounten möglich sein würde. Dieses Problem hatte ich zunächst einfach ignoriert, da ich erst einmal scannen wollte. Scheinbar lässt sich das Problem durch eine Einstellung beim Booten umgehen. Ich versuche das hinzukriegen und scanne dann nochmals.

Ergänzung (13. Oktober 2016)

Das Treiberproblem habe ich jetzt dadurch umgangen, dass ich einen anderen Computer mit einem 32-bit System verwende. Allerdings scheint der keinen USB 3.0-Anschluss zu haben und braucht für den Scan voraussichtlich 3 Stunden. Auf dem Rechner, den ich zunächst verwendet hatte, hat das Scannen keine halbe Stunde gedauert ...