Mit TrueCrypt verschlüsselte HDD formatiert. Wiederherstellen?

[WilmaImmer]

Hallo zusammen,

in meinem Laptop ist eine SSD für "System" und eine mit TrueCrypt komplett verschlüsselte HDD für "Data".

Die System-SSD ist schrott gegangen. Hab jetzt eine neue SSD eingebaut und Windows 7 installiert und stelle mit Schrecken fest, dass die Data-HDD auch "leer" ist. Ich vermute, dass sie entweder von den Reperaturleuten (das Laptop war wegen der Sache ein Tag beim Service, wo festgestellt wurde, dass die alte System-SSD Schrott ist...) formatiert wurde oder es kann auch sein, dass ich sie aus Versehen formatiert habe, als ich verzweifelt versucht hatte ein Systemabbild der alten SSD auf die neue SSD zu laden. (hatte vor 3 Monaten ein Systemabbild von der alten SSD gemacht. Das lässt sich aber leider nicht auf die neue SSD laden... bekomme immer einen Fehler. Das ist aber noch eine andere Sache..)

Weiß jemand ob ich die Data-HDD irgendwie zurücksetzen kann? Ich vermute sie wurde nur "schnell formatiert"..

Ich hoffe ihr könnt mir helfen. Ich stecke ganz schön in der Scheisse. Erste kackt die System SSD ab und nun auch noch die Datenplatte.. Ich kann das erste nicht mal verkraften.. dass die Zweite Platte auch noch futsch ist, gibt mir den Todesstoß

 

[arktom]

Stelle den Header wieder her, binde sie ein und lass dann ein Datenrettungsprogramm laufen.
Wenn du den Header nicht hast, nutze TestCrypt, um ihn wiederherzustellen.

[...]
Ich hoffe ihr könnt mir helfen. Ich stecke ganz schön in der Scheisse. Erste kackt die System SSD ab und nun auch noch die Datenplatte.. Ich kann das erste nicht mal verkraften.. dass die Zweite Platte auch noch futsch ist, gibt mir den Todesstoß

Weil die Daten so wichtig und nicht gesichert waren, es finanziell schwierig oder psychisch zu belastend ist (Mehrfachwahl möglich)?

 

[r0ck3r]

Du wirkst irgendwie leicht aufgelöst.... benutze doch dein Backup

Mal im Ernst:
Also es geht um eine ganz normale Festplatte und was bedeutet "Service"? Laptop zum Hersteller geschickt oder sowas wie Firmeninterner Service?

Klar könntest du probieren mit Recovery-Tools da irgendwas zu sichern. Ich weiß aber ehrlich gesagt nicht, wie groß da die Chancen auf Erfogl sind.

 

[arktom]

Wenn es wirklich nur eine schnelle Formatierung war und man den Header wiederherstellen kann, stehen die Chancen sehr gut, die meisten, vielleicht sogar alle Daten weitgehend unbeschädigt zurückzubekommen.

So oder so braucht der TE aber eine andere Platte, auf die er die wiederhergestellten Sachen spielen kann. Am besten auch noch etwas, um die momentane Platte zu spiegeln.


Auf gar keinen Fall darfst du noch was auf die Platte schreiben!
Aber warte mal ein bisschen ab, bald kommen hier die richtigen Experten, da bin ich sicher.

 

[WilmaImmer]

Bist du dir sicher, dass ich erst den Header wiederherstellen und dann das Datenrettungsprogramm laufen lassen soll? Ich hätte eher gedacht umgekehrt, bzw. dass der Header wieder auftaucht, wenn man die Formatierung rückgängig macht?

Weil die Daten so wichtig und nicht gesichert waren, es finanziell schwierig oder psychisch zu belastend ist (Mehrfachwahl möglich)?

Das letzte Backup von der Data-HDD ist von Anfang Juni. Wenn ich im Geiste überfliege, was ich in der Zeit gemacht habe und mir vorstelle, das alles noch mal zu machen.. aua -.- AUA!!! Gänsehaut..

Fianziell werde ich es wohl verkraften, muss doppelt reinhauen und Mancheiner muss eben noch etwas länger warten.. Für den Ruf ist das besonders förderlich ;-) Und wenn da nicht die Bitcoins drauf gewesen wären.. naja 100k€ sind dann halt futsch ;-)

Was die Systemplatte angeht mach ich mir Sorgen die ganze Arbeitsumgebung wieder auf den Stand zu bringen auf dem sie war, mit all den Tools und Einstellungen usw. Zudem waren auf C: ein paar wichtige persönliche Dokumente, aber vielleicht schaffe ich es die irgendwie aus dem Systemabbild zu lutschen, was allerdings 3 Monate alt ist AAARRRRG

Also es geht um eine ganz normale Festplatte und was bedeutet "Service"? Laptop zum Hersteller geschickt oder sowas wie Firmeninterner Service?

Es handelt sich um ein Thinkpad. Die haben ansich guten Support. Nur leider wurde die SSD als Extra von meinem Händler eingebaut, somit hat Lenovo in dem Fall keine Service verpflichtung... Ist auch Wurst erst mal, weil ich an die Daten von der Kaputten SSD eh nicht ran kommen werde. Die schicken mir maximal eine neue.

Auf gar keinen Fall darfst du noch was auf die Platte schreiben!

Das einzige was ich bis jetzt manuell gemacht habe, war das Zuteilen eins Laufwerkbuchstaben. Sonst nix.

Aber warte mal ein bisschen ab, bald kommen hier die richtigen Experten, da bin ich sicher.

Das wäre total super!

 

[[GP] mino]

Wilma, könntest du im falle eines erfolges zur datenrettung, der nachwelt ein tutorial mit dem titel "Der TrueCrypt Führerschein. Part: Wiederherstellung" hinterlassen? der inhalt soll vorkehrungen beinhalten, die notwendig sind, um verlorene TC-daten wieder zu erlangen. dabei soll der leser noch vor der eigentlichen benutzung von TC, eine liste von gängigen problemen selbst erzeugen und danach den karren wieder aus der scheiße ziehen. nach dem motto: mach dieses, formatiere jenes/entferne die partition, mach dies und das und die daten sind wieder da.

ab 2015 sollen nur noch diejenigen support erhalten, die dieses tutorial vor der benutzung von TC praktiziert und am selbsttest bestanden haben. weil... das ist seit graumen kein zustand mehr, wenn täglich neue "ich habe meine verschlüsselten daten verloren und wenn ich sie bis morgen nicht wiederbekomme, muss ich mein erstgeborenes hergeben"-threads aufgemacht werden.

was meinst?

 

[DukeStylez]

Versuchs am besten mit Testdisk
Hier ne deutsche Anleitung dazu
http://www.cgsecurity.org/wiki/Schritt_für_Schritt_Wiederherstellungsbeispiel

 

[arktom]

Man kann Formatierungen ja nicht einfach rückgängig machen. Ohne den Header wird gar nichts gehen, da deine Daten verschlüsselt und somit für ein Datenrettungsprogramm unbrauchbar sind.

Der Header ist meines Wissens der Schlüssel.



Grüße

 

[Simpson474]

Lass mal TestCrypt über die HDD laufen und wähl bei allen Optionen "Automatic" - falls was gefunden wird, kannst du anschließend einen Screenshot hier reinstellen.

 

[WilmaImmer]

Wilma, könntest du im falle eines erfolges zur datenrettung, der nachwelt ein tutorial mit dem titel "Der TrueCrypt Führerschein. Part: Wiederherstellung" hinterlassen? der inhalt soll vorkehrungen beinhalten, die notwendig sind, um verlorene TC-daten wieder zu erlangen. dabei soll der leser noch vor der eigentlichen benutzung von TC, eine liste von gängigen problemen selbst erzeugen und danach den karren wieder aus der scheiße ziehen. nach dem motto: mach dieses, formatiere jenes/entferne die partition, mach dies und das und die daten sind wieder da.

ab 2015 sollen nur noch diejenigen support erhalten, die dieses tutorial vor der benutzung von TC praktiziert und am selbsttest bestanden haben. weil... das ist seit graumen kein zustand mehr, wenn täglich neue "ich habe meine verschlüsselten daten verloren und wenn ich sie bis morgen nicht wiederbekomme, muss ich mein erstgeborenes hergeben"-threads aufgemacht werden.

was meinst?

Das ist ja bitter.. Jetzt verstehe ich.. Windows hat einfach meine Daten HDD Formatiert! Es muss tausende geben, denen das passiert ist und passieren wird.
Ich glaub aber, dass ich leider nicht der Richtige bin das Tutorial zu schreiben, ich hab einfach zu wenig Ahnung in dem Bereich. Zudem ist die TrueCyrpt Ära ja nun auch vorbei, es wird ja nicht mehr weiterentwickelt. Man kann nur hoffen, dass das Problem mit anderen Tools nicht auch auftritt! Ich denke ich werde auf Bitlocker umsteigen, das wird Windows bei Neuinstall vermutlich nicht killen.

TestCrypt

Lass mal TestCrypt über die HDD laufen und wähl bei allen Optionen "Automatic" - falls was gefunden wird, kannst du anschließend einen Screenshot hier reinstellen.

Ok, hab das mal zuerst gemacht und siehe da, es wird ein Header gefunden:



Volume Size stimmt auch!

Hab "Mount as Backupheader" gewählt. Das Laufwerk wurde als F: gemountet. Leider kann ich es nicht öffnen. Es wird von Windows als unformatiertes Laufwerk betrachtet.. Ich vermute jetzt kommt der Punkt wo die anderen Datenrettungstools ins Spiel kommen?


TestDisk

Ich lasse jetzt mal TestDisk mit folgenden Optionen laufen:

>>>"Create New Log File"
>>>"Select Media" = Drive F:
>>>"Select Partition Table type" = ich habe Intel/PC gewählt. (obwohl "None" detected ist. Die Platte hat aber nur eine Partition und im Kleingedruckten steht: "Do NOT select "None" for media with only a single partition." Ich hoffe meine Auswahl ist richtig...?)
>>>"Analyse" berichtet "Partition Sector doesn't have the Endmark 0xAA55"
>>>"Quick Search" Läuft gerade
>>>"Quick Search" Immer noch bei 00% So wie es aussieht, wird der Test mehrere Tage laufen :-/
>>>"Quick Search" Spuckt 2 "Invalid FAT boot sector" Nachrichten aus. Ich bin mir allerdings relativ sicher, dass die Platte mit NTFS formatiert war.

Hier das Ergebnis vom QuickCheck:



Die Liste geht noch weiter und es tauchen ein Paar "HPFS - NTFS" Einträge auf. Ich müsste jetzt einen Eintrag für "Continue" auswählen. Weiß jemand was ich da machen kann?

 

[Simpson474]

Zudem ist die TrueCyrpt Ära ja nun auch vorbei, es wird ja nicht mehr weiterentwickelt. Man kann nur hoffen, dass das Problem mit anderen Tools nicht auch auftritt!

Daher stelle ich mir auch ein bisschen die Frage, ob eine Weiterentwicklung von TestCrypt überhaupt noch einen Sinn ergibt.

Ich denke ich werde auf Bitlocker umsteigen, das wird Windows bei Neuinstall vermutlich nicht killen.

Genau das wird aber wohl das Ziel der Einstellung von TrueCrypt gewesen sein: möglichst viele sollen von TrueCrypt zu BitLocker wechseln (wieso kann man sich ja selbst überlegen). Ich persönlich würde entweder weiterhin bei TrueCrypt bleiben bzw. andere Open-Source Alternativen testen.

Hab "Mount as Backupheader" gewählt. Das Laufwerk wurde als F: gemountet. Leider kann ich es nicht öffnen. Es wird von Windows als unformatiertes Laufwerk betrachtet.. Ich vermute jetzt kommt der Punkt wo die anderen Datenrettungstools ins Spiel kommen?

Genauso ist es - du musst das Laufwerk in TestCrypt einbinden (wie gemacht) und anschließend in GetDataBack oder R-Studio das "F:"-Laufwerk auswählen: Achtung, es muss dabei wirklich der Laufwerksbuchstabe, nicht aber die verschlüsselte HDD gewählt werden. Freeware Programme kenne ich leider keine, welche gut mit überformatierten Dateisystemen zurechtkommen.

 

[WilmaImmer]

Ich persönlich würde entweder weiterhin bei TrueCrypt bleiben bzw. andere Open-Source Alternativen testen.

Ich bin mir auch noch nicht sicher, was ich danach benutze. Ich dachte nur, dass Bitlocker nicht verkehrt sein kann, weil es von TrueCrypt mehr oder weniger als Nachfolger empfohlen wird, warum auch immer... eigentlich wäre mir eine OpenSource lösung auch lieber.

Genauso ist es - du musst das Laufwerk in TestCrypt einbinden (wie gemacht) und anschließend in GetDataBack oder R-Studio das "F:"-Laufwerk auswählen

Ich hab jetzt noch mal TestDisk laufen lassen, weil es so oft empfohlen wurde. Dieses mal habe ich bei "Select Partition Table type" = "None" statt "Intel/PC" gewählt. Das Ergebnis sieht etwas plausibler aus:



So wie es aussieht, hat er die komplette NTFS Partition erkannt, von Sector 0 bis zum Ende.
Weiß jemand wie ich mit TestDisk weiter fortfahren kann, um die Platte zu retten? Ich hab etwas schiß einen fehler zu machen und alles zu verlieren.

 

[arktom]

Ein wenig mehr OT: Ich selber habe gerade alles von TC komplett auf DiskCryptor umgestellt. Seit einigen Wochen gibt es eine vollständig zu Windows 8.1 kompatible Version.

Mit TC gab es dann doch schon Einschränkungen, die mit kommenden Betriebssystemen wohl nicht weniger werden. Zum Beispiel ist die Optimierung nicht verfügbar (ob man sie braucht oder nicht) und vor allem stürzt Photoshop in bestimmten Situationen ab, und zwar nur dann, wenn mit TC verschlüsselte Platten eingebunden sind.

Mit DiskCryptor gibt es keine Probleme. Nur die Verschlüsselung braucht wirklich ewig, je nach Platte natürlich. Aber es kann eben nur in-place gemacht werden.

 

[Simpson474]

Ich hab jetzt noch mal TestDisk laufen lassen, weil es so oft empfohlen wurde.

TestDisk kann bereits bei nicht verschlüsselten, jedoch überformatierten Dateisystemen nichts mehr anfangen - mit Verschlüsselung wird es wahrscheinlich auch nicht besser

 

[WilmaImmer]

TestDisk kann bereits bei nicht verschlüsselten, jedoch überformatierten Dateisystemen nichts mehr anfangen - mit Verschlüsselung wird es wahrscheinlich auch nicht besser

Ok, ich dachte TestDisk könnte das Laufwerk wieder herstellen. Dann stehe ich jetzt also vor der Qual der Wahl und muss mir GetBackData oder R-Studio kaufen. Weiß vielleicht jemand eines der beiden Tools zu empfehlen?

 

[Simpson474]

Du kannst von beiden zunächst die Demo-Version benutzen, um zu sehen, ob die Daten wiederhergestellt werden können: grundsätzlich nehmen sich beide nicht viel, R-Studio unterstützt jedoch mehrere Dateisysteme. Es gibt auch einige Freeware Programme (z.B. Recuva), allerdings erlauben diese Programme meist nicht die Auswahl von logischen Datenträgern (und das ist bei TrueCrypt nötig). Ansonsten gäbe es aus dem TestDisk Paket noch Photorec, aber das Programm kann keine Dateinamen bzw. Ordnerstrukturen wiederherstellen - ist also nur bei wenigen Dateien geeignet.

 

[arktom]

Zwar habe ich GetDataBack lange nicht mehr genutzt, aber ich kann dir sagen, dass ich mit R-Studio vollkommen zufrieden bin.

​Grüße

 

[WilmaImmer]

Ok, ich habe jetzt R-Studio installiert. Ich Scanne dann also das Laufwerk, welches ich mit TestCrypt eingebunden habe. Zusätzlich habe ich eine Externe HDD angeschlossen. Wenn ich mich nicht täusche, dann habe ich den Scan so eingestellt, dass die Daten, welche gerettet werden können, automatisch auf die externe Platte gespeichert werden. Ich bin gespannt! Ich glaube jetzt arbeitet er erst mal einige Stunden...

UPDATE:

R-Studio hat einiges gerettet! Vorallem das wichtigste Projekt, woran ich zuletzt am meisten gearbeitet hatte, wurde wiederhergestellt! *freu* Zum Teil wurden sogar ganze Ordnerstrukturen wiederhergestellt. Ich frage mich nun bloß, wie man am besten mit den Daten umgeht.

Meine Idee bis jetzt war folgende:

Ich benutze das letzte Backup (von Anfang Juni) als Basis, indem ich es auf die Datenplatte lade. Dann versuche ich mich an alle Orte zu erinnern, an denen ich etwas verändert hatte. Diese Orte "Update" ich, indem ich sie mit den geretteten Ordnern/Dateien überschreibe. Das schlimmste an der Sache ist, dass ich mir nicht sicher bin, wie vollständig und funktionabel die wiederhergestellten Ordnerstrukturen sind, sodass ich die "Updates" nicht einfach durchführen kann. Ich muss also vorher immer genau prüfen, dass alles funtkionert und vollständig ist.. Was für ein Dilemma... Das sind so viele Dateien und Ordner und oftmals hab ich auch die Ordnerstrukturen verändert und Dateien von A nach B geschoben.. Das wird eine Arbeit..

Über eine bessere Lösung kennt, wie man mit soeinem Szenario umgeht, würde ich mich natürlich sehr freuen!

 

[Simpson474]

Da überformatiert wurde, wirst du immer einen gewissen Datenverlust haben: von daher ist dein Vorgehen wohl schon das richtige, möglicherweise könnte das Programm Beyond Compare noch hilfreich sein, da dieses geänderte Dateien zwischen zwei Ordnerstrukturen erkennen und die Änderungen anzeigen kann.

 

[WilmaImmer]

Super! Danke für den Tipp! Ich werde das Tool gleich mal testen, man hat 30 Tage dafür. Wenn es keine weiteren Einschränkungen gibt, sollte das reichen. Ansonsten ist der Preis von 30 Dollar auch verzeihbar

Im Endeffekt werde ich wohl auch erst einmal 3 Zustände auf 3 Laufwerken bewahren. Erstens das "Abgeglichene" Laufwerk mit den geupdateten Dateien, mit dem ich weiter arbeite, dann das Backup von Anfang Juni, was ich erst mal nicht verändere/erneuere und dann ein Laufwerk mit den geretteten Dateien. Mit der Zeit kommt dann die Gewissheit und ich kann aussortieren.