Mit Truecrypt verschlüsselte Partition retten bzw. wiederherstellen

[TobSch]

Hallo zusammen,

mir wurde geraten mich mal mit meinem Problem an dieses Forum hier zu wenden.
ich habe folgendes Problem:

Ich habe eine externe Festplatte (500 GB groß). Da waren 3 Partitionen drauf.
1. ~10 GB
2. ~360 GB
3. ~100 GB

Die 2. Partition war mit Truecrypt verschlüsselt.

Nun wollte ich ein Backup von Windows8 machen und war im Glauben, dass man die Partition der externen Festplatte noch festlegen darf. Aber da hatte ich mich getäuscht. Windows8 (es kann auch das Backup Programm von Acer gewesen sein) hatte nun angefangen die Festplatte zu löschen.
Ich habe es aber relativ schnell gemerkt und habe schnell abgebrochen.
Es konnte also theroetisch nichts überschrieben worden sein, sondern nur ganz am anfang. Die Partitionstabelle ist aber natürlich sofort futsch gewesen.
Nun komme ich natürlich nicht mehr an die Daten dran. Mir wäre auch nur die verschlüsselte Partition wichtig.

Ist es noch möglich an die verschlüsselte Partition zu kommen ?
Wie müsste ich dazu vorgehen ?
Testcrypt habe ich bereits mal drüber laufen lassen, es konnte auch etwas finden nur mounten hat nicht funktioniert.
So ganz schlau werde ich aus den Informationen aus Testcrypt aber auch nicht und weiss nun incht was ich machen soll.
Ich habe mal den Screenshot von Testcrypt mit angehängt.

Ich habe die Vol-Header damals beim anlegen der einzelnen Partitionen gesichert. Diese Info habe ich also.


Vielen Dank schonmal

Gruß
TobSch

 

[oreally]

Du kannst versuchen den Volume Header wiederherzustellen, aber für gewöhnlich ist der Windows-Installer schnell und "gründlich" genug um sämtliche verschlüsselte Partitionen innerhalb von Nanosekunden zu schrotten.

Sorry, aber von den Daten solltest du dich emotional schon mal verabschieden.

PS
Nächstes mal entweder die gesamte Platte verschlüsseln, da sich komplett verschlüsselte Platten leichter wiederherstellen lassen (mit einer Rescue CD) oder nur einen bzw. mehrere Container anlegen. Ansonsten gilt wie immer: BACKUP! BACKUP! BACKUP!

 

[TobSch]

Den Header hatte ich schon versucht wiederherzustellen, aber das hatte nicht funktioniert.
Ich dachte vielleicht sind die verschlüsselten Daten ja noch da, nur es weiss nicht wo diese Partition auf der Platte anfängt und wo sie aufhört.

Könnten Datenrettungsfirmen sowas wiederherstellen ?
Oder gibt es die Möglichkeit den Start und das Ende der verschlüsselten Partition heruaszufinden und alle Daten auf einen anderen Datenträger zu kopieren. Diesen dann mit Truecrypt versuchen einzubinden ?

Ich wollte halt nur noch nicht zu viel bisher austesten, damit nicht alles auswegslos erscheint. Man soll die Hoffnung ja nicht aufgeben....hehe


Ich werde gleich mal die andere Testcrypt.exe von Simpson474 testen, da die Platte von Toshiba ist und es ja womöglich sein kann, dass die auch schon mit 4kb Sektoren anstatt 512byte arbeitet.

Nachtrag:
Mit der anderen TestCrypt.exe bin ich zu dem gleichen Ergebnis gekommen.
Beide lassen sich mounten, aber man kann nicht darauf zugreifen.

Habe nun nochmal die Volume-Header in TrueCrypt wiederhergestellt.
Kann dann die Platte nur als ganzes einbinden und nicht die einzelne Partition.
Somit kann ich auch nicht darauf zugreifen.
Wenn ich auf "Dateisystem prüfen" klicke, sagt mir das System, dass es RAW ist.

Müsste ich nicht irgendwie die 3 Partitionen neu einrichten ?
Woher bekomme ich dann die genauen Start und End Sektoren ?




NACHTRAG 2:
Ich hab nun TestDisk nochmal laufen lassen.
Nun habe ich meine 3 alten Partitionen gefunden.
Als was gebe ich diese nun an ? Primär oder Logisch ?

Es ist ja eine externe USB Festplatte, ohne Betriebssystem.
Soll ich die erste auf Primär und die anderen beiden als Logisch oder was würdet ihr mir raten ?


Mich irritiert nun noch, dass da was von 123 GB steht, wenn ich auf die NTFS Partition gehe
Kann es sein, dass das gar nicht die verschlüsselte Partition ist ?
Trau mich noch nicht auf "Write" zu gehen, damit ich nix kaputt mache.
Lasse grad den DeeperSearch laufen

Gruß
TobSch

 

[oreally]

Mit TestDisk kenne ich mich leider nicht so gut aus, da würde ich dir einfach mal das offizielle TestDisk Forum empfehlen:

http://forum.cgsecurity.org/phpBB3/

 

[soomon]

grundregel bevor du irgendwas an den daten verändert:
mach ein backup!

denn wenn du jetzt etwas veränderst und nicht genau weißt was du tust (würde mir in dem fall genau so gehn) dann hast du's evtl verkackt und die daten sind für immer weg.
nimm eine 2te platte und klone deine datenplatte mit DD oder einem anderen tool, dass die GANZE platte sektor für sektor kopiert.
sonst könnte der kleinste fehler fatal sein.

Ergänzung (27. März 2014)

nach der moralpredigt: ich weiß nicht auswendig ob windows direkt als 2te partition schon eine logische anlegen will. ich persönlich mache immer erstdie 4te partition logisch.
auch hier: wenn du eine leere platte (größe egal) hast: formatiere diese und lege 3 partitionen an. größe auch egal.
achte darauf, wie windows sie anlegt und du hast wahrscheinlich die antwort auf deine frage

 

[Simpson474]

Mal eine kleine Frage am Rande: welchen Header in TestCrypt hast du gemountet. Der erste scheint von einem wiederhergestellten Backup zu sein und liegt an der total falschen Stelle. Der zweite hingegen sollte passen.

 

[TobSch]

Ich habe beide gemountet, konnte aber bei keinem auf Daten zugreifen.

Als damals alles weg war, hatte ich zu allererst versucht die Header mit der in TrueCrypt gesicherten Volume-Header Datei wiederherzustellen.

Ich weiss leider auch nicht mehr, ob ich eine 100 GB oder eine 10 GB Partition vor der verschlüsselten hatte.
Traue mich nicht da noch weiter dran rumzufummeln, damit ich nicht noch mehr schrotte, was vielleicht zu retten wäre.

Was sollte ich nun als nächstes am besten machen ?
Eine Backup-Platte werde ich mir nun mal als erstes zulegen.


Gruß
TobSch

 

[Simpson474]

Probier mal den folgenden Bereich im "Custom Analyzer" von TestCrypt:
60795/0/1 - 60796/0/1

 

[TobSch]

Hab ich gemacht.
TestCrypt meldet dann: No TrueCrypt Header could be found.

Volume 2
================================================================================
Type: FixedMedia
Size: 500107862016 Bytes
Bytes per Sector: 512
Geometry: 60801/255/63

Begin of Partition Analyzer
================================================================================

End of Partition Analyzer
================================================================================

Begin of Volume Analyzer
================================================================================
None

End of Volume Analyzer
================================================================================
None

Custom Analyzer
================================================================================
60795/0/1 (976671675 LBA) - 60796/0/1 (976687740 LBA)

Scan Ranges (optimized)
================================================================================
60795/0/1 (976671675 LBA) - 60796/0/1 (976687740 LBA)


EDIT:
Kann ich was zerstören, wenn ich mit Testdisk die Partitionstabelle neu schreiben lasse ?

 

[Simpson474]

TestCrypt meldet dann: No TrueCrypt Header could be found.

Den folgenden Bereich könntest du auch noch einmal probieren, dann liegt jedoch die 100 GB Partition hinter der TrueCrypt Partition:
44618/0/1 - 44619/0/1

 

[TobSch]

Den folgenden Bereich könntest du auch noch einmal probieren, dann liegt jedoch die 100 GB Partition hinter der TrueCrypt Partition:
44618/0/1 - 44619/0/1

Auch hier: No TrueCrypt Header could be found.

 

[TobSch]

So,

ich wollte nur mal kurz mich bei allen bedanken, die mir geholfen haben.
Es hat geklappt, ich hab alle 3 Partitionen wieder und am wichtigsten war ja, dass die Daten in der verschlüsselten Partition wieder zurück sind.
Hab nun wieder normalen Zugriff über TrueCrypt auf die Daten.
Die Daten in der ersten Partition (10GB) waren hinüber. Konnten aber mit Photorec teilweise wiederhergestellt werden. Das waren aber unwichtige Daten, daher hab ich das nur aus Interesse ausprobiert.

Mein Glück war wohl, dass ich die Volumen-Header in TrueCrypt beim erstellen der Partition gesichert hatte.
Mit diesem konnte man nun den Anfang der verschlüsselten Partition herausfinden und die Länge.
TestCrypt hat dann die Bereiche herausgefunden, in denen sich die Partition befindet.
Mit Testdisk ist dann einfach die Partitionstabelle mit den ermittelten Werten neu erstellt worden.

Vielen Dank nochmal an Simpson474 für die tatkräftige Unterstützung, ohne dich hätte ich das alleine nicht geschafft.


Gruß
TobSch