Nach Schnellformatierung Daten wiederherstellbar?

[Nuuub]

Hallo

Habe hier gerade die Festplatte von nem Kumpel, welche bei ihm nach einem Stromausfall "UNOUNTABLE_BOOT_VOLUME" von sich gab.
Da auf der Platte aber nun wichtige Daten drauf sind, möchte er sie gern wieder haben (also die Daten ^^).

Nun zum eigentlich Problem:
Habe die Platte in einen anderen Rechner eingebaut und dort wird sie im BIOS auch richtig erkannt - das Problem kommt erst, wenn Windows starten sollte.
Hier bleibt der Bildschirm meist stehen (nach dem Ladebildschirm oder dem nach dem Fenster "Systemwiederherstellung ausführen" im abgesicherten Modus).
Leider führt mich keine dieser Varianten weiter die Daten von der Platte zu bekommen, da beim Windowsstart permanent Festplattenzugriffe stattfinden (die HDD-Leuchte ist dauerhaft an) und einen Windowsbetrieb mit der Platte unmöglich machen.

Nun zur Theorie:
Ich denke, dass der Stromausfall das Dateisystem zerschossen hat und Windows fortan beim Start Checkdisk ausführt, was bei einer solch alten Platte (ca. 6 Jahre alt) natürlich recht lange dauert. Nachdem das Bild vom abgesicherten Modus aber 20 Minuten lang stehen blieb, hab ich mich für einen Reset des Rechners entschlossen.
Somit würde ich die Festplatte "schnell formatieren", damit wieder ein Dateisystem drauf vorhanden wäre und danach versuchen die Datein mit Rettungstools von der Platte zu bekommen.
Ob das alles stimmt und hinhaut, weiß ich leider selber nich und habe daher gehofft hier fachkundige Hilfe dazu zu bekommen.

Also könnte das funktionieren?


MfG
Nuuub

 

[cutulhu]

Formatieren zur Datenrettung habe ich noch nicht gehört. das wäre etwa so, als wenn Du den Rotweinfleck auf dem weißen Hemd herausschneidest.

Starte die Reparaturkonsole von der Windows-Installations-CD! Du musst Dich mit dem Admin-Kennwort anmelden. (bei WXP-Home ist es meist nicht vergeben, also einfach [Enter])
Von dort aus startest Du chkdsk, repariert wird erst bei Verwendung der Optionen /F und /R.

 

[chocblops]

Ja, Chkdsk müsste das eigentlich auch hinbekommen, wenn nur die Dateizuordnungstabelle Schaden genommen hat oder der Bootsektor. Eine Schnellformatierung würde ich erst danach probieren. Dabei sollten deine Daten zwar nicht verloren gehen, aber vielleicht schafft es ja auch Chkdsk

 

[bawde]

ich würde einfach windows über das jetzige windows drüber installieren und schon sind die probleme gelöst

 

[Jole]

Also ich glaube mal gehört zu haben, dass die Daten wiederherstellbar sind, bis zum 6. mal Formatieren.
Wie das gemacht wird weiß ich jetzt nicht wirklich, aber wie schon oben erwähnt, versuch mal drüber zu installieren, sollte eigentlich auch funktionieren.
Jedoch wenn du genug Kohle hast, dann kannst die Platte ja an so eine Firma einschicken, die Daten von ner Platte retten, auch wenn die Platte von nem Auto überfahren wurde

greetz Jole

 

[rx4711]

So ganz hab ich das ganze noch nicht kapiert ...

Du hast also die defekte Platte als zweite Platte in einen anderen Rechner eingebaut?
Wenn ja dann ist das das einzige was Du (für bezahlbares Geld) machen kannst.

Du solltest auf keinen Fall versuchen, Daten auf die defekte Platte zu schreiben oder
Windows drauf zu installieren ... auch Formatieren würde ich nicht ... das wird nur noch mehr
Schaden anrichten.

1. Versuche mit TestDisk (http://www.cgsecurity.org/wiki/TestDisk) die Platte wieder
lesbar zu machen
2. Danach mit einem Datenrettungstool die darauf gespeicherten Dateien wiederherstellen
(leider weiß ich moment kein kostenloses Tool, im schlimmsten Fall etwas Geld für
Norton Unerase o.ä. ausgeben!)

PS: das mit dem Wiederherstellen nach dem 6. Formatieren schaffen nur professionelle
Datenretter mit Elektronenmikroskop und ähnlichem ... ich glaube nicht, dass Du das bezahlen
kannst ... hier kommen schnell Beträge um die 10.000€ zusammen ...

 

[credatia]

auf der Platte sollten auf jeden Fall KEINE Schreibzugriffe mehr gemacht werden, da die wiederherzustellenden Daten sonst pysikalisch überschrieben werden können.
Am besten die Platte extern (über externes Gehäuse oder Adapter) an einen PC anschließen und von der "normalen Platte aus die Datenrettung starten (es gibt Freewareprogramme, die kein funktionierendes Dateisystem auf der wiederherzustellenden Platte benötigen), bzw. als zweite Platte einbauen und dann von der ersten die Rettung starten.

 

[Nuuub]

Das keine Schreibvorgänge auf der Platte vorgenommen werden sollten ist mir bewusst, deshalb kann ich dem (leider sehr often) Vorschlag der Neuinstallation nicht nachkommen.
Als 2. Platte eingebaut funktioniert sie aber leider nicht.
Windows bleibt nach dem Ladebildschirm stehen (wo der Ladebalken durchläuft).

Habe in der Rettungskonsole versucht chkdsk die Platte testen lassen, leider funktioniert hier der Parameter /f nicht. Es stehen "nur" /p und /r zur Verfügung, wobei beide mehrere "nicht behebbare Fehler" melden.
Durch "fixmbr" und "fixboot" (fixboot erkannte übrigens nach einer Analyse, dass es sich um NTFS handelte, was von Anfang an nicht der Fall war) komme ich nun immerhin bis zum Ladebildschirm des defekten Rechners, leider nicht weiter. Die Wiederherstellungskonsole (durch eine "Rescue CD") meldet leider nur "STOP 0x00000024" (0x00000024: NTFS_FILE_SYSTEM - Mögliche Ursache: 1. NTFS-Dateisystem beschädigt oder stark fragmentiert)) und das wars dann.

Werde mich gleich mal mit TestDisk dran setzen und schaun...
Bin für weitere Vorschläge immer noch offen

 

[Nuuub]

Sodele

TestDisk durchlaufen lassen und folgendes stellte sich raus:

Boot sector
Error: Size boot_sector 78140098 > partition 78140097
Status: Bad

Backup boot sector
ntfs_boot_sector: Can't read backup boot sector.
Status: Bad

Sectors are not identical.

A valid NTFS Boot sector must be present in order to access any data; even if the partitaion is not bootable.

Nun bleiben die Optionen "Rebuild BS" und "Repair MFT", wobei "Repair MFT" aufgrund des fehlerhaften Bootsectors nicht funktioniert.

 

[Mueli]

Hast Du überhaupt mal eine komplette Diagnose mit Testdisk durchgeführt?

Unter den Downloads hier auf Computerbase findet sich auch eine EXE, mit der eine bootfähige CD gebrannt werden kann.

Lade Dir dazu mal Testdisk 6.9.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (zur Sicherheit bei Vista mit Y antworten). Wenn jetzt Partitionen gefunden wurden, kannst Du sie mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und wieder mit P deren Inhalt kontrollieren ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht, und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg ist hier recht anschaulich beschrieben, nach dem letzten Screen geht es mit Enter und einer Abfrage, ob Vista verwendet wird, weiter zur tieferen Suche.

Je nach Ergebnis werden nach dem deeper Search ein Write oder / und Rebuild BS angeboten.

 

[Nuuub]

Sodele

Mitlerweile untersucht Testdisk auch die anderen Zylinder der Platte (vorher nur 1023, jetzt alle 9730) und hat folgendes gefunden.
Das erste Bild zeigt den Schritt nach "Analyse", das 2. das Ergebnis nach dem "Quick Search" (sieht ja schon mal ganz gut aus) und das 3. Bild ist der Auswahlbildschirm beim Bestätigen der ersten gefundenen Partition.

Weitere Instruktionen?

(Wietere Screens folgen nach einem "Depp Search"

 

[Mueli]

Auf jeden Fall brauche ich die Anzeige nach deeper Search. Mir fehlt auch die Angabe wieviele Partitionen zuletzt eingerichtet (Testdisk findet auch Einträge, die nicht mehr genutzt werden) waren,deren mögliche Größe und das Filesystem.
Es fehlt mir auch der Hinweis, was die Funktion P (für list files) als Ergebnis brachte (hieraus läßt sich bei NTFS bereits bei intaktem Filesystem vieles sichern).
Die Daten welcher Partitionen willst Du vorrangig sichern?

Aus den Bildern geht leider nicht hervor, wie die Größe der Partitionen in Sectors ist, darüber kann man auch Hinweise bekommen. Mache die Bilder bitte so, dass alle wichtigen Informationen zu erkennen sind.

Es ist als Außenstehender immer schwer zu beurteilen, wenn Informationen fehlen.

Nach dem deeper Search bekommt man durch das dann erscheinende Menü teilweise schon zu sehen, ob Testdisk etwas wiederherstellen kann (Menüpunkte wie Write oder etwa zum Bootsektor).

 

[quicksilver121]

hallo,
warum baust du die platte nicht als slave platte ein, startest von deinem normalen windows, gehst auf den arbeitsplatz und schaust in den partitionen was du für daten brauchst und kopierst sie rüber?

oder hab ich da was nicht verstanden ?

 

[Nuuub]

quicksilver121: Bereits versucht, auch vorher mehrfach beschrieben, dass Windows dann nicht startet.

"Deeper Search" zeigte das selbe Ergebnis wie "Quick Search" (siehe Anhang).
Laut Angaben sollten zuletzt 3 Partitionen vorhanden gewesen sein (C: (ca. 30GB) ,D: (etwas weniger als 30GB) und E: (ca. 8GB) ) alle als NTFS Partitionen. Vorrangig sollte Laufwerk C: gesichert werden (aufgrund der "Eigenen Dateien" des Benutzers).
"Size in sectors" lässt sich nun auf den Bildern erkennen (2 separate Bilder!).
Das Ergebnis von "List files" auch bitte den Bildern entnehmen.

Auffällig hierbei:
Die erste Partition (welcher vermutlich Laufwerk C: repräsentieren sollte) zeigt keinen Windows Ordner und auch keinen "Eigene Dateien" Ordner.

Hier dann auch mal die Logdatei:

Tue Oct 30 10:58:02 2007
Command line: TestDisk /log

TestDisk 6.9-WIP, Data Recovery Utility, October 2007
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Dos version (ext2fs lib: 1.39, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: none)
Using locale 'C'.
Hard disk list
Disk 80 - 80 GB / 74 GiB - CHS 9729 255 63, sector size=512

Disk 80 - 80 GB / 74 GiB
Partition table type: Intel

Analyse Disk 80 - 80 GB / 74 GiB - CHS 9729 255 63
Geometry from i386 MBR: head=255 sector=63
Error: size boot_sector 78140098 > partition 78140097
check_part_i386 failed for partition type 07
get_geometry_from_list_part_aux head=255 nbr=10
get_geometry_from_list_part_aux head=8 nbr=5
get_geometry_from_list_part_aux head=16 nbr=5
get_geometry_from_list_part_aux head=32 nbr=4
get_geometry_from_list_part_aux head=64 nbr=4
get_geometry_from_list_part_aux head=128 nbr=4
get_geometry_from_list_part_aux head=240 nbr=4
get_geometry_from_list_part_aux head=255 nbr=10
Current partition structure:
Error: size boot_sector 78140098 > partition 78140097
Invalid NTFS boot
 1 * HPFS - NTFS              0   1  1  4863 254 63   78140097
 1 * HPFS - NTFS              0   1  1  4863 254 63   78140097
 2 E extended LBA          4864   0  1  9728 254 63   78156225
 5 L HPFS - NTFS           4864   1  1  8942 254 63   65529072 [BACKUP]
   X extended              8943   0  1  9728 254 63   12627090
 6 L FAT32                 8943   1  1  9728 254 63   12627027 [RECOVER]
Ask the user for vista mode
Computes LBA from CHS for Disk 80 - 80 GB / 74 GiB - CHS 9730 255 63
Allow partial last cylinder : Yes
search_vista_part: 1

search_part()
Disk 80 - 80 GB / 74 GiB - CHS 9730 255 63
   D HPFS - NTFS              0   1  1  4864   0  1   78140098 [BOOT]
     NTFS, 40 GB / 37 GiB
   D HPFS - NTFS           4864   1  1  8942 254 63   65529072 [BACKUP]
     NTFS, 33 GB / 31 GiB
   D FAT32 LBA             8943   1  1  9728 254 60   12627024 [RECOVER]
     FAT32, 6465 MB / 6165 MiB
get_geometry_from_list_part_aux head=255 nbr=5
get_geometry_from_list_part_aux head=8 nbr=2
get_geometry_from_list_part_aux head=16 nbr=2
get_geometry_from_list_part_aux head=32 nbr=2
get_geometry_from_list_part_aux head=64 nbr=2
get_geometry_from_list_part_aux head=128 nbr=2
get_geometry_from_list_part_aux head=240 nbr=2
get_geometry_from_list_part_aux head=255 nbr=5

interface_write()
 1 E extended LBA          8943   0  1  9728 254 63   12627090
 5 L FAT32 LBA             8943   1  1  9728 254 63   12627027 [RECOVER]

search_part()
Disk 80 - 80 GB / 74 GiB - CHS 9730 255 63
   D HPFS - NTFS              0   1  1  4864   0  1   78140098 [BOOT]
     NTFS, 40 GB / 37 GiB
disk_read lba=61439(3/210/15) nbr_sector=16, rc=16
uncorrectable CRC or ECC error on read
disk_read lba=61455(3/210/31) nbr_sector=16, rc=16
uncorrectable CRC or ECC error on read
disk_read lba=61503(3/211/16) nbr_sector=16, rc=16
uncorrectable CRC or ECC error on read
disk_read lba=61519(3/211/32) nbr_sector=16, rc=16
uncorrectable CRC or ECC error on read
   D HPFS - NTFS           4864   1  1  8942 254 63   65529072 [BACKUP]
     NTFS, 33 GB / 31 GiB
   D HPFS - NTFS           4864   1  1  8942 254 63   65529072 [BACKUP]
     NTFS found using backup sector!, 33 GB / 31 GiB
   D FAT32 LBA             8943   1  1  9728 254 60   12627024 [RECOVER]
     FAT32, 6465 MB / 6165 MiB
   D FAT32 LBA             8943   1  1  9728 254 60   12627024 [RECOVER]
     FAT found using backup sector!, 6465 MB / 6165 MiB
get_geometry_from_list_part_aux head=255 nbr=5
get_geometry_from_list_part_aux head=8 nbr=2
get_geometry_from_list_part_aux head=16 nbr=2
get_geometry_from_list_part_aux head=32 nbr=2
get_geometry_from_list_part_aux head=64 nbr=2
get_geometry_from_list_part_aux head=128 nbr=2
get_geometry_from_list_part_aux head=240 nbr=2
get_geometry_from_list_part_aux head=255 nbr=5
NTFS Volume is dirty.

ntfs_readdir failed
   D HPFS - NTFS              0   1  1  4864 254 63   78156162 [BOOT]
     NTFS, 40 GB / 37 GiB
Directory /
      5 dr-xr-xr-x     0      0         0 23-Oct-2007 17:59 .
      5 dr-xr-xr-x     0      0         0 23-Oct-2007 17:59 ..
  13123 -r--r--r--     0      0   26078942 28-May-2005 17:50 familienbilder
     18 dr-xr-xr-x     0      0         0 23-Oct-2007 17:29 found.000

interface_write()
 1 E extended LBA          8943   0  1  9728 254 63   12627090
 5 L FAT32 LBA             8943   1  1  9728 254 63   12627027 [RECOVER]
simulate write!

TestDisk exited normally.

 

[Mueli]

Die erste Partition (Boot) wird als bootbar gelistet, sollte da auch noch ein Windows drauf sein, in dem Listing kann ich nur eine Datei sehen, ist dies ein Ergebnis was erwartet wurde?
Ist die Datei Familienbilder das erwartete Inhalt, oder was sollte dort sonst zu sehen sein? Ist es wirklich eine Windows-Partition gewesen oder ist Dir der Inhalt auch nicht bekannt?

Ist jetzt eigentlich nach dem Ausfall weiter auf der Disk geschrieben worden, wie z.B. ein Schnellformat?

Zu dem Log:

Disk 80 - 80 GB / 74 GiB - CHS 9730 255 63
   D HPFS - NTFS              0   1  1  [U][B]4864   0  1[/B][/U]   78140098 [BOOT]
     NTFS, 40 GB / 37 GiB
   D HPFS - NTFS           4864   1  1  8942 254 63   65529072 [BACKUP]
     NTFS, 33 GB / 31 GiB
   D FAT32 LBA             8943   1  1  [U][B]9728 254 60[/B][/U]   12627024 [RECOVER]
     FAT32, 6465 MB / 6165 MiB

Die markierten Einträge (Partition-Ende) sieht mir nach einem Geometrie-Problem aus, obwohl keine weiteren Hinweise zu einem derartigen Problem zu sehen sind. Das habe ich so in der Form noch nicht gesehen (ich bin allerdings auch noch nicht so lange dabei wie Fiona).
Ich würde nochmal eine Diagnose mit einer anderen Geometrie (im Menü Geometry die Heads von 255 auf 16 ändern und die Diagnose erneut durchführen).
Auch könnte man mal versuchen mit Partition-Type None eine Diagnose zu probieren.

Hattest Du bereits Kopieraktionen in Testdisk probiert um Daten zu sichern?

 

[Nuuub]

Auf der ersten Partition ist noch ein Windows vorhanden (er startet bis zum Ladebildschirm, danach folgt ein kommentarloser Neustart), daher ist das Ergebnis auf den Bilder (Familienbilder, etc.) unerwartet.
Schreibaktionen wurden bis auf "fixmbr" und "fixboot" aus der Wiederherstellungskonsole nicht vorgenommen.
Werde die Geometry gleich mal ändern und schaun, was es bringt.

Ergebnis des Setzens der Heads auf 16 im Bild erkennbar.

 

[Mueli]

Die Änderung der Geometrie hat nichts gebracht, eher ein schlechteres Ergebnis.

Es sind bei Dir einfach zu viele Ungereimtheiten, für eine direkte Wiederherstellung sehen ich eigentlich keine Möglichkeit und zuviel Risiko.
Nach den Anzeichen hinsichtlich Geometrie noch die Meldung ntfs_readdir failed im Log, dies deutet eher auf einen Fehler im Dateisystem.

Ich würde jetzt mal einen Versuch mit Datenrettungssoftware machen, Fiona empfiehlt hier besonders Restorer2000, mit der Demo kann man die Disk scannen und kleinere Files bis 128kB wiederherstellen (als Test). Mich würde geradezu interessieren was diese Programm zur Partition Boot aus wirft.

Einen Versuch könnte man auch noch mit einer Knoppix-Live-CD machen, hier kann man vielfach Partitionen mounten und ebenso Daten sichern. Jeder Versuch dauert, aber wenn man keine Daten verlieren will ist es meiner Meinung nach der sichere Weg.

Wenn Du eine große Disk mit freiem Platz zur Verfügung hast, wäre auch die Arbeit mit einem Image möglich, setzt leider etwas mehr Kenntnis mit Linux voraus. Testdisk erlaubt die Arbeit mit einem Image und man könne quasi virtuell die möglichen Änderungen am Image vollziehen ohne den Inhalt der Disk zu gefährden. Hier die Info dazu. Ein Image könnte man unter Linux mit dd erzeugen, wenn Du das machen willst würde ich Dir weitere Hinweise dazu geben.

Mir ist natürlich klar, umso länger es dauert, umso ungeduldiger wird man, aber eine Entscheidung wie Du weiter verfahren sollst kann ich Dir nicht abnehmen.

Noch eine Frage, sind Dir keine besseren Pics (etwas mehr Abstand?) mit dem Handy möglich? Ist sicher eine Frage der integrierten Camera, aber ich habe schon so meine Probleme sie wirklich gut zu erkennen (im methusalemischen Alter läßt halt alles etwas nach ).

 

[Nuuub]

Die Fotos sind mit einer UraltWebCam gemacht, daher die "überwältigende" Qualität.

Habe nun schon zugriff mit einer Rescue CD von Paragon auf die Daten und kann sie aus der Umgebung heraus auch gleich auf DVD brennen. Sollte funktionieren und das Thema ist erledigt.
Trotzdem danke für die Hilfe

Edit:
Weitere Probleme^^

Einige Daten konnte ich zwar auslesen und auf DVD sicher, doch leider sind viele davon defekt (Worddateien enhalten nur "#####" und Bilder lassen sich nicht anschauen).
Lässt sich da noch was schrauben?

 

[Mueli]

Die Daten zu retten ist u.U. mit probieren verbunden, ich hatte Dir dazu Hinweise gegeben, Datenrettungssoftware und / oder Knoppix. Habe aber keine Rückmeldung bekommen, was Du probiert hast.