Nach TestDisk hat windoof daten gelöscht...

[looser]

Hallo zusammen,

mein gewählter Nick ist Programm, denn wie so oft im Leben hätte ich wohl jemanden fragen sollen, der Ahnung hat....

Zu meinem Disaster:

Ich habe einen HTPC auf welchem neben der Bootplatte (Samsung 501LJ) ein Promisecontoller mit 5x Samsung F1 753LJ in einem Raid 5 Verbund installiert sind.

Auf der Bootplatte läuft xp SP2 und die Programme.

Der Raid dient mit als Datenspeicher vor alem auch für Musik- und Videodaten und war in 3 Partitionen (G:/ mit ca. 1,2 TB für Videodateien, H:/ mit ca. 1,2TB für alles andere, I:/ mit dem Rest noch leer) unterteilt.

Gestern morgen war plötzlich die G Partition mit den Videos verschwunden. Habe dann eine Menge gelesen und verschiedene Hotlines befragt und mich schließlich zu einer Analyse mit Testdisk 6.9 für Win entschlossen.

Bin dann genau nach der Schritt-für-Schritt Anleitung vorgegangen http://www.cgsecurity.org/wiki/TestDisk_Step_By_Step und eingangs eine Log created.

Der Quickscan brachte nur die H: (Daten) und die I: (leer) Partitionen zu Tage, deshalb habe ich danach einen Deeper Scan durchgeführt und siehe da... Meine verschollene G: Partition tauchte auf.

Dann voller Freude schnell mit P die Programmstruktur angesehen. Ich wunderte mich zwar, daß dort nur einige Einträge auftauchten, maß dem aber keine Bedeutung bei, da ich mich an einen Passus in der Doku erinnerte, in welchem davon die Rede war, daß in einem bestimmten Fall zwar nicht alles angezeigt würde, dies aber keinen Einfluß auf die geretteten Daten hätte.

Hier hätte ich wohl abbrechen und um Rat fragen sollen...

Da alles so schön passte, klickte ich auf write und folgte dann weiter der Schritt-für-Schritt Anleitung, d.h. auch der Anleitung zum "Wiederherstellung des NTFS-Bootsektors ". Die Anzeige wechselte von Bad auf Ok und ich machte den geforderten Neustart im sicheren Glauben, daß meine Videodaten nun wieder da wären...

Das System bootete und der Promise meldete nach wie vor den Raid als OK. Dann lud Windoof und plötzlich sah ich endlose und schnell vorbeiziehende Kolonnen von Lösch-Meldungen auf dem hellblauen Win Bildschirm...

Windows wurde fertig geladen und nun ist meine G: Partition auch wieder da.

Allerdings hat win mir 95% der Videodaten gelöscht - von dem ehemals 1TB großen Videoarchiv sind nur noch ein paar Daten vorhanden.

Nun sind diese Videodaten zwar nicht lebenswichtig, allerdings habe ich davon kein Backup und somit wären die Ergebnisse von Jahren des Videoschnitts zum Teufel.

Seit dem Löschen habe ich nichts auf den Raidverbund geschrieben. Gibt es eine Chance, die Daten wieder herzustellen?

Und bitte: Eventuelle freundliche Hinweise auf eine versäumte Datensichreung im Vorfeld sind obsolet - Ich habe hier auf ganzer Linie Mist gebaut und ärgere mich auch ohne solche Pieksereien schon genug

Liebe Grüße,
Ingo

 

[Kale Pol]

Also als erstes wüsste ich gerne wie genau dein Raid 5 aufgebaut ist.

MfG
Kale Pol

 

[looser]

Ich habe ICQ leider noch nie benutzt...

Wie ganau das Raid aufgebaut ist? Ic muß gleich vorwegschicken, daß dies mein erstes Raid ever ist, ich also nicht so der Ahnungsbär bin und mir immer alles schritt für schritt anlese...

Hmmm...

Der Controller ist ein SuperTral EX8350. Dieser unterstütz 1,5Gb und 3.0Gb S-ATA Platten

Es sind 5 Samsung F1 mit je 750 GB angeschlossen.

Das logische Laufwerk wurde mit dem SuperBuild BIOS Dienstprogramm von Promise angelegt Dazu wurden die 5 Laufwerke ausgewählt, ein Name vergeben, Strißesize 64KB und Write Through ausgewählt.

Derzeit lasse ich gerade noch einmal einen Deeper Scan laufen, daher komme ich jetzt für weitere Parameter nicht ins Controller Bios...

 

[Mueli]

Wenn das RAID 5 sauber läuft, ist die Konfiguration schon mal schnuppe, denn Testdisk und andere Datenrettungstools behandeln das RAID wie eine Disk. Wahrscheinlich wird Dir nur Datenrettungsprogrammes wie Restorer2000 helfen, kannst ja mal mit der Demo einen Scan machen (die Disk scannen und nicht Partitionen), dann siehst Du was möglich ist, die Demo ist alledings auf Dateien bis 128kB beschränkt. Die aktuelle Version 6.10 Beta listet auch gelöschte Dateien (in rot).

 

[Kale Pol]

Hab mal zwei Daten-Rettungsprogramme rausgesucht, die Freeware sind und somit Daten beliebiger Größe Wiederherstellen.

http://www.pcinspector.de/Sites/file_recovery/info.htm?language=2

http://www.softperfect.com/products/filerecovery/

Edit: @Mueli
Schade, dass du meinen ersten Beitrag entfernt hast, aber hab mich da leicht darüber aufgeregt, dass man Windows also Windoof betitelt und dann auch noch das löschen der Datein Windows in die Schuhe schiebt.

Naja, hab meine aufregung wieder beiseite getan und will jetzt mit den oben genannten Tools meine Hilfe anbieten und hoffe, dass "looser" seine Daten wieder bekommt.

Und wenn es möglich ist würde ich einen anderen Namen wählen, weil vielen schon so was passiert ist und nur lernt man das beim nächten man nicht mehr zu machen. Also niemand macht beim ersten mal alles immer richtig.

MfG
Kale Pol

 

[looser]

ich habe an datenrettungsprogrammen bislang mal folgendes nachschauen lassen:

PC Inspector File Recovery bricht jedes mal ab...

GetDataBack will mir nur das wieder herstellen, was eh da ist

Ich habe mir mit TestDisk doch irgendwie die Partitionstabellen überschrieben, oder? Bedienen sich die Datenrettungsprogramme nicht genau dieser Tabellen?

Der Deeper Search von TestDisk wird bald durch sein. Dann kann ich ja mal einen Screen posten. Schon jetzt fällt ein doppelter Eintrag auf, welcher vorher nicht da war...

HPFS-NTFS 0 1 1 79793 254 63 1281890547 VOLUME
HPFS-NTFS 0 1 1 79793 254 63 1281890547 VOLUME
HPFS-NTFS 79794 0 1 159587 254 63 1281890610 VOLUME

 

[Kale Pol]

Noch ein Programm, dass Geld kosten würde, aber auch gut sein soll. Gibts bestimmt auch eine Demo von.

http://www.oo-software.com/de/products/oodiskrecovery/

MfG
Kale Pol

 

[looser]

@ Kate Pol

Danke erstmal für die Links :-)

Der erneute Deep Scan ist jetzt durch und fördert folgendes Bild zu Tage (siehe Anhang). Soweit sieht ja alles i.O. aus und ein Druck auf P spiegelt auch die Verzeichnisbäume wieder, welche unter Windows zu finden sind. Nur sind eben all die Einträge der gelöschten Dateien nicht da...

Gibt's einen Weg, daß von mir Überschreiben der Patitionstabellen rückgängig zu machen?

Ich probiere jetzt in der Zwischenzeit mal das empfohlene Restorer2000 aus. Mal sehen, ob dieses Proggie etwas findet.

Gruß,
Ingo

 

[looser]

Wenn ich mir jetzt von TestDisk mit P die Daten der ersten Partition anzeigen lasse, kommen nur die paar, die ich auch unter windows habe.
Zusätzlich ist (siehe bild 1 noch dieser found.000 eintrag enthalten, unter dem einige andere einträge (wie auf bild 2 zu sehen) enthalten sind...

restorer2000 läuft im augenblick noch...

 

[looser]

habe jetzt mal die restorer2000 pro software drüber laufen lassen. diese fördert allerdings auch keine videodateien zu tage...

wie könnte man sonst noch an die dateien gelangen? hat jemand noch eine andere idee?

gruß,
ingo

 

[Kale Pol]

Guten Morgen,
Ich denke, wenn die Softwares dir nicht weiterhelfen solltest du mal mit dem Gedanken spielen dich da an einen Profi zu wenden. Es gibt doch sicher Leute, die auf sowas spezialisiert sind?

Hier noch eine Seite auf dem Tipps stehen wie man wieder an gelöschte Daten ran kommt:
http://www.tim-bormann.de/index.php?section=186

Und hier eine Liste mit Softwares zur Daten wiederherstellung:
http://dateien-wiederherstellen.softonic.de/

MfG
Kale Pol

 

[Mueli]

@Kale Pol
Wenn man keinen sachlichen Beitrag leisten will (gilt für den gelöschten) enthält man sich besser gleich der Stimme. Ich habe den Beitrag nicht gelöscht sondern ins Aquarium verschoben, wo viele sinnlose Post landen.

Doppelte Einträge in der Partitionstabelle sind fast immer ein Anzeichen für einen Fehler in einem Bootsektor. Diese kann man im Menü Advanced (unter Analyse) und dann im Untermenü Boot überprüfen, auch hier wählt man die Partitionen mit den Cursortasten an.

Deine Partitionstabelle sieht soweit i.O. aus.

Die Filesystem-Listings zeigen schon mal, dass die Filesysteme soweit gut aussehen. Es sind fast ausschließlich Verzeichnisse gelistet, hier müsste man schon in jedes Directory reingehen, um zu überprüfen, ob wirklich keine Files fehlen. Das d in dr-xr-xr-x steht für Directory, hier kann man auch mit den Cursortasten einzelne anwählen und per Return öffnen. Im dritten Screen werden Dir viele *.chk als Verzeichnis und auch als Files angezeigt, was auf einen Chkdsk-Lauf hinweist, also einem Fehler in der MFT. Hierfür gibt es Tools wie UnChk.

Bei Fehlern auf Datenträgern und besonders der Datenwiederherstellung, sollte man möglichst nicht auf den Datenträger schreiben, von dem man Daten wieder herstellen möchte / muss. Bei einem 3GB-Volume natürlich nicht so einfach.

In Testdisk werden alle Aktionen erst dann auf dem Datenträger geschrieben, wenn es ausdrücklich per Write und einer Bestätigung, gewünscht wird, alles läuft zunächst im Speicher also virtuell ab.

Im Paket von Testdisk ist ein Programm zur Datenrettung enthalten - > Photorec, welches auf Multimedia-Files spezialisiert ist. Da viele Dateien bei Dir allerdings als *.Chk umbenannt wurden, bin ich mir nicht ganz sicher wie erfolgreich es sein kann.

 

[Fiona]

Besteht bei dir die Möglichkeit, das du Probleme mit dem MBR gehabt hast, da Intel MBR nur 2 Terrabyte unterstützt?
Über 2 Terrabyte brauchst du eine Maschine die GUID ( Globally Unique Identifier )-Partition Table oder kurz GPT unterstützt.
Infos auch hier;
http://www.cgsecurity.org/wiki/Gegenwärtige_Einschränkungen
TestDisk sollte ab EFI für Mac auch GPT unterstützen.
Dieses wird auch für Microsoft mit EFI-Unterstützung gelten.

Schwierig eine Diagnose mit nicht Standard-MBR zu machen.

Wenn du es probieren möchtest, schalte zuerst Autochk (chkdsk bei Systemstart) mal ab!

Geht über Start / Ausführen / cmd

Gebe an der Eingabeaufforderung folgendes ein, wenn dein Dateisystem NTFS war;
chkntfs Laufwerksbuchstabe: /x
Kannst du später wieder zurücksetzen mit;
chkntfs Laufwerksbuchstabe: /d

Nachdem chkdsk Daten gelöscht hat, würde Datenrettungssoftware wie bereits erwähnt in Betracht kommen.

Greife mal nicht schreibend auf das Laufwerk mehr zu.
Biite bedenke, das du außerhalb des Standards evtl. arbeitest.

Versuche aber trotzdem mal eine Diagnose mit Testdisk in der Version 6.10 beta zu machen, um das Dateisystem und die Bootsektoren zu überprüfen.
Kommt darauf an, ob Testdisk anhand von BootsektorInfos dennoch die Daten anzeigen kann.

Wenn die Partition noch in der Partitionstabelle richtig vorhanden ist, wäre es folgende Prozedur um die vielleicht noch angezeigt zu bekommen;

Bestätige mal in Testdisk durch, bis du das Menü Analyse siehst.
Bestätige aber nicht bei Analyse sondern bei Advanced!
Hier solltest du deine bschädigte Partition auswählen.
Bestätige bei Boot und gehe auf Rebuild BS.
Hinterher zeigt Testdisk dir das Ergebnis an.
Wenn Testdisk zu lange sucht (mehr als einige Minuten, teile es mit.
Hinterher solltest du das Menü List sehen.
Gehe mal da drauf und teile mit, ob deine Daten oder eine Meldung angezeigt wird.
Gehe dort erstmal nicht auf das Menü Write, um keine Änderungen vorzunehmen.

Wenn die Daten nicht angezeigt werden, bleibt Datenrettungssoftware.
Kostengünstig und auch gute Ergebnisse bei große Dateien ist der Restorer2000 Pro.
Scanne mal in der Testversion dann deine Partition, ob die angezeigt werden.
Infos;
Infos;
Mache mir mal einen Scan mit Datenrettuntgssoftware in der Testversion.
Nehme mal dazu den kostengünstigen Restorer2000 (english) und lasse den mal nach Partitionen suchen.
Liefert in der Testversion gute Ergebnisse zum vergleichen.
Dazu folgende Anleitung;
Gute Ergebnisse sind Restorer2000, Scavenger und Recover it All.
Linkk dazu hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Freeware hat nicht immer gute Ergebnisse.

Du kannst dir ja mal den kostengünstigen Restorer2000 Pro (Shareware 49.99 $ ca. 38 €) in der Testversion anschauen was der an Daten nach Diagnose anzeigt.
Hatte hier bereits gute Ergebnisse und macht auch wenig Probleme mit verschiedene Dateiformate.
Daher noch ergänzende Hinweise und Tips wegen der Bedienung um optimale Ergebnisse zu erzielen.
Mache damit mal einen genauen Sektorscan.
Markiere ddeine Partition..
Scanne die Partition indem du auf das Icon im Menü mit dieser Uhr oder ähnlich gehst (Diese Option sucht nach Partitionen macht aber einen Sektorscan).
Dabei kannst du den Start auf der Festplatte festlegen und die Größe auch.
Dadurch scannst du nicht die gesamte Festplatte und sparst Zeit beim scannen und auch beim durchsuchen der Partitionen und Daten.
Hinterher kannst du oben im rechten Fenster in Restorer auf die Festplattensymbole (erkannte Partitionen) klicken und auf deine Daten untersuchen.
Wähle bitte zuerst die Laufwerkssymbole aus die deiner Partitionsgröße und Dateisystem entsprechen.
Da kannst du auch wenn im rechten Fenster mehrere angezeigt werden wechseln indem du in Restorer2000 im Menü oben ganz links auf das Laufwerkssysmbol klickst.
Dann kommst du wieder zurück und kannst im rechten Fenster das nächste Laufwerkssymbol zum untersuchen auf Daten auswählen.

Teile es mal mit.

Viele Grüße

Fiona

 

[looser]

Doppelte Einträge in der Partitionstabelle sind fast immer ein Anzeichen für einen Fehler in einem Bootsektor. Diese kann man im Menü Advanced (unter Analyse) und dann im Untermenü Boot überprüfen, auch hier wählt man die Partitionen mit den Cursortasten an.
Deine Partitionstabelle sieht soweit i.O. aus.
Die Filesystem-Listings zeigen schon mal, dass die Filesysteme soweit gut aussehen. Es sind fast ausschließlich Verzeichnisse gelistet, hier müsste man schon in jedes Directory reingehen, um zu überprüfen, ob wirklich keine Files fehlen. Das d in dr-xr-xr-x steht für Directory, hier kann man auch mit den Cursortasten einzelne anwählen und per Return öffnen.

Ich bin in die Verzeichnisse gegangen. Dort sind auf der Videopartition allerdngs nur wenige zuletzt hineinkopierte Files aufgeführt, welche mir auch der Explorer anzeigt. Die verschwundenen (gelöschten) Files sind hierin nicht aufgeführt.

Im dritten Screen werden Dir viele *.chk als Verzeichnis und auch als Files angezeigt, was auf einen Chkdsk-Lauf hinweist, also einem Fehler in der MFT. Hierfür gibt es Tools wie UnChk.

Chkdisklauf war dann das Anzeigen von endlosen Löschmeldungen auf dem hellblauen Win Bildschirm nach dem Rebooten? Erst konnte /musste ich verfolgen, wei die Videos gelöscht werden und anschließend kamen noch entsprechende Meldungen bez. der Entfernung aus dem MFT. Erst dann startete Windows.

Bei Fehlern auf Datenträgern und besonders der Datenwiederherstellung, sollte man möglichst nicht auf den Datenträger schreiben, von dem man Daten wieder herstellen möchte / muss. Bei einem 3GB-Volume natürlich nicht so einfach.
In Testdisk werden alle Aktionen erst dann auf dem Datenträger geschrieben, wenn es ausdrücklich per Write und einer Bestätigung, gewünscht wird, alles läuft zunächst im Speicher also virtuell ab.
Im Paket von Testdisk ist ein Programm zur Datenrettung enthalten - > Photorec, welches auf Multimedia-Files spezialisiert ist. Da viele Dateien bei Dir allerdings als *.Chk umbenannt wurden, bin ich mir nicht ganz sicher wie erfolgreich es sein kann.

Habe mich davor auch gehütet. Habe bislang nur Lesezugriffe gemacht. Ich hatte zuerst übrigens entgegen meiner oben gemachten Aussage Restorer2000 Demo erfolglos drüberlaufen lassen. Habe mir inzwischen eine Vollversion von Restorer 2000 pro besorgt und ein Scanlauf hat diverse deleted Datenordener zu Tage gebracht.

Bin jetzt gerade noch dabei, vorsichtshalber die lesbaren Daten aus meiner unbeschädigten H: Partition (Daten) auf andere Rechner zu sichern (kopieren). Danach werde ich mein Glück wohl nach dem Kauf von ein paar HDD zunächst noch einmal mit dem Restorer Pro versuchen, bevor ich nochmals an den Tablen herumschraube...

 

[looser]

Besteht bei dir die Möglichkeit, das du Probleme mit dem MBR gehabt hast, da Intel MBR nur 2 Terrabyte unterstützt?
Über 2 Terrabyte brauchst du eine Maschine die GUID ( Globally Unique Identifier )-Partition Table oder kurz GPT unterstützt.
Infos auch hier;
http://www.cgsecurity.org/wiki/Gegenwärtige_Einschränkungen

Habe ich hier bereits beim Einrichten des Raids den entscheidenen Fehler gemacht? Wie müßte mein Computer aufgebaut sein, damit diese 2 Terrabity Grenze keine Probleme macht?

War der Raid mit 5x 750 GB (2,7 Terrabyte) unter XP home einfach zu groß?

Ich hatte gemäß der Doku des Promise Controllers extra den Stripesize größer gewählt, da hier für Raids über 2 TB ein Wert von 64kb für nötig erachtet wurde.

Die anderen Tips werde ich angehen sobald ich alles nochmals gesichert habe...

 

[looser]

Falls es noch nicht zum Ausdruck gekommen sein sollte...

Ich bedanke mich ganz herzlich für die mir zu Teil werdene Hilfe

 

[looser]

Noch eine dringende Frage zum Verständnis...

Ich habe jetzt gerade vor, weitere 3 Samsung 753LJ in für die Datensicherung (d.h. das Kopieren von vom Restorer2000 pro wieder hergestellten Filme) in den gleichen Rechner einzubauen und diese an den S-ATA Controller des Mainboards (nicht des Raidcontrollers anzuhängen.

Da ich diese ja initialisieren und formatiren muß... kann ich damit noch mehr Schaden an den MFT anrichten?

Wo sind die Partitionsinformationen des beschädigten Laufwerks G: (1. Partition des Raids) gespeichert? Auf der Bootplatte (nicht Bestandteil des Raids) oder auf der beschädigten Partition G: ?

Mit anderen Worten... Verbaue ich mir mit der Initialisierung weiterer Platten im selben Rechner die Möglichkeiten der Datenrettung?

Wäre nett, wenn mir das mal jemand erklärt...

Liebe Grüße,
Ingo

 

[looser]

Ein Techniker von "JE Computer" hat mir heute nebenbei ein Horroscenario ausgemalt. Er meinte, daß das System bei Erreichen der 2TB Grenze auf dem 2,7TB großen Raid einfach wieder munter vom nfang der Platte an geschrieben hat (über die Daten meiner G: Partition rüber). Kann so etwas sein?

Wichtig ist im Augenblick für mich aber erstmal zu wissen, ob ich weitere "Ausweichplatten" an den Mainboardcontroller hängen kann, ohne Schaden anzurichten. Über eine Antwort würde ich mich sehr freuen.... (habe jetzt ein wenig Kusch noch mehr zu versauen...)

 

[Mueli]

Wenn Du weitere Disks in dem PC verbaust und einrichtest, sollten die anderen Disks davon nicht betroffen sein. Ein MBR liegt immer auf der jeweiligen Disk, im Fall von RAID ist es auf einer der beteiligten Disks (ein RAID wird vom System wie eine große Disk angesehen). Aufpassen muss man nur, dass man auch die richtigen Disks erwischt, aber in der Datenträgerverwaltung sind sie ja farblich unterschiedlich gekennzeichnet, wenn Du da weitere Sicherheit wünscht, kannst Du in der Datenträgerverwaltung unter Ansicht die Farben der verschiedenen Volume Typen und des freien Speichers, ändern.

Die Geschichte mit den mehr als 2 TB hatte Fiona ja bereits angesprochen, ob dann von 'vorne' an wieder geschrieben wird vermag ich nicht zu sagen, hier muss ich auch erst einmal Google befragen.

 

[looser]

Vielen Dank

Dann werde ich nun erst einmal die Platten einrichten und damit den nötigen Platz schaffen. War die Anschaffung des Mozart TX Gehäuses in diesem Fall doch eine gute Wahl... Er hat Platz ohne Ende...