Partition nicht mehr lesbar! GPT - Schutzpartition wiederherstellbar?

[pinguSTAR]

Hallo Zusammen,

ich habe ein riesiges Problem!

Ich habe den rechner eines Bekannten neu Aufsetzen wollen. Es handelt sich um ein Win XP System 32bit.

Um auf der sicheren seite zu sein, habe ich mit CloneZilla ein Backup auf meine Externe Festplatte geklont. Dies hat auch geklappt. Die Daten waren auf meinem Mac (intel) sichtbar und ich konnte durch die Verzeichnisse browsen.

Nun, da CloneZilla die festplatte geklont hat, hat es auch von der Quelle die Partitionsgröße übernommen. 80GB. Die restlichen GB von der Externen Festplatte waren laut Festplattendienstprogramm (FDP) unpartitionierter Bereich.

Also habe ich mir gedacht, den Bereich Partitioniere ich um damit Daten zwischen Win und Mac tauschen zu könnnen. Das partitionieren mit dem FDP ist leider fehltgeschlagen. es kam eine fehlermeldung. ich dachte mir nichts dabei und löschte die quell festplatte und habe windows drauf installiert.

Was ich aber erst beim nächsten mal anschließen der externen Festplatte bemerkte, die festplatte hat nun eine macke weg. Sie wird nichtmehr richtig erkannt. wenn ich sie am mac anschließe werde ich gefragt ob ich "inizialisieren" , "ignorieren" oder "auswerfen" möchte. Unter Windows wirds sie nur in der Verwaltung angezeigt mit dem vermerk "GPT-Schutzpartition".

Ich brauche umbedingt einige daten der Partition wieder. sonst kann ich mir schonmal mein eigenes grab schaufeln.

gibt es da eine möglichkeit? habe hier im forum schon viel über das tool testdisk gelesen. ich wills aber nicht komplett versauen und traue mich deshalb jetzt nicht wirklich munter drauf los zu probieren...

bin für jeden tip sehr dankbar!

grüße
jan

 

[jack86]

Hätte jetzt im ersten Moment auch an TestDisk gedacht. Du kannst ja mit dem Tool mal analysieren was beschädigt ist, soweit kannst du ja noch nichts kaputt machen.
Hier eine ausführliche Anleitung zu dem Programm: Beratung: Datenrettung mit „TestDisk“

 

[shortex]

sonst kann ich mir schonmal mein eigenes grab schaufeln.

Also bei mir wars das Sofa aber dann zum Glück doch nicht
Klingt bisl nach Metadaten gewurschtel das evt da wad passiert ist.
Warte mal bis morgen abend bis Ernst@at schreibt.

Wenn er das macht bekommste deine Daten ( Aktueller stand 100 % ) wieder.
Aber gibt immer ein erstes mal

Grus

 

[pinguSTAR]

ich danke schonmal für eure antworten!

dann werde ich mal abwarten und tee trinken. auch wenn mich das echt kirre macht.

naja hilft alles nichts... dann freu ich mich schonmal auf den spezialisten

danke und grüße
jan

 

[Ernst@at]

Wenn ich das Erstpost richtig interpretiere, hast Du
- am Pc Deines Bekannten unter seinem System mit Clonezilla auf Deine Platte geklont?
- dann den Partitionierungsversuch des freien Bereiches dahinter am Mac.
Nach der Meldung in der Datenträgerverwaltung wurde der Datenträger auf GPT konvertiert.
Mach einfach mal testdisk, und poste den Screen nach dem Quick search.

 

[pinguSTAR]

hi,

vielen dank schonmal das du mir bei meinem problem unter die arme greifst.

ich habe den quick scan mit testdrive am windows rechner (32 bit) gemacht.

den partitionstabellen typ erkennt testdrive ja laut dem artikel von fiona selbst. da wurde bei mir "intel" ausgewählt.

der quickscan ergab folgendes:

Beim zweiten punkt steht etwas von EFI GPT, das würde vom festplatten status her auch passen, die festplatte befindet sich im gpt schutzpartitions modus. soll ich das auch mal noch machen?

danke und grüße
jan

 

[Ernst@at]

Nein, mache einfach mal "P" an der angezeigten Partition - ist da alles zu finden, was auf dem System drauf war?
Weil WinXP kein GPT-Format kennt, kannst Du bei positivem Ergebnis mit "Write" diese Partition als Basis-MBR zurückschreiben; dann wird das auch wieder erkannt

 

[pinguSTAR]

wenn ich "P" einstelle und enter drücke, frägt er mich ob das was mit vista zu tun habe. da ich nicht wusst was gemeint ist habe ich mit "ja" bestätigt. und dann folgt das hier:

edit: achso, wenn ich "P" drücke, also die taste... dan steht da keine daten gefunden, partition beschädigt.

 

[Ernst@at]

dann mach mal weiter mit "Deeper Search"; das wird ein Weilchen dauern

 

[pinguSTAR]

deeper search führt leider zum selben ergebnis

was mache ich jetzt?

Ergänzung (17. Juni 2010)

ich hab jetzt mal noch das ganze am mac versucht, bei der gleichen vorgehensweise kommen aber andere meldungen als bei testdisk unter windows:

wenn ich die taste "p" drücke kommt wieder nix gefunden ect.

 

[Ernst@at]

Wenn so nichts zu finden ist, dann wird wohl nichts übrigbleiben, als selbst auf der Platte nachzusehen:

hier die Anleitung:

Für die Diagnose zu installieren:
- den Hex-Editor HxD von hier in der englischen Version. Damit nicht herumexperimentieren, damit die Defaulteinstellungen erhalten bleiben.

Alle auf Anforderung erzeugten Dateien dann am Schluss in einen zip-File und den in den Post-Anhang stellen

(Das geht so: Post Antwort/ Erweitert /Anhänge verwalten/Durchsuchen, den Ordner und Namen einstellen - bis zu 4 Dateien oder Bilder gleichzeitig möglich/ Hochladen)

Vergewissere Dich in der Datenträgerverwaltung, unter welcher Datenträgernummer (wird ab 0 hochgezählt) die extere Platte aufscheint. Im HxD sind die physical hard disk Nummern um 1 höher als im Disk Management angezeigt

HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)

========= Überprüfen der Anzeigeeinstellungen, bei Bedarf richtigstellen
- Menü: Extras/Options.../View
Bytes per row: 16
Byte Group size: 1
Charset: ANSI
Offset-base: hexadecimal

- Menü: Extras/open disk/physical disk/hard disk ? (Häkchen bei "open as readonly" NICHT entfernen)

========= extrahieren MBR+GPT-Info
- Menü: Edit/select block/start: 0 , length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige in das kleine punktierte Rechteck rechts unter den Zeichen "... 0E 0F" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
========= extrahieren Mirror-GPT-Info
- auf Reiter "hard disk ?" klicken
- Menü: Edit/select block/start: 3A38B29E00 , length: 4200, hex, OK

(mit copy&paste übertragen hilft Tippfehler vermeiden)​

- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- auf Reiter "untitled1" klicken - aber nicht sonstwo ins Anzeigefenster
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MBRGPT.txt" /speichern
- HxD beenden

Die Datei zippen und in den Anhang - Auswertung folgt dann

 

[pinguSTAR]

so hier ist das ding. hoffe das stimmt soweit...

kannst schonmal was auf deine amazon wunschliste setzen

 

[Ernst@at]

Nun - das Ergebnis der ersten und letzten Sektoren der Platte:

vorne ist noch im MBR ein initialisierter GPT-Datenträger, danach aber alles zerstört.
Hinten findet sich noch der Mirror der ursprünglichen GPT-Partitionierung

===== PE INFORMATION =====   (start LBA= 488397135)
. Partition entry 1
3A38B29E00 A2A0D0EBE5B93344  . partition type
3A38B29E08 87C068B6B72699C7  .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
3A38B29E10 4D626BDECD61DB47  . unique partition
3A38B29E18 9AB1DC448D1F4DFD  .. GUID: DE6B624D-61CD-47DB-9AB1-DC448D1F4DFD
3A38B29E20 2800000000000000  Part first LBA: 40
3A38B29E28 2740060000000000  Part last  LBA: 409639
3A38B29E30 0000000000000000  Attribute flags:
3A38B29E38 44004F0053005F00  . Partition Name:
3A38B29E40 4600410054005F00  ..
3A38B29E48 330032005F005500  ...
3A38B29E50 6E00740069007400  ....
3A38B29E58 6C00650064005F00  .....
3A38B29E60 3300000000000000  ......
3A38B29E68 0000000000000000  .......
3A38B29E70 0000000000000000  ........
3A38B29E78 0000000000000000  .........'DOS_FAT_32_Untitled_3...............'
. Partition entry 2
3A38B29E80 A2A0D0EBE5B93344  . partition type
3A38B29E88 87C068B6B72699C7  .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
3A38B29E90 F2D2490738E21D4A  . unique partition
3A38B29E98 84FA179ACEF2D8AD  .. GUID: 0749D2F2-E238-4A1D-84FA-179ACEF2D8AD
3A38B29EA0 0048060000000000  Part first LBA: 411648
3A38B29EA8 FF571C1D00000000  Part last  LBA: 488396799
3A38B29EB0 0000000000000000  Attribute flags:
3A38B29EB8 55004E0054004900  . Partition Name:
3A38B29EC0 54004C0045004400  ..
3A38B29EC8 0000000000000000  ...
3A38B29ED0 0000000000000000  ....
3A38B29ED8 0000000000000000  .....
3A38B29EE0 0000000000000000  ......
3A38B29EE8 0000000000000000  .......
3A38B29EF0 0000000000000000  ........
3A38B29EF8 0000000000000000  .........'UNTITLED............................'
. Partition entry 3 - 128  *** unused ***

und das entspricht einer 200MB reserved Partition, wie sie auf Win7/Vista angelegt wird (die beginnt aber üblicherweise auf Sektor 2048, hier aber 40) die aber auf eine "Untitled FAT Partition umgemodelt wurde)
und einer weiteren Partition, deren Grenzen zu einer davorliegenden 2048+409600=411648 (auf 2048 beginnenden, 200MB großen "Microsoft reserved Partition") passen würde und 232,69 GiB groß ist.
Hast Du vielleicht da drüber das neue System installiert(zumindest ansatzweise)?
Sehen wir mal, was uns da erwartet:

Vergewissere Dich in der Datenträgerverwaltung, unter welcher Datenträgernummer (wird ab 0 hochgezählt) die extere Platte aufscheint. Im HxD sind die physical hard disk Nummern um 1 höher als im Disk Management angezeigt

HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)

- Menü: Extras/open disk/physical disk/hard disk ? (Häkchen bei "open as readonly" NICHT entfernen)

========= extrahieren NTFS Bootrec
- Menü: Edit/select block/start: C900000 , length: 200, hex, OK

(mit copy&paste übertragen hilft Tippfehler vermeiden)​

- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige in das kleine punktierte Rechteck rechts unter den Zeichen "... 0E 0F" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
========= extrahieren Mirror-Bootrec
- auf Reiter "hard disk ?" klicken
- Menü: Edit/select block/start: 3A38AFFE00 , length: 200, hex, OK

(mit copy&paste übertragen hilft Tippfehler vermeiden)​

- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- auf Reiter "untitled1" klicken - aber nicht sonstwo ins Anzeigefenster
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "NTFSBoot.txt" /speichern
- HxD beenden

Die Datei zippen und in den Anhang - Auswertung folgt dann

 

[pinguSTAR]

also bei dem start wert: 3A38AFFE00 kommt die meldung: the specified offsets result in an empty selection

und bei dem ersten, hab ich die datei angehängt.

installiert hab ich mit der externen festplatte nichts. nur den partitionierten bereich hab ich versucht zu partitionieren.

was meinst du? gibts noch ne chance? hätten professionelle firmen bessere möglichkeiten an die daten ran zu kommen? oder ist es hoffnungslos?

danke und grüße
jan

 

[Ernst@at]

Was da wirklich los ist, kann ich noch nicht sagen.

Mach mal folgendes:

Vergewissere Dich in der Datenträgerverwaltung, unter welcher Datenträgernummer (wird ab 0 hochgezählt) die extere Platte aufscheint. Im HxD sind die physical hard disk Nummern um 1 höher als im Disk Management angezeigt

HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)

- Menü: Extras/open disk/physical disk/hard disk ? (Häkchen bei "open as readonly" NICHT entfernen)

rechts in der Menüzeile steht ein Sektoreingabefeld, danach "of ..."
was steht da? 488397168 ?
wenn ja, gib in das Sektorfeld den Wert 488396799 ein und drücke die Enter-Taste

- Menü: Edit/select block/start: (den eingetragenen Wert belassen) , length: 200, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige in das kleine punktierte Rechteck rechts unter den Zeichen "... 0E 0F" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "endpart2.txt" /speichern

- HxD beenden

Die Datei zippen und in den Anhang - Auswertung folgt dann

 

[pinguSTAR]

da steht 488397168

im anhang das ergenis

 

[Ernst@at]

Naja, da müssen wir mit schwererem Geschütz auffahren - an beiden Stellen ist nichts von einer NTFS-Partition zu sehen. Kann aber aus Zeitmangel heute hier nicht weitermachen. Ergänze dann hier morgen nachmittags...

Ergänzung (18. Juni 2010)

Erstmal den MBR sichern und vom Array entfernen - weil der stört bei der folgenden Suchaktion möglicherweise die Analyse.

Vergewissere Dich in der Datenträgerverwaltung, unter welcher Datenträgernummer (wird ab 0 hochgezählt) die extere Platte aufscheint. Im HxD sind die physical hard disk Nummern um 1 höher als im Disk Management angezeigt

Nach dieser Aktion fragt die Datenträgerverwaltung, ob Du diese Platte initialisieren willst - immer ablehnen!

HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)

- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" diesmal entfernen)

wenn nicht an der Zeile mit Offset 1C0 folgendes zu sehen ist, abbrechen - dann bist Du auf der falschen Platte
00000001C0 FF FF EE FE FF FF 01 00 00 00 6F 59 1C 1D 00 00 ÿÿîþÿÿ....oY....

========= sichern & löschen MBR
- Menü: Edit/select block/start: 0 ; length: 200, hex, OK
- Strg+C (Kopiert es in die Zwischenablage)
- Menü: File/New (es erscheint ein Reiter "untitled1")
- Strg+V (überträgt es aus der Zwischenablage - bei popup "File Size change": OK)
- Menü: File/Save as... Ordner wählen und dateiname "MBR.bin"
- Menü: File/Close (es erscheint wieder die markierte Anzeige der hard disk)
- Menü: Edit/Fill selection/OK
- Menü: File/Save (schreibt es auf die Platte zurück)
- HxD beenden


Danach installierst Du Dir die Demo.Version von GetDataBack for NTFS (später wann das nichts bringt vielleicht auch - for FAT) und lässt damit die gesamte physische Platte durchscannen(dauert einige Stunden). Wenn er damit fertig ist, den Scanlauf abspeichern und das Bild mit der Liste der gefundenen Partitions (links unten "alle zeigen" markieren) posten.

 

[pinguSTAR]

wie hoch schätzt ist den die wahrscheinlichkeit deiner meinung nach, noch was retten zu können.

ich bin langsam soweit das ganze wirklichen profis in die hand zu geben. ich hab das gefühl wenn ich hier nur den kleinsten fehler mache, dann ist entgültig alles futsch.

?!

edit: oder wie erstelle ich denn eine kopie von dem ganzen, damit ich mit der kopie weiter machen kann um im fall der fälle das original noch zu haben.

 

[Ernst@at]

Mal abgesehen davon, dass ich etwas mehr als das, was handelsüblich als "wirklicher Profi" bezeichnet wird, bin (falls Dich das beruhigt)
- ist die Platte nicht physisch defekt (was bei wichtigen Daten ein zwingender Grund wäre, die HDD sofort einem Datenrettungsunternehmen zu übergeben)
- werden mit all den von mir erteilten Anweisungen auf der Platte keine Änderungen vorgenommen (außer das temporäre Löschen des MBR, der sowieso Schrott ist und keine Rolle bei einer Rekonstruktion spielt)
- ist nach den bisherigen Erkenntnissen jeder Inhalt einer früheren Partition da drauf zumindest teilweise zerstört.
- kochen herkömmliche Datenretter in diesem Fall mit dem gleichen Wasser, sind nur etwas kostspieliger
- nach der Diagnose mit Getdataback alles, was noch auf der Platte auffindbar sein könnte, angelistet wird und bei Bedarf inspiziert und rauskopiert werden kann, ohne die Originaldaten zu verändern.

Bis jetzt ist schon mal klar, dass irgendwann mal auf der HDD eine Partitionierung Vista/7-System-like stattgefunden hat, als die Platte GPT initialisiert war; und irgendwas auf der GPT-Schutzpartition(!) völlig planlos herumgepfriemelt hat.
Von der Partition, die eigentlich von CloneZilla drauf sein sollte, bisher keine Spur

 

[pinguSTAR]

hmm hört sich nicht gerade gut an...

also das mit vista/7 ist komisch! seit dem klonvorgang von clonezilla hing die platte eigentlich nur an meinem mac und dem xp rechner an dem ich die bisherigen recovery versuche unternommen habe.

naja ich mach das nun mal... in ein paar minuten meld ich mich mit dem ergebnis...

edit:

also der scan läuft jetzt mit dem programm getdataback for ntfs. ich habe es mit den standart einstellenugen gemacht, als er mich am anfang gefragt hat. okay oder?

was mir grade noch gekommen ist. die ursprüngliche festplatte wo nun ein neues windows xp drauf ist. gibt es chancen dort daten wiederherzustellen??

ich poste das ergebnis dann so in 6:21h