Partition(stabelle) mit Apple Time Machine gekillt

[MimeTachine]

Hallo allerseits,


vor kurzem habe ich es tatsächlich geschafft versehentlich eine Partition meiner externen Festplatte (exFAT) zu killen - und zwar über die Backup Funktion von Mac OSX Lion (Time Machine). Das war allerdings nicht meine Absicht und ich würde das sehr gerne Rückgängig machen und die Partition inklusiver aller dort gespeicherten Daten retten.

Um es kurz zu machen: Ich habe beim Verwenden von Time Machine auf eine Fehlermeldung zum Dateisystem der externen Festplatte versehentlich falsch reagiert und dummerweise auf den „löschen“ Button geklickt. Obwohl ich den Vorgang bereits nach wenigen Sekunden abgebrochen habe, ist die Partition seitdem verschollen.
Vermutlich habe ich also wohl bloß die Partitionstabelle gelöscht. Leider bin ich völlig unerfahren, was den Umgang mit Testdisk oder ähnlichen Recovery Tools angeht. Daher würde ich mich wirklich sehr über jeden guten Ratschlag freuen.

Sicherheitshalber habe ich unten noch einmal eine ausführlichere Schilderung runtergeschrieben. Eilige Helfer können aber glaube ich direkt zum Absatz „Problemanalyse“ springen.

Schon mal vielen Dank für Eure Hilfe!

---

Ausführliche Fassung:

Hardware:

1. ein MacBook
2. eine externe Festplatte mit zwei exFAT Partitionen:
   • WD1000 (jetzt verschollen)
   • WD500 (noch da)
3. ein Windows 7 Laptop, an dem die Festplatte ursprüngl. formatiert und partitioniert wurde und an dem nun auch die Problemanalyse durchgeführt wird, um weitere Mac/TimeMachine Fehler zu vermeiden.

Ausgangssituation:
Ursprung allen Übels war mein Versuch ein Backup meines MacBooks über dessen Time Machine Funktion auf meiner externen Festplatte (exFAT) zu erstellen. Und ja, ich bin mir sicher, dass mir das mit diesem Dateisystem in der Vergangenheit bereits erfolgreich geglückt ist. Dennoch erhielt ich diesmal folgende Fehlermeldung:

„Möchten Sie das Bachup-Volume „WD1000“ wirklich löschen? Dabei werden alle Informationen auf dem Volume gelöscht und der Vorgang kann nicht widerrufen werden.

Das Volume muss gelöscht werden, bevor es für Time-Machine-Backups verwendet werden kann, da es ein inkompatibles Dateisystem hat.“

Tja und vor Schreck habe ich dann auf „löschen“ geklickt. Saublöd, weiß ich selber.
Selbstverständlich habe ich den Löschvorgang sofort abgebrochen. Trotzdem ist die Partition seitdem, wie vom Erdboden verschluckt.


---

Problemanalyse

Da ich davon ausgehe, dass bloß die Partitionstabelle gelöscht wurde, habe ich die Festplatte nach -> dieser Anleitung <- bereits mit Testdisk untersucht:

Ich habe meinen Weg durch Testdisk mal per Screenshots festgehalten.



Aufgefallen ist, mir dass die vermisste Partition offenbar gefunden wird. Versuche ich allerdings die Partition zu öffnen (Befehl: list files) erhalte ich die Fehlermeldung:
„No file found, filesystem may be damaged.“

Wie aus den Screenshots hervorgeht, bringt auch eine „deeper search“ kein besseres Ergebnis. Hier das entsprechende Log:
Anhang anzeigen testdisk.txt

Jedenfalls ist das der Punkt an dem ich nun nicht mehr weiter weiß. Leider sagt mir das Ergebnis überhaupt gar nichts.
Nach einem Blick in -> diesen Thread <-, glaube ich, dass ich in Testdisk eingangs als „Partition Table Type“ nicht [Intel] sonder [EPI GPT] wählen muss. Könnte das sein? Ein Deeper Search läuft unter diesem Partion Table Type allerdings seltsam langsam. Ich habe mal hochgerechnet, dass das bei der aktuellen Geschwindigkeit ca. 8 Tage dauern würde. Kann das so stimmen?!

Soweit erst einmal meine eigenständigen Rettungsversuche. Da diese bisher noch zu keinem Erfolg geführt haben, würde ich mich natürlich wahsinnig freuen, falls Ihr mir hier im ComputerBase-Datenrettungsforum weiterhelfen könntet.

Meint ihr da besteht noch Hoffnung? Soll/Muss ich den Deeper Search unter [EPI GPT] weiter laufen lassen?


Ganz herzlichen Dank schon mal im Voraus!

 

[SmokySmiley]

hallo MimeTachine,

sollte ich das richtig verstanden habe, hattest du 2 Partitionen aud der WD Platte, wovon eine jetzt verschwunden ist. Ich kenne mich nicht mit den von dir benutzen Tools aus, aber falls wirklich nur die Partitionstabelle verändert wurde ohne dass eine Formatierung durchgeführt wurde, gilt es nur diese wiederherzustellen.
Der Output des Programms "fdisk /dev/sdX" wäre sehr hilfreich. Da ich persönlich nicht mit MacOS arbeite, es aber auch auf einem Linux basiert, gehe ich davon aus, dass dieses Programm dort existiert. Falls nicht bleibt immer noch die Option eine LiveCD.
Wenn man annimmt das die Platte ohne Freiräume Partitioniert wurde, müsste man dann wissen wo die partition angefangen hat (Startsektor 63 oder 2048) und welches Filesystem sie hatte. Erstellt man mit fdisk diese Partition, sollte die Daten wieder zur Verfügung stehen.

gruß
SmokySmiley

 

[MimeTachine]

Hi SmokySmiley!

Wow, ganz vielen Dank für die schnelle Antwort!
Okay, ich hab's direkt mit der Ubuntu LiveCD probiert. Hierzu folgender Screenshot:


Zunächst einmal ist erfreulich, dass Ubuntu beide Partitionen der externen Festplatte erkennt (siehe Liste der Devices im Hintergrundfenster). Windows und OSX erkennen ja bisher nur die kleine Partition.
Aufgrund des exFat Dateisystems wird jedoch beim Versuch direkt auf die Partitionen zuzugreifen folgende Fehlermeldung ausgegeben:

Unable to mount 1.0 TB Volume
Error mounting /dev/sdb1 at/media/ubuntu/3616-7C14: Comand-line `mount-t "exfat" -o "uhelper=udisks2,nodev,sosuid" "/dev/sdb1" "/media/ubuntu/3616-7C14"' exited with non-zero exit status 32: mount: unknown filesystem type 'exfat'


Außerdem auf dem Screenshot das Resultat aus dem Terminal auf die Befehle:
cat /proc/partitions
und
fdisk /dev/sdX

Gibt's da eine alternative Möglichkeit, wie sich die exFat Partitionen in Ubuntu lesen lassen könnten?

Nochmals allerbesten Dank!

 

[SmokySmiley]

Der screenshot ist schonmal interessant, jedoch müsstest du vmtl fdisk mit sudo fdisk aufrufen. Im Programm kannst dann mit 'p' die partitionstabelle ausgeben und danach mit q fdisk schließen. Wenn du nochmal davon einen screenshot machen könntest, wäre das super.

gruß
SmokySmiley

 

[MimeTachine]

Okay, jetzt also mit sudo fdisk.

Die Fehlermeldung lautet jetzt:
This doesn't look like a partition table
Probably you selected the wrong device.

Hier der Screenshot:



Wie geht's jetzt weiter? Danke Dir vielmals für die Hilfe!

 

[SmokySmiley]

diesmal ist es schon fast richtig. Nur der "1"er ist zuviel, da fdisk natürlich nicht eine partition partitionieren will, sondern eine ganze platte. Also nochmal mit "sudo fdisk /dev/sdb" aufrufen.

gruß
SmokySmiley

 

[MimeTachine]

taadddaaaa!



Okay, Startsektor 2048 und Dateisystem HFS / HFS+ also.
Die Partition war aber ursprünglich als exFAT eingerichtet, exakt so, wie die zweite Partition.
Wenn ich das Dateisystem jetzt über fdisk wieder auf exFAT schalte, werden dann die Dateien (sofern noch vorhanden) automatisch wieder erkannt? Wenn ja, wie stell' ich das an?


Wie immer: Besten Dank!

 

[Ernst@at]

Wenn die Partition neu formatiert wurde, ist das Filesystem zumindest teilweise zerstört.
Dann helfen nur Rettungsprogramme, die auch exFAT im Bauchladen haben...

 

[SmokySmiley]

Ernst@at hat recht. Sollte bereits eine Formatierung angefangen haben, sind bereits sektore überschrieben worden. Es kann aber auch sein, dass du Glück hattest und nur die Partitionstabelle verädnert wurde. In dem Fall kannst du mit fdisk und der option t die id auf 7 setzen, damit die Partition wieder vom Typ "NTFS/exFAT" ist.

gruß
SmokySmiley

 

[MimeTachine]

Okay, danke!
Bevor ich irgendwas an der Festplatte ändere, frage ich aber sicherheitshalber noch mal nach:

#1 Wenn ich die Partition einfach wieder auf NTFS/exFAT setze, kann ich damit zusätzlichen Schaden anrichten, der die Wiederherstellung mittels Recovery Tools zusätzlich erschwert? Besteht hierbei also ein Risiko, von dem ich wissen sollte? Ansonsten würde ich mit diesem Schritt erst mal loslegen. Vielleicht reicht das ja wirklich schon.

#2 @Ernst@at: Kennst Du Dich mit Testdisk aus? Hast Du eine Idee, was ich bei meinem Testdisk-Recovery-Versuch falsch gemacht habe, bzw. wie ich in diesem Fall vorgehen sollte?

#3 Noch eine Frage aus purer Ahnungslosigkeit: Was genau bedeutet es, wenn "bereits erste Sektoren überschrieben wurden"? Sind dann ausschließlich die betroffenen Sektoren verloren (und der Rest der Daten ist noch da), oder führt dies zwangsläufig dazu, dass alle nachfolgenden Sektoren auch unlesbar werden?

 

[SmokySmiley]

zu #1:
Bloßes ändern bleibt ohne Konsequenzen. Erst durch das Einbinden sprich das mounten wird auf die Partition zugegriffen. Ich könnte mir vorstellen dass Testdisk funktionen besitzt, die feststellen können ob die Partiotion ein gültiges Filesystem enthält.

zu #3:
Ein Filesystem hält irgendwo die Informationen welche Dateien wo auf der Platte liegen. Bei einer schnellen Formatierung werden also nicht die Daten überschrieben sondern nur das Inhaltsverzeichniss. Das heißt aber dass bereits Blöcke auf der Partition verändert werden, jeh nachdem wo dieses Inhaltsverzeichniss liegt. Ich kenn mich mit exFat nicht aus, aber es gibt Mechanismen, die Fehler in der Struktur eines Filesystems beheben können. Dabei wird allerdings das Dateisystem selber repariert, und nicht zwangsläufige die Dateien. Es kommt eigentlich nur drauf an, wieviel das falsche Filesystem bereits geschrieben hat.

zum weiteren Vorgehen:
Ich könnte mir denken das ein read-only mount zum Testen der Partition sinnvoll wäre. Man sollte aber nochmal im Internet nachlesen, ob diese Funktion die Partitin unverändert hinterlässt. Wenn dies so wäre könnte man sich einfach anschauen ob die Dateien vorhanden sind und lesbar sind. Ich gebe allerdings keine Garantie, ob das in diesm Fall das richtige ist.

gruß
SmokySmiley

 

[Ernst@at]

zu #1
Mit testdisk kann
a) die Partitionierung vorgenommen werden, was im Gegensatz zu dieser Vorgangsweise unter Win non-destruktiv ist (mit Win-Mitteln wird auch immer der 1. Sektore der Partition gelöscht)
b) der 1. Sektor der Partition durch den Inhalt eines Backups wiederhergestellt werden. Darin stehen wichtige Orientierungsinformationen für das jeweilige Filesystem.

Beide dieser Aktionen werden im RAM vollzogen und nur auf explizite Anweisung auch auf dem Datenträger ausgeführt.

Ist dadurch die Orientierung im Filesystem möglich, da die weiterführenden Informationen unzerstört, kann auf den Index und damit die Struktur zugegriffen werden und damit Ordner/Dateien ausgelesen werden. Ist diese Voraussetzung nicht zumindest teilweise gegeben, kann mit testdisk nichts weiter erreicht werden. War die einzige Zerstörung die Partitionierung bzw der 1. Sektor, dann kann nach Reparatur am Datenträger sogar wieder normal im Win auf das Dateisystem zugegriffen werden.

Eine Schnellformatierung schreibt blitzschnell die dazu notwendigen nur wenigen MB auf die Platte.
Erst danach wird der davon unberührte Bereich ev. ausführlich bearbeitet. Testdisk kann danach nur mehr den Inhalt einer frisch formatierten Partition wiederherstellen (und das ist: gar nichts), wenn die Partitiongrenzen vorher gleich waren und auch der gleiche Sektor für das Backup des 1. Sektors verwendet wurde. Daraus ergibt sich die Antwort

zu #2:
gar nichts. Dann ist testdisk das falsche Mittel um noch irgendwas zu retten, dessen Informationen noch nicht überschrieben sind. Das einzige mit bekannte Tool um noch unbeschädigte exFAT Strukturen aufzuspüren, ist von Stellar Phoenix. Ich habe aber nie danach geforscht, ob noch andere der unzähligen am Markt befindlichen Tools dieses relativ neue Filesystem exFAT inzwischen implementiert haben. Andere Tools, welche nach signifikanten Beginnsequenzen unterschiedlicher Dateitypen am Dateibeginn suchen, sind davon unberührt. Die haben aber bloss Erfolg, wenn die so gefundene Datei nicht fragmentiert ist.

zu #3
Ist der Inhalt bereits überschriebener Sektoren nicht redundant woanders gespeichert, dann ist er verloren. Betrifft das Beschreibungen der inneren Struktur eines Filesystems, ist darin keinerlei Orientierung mehr möglich.

 

[MimeTachine]

Okay, Eure Posts haben mein Verständnis gefühlt um Lichtjahre erweitert! Thx!

@SmokySmiley
Das klingt nach einem handfesten Plan!
Ich hab’s für mich noch mal möglichst idiotensicher als Abfolge von Arbeitsschritten heruntergebrochen. Sofern Du keine Einwände hast/ich nix vergessen habe, würde ich dann jetzt wie folgt vorgehen:

1. automount deaktivieren mittels Befehl gsettings set org.gnome.desktop.media-handling automount 'false'
2. exFAT Paket für Ubuntu installieren (damit Ubuntu mit dem Dateisystem überhaupt zurecht kommt):
   
   • sudo add-apt-repository ppa:relan/exfat
   • sudo apt-get update
   • sudo apt-get install fuse fuse-exfat exfat-utils
3. Festplatte im read only modus manuell mounten:
   
   • Sudo mkdir /media/exfat
   • Sudo mount –o ro –t exfat /dev/sdb /media/exfat
     [*][*]-> sollte ich hier die gesamte Festplatte mounten (sdb) oder nur die Partition (sdb1)?
4. Gucken ob das schon hilft (vermutlich nicht)
5. Wenn nicht, Festplatte mittels fdisk manuell auf Dateisystem exFAT umstellen
   
   • Sudo fdisk /dev/sdb
   • t (für Optionen)
   • 7 (für id=7)
   • w (für write)
     [*][*]-> geht das überhaupt, wenn die Festplatte/Partition im read only Modus gemountet ist?
6. Gucken ob’s jetzt klappt

Ist mir selbstverständlich vollkommen bewusst, dass es da keine Garantie gibt. Am Ende bin ich natürlich selbst dafür verantwortlich, was ich mit meiner Festplatte anstelle.


@Ernst@at
Na da hätte ich ja lange mit Testdisk rumprobieren können. Danke Dir für die Info.
Ich werde mich also zusätzlich zu Smokys Vorschlag noch nach einem entsprechenden Recovery Tool umsehen, das exFAT beherrscht bzw. Stellar Phoenix mal ausprobieren. Wenn ich das richtig sehe, muss hierzu aber in jedem Fall das Dateisystem (mittels fdisk, wie oben beschrieben) vorab zurück auf exFAT umgestellt werden, korrekt?
Aktuell ist das Dateisystem der Partition ja offenbar (dank Apples Time Machine) auf HFS / HFS+ gestellt, wie aus dem oben geposteten Screenshot hervorgeht:

Anhang anzeigen 318240

 

[Ernst@at]

Die Mühe, das im Linux zu mounten, kannst Du Dir sparen.
Testdisk arbeitet mit den Linux-Komponenten, im Bild 7 des Erstposts erkennt er ja unabhängig vom Partitioneintrag ein exFAT- Filesystem darin.
Leider hast Du dort verabsäumt, mit "P" für List die Struktur auszuloten
Bei Bild11 hast Du das nachgeholt, und es war kaputt. Mehr als das wirst Du unter Ubuntu auch nicht erreichen

Eine Umdefinition der Partition hat da keinen Einfluss auf das Ergebnis.
Probier doch einfach mal das Stellar Phoenix-Zeug in der Trial-Version, damit scheint die Chance auf Erfolg am Größten

 

[MimeTachine]

Sorry, ich komm' nicht ganz hinterher.
Ich denke Testdisk brauche ich ohnehin nicht weiter verwenden?!


Oder meinst Du:
Aus den Ergebnissen vom Testdisk-Durchlauf lässt sich schließen, dass ein Mount in Linux ohne Erfolg sein wird.

 

[Ernst@at]

zweiteres.
Testdisk ist bestenfalls noch von Nutzen, um die Partitioninfo auf exFAT zurückzustellen, falls StellarPhoenix unbedingt darauf besteht, sowas finden zu wollen. Das wäre aber schon der erste Schritt zur Diskqualifikation des Tools.

 

[MimeTachine]

Alles klar.
StellarPhoenix durchsucht jetzt die Platte, das dauert offenbar ein Weilchen.

Außerdem werde ich im Anschluss noch Yodot ausprobieren. Das klingt auch sehr vielversprechend:
http://www.yodot.com/file-recovery/from-exfat-drive.html

Melde mich dann wieder, hoffentlich mit erfreulichen Ergebnissen.

 

[novle]

und wie gings weiter?

 

[MimeTachine]

Hey, sorry für den Cliffhanger.

Ich war in den letzten Tagen unterwegs und musste die Festplatte daher ein wenig vernachlässigen. Außerdem dauern die verschiedenen Scans (Suche nach verlorenen Laufwerken und Fotorettung) recht lange (je 2+ Tage). Da ich beim ersten Durchgang nicht daran gedacht habe, meine Schritte via Screenshot festzuhalten, habe ich das Prozedere jetzt also noch ein zweites mal durchgeführt. Jetzt kann ich aber wenigstens mal anschaulich wiedergeben, wie’s weitergegangen ist.

Vorab, Stellar Phoenix verfügt über drei wesentliche Funktionen:

• Laufwerksrettung
• CD/DVD-Rettung (-> irrelevant)
• Fotorettung

Wenn ich in Stellar Phoenix zunächst die Laufwerksrettung starte, wird die verlorene Partition erst einmal gar nicht aufgeführt. Lediglich die unversehrte Partition WD400 ist als exFAT gelistet.



Anschließend kann ich noch „nach verlorenen Laufwerken suchen“.



Für die Suche nach verlorenen Laufwerken lässt sich die gesamte externe Festplatte mit insgesamt 1397,26 GB auswählen. Dabei stehen die Optionen „schnell“ (in meinem Fall ohne Ergebnis) und „Tiefscan“ zur Verfügung. Nach abgeschlossenem Tiefscan findet Phoenix als verlorene Partition lediglich eine mickrige 3.01 MB große NTFS Partition.



Folgendes Ergebnis erhalte ich, wenn ich für diese Partition nun eine Datenrettung durchführen will:



Ich nehme mal an, das ist, was Time Machine in der kürze der Zeit dort draufgeschrieben hat? Die alte exFAT Partition von ca. 1000 GB bleibt jedenfalls weiterhin verschollen.
Das war soweit erst mal ziemlich ernüchternd.

---

Aaallerdings gibt es wie eingangs erwähnt auch noch die Funktion „Fotorettung“ (statt Laufwerksrettung) im Hauptmenü von Phoenix. Hierzu wähle ich wieder meine gesamte externe Festplatte, sowie im Anschluss alle von Stellar Phoenix unterstützten Dateiformate aus.





Dabei bekomme ich ein recht vielversprechendes Ergebnis: Insgesamt werden auf der Festplatte offenbar 70.98 GB Dateien der unterstützten Dateiformate (z.B. JPG) gefunden.



Tatsächlich ziegt mir die Vorschau-Funktion dann auch Fotos an, die auf der Partition gespeichert waren. Das ist zumindest erst einmal ein Lebenszeichen, das hoffen lässt, dass sich zumindest einige Dateien (wie z.B. noch nicht anderweitig gebackupte, aktuellere Fotos) noch retten lassen. Bisher habe ich den Scan nur mit der Demoversion durchgeführt. Zur Durchführung der Datenrettung würde ich mir jetzt die Vollversion kaufen. Vorab hätte ich allerdings noch 2 Fragen:

2. Gehe ich recht in der Annahme, dass beim Rettungsvorgang keine Informationen auf die externe Festplatte geschrieben werden? Alle geretteten Dateien werden ja vermutlich auf einen anderen Datenträger (z.B. andere externe Festplatte) geschrieben
3. Zudem vermute ich mal, dass über die Fotorettungsfunktion die alten Ordnerstrukturen nicht mitgerettet werden können, richtig? Oder gibt’s hierzu noch Hoffnung?

Danke Euch schon mal für Eure Einschätzung!

P.S.: Yodot File Recovery (siehe mein letzter Post) habe ich auch mal ausprobert. Das hat die Partition leider auch nicht erkannt und konnte mir auch sonst nicht weiterhelfen.

 

[Ernst@at]

Deine Annahmen 1 & 2 treffen zu. Bei 2: weder Ordnerstrukturen noch Dateinamen, ist auch nur bei unfragmentierten Dateien erfolgreich.
Hab da noch was gefunden, was unter Win auch exFAT Rekonstruktion beherrschen soll: http://www.diskinternals.com/