Partition versehentlich freigegeben TestDisk

[Harald321]

Hallo,

ich hatte 4 Partitionen auf meiner HDD (für Windows benutze ich eine SSD).
Die HDD Partitionen D: (für System reserviert), E:, F: und F2:, wobei F2 leer war.
Auf D: und E: habe ich immernoch Zugriff.

Über Windows (Partitionverwaltung) wollte ich F und F2 kombinieren. Nach einigem rumklicken hat er die beiden in eine Dynamische Partition gewandelt. (F und F2 waren gelb makiert). Danach habe ich fatalerweise auf F2: geklickt und es "freigegeben" dann hat er aber auch F: freigegeben (800gb belegt).

Ich habe noch nichts formatiert.

Ich habe nach Youtube TestDisk rüberlaufen lassen, er findet nur 3 Partitionen. Im ersten Durchlauf habe ich eine ausgewählt und wiederhergestellt - es war F2.
Im 2. Druchlauf habe ich auf "p" gedrückt und mir die Datenanzeigen lassen. Er zeigt mir bei der ersten Partition die Daten die auf E: sind an. (auf diese habe ich sowieso zugriff). Auf den anderen Partitionen sind Systemdaten (wohl D: ) und die 3. ist leer.

Wie bekomme ich meine Daten wieder? Auf welche Partition soll ich DeepSearch machen? QuickSearch dauert allein 2:30h.

Mit freundlichen Grüßen

Harald321

 

[nicknackman1]

Datenbackup?

 

[Harald321]

Ja das hätte ich machen sollen. Die Antwort hilft mir jetzt aber auch nicht weiter.

 

[m4bund4]

Hallo Harald321,

dir sollte klar sein, dass eine Dattenrettung bzw. alleine das erstellen eines forensichen Duplikates meistens mehrere Tage manchmal sogar 1 bis 2 zu Wochen in Anspruch nehmen kann. Ich selbst hatte schon Fälle beidenen das Duplikat 1 1/2 Wochen dauerte.....und das warten hatte sich gelohnt. Ich gehe ziemllich stark davon aus, dass es mit Testdisk oder ddrescue machbar ist an deine Daten zu kommen. Vorraussetzung ist, dass du die Festplatte keinen weiteren Rettungsversuchen aussetzt. Dies wiederum kann noch vermeintlich darauf befindliche Dateien unwiederruflich zerstören.
Um dir sagen zu können worauf du Testdisk ansetzen sollst hängt immer vom Fall ab, sowas kann man schlecht aus der Ferne sagen (bzw. ohne Blick auf deinen Desktop).

Für weitere Fragen und Recovery-Support stehe ich gerne zur Verfügung.

m4bund4

 

[Harald321]

Hallo m4bund4,

vielen Dank für die Antwort. Da ich die HDD-Festplatte momentan nicht nutze spielt Zeit keine Rolle. Ich habe mit o&o recover versucht die Daten wiederherzustellen. Das Programm hat 1,2 tb gefunden, wovon 500 gb wiederhergestellt wurden. Leider lässt sich keine Datei öffnen >.<. Ich hoffe es hat die Daten nicht zerschossen. Welche Informationen brauchst du, um mir erklären zu können, wie man weiter vorgehen kann? Ich kann dir gerne meine Skype addy schicken.

MFG Harald321

 

[m4bund4]

Hi Harald321,

als erstes würde ich dir empfehlen ein forensiches Abbild deiner Festplatte zu erstellen. Meine favorisierten Tools dafür sind die "System Rescue Disc". Dies ist eine der bekanntesten Linux-Live-Cd's, mit jeder Menge nützlicher Tools dabei. Wenn ein Windows System beschädigt oder gar eine Festplatte aus einem RAID defekt ist, muss "System Rescue" ran. Für die Erstellung des Abbildes benötigen wir optimalerweise eine weitere Festplatte welche mindestens genau so viel Platz wie die jene hat welche du abbilden möchtest. Es kann sogar ausreichen die zusammengefügten Partitionen abzubilden (sofern diese korrekt dargestellt werden).

Step 1
Starte deinen Computer von der "System Rescue Disk". Um Missverständnisse zu vermeiden sind nur die Quell-, u. eine Zielfestplatte angeschlossen. Zum starten solltest du als Bootmedium dein CD/DVD-Laufwerk auswählen in welchem du die gebrannte CD eingelegt hast. Im Bootmenü der CD wählst du den ersten default-Eintrag, anschliessend wir dein Tastaturlayout abgefragt ("de" eintippen u. mit Enter bestätigen). Nach eingiger Zeit bekommst du eine Bash in welcher du Befehle eingeben kannst. Nun erstellen wir eine Windows NTFS-Partiotion (sofern diese nicht bereits besteht). Mit dem Tool "fdisk" lassen sich Partitionen bzw. Festplatten anzeigen, erstellen u. löschen.


In diesem Fall sehen wir:
/dev/loop0 <-- meine Live-Cd
/dev/sda <-- meine erste Festplatte
/dev/sda1 <-- meine auf der ersten Festplatte befindlichen Windowspartition (NTFS) welche wir z.B. sichern/recovern möchten
/dev/sdb <-- meine Zielfestplatte (momentan ohne Partition u. Dateisystem )

Um nun auf der Zielfestplatte eine neue Partition zu erstellen gehen wir wie folgt vor:


Nun haben wir eine neue Partition erstellt. Mit "mkfs.ntfs" haben wir ein Dateisystem auf der neuen Partition mit dem Namen "Target-Disk" erstellt. Nun sind wir bereit mit "dd" ein forensisches Abbild auf die Zielfestplatte zu schreiben. Vorab mounten wir unsere neu erstellte Zielpartition in das Verzeichnis /mnt/backup
Kurzum bedeutet das, dass sich nun unter dem Verzeichnis /mnt/backup unsere Zielpartition befindet.


Um etwas transparenz über den Fortschritt zu bekommen, pipen wir dd durch das Tool "pv" welches uns einen Fortschrittsbalken zeigen wird.


Nun haben wir auf der Zielfestplatte eineforensisches Abbild unserer zur sichernden Festplatte. "DD" wird sich Zeit lassen, da es auch nicht belegten Speicher abbildet. Als immer das Ziel vor Augen halten, egal wie lange es dauert. Der Befehl "halt" lässt das gesamte Live-System herunterfahren und unmountet vorab alle eingebundenen Datenträger.

In Step 2 werden wir Tools wie "OSFMount 32-bit/64-bit" verwenden um unser DD-Image unter Windows mounten zu können. Zu guter Letzt verwenden wir Tools wie "R-Studio" und werden mit viel Glück unsere Daten auf ein drittes Medium wiederherstellen.

m4bund4

 

[Harald321]

Super ich werde mich spätestens am Wochenende ransetzen, ich habe eine externe Festplatte mit ausreichend speicher.

Im 4. Bild hat er das Commando nur genommen als ich das Leerzeichen vor dem Komma ",sync" entfernt habe. Jetzt läuft der Kopiervorgang.

Vielen Vielen Dank, ich weiß nicht was ich sagen soll. Ich konnte alles wiederherstellen inkl. Verzeichnisstruktur.