Partition wieder herstellen (testdisk) oder data recovery?

[wolfgangesgang]

Hi,
ich habe eine 6TB NTFS (Daten, nicht System) Platte, bei der die Partitionstabelle futsch ist und die nur noch als RAW erkannt wird.

• die Daten sind noch drauf, habe schon mit easeus gescannt
• eleganter wäre es wahrsch. zu versuchen, die Partition wieder her zu stellen, dazu bräuchte ich mal Eure Hilfe

Testdisk hat nach einem Quickscan die Partition gefunden, kann aber nicht auf die Dateien zu greifen ("Filesystem seems damaged"). In solch einem Fall habe ich gelesen, sollte man auch nicht versuchen, die Partitionstabelle wieder her zu stellen, um nicht noch mehr Übel zu stiften. Ist das korrekt?

Die SMART Parameter zeigen keine Verdächtigkeiten.

Unten findet Ihr den Auszug aus dem testdisk log. Vielleicht habt Ihr einen Tipp, wie Ihr weiter vorgehen würdet!?

THX!
w.

###############

TestDisk 7.2-WIP, Data Recovery Utility, July 2019
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org
OS: Windows 8 (9200)
Compiler: GCC 7.4, Cygwin 3000.3
ext2fs lib: 1.45.3, ntfs lib: 10:0:0, reiserfs lib: none, ewf lib: 20140608, curses lib: ncurses 6.0
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=512110190592
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=6001175126016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdc)=12002252554240
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=512110190592
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=6001175126016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive2)=12002252554240
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C=376092253696
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D=12001908580352
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\E=6001157734400
Hard disk list
Disk /dev/sda - 512 GB / 476 GiB - CHS 62260 255 63, sector size=512 - THNSN5512GPU7 TOSHIBA, S/N:0008_0D02_001B_C15E., FW:57XA4104
Disk /dev/sdb - 6001 GB / 5589 GiB - CHS 729601 255 63, sector size=512 - HDD , S/N:000000000001, FW:1234

Partition table type (auto): EFI GPT
Disk /dev/sdb - 6001 GB / 5589 GiB - HDD
Partition table type: EFI GPT

Analyse Disk /dev/sdb - 6001 GB / 5589 GiB - CHS 729601 255 63
hdr_size=92
hdr_lba_self=1
hdr_lba_alt=11721045167 (expected 11721045167)
hdr_lba_start=34
hdr_lba_end=11721045134
hdr_lba_table=2
hdr_entries=128
hdr_entsz=128
check_part_gpt failed for partition
1 P MS Reserved 34 32767 32734 [Microsoft reserved partition]
check_part_gpt failed for partition
2 P MS Data 32768 11721043967 11721011200 [Basic data partition]
Current partition structure:
No FAT, NTFS, ext2, JFS, Reiser, cramfs or XFS marker
1 P MS Reserved 34 32767 32734 [Microsoft reserved partition]
1 P MS Reserved 34 32767 32734 [Microsoft reserved partition]
No FAT, NTFS, ext2, JFS, Reiser, cramfs or XFS marker
2 P MS Data 32768 11721043967 11721011200 [Basic data partition]
2 P MS Data 32768 11721043967 11721011200 [Basic data partition]

search_part()
Disk /dev/sdb - 6001 GB / 5589 GiB - CHS 729601 255 63
NTFS at 16/113/34
filesystem size 11720779776
sectors_per_cluster 8
mft_lcn 786432
mftmirr_lcn 2
clusters_per_mft_record -10
clusters_per_index_record 1
NTFS part_offset=135266304, part_size=6001039245312, sector_size=512
NTFS partition cannot be added (part_offset<part_size).
NTFS at 16/113/34
filesystem size 11720779776
sectors_per_cluster 8
mft_lcn 786432
mftmirr_lcn 2
clusters_per_mft_record -10
clusters_per_index_record 1
MS Data 264192 11721043967 11720779776 [DHF_01]
NTFS, blocksize=4096, 6001 GB / 5588 GiB
file_pread(5,2,buffer,11721046016(729601/94/30)) lseek err Invalid argument
…
file_pread(5,1,buffer,11721045168(729601/81/1)) ReadFile Datenfehler (CRC-Prüfung)
…
file_pread(5,1,buffer,11721047217(729601/113/34)) lseek err Invalid argument

Results
P MS Data 264192 11721043967 11720779776 [DHF_01]
NTFS, blocksize=4096, 6001 GB / 5588 GiB
ntfs_mapping_pairs_decompress() failed: Input/output error.
ntfs_mft_load(): Failed.
Failed to load $MFT: Input/output error.
Failed to startup volume: Input/output error.
ntfs_mapping_pairs_decompress() failed: Input/output error.
ntfs_mft_load(): Failed.
Failed to load $MFT: Input/output error.

P MS Data 264192 11721043967 11720779776 [DHF_01]
NTFS, blocksize=4096, 6001 GB / 5588 GiB
Can't open filesystem. Filesystem seems damaged.

interface_write()
1 P MS Data 264192 11721043967 11720779776 [DHF_01]
simulate write!

 

[Nordwind2000]

Ich würde es mit Testdisk probieren.

 

[BFF]

Image von der Platte mit DDrescue machen und mit dem Image und Testdisk weiter machen.

BFF

 

[wolfgangesgang]

Image von der Platte mit DDrescue machen und mit dem Image und Testdisk weiter machen.

OK, d.h. dann erstmal versuchen, die partition table zu recovern bzw. deren Backup zu verwenden!? Empfiehlt sich da ein deep scan, auch wenn die Partition eigentlich schon gefunden wurde?

Wenn das nicht hilft, die Daten von der Platte kratzen?

 

[BFF]

Es heisst, das mit dem erstellten Image weiter "gespielt" wird.

Wenn es Dir die Partitionstabelle zerlegt hat, hatte das einen Grund.
Das kann Hardware sein oder eine Software gewesen sein. Niemand weiss das.

Du kannst auch ganz mutig jedes beliebige "Tool" auf die Platte loslassen, welches Dir die "Daten zusammen kratzt". Nur was ist wenn die Platte just in dem Moment sich ganz verabschiedet.

BFF

 

[wolfgangesgang]

ja, das ist klar, dass mit dem Image weiter gemacht wird. Die Frage war, was mache ich dann zuerst mit dem Image? Versuche ich, die Part.tabelle erstmal zu recovern und wenn ja, am besten wie?

Die Möglichkeit, die Daten vom Image zu retten, falls das nicht möglich ist, sollte dadurch ja nicht durchkreuzt werden.

 

[BFF]

Achso.

Du behandelst das Image genau wie die HDD.
Wenn Du die Partitionen wieder haben willst, stell sie wieder her. Wenn das geklappt hat kommst Du gewoehnlich an die Dateien zum einfachen kopieren. Klappt es nicht mit der Partition, holst Du Dir die Dateien.