Platte voreilig neu formatiert

[Maze6]

Hallo Computer-Freaks,

ich bin neu hier und habe auch relativ wenig Ahnung und bräuchte deshalb Eure Hilfe bei folgendem Sachverhalt:

Ich habe eine mit TrueCrypt-7.1 verschlüsselte Transcend StoreJet 25M3 USB 3.0 2TB - Platte voreilig neu formatiert und zwar zuerst nur komplett mit Schellformatierung. Anschließend habe ich dann dummerweise auch noch die normale Formatierung gestartet. Als ich ca. nach 15% der Formatierung gemerkt habe, dass ich vergessen habe, einen Ordner der neuen Festplatte zu sichern, habe ich die Formatierung allerdings abgebrochen.

Nachdem ich im Forum etwas rumgelesen hatte, habe ich einen Datenrettungsversuch mit testdisk-7.1 unternommen.

Allerdings komme ich auch nach Lesen der Beschreibung nicht so recht mit den Meldungen klar.

Gibt es hier jemanden, der sich mit testdisk-7.1 auskennt und Zeit und Lust hat, mir weiterzuhelfen?

Danke für Eure Antworten!
Maze

P.S.: Ich bin auch dankbar für qualifizierte Einschätzungen, ob mein Problem mit testdisk oder anderen Datenrettungsprogrammen überhaupt möglich ist?

 

[tollertyp]

Das Problem wird sein, dass das ganze ja verschlüsselt ist. Und der Schlüssel, mit dem die Daten verschlüsselt wurden, lag selbst auf der Platte verschlüsselt mit deinem Passwort/... . Soll heißen: Aus meiner Sicht ist dieser Schlüssel ziemlich sicher verloren, mit dem die Daten verschlüsselt wurden. Dann hast du im Grunde so gut wie keine Chance mehr, an die Daten zu kommen.

Unverschlüsselt wäre die Chance größer, noch irgendwelche Teile zu finden.

 

[madmax2010]

Die war komplett verschluesselt? da hilft auch keine Datenrettung mehr.. nur noch backups

Was du vielleicht probeiren kannst ist:

mit dd-rescue ein Image der Platte ziehen und probieren das image zu in veracrypt zu mounten - aber ich wuerde da keine Hoffnung rein stecken

 

[tollertyp]

Ein Image zu ziehen ist so oder so für alle möglichen Versuche häufig die beste (bzw. eine sehr sinnvolle) Idee.

 

[Cardhu]

Kannste knicken bei ner verschlüsselten Platte.

 

[madmax2010]

Bitte lass das Fazit daraus aber nicht sein Festplatten nicht mehr zu verschluesseln - Full Disk Encryption immer und ueberall ist grossartig - sondern mehr Backups zu machen

 

[Jann1k]

Bin mir nicht sicher, aber ich glaube bei TrueCrypt-Volumes gibt es am Ende noch eine Header-Sicherung. Die könnte die Formatierungen überlebt haben. Versuch mal mit VeryCrypt zu mounten und dabei bei Optionen "Wenn verfügbar, im Volume eingebettete Kopfdatensicherung verwenden" anzuhaken.
Falls das Mounten funktioniert, ist dann natürlich das Dateisystem im Eimer, aber vielleicht kannst Du darin dann mit üblichen Dateirettungsprogrammen noch was retten ...

 

[Fusionator]

Was sage ich immer zu diesem unsäglichen (vollständigem) Formatiren. Für nichts gut. Hier wahrscheinlich sogar fatal.

@Maze6
Kennst du die Funktion restore volume header? Das wäre deine einzige Chance.

 

[Maze6]

Danke erstmal für die schnelle Antwort!

Den Schlüssel habe ich zur Sicherheit mit hoher Wahrscheinlichkeit irgendwo abgespeichert. Allerdings ist das schon länger her und weiß nicht mehr, wo ich den Schlüssel abgespeichert habe. Habe gerade mal "Schlüssel" in die Dateisuche eingegeben, da kamen aber nur die Schlüssel von einer anderen Platte und meinen Sticks.

Gibt es denn jetzt aus Eurer Sicht gar keine Hoffnung mehr mit testdisk etwas zu retten?

Danke für Eure Antworten!
Maze

 

[BlubbsDE]

Mit Testdisk sowieso nicht, wenn sie komplett verschlüsselt war via Truecrypt.

Es gibt da ein Tool.

http://testcrypt.sourceforge.net/

Aber ich sehe auch eher schwarz bei Dir. 15% richtiges formatieren. Das wird nichts mehr werden.

 

[Fusionator]

Gibt es denn jetzt aus Eurer Sicht gar keine Hoffnung mehr mit testdisk etwas zu retten?

Das ist hier komplett nutzlos. Du kannst dir doch jetzt selber denken warum, oder?

Den Schlüssel habe ich zur Sicherheit mit hoher Wahrscheinlichkeit irgendwo abgespeichert.

Du sollst eine Wiederherstellung aus dem eingebetteten Backup Header probieren! Volume Tools -> Restore Volume Header -> Restore The volume header from the backup embedded in the volume.
Ich rede hier übrigens von Truecrypt. Veracrypt scheitert an dem TrueCrypt Volume.

 

[Maze6]

Das ist hier komplett nutzlos. Du kannst dir doch jetzt selber denken warum, oder?

Du sollst eine Wiederherstellung aus dem eingebetteten Backup Header probieren! Volume Tools -> Restore Volume Header -> Restore The volume header from the backup embedded in the volume.
Ich rede hier übrigens von Truecrypt. Veracrypt scheitert an dem TrueCrypt Volume.

Nein, kann ich mir leider nicht denken. Wie gesagt, ich bin lediglich Anwender und kein Experte.

Ich habe mich nur hier im Forum eingelesen und irgendwo entdeckt, dass testdisk auch Daten von versehentlich formatierten verschlüsselte Platten retten könnte und auch nichts an Platte verändert wird, so dass ich sie dann immer noch zu einem Fachmann bringen kann.

Danke trotzdem für Deinen Tipp, aber das traue ich mich jetzt nach den niederschmetterten Antworten kaum noch, weil ich Angst habe, dass dann ein Fachmann auch nichts mehr machen kann.

 

[PHuV]

Gibt es denn jetzt aus Eurer Sicht gar keine Hoffnung mehr mit testdisk etwas zu retten?

Nope, vergiß es.
Bei einem verschlüsselten Dateisystem brauchst Du nur ein Bit unbekannt ändern, und das ganze Ding ist unrettbar verloren. Dafür verschlüsselt man ja, das ist die Sicherheit dahinter.

 

[Fusionator]

Nein, kann ich mir leider nicht denken. Wie gesagt, ich bin lediglich Anwender und kein Experte.

Ok, ich dachte dass du zumindest grob die funktionsweise von Testdisk/Partitionen/MBR kennst.
Eine "normale" Festplatte hat einen MBR wo sich die Partitionstabelle befindet. Wird da versehentlich was gelöscht, ist testdisk in der Lage diese Information wieder herzustellen.
Eine vollverschlüsselte Datenplatte ist aber für Windows/testdisk/ähnliche Software eine leere Platte, denn da findet sich nur unzuordenbarer "Datenmüll" drauf. Erst durch das entsperren und mounten durch Truecrypt kommt eine Partition mit dazugehörigem Filesystem zum vorschein.

testdisk auch Daten von versehentlich formatierten verschlüsselte Platten retten könnte

Es gibt testcrypt. Das meinst du vielleicht. Damit habe ich allerdings keine Erfahrung.

Danke trotzdem für Deinen Tipp, aber das traue ich mich jetzt nach den niederschmetterten Antworten kaum noch, weil ich Angst habe, dass dann ein Fachmann auch nichts mehr machen kann.

Den header wiederherzustellen wie beschrieben sollte nichts kaputt machen. In dem Bereich befinden sich eh keine Nutzdaten. Deshalb ja auch die Bezeichnung header. Ist ein bisschen wie der MBR. Es ist außerdem gar nicht sicher, ob das überhaupt bei dir klappt. Das hängt davon ab, mit welcher Version die Platte verschlüsselt wurde und ob der Backup header auf der Platte nicht auch überschrieben wurde. Soweit ich weiß ist ja nicht bekannt, wo dieser Backup header auf der Platte liegt.

Wenn du dich das nicht traust, bleibt ja nur die übliche Vorgehensweise: Platte mit ddrescue auf eine identisch große platte klonen und dann auf dem Klon die Aktion ausprobieren.

Eines sollte aber klar sein: Ohne Header keinerlei Chance an Daten ranzukommen. Du musst das Laufwerk wieder mounten können. Und sollte die Header Wiederherstellung klappen, stehst du trotzdem vor einem korrupten Filesystem. Da muss man dann mit entsprechender Datenrettungssoftware ran. Und mindestens die formatierten 15% sind dann sowieso weg.

 

[Maze6]

Hallo Fusionator,

Du gibst Dir ja wirklich Mühe mit mir, danke nochmal dafür!

Das mit dem Klonen habe ich mir auch schon überlegt, aber ich habe leider keine leere Platte mehr da!

Mir ist aber noch etwas anderes eingefallen, vielleicht stehen die Chancen da ja besser?

Ich habe noch eine ältere Platte hier, die mit Bitlocker verschlüsselt ist. Leider habe ich da irgendwann versehentlich mal mein Laptopkabel angeschlossen und dann ist etwas durchgeschmort. Siehst Du da eher eine Chance, noch an die Daten ranzukommen?

Danke für Deine Antwort,
Maze

Ergänzung (3. Januar 2021)

Ok, ich dachte dass du zumindest grob die funktionsweise von Testdisk/Partitionen/MBR kennst.
Eine "normale" Festplatte hat einen MBR wo sich die Partitionstabelle befindet. Wird da versehentlich was gelöscht, ist testdisk in der Lage diese Information wieder herzustellen.
Eine vollverschlüsselte Datenplatte ist aber für Windows/testdisk/ähnliche Software eine leere Platte, denn da findet sich nur unzuordenbarer "Datenmüll" drauf. Erst durch das entsperren und mounten durch Truecrypt kommt eine Partition mit dazugehörigem Filesystem zum vorschein.

Das Ergebnis von testdisk war überigens Folgendes:

TestDisk 7.1, Data Recovery Utility, July 2019 https://www.cgsecurity.org

Disk /dev/sdc - 2000 GB / 1863 GiB - CHS 243201 255 63

Partition Start End Size in sectors

L FAT16 <32M 121476 170 42 142822 172 28 342923603

Structure: Ok. Use Up/Down Arrow keys to select partition.

Use Left/Right Arrow keys to CHANGE partition characteristics:

*=Primary bootable P=Primary L=Logical E=Extended D=Deleted

Keys A: add partition, L: load backup, T: change type,

Enter: to continue

175 GB / 163 GiB

Aber da ich damit nichts anfangen konnte, habe ich dann nicht weitergemacht. Kannst Du was damit anfangen?

 

[madmax2010]

@Maze6 bitte auch nicht mehr truecryopt nutzen. Truecrypt ist seit jahren Tot und wurde durch veracrypt fortgefuehrt / ersetzt. Darin sind inzwischen einige kritische luecken gestopft

 

[Fusionator]

@Maze6
die Platte war doch vollverschlüsselt, oder?
Da bringt dir testdisk gar nichts, weil da keine Partition vorhanden war. Was da jetzt gefunden wird sind die Reste der letzten Formatierungsaktionen.

Was die verschmorte Platte betrifft, wären mehr Infos wichtig.

Darin sind inzwischen einige kritische luecken gestopft

Aber welche das jetzt sein sollen, weiß niemand so genau, oder?

 

[madmax2010]

@Fusionator
cherrypicks:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19501
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1010208
heise kommentar zum 2010er audit von truecrypt durch das BSI:
https://www.heise.de/security/meldu...erheitsmaengeln-veroeffentlichen-4616573.html

Golem kommentar zum von veracrypt selbst beauftragten Audit: https://www.golem.de/news/truecrypt...rwiegende-sicherheitsluecken-1610-123893.html

nicht sicher ob veracrypt nach 2016 noch einen Audit beauftragt hat - Das laeuft ja alles ueber spenden.


Allgemein sollte man halt keine Ungepatchte Software nutzen, erst recht nciht wenn es ein drop-in replacement gibt oder man ihr vertrauen koennen will

 

[Maze6]

@Maze6
die Platte war doch vollverschlüsselt, oder?
Da bringt dir testdisk gar nichts, weil da keine Partition vorhanden war. Was da jetzt gefunden wird sind die Reste der letzten Formatierungsaktionen.

Was die verschmorte Platte betrifft, wären mehr Infos wichtig.

Welche Infos bräuchtest Du denn?

Es ist eine ältere 3,5 Zoll-Platte von Seagate mit 2 TB - reicht das?

 

[madmax2010]

5.25 Zoll Festplatten mit 2TB gibt es nicht.

Die Modellnummer waere Hilfreich