Testdisk Rettungsversuch NTFS mit FAT überschrieben

[joeein]

Hallo,

ich habe es leider geschafft als ich eine USB Stick mit einem Bootfähigen Image versehen wollte (mittels Programm: ISO to USB), meine Festplatte, die ebenfalls dabei eingesteckt war zu nutzen und habe dabei das vorhandene NTFS System mit FAT16 überschrieben.
Das ISO to USB Programm ist dabei jedoch abrupt abgebrochen und hat anscheinend nichts formatiert.

Zusatzinfo: Ich habe auf der Festplatte (Gesamtgröße: 3TB) zwei große Truecrypt Volumes von denen eines gemountet war, als mir das Missgeschick passiert ist.
Ich verwende für die Analyse Testdrive 6.13. Mein BS ist Windows 7 64 BIT Prof.

In der Datenträgerverwaltung, wird wie in dem Screenshot gezeigt, eine 2048 GB primäre Partition, der ich auch ggf. ein Laufwerk zuweisen kann, die jedoch da sie RAW ist formatiert werden möchte beim Zugriff. Die zweiten 746,52 GB bekomme ich gar nicht behandelt.

Nun habe ich euch meine Versuche mit testdrive (nachdem ich schon u.a. Fionas Beiträge gelesen habe) mal dokumentiert.

Irritierend ist, das zwei 3TB Platten zur Auswahl stehen: (1. /dev/sdb 2. \\.\PhysicalDrive1. Wie kann das sein bzw. wie muss ich das interpretieren.

Beide dieser Platten weisen eine FAT16 Partition auf jedoch mit fehlerhaften Bootsektoren. Wenn ich jetzt im Advanced Mode auf NTFS umschalte, erhalte ich ebenfalls, das sowohl der Bootsector als auch der Backupbootsektor bad ist.

Ein Rebuild des Bootsektors (zumindes der PhysicalDrive Platte) brachte nichts (und dauerte sehr lange)

Eine Partitionssuche auf den Platten brachte sowohl im Quicksearch als auch im Deepsearch keinen Erfolg.

Gibt es da noch eine Rettung? Falls ja, dann bitte wie, da meine letzte Datensicherung ca. 1 Jahr her ist (truecrypt volumes sind zu groß) und ich auf die Daten angewiesen bin.

Hoffe auf Hilfe
Jörg

 

[Humaer]

Hallo Jörg,

na da ist ja einiges schiefgelaufen. So wie ich das sehe sind deine Partitionstabellen Schrott.
Außerdem markiert dir so ein ISOtoUSB Tool deine Partition als "Bootable". Sollte natürlich nicht so sein.

Ich würde mir mal Gparted runterladen --> brennen, und mir dann mal meine Partitionen genau anschauen. Partitonstabellen kannst du ja mit Testdisk nochmal versuchen wiederherzustellen (ist bei Gparted dabei) Hier die Anleitung:

http://www.cgsecurity.org/wiki/TestDisk_Step_By_Step

In deinem Screenshot tauchen im übrigen nur zwei Platten auf -- sda mit 670 GB und sdb mit 3 TB. Das PhysicalDrive dürfte nur ein Hardlink sein.

Ob deine Truecrypt-Container das alles überstehen bezweifle ich allerdings.

Hoffe es hilft - mehr weiß ich auch nicht

 

[joeein]

Hallo,

vielen Dank erstmal für den Hinweis. Ich werde es morgen versuchen. Ich hatte mir GetDataBack NTFS heruntegeladen und lasse es gerade laufen. Jedoch dauert es aufgrund der 3TB ca. 15 h.

Ich halte Euch auf dem Laufenden.

Grundsätzlich jedoch erstmal eine Frage. Müssen die beiden Partitionen (2 TB und 763 KB) nicht erst zusammengeführt werden (und wenn ja, wie?) damit ich die beiden verlorenen Dateien wiederherstellen kann?

Danke
Jörg

 

[Ernst@at]

Der Versuch mit GetDataBack ist völlig sinnlos, wenn beide darauf befindlichen Partitions (wie gross immer die angelegt waren) encryptet waren.
Ohne die korrekte Partitionierung und Mounten der Container im Truecrypt sieht GetDataBack(wie auch schon testdisk) nur verschlüsselten Schrott.

Dummerweise wird die externe Festplatte auf 4K Sektoren emuliert, daher wird sie wohl MBR und nicht GPT initialisiert gewesen sein, womit auch kein GPT Mirror am Ende der Platte Auskunft über die ursprüngliche Partitionierung geben wird können.

So bleibt nur die Methode, mit Testcrypt hinten das Partitionende mit dem Truecrypt-Header-Backup zu suchen, um Größe und Beginn der zweiten Partition zu ermitteln, und dann vor dieser den Truecrypt-Header-Mirror der ersten Partition zu suchen, um Startadresse und Größe der ersten Partition herauszufinden.

Das wieder wirft die Frage auf, ob Testcrypt korrekt mit 4K Sektoren umgehen kann, die Frage kann User Simpson474 beantworten(weiß nicht mehr, ob ich die schonmal gestellt habe)

 

[joeein]

Hallo,

vielen Dank für Deine Antwort. Vielleicht habe ich mich falsch ausgedrückt. Es befanden sich zwei Truecrypt - DATEIEN auf der Festplatte, wovon beim Crash eine gemountet war.

Es gab nur vor dem Crash eine NTFS Partition für die gesamte Festplatte auf der ein Verzeichnis mit Truecrypt und die beiden Truecrypt-Container Dateien lagen.

Deshalb mein Versucht mit GetDataBack

BG
Jörg

 

[Simpson474]

GetDataBack wäre bei Dateicontainern schon der richtige Ansatz - wenn das nicht funktioniert so kannst du noch R-Studio probieren. Ansonsten ist es bei Dateicontainern immer sehr schwer bis unmöglich, diese ohne das vorhandene Dateisystem wiederherzustellen.

 

[joeein]

Hallo,

also GetDataBack hat die Container gefunden. Wie wahrscheinlich ist es denn, das die danach noch funktionstüchtig sind?

Beste Grüße
Jörg

 

[Ernst@at]

Schon mal einen Doppelklick drauf probiert? Es sollte auf %TEMP% allerdings Platz in Größe des Containers vorhanden sein.