TrueCrpyt: Platte zerschossen

[Ghost-CL]

Hallo zusammen,

seit gestern versuche ich mithilfe Eurer Lösungvorschläge aus diesem Forum meine Daten zu retten. Es ist bemerkenswert wie viele Probleme ihr bereits gelöst und wie vielen Menschen ihr schon mit ihrer Datenrettung helfen konntet. Das Tool TestCrypt von Simpson474 habe ich in der Version 0.5.1 bereits getestet und es gibt mir Hoffnung, dass da noch was zu retten ist. Allerdings konnte ich mir mit diesen Informationen immer noch nicht selber helfen.

Zu meiner blöden Geschichte:
Letztes Jahr habe ich mich dazu entschieden 3 kleine Festplatten durch eine große zu ersetzen um meine privaten Bilder und Videos, die ich seit meiner Kindheit sammele, verschlüsselt auf einer Platte unterzubringen. Daher habe ich unter Windows 7 x64 mit TrueCrypt v7.0 eine 2 TB große Festplatte (keine Partition) mittels AES/RIPEMD-160 verschlüsselt. Diese habe ich nach jedem Windows-Start mittels Passwort und Key-Files selbst gemountet. Dann ist mir gestern eine SSD abgeraucht (andere Geschichte...) und ich wollte feststellen, ob sie wirklich kaputt ist. Deshalb habe ich die Datenträgerverwaltung von Windows gestartet. Dieser hat mir direkt angeboten "Datenträger 1" zu formatieren bzw. einen MBR zu erstellen. "Super", dachte ich, "machste mal.." und habe nicht nachgedacht. Schwupps, da war sie fertig. Dann kam schon der Schock und ich habe mich gefragt ob das nicht vielleicht die verschlüsselte Festplatte war. Gemountet waren die 2 TB auf jeden Fall noch. Ich konnte mich durch die Verzeichnisstruktur klicken. Doch sobald ich einen Ordner öffnen wollte, in dem Dateien sein sollten, kam eine Fehlermeldung. Nach dem Dismount konnte ich die Platte auch nicht mehr mounten. Deshalb habe ich ein Volumen-Headerfile wiederhergestellt. Danach konnte ich zwar wieder mounten, jedoch nicht mehr die Partition öffnen. Dann habe ich angefangen zu recherchieren, habe TestCrypt ausgetestet und bin auch in der Lage die (leere) Platte zu mounten. Aber alle Daten sind ja weg. Jetzt hat der Rechner gut 5,5 Stunden gebraucht, um mittels GetDataBack for NTFS v4.25 die Daten zu suchen. Bevor ich mir diese Version kaufe, wollte ich überprüfen, ob sie was taugt. Ich habe ausgewählt:
- "Systematischer Dateisystemschaden"
- habe dann die von TestCrypt gemountetete logische Partition ausgewählt
- 5,5 Stunden gewartet
und siehe da: ich sehe einige Daten, die ich wahrscheinlich damals beim Testlauf der Platte draufgepackt habe. Es Fehlen jedoch knapp 1 TB an Daten.
Eigentlich sollten direkt auf der Partition (neben Sys. Vol. Inf. und Rec.Bin) nur 3 Ordner zu sehen sein: BACKUP, Bilder und Videos. BACKUP ist mir in diesem Fall egal (ca. 4 GB), da ich noch die Originaldateien habe. Jedoch nicht die anderen Ordner, die GetDataBack leider nicht anzeigt. Stattdessen 1327 Verzeichnisse und 13.423 Dateien, 64,3 GB. Die Dateienzahl könnte stimmen, aber nicht die Größe.
GetDataBack zeigt mir 3 Dateisysteme an, die aber alle gleich aussehen (Screenshots). Ich finde auch einen Ordner 2011 mit einigen Fotos darin, die im Ordner "Bilder" steckten, aber leider den Rest nicht.

Habt Ihr noch irgendwelche Lösungsvorschläge für mich? Ich Idiot habe mir kein Backup meiner Bilder und Videos gemacht, weil ich dachte "das machst du irgendwann mal wenn die Festplatten wieder günstiger geworden sind". Heute Nacht habe ich mir eine weitere Platte bestellt (Backup) für die ich hoffentlich Verwendung finden werde.

Grüße

Chris

 

[OhNoIKilledMyHD]

Bitte warte, bis die neue Platte da ist und mache dann zuerst ein 1:1 Image von der zu rettenden Platte bzw. von dem was davon noch übrig ist. Das sollte IMMER der erste Schritt sein, auch profesionelle Datenrettungsunternehmen stellen nie direkt auf der betroffenen Platte wieder her, das macht es eher noch schlimmer. Nicht ein Byte mehr schreiben auf die betroffene Platte (nichts installieren, kein temporäres Verzeichnis erstellen, nichts dorthin runterladen, nichts dort wiederherstellen).

Bist Du mit den Datenrettungsversuchen schon wieder auf einer falschen Platte oder warum tauchen da "Dokumente und Einstellungen" und "Programme" auf (siehe 3. Bild)?

Wünsche viel Erfolg!

 

[Leonet]

hallo,

das ist ja echt doof gelaufen mit deiner platte. ich hatte auch mal meine verschlüsselte festplatte bei einer win7-neuinstallation angeschlossen. dabei wurde auch promt der mbr überschrieben. den konnte ich allerdings dann sehr schnell mit "testdisk 6.12" wieder herstellen. versuch doch das programm mal. du findest auch hier im forum themen darüber.

gruß leonet

 

[SeraX]

Habe den gleichen Fehler vor Jahren gemacht und mit Testdisk konnte ich meine alte Partition wiederherstellen. Ich rate dir jedoch erstmal dazu die Daten die du bisher auslesen kannst zu sichern! Viel erfolg weiterhin

 

[Ghost-CL]

Danke für Eure schnellen Antworten =)
Mit TestDisk könnte ich eine Partition wiederherstellen, richtig? Das hört sich jedoch schwer nach einem Schreibvorgang an. Daher warte ich, wie OhNoIKilledMyHD bereits sagte, auf die neue Platte. Jedoch hatte ich gehofft, dass GetDataBack die Dateien findet. Wie kann es sein, dass er gefühlte 100 Fotos findet, jedoch nicht die anderen (tausende...). Habe ich bei GetDataBack vielleicht was falsch eingestellt? Mit Rettungsprogrammen darf ich ja spielen wie viel ich will, da sie - was ich auch schon oft gelesen habe - nur lesend auf die Platte zugreifen. Ich hoffe auf einen Lichtblick mit GetDataBack. Oder braucht das Programm die alte Partition wieder?

 

[Atlan3000]

Bei GetDataBack in deinem Fall am besten einen kompletten Scan durchführen (dauert Stunden!). Hab das Programm nicht da und kann daher nicht sagen welche Scanmethode das ist. Die "schnellen Methoden" suchen nicht gründlich genug. Man braucht auf jeden Fall eine 2. Platte wo das Programm die gefundenen Daten später hinkopieren kann.

 

[Ghost-CL]

Ich denke, dass ich die gründliche Methode gewählt haben muss, da der Scan über 5,5 Stunden gedauert hat. Einen längeren Suchlauf habe ich nicht gefunden

Edit: Oh, die Option "Nachhaltiger Schaden" dauert über 7 Stunden. Abwarten..

 

[Don Neo]

Verstehe ich das richtig? Du versuchst auf einer verschlüsselten Platte Dateien zu finden?
Ich denke, was er dir als Abbild(GetDataBack) zeigt, sind Dateien die vor der Verschlüsselung auf die Platte geschrieben wurden und auf diese Bereiche bis her nichts geschrieben wurde.
Innerlich würde ich mich schon mal von den geliebten Foto verabschieden. Da du Windows erlaubt hast auf die Platte zu schreiben, wird wohl viel zu viel Zerstört worden sein.
"Eigentlich" solltest du nur den MBR wiederherstellen, damit TrueCrypt wieder darauf zu greifen kann und die Platte entschlüsseln. Ohne diese Entschlüsselung. . .

 

[Ghost-CL]

Ich habe die logische Partition mit TestCrypt gemountet und die Dateien, die mit GetDataBack angezeigt hat sind definitiv die Dateien, die verschlüsselt waren, da ich nie unverschlüsselte Fotos abgespeichert habe.
Ich will mich noch nicht verabschieden =(

 

[SeraX]

er hat dank header die platte wieder entschlüsselt allerdings ist jetzt die Partitionstabelle etc im Eimer. Mach nen Spiegelabbild von deiner HDD mit Clonezilla und dann stell die Partiton mit Testdisk wieder her. Das hat bei mir auch funktioniert

 

[Ghost-CL]

ok, die neue Festplatte wird hoffentlich nicht allzulange auf sich warten lassen - dann Clonezilla und TestDisk
Danke

 

[OhNoIKilledMyHD]

Habe ich bei GetDataBack vielleicht was falsch eingestellt? Mit Rettungsprogrammen darf ich ja spielen wie viel ich will, da sie - was ich auch schon oft gelesen habe - nur lesend auf die Platte zugreifen

Jein, die solltest die Platte einfach nicht benutzen und dann wenn die neue da ist zuerst eine 1:1 Kopie machen.
Es gibt einfach zu viele Dinge, die auf die Platte schreiben:
nur einige Beispiele:
- evtl. aktive Defragmentierung
- evtl. aktivie Indizierung
- Systemwiederherstellungspunkte etc.
- Windows-Updates/Installer, die sich auf dem erstbesten Laufwerk temp-Verzeichnisse anlegen
- Office-Dokumente, die Du öffnest und die sich temporäre Dateien anlegen
- Geöffnete mp3s, die sich vom Server Vorschaubilder des Albums laden
u.v.m.

Und nochmal zu meiner Frage:

Bist Du mit den Datenrettungsversuchen schon wieder auf einer falschen Platte oder warum tauchen da "Dokumente und Einstellungen" und "Programme" auf (siehe 3. Bild)?

 

[Ghost-CL]

Ich werde es vermeiden irgendwelche schreibvorgänge auf der Platte auszulösen.
Das mit den "Dokumente und Einstellungen", "Prgoramme" etc. wundert mich auch... kA was die Ordner dort zu suchen haben

 

[Simpson474]

Du musst auf jeden Fall mehr gemacht haben, als einen MBR geschrieben - dies überschreibt nämlich nur den TrueCrypt-Header, nicht aber das Dateisystem. Ich hab es gerade selbst ausprobiert, das Volume lässt sich zwar nicht mehr mounten, aber das Dateisystem ist intakt. Das mit dem "Dokumente und Einstellungen" ist auch ungewöhnlich, haben sich diese Dateien nie auf der HDD befunden, so stimmt hier gewaltig was nicht. Hast du noch eine zweite 2 TB HDD im Rechner? Zeig mal einen Screenshot der Windows Datenträgerverwaltung. Außerdem könntest du bei GetDataBack die zwei weiteren MFTs noch testen, die dir nach der Analyse angeboten werden.

 

[Ghost-CL]

Ja, Du hast recht. Ich habe zuvor erst eine GPT erstellt, da ich angenommen hatte, dass es sich bei dem "Datenträger 1" um meine zerschossene SSD handelt. Zuvor steckte diese nämlich in einem Notebook, auf dem Windows 7 istalliert war. Da dachte ich, ich sollte sie ebenso formatieren wie Windows 7 es schon zuvor gemacht hatte. Dann habe ich den Fehler bemerkt, und erfolglos versucht das Header-File wiederherzustellen. Eine GPT-formatierte Platte hat anscheinend eine 128 MB große Partition vor der Hauptpartition.
Als die Wiederherstellung des Headerfiles nicht ging, habe ich GParted vom USB-Stick ausgeführt und die Partitionen gelöscht (nicht formatiert), was nichtmals eine Sekunde gedauert hat. Anschließend habe ich das Headerfile wiederhergestellt. Die Partition war weg. Dann habe ich Windows NTFS schnellformatieren lassen... frag mich nicht wozu, es war bloß ein Akt der Verzeifelung. Seitdem arbeite ich aber nur noch mit Deinem TestCrypt und GetDataBack weiter.
Die anderen beiden MFTs sehen genauso aus wie das erste: Angeblich lediglich 64,3 GB an Daten.
Ich hoffe noch auf eine Rettung, da keiner der "bösen" Schreibvorgänge länger als eine Sekunde gedauert hat: GPT erstellen, Partitionen löschen, MBR erstellen, NTFS-Schnellformatierung. In einer Sekunde kann man mit einer Tastatur keine TBs an Daten vernichten, hoffe ich zumindest =)
Eine neue Platte habe ich bereits bestellt. Die anderen sind zu klein (60 GB und 320 GB)

 

[Simpson474]

Dann habe ich Windows NTFS schnellformatieren lassen... frag mich nicht wozu, es war bloß ein Akt der Verzeifelung.

In einer Sekunde kann man mit einer Tastatur keine TBs an Daten vernichten, hoffe ich zumindest =)

Die MFT bei NTFS hat keine TB (je nach Anzahl von Dateien und Datenträgergröße häufig noch nicht einmal ein GB) und ist dennoch das Herzstück von NTFS - ohne MFT, keine Dateinamen, keine Ordnerstruktur und keine Zuordnung fragmentierter Dateien. Ein identisches Überformatieren (egal ob schnell oder normal) ist für die MFT mit das schlimmste, was man machen kann. Lass dir von GetDataBack noch einmal alle MFTs und nicht nur die empfohlenen anzeigen - möglicherweise findest du dort noch was. Außerdem erklärt dein Vorgehen jetzt, wieso GetDataBack ein Erstellungsdatum des Dateisystems vor ein paar Tagen erkannt hat - damit liegt es ja gar nicht so falsch. Ansonsten kannst du noch R-Studio probieren, häufig kann dieses in Fällen wo GetDataBack versagt noch etwas mehr machen und umgekehrt.

Eine neue Platte habe ich bereits bestellt. Die anderen sind zu klein (60 GB und 320 GB)

Um ehrlich zu sein - lass das Klonen sein. Viel schlimmer kannst du es nicht mehr machen und du wärst wirklich nicht der erste, der die HDDs in die falsche Richtung klont.

 

[Ghost-CL]

Also kann ich davon ausgehen, dass GPT all meine Daten vernichtet hat?

 

[Simpson474]

Die Erstellung des GPT war das kleinere Übel - das Überformatieren mit NTFS das Größere. Allerdings sind deine Werte schon extrem, meist kann man in solchen Fällen doch noch einen größeren Teil der Dateien retten. Wenn du keine Dateinamen und Ordnerstrukturen benötigst, so kann Photorec (Freeware) bzw. R-Studio im Dateimodus (Kaufversion) zumindest einige Dateitypen wiederherstellen, so lange die Dateien unfragmentiert sind (ist z.B. bei Photos so gut wie immer der Fall, bei Videos hingegen so gut wie nie).

 

[Ghost-CL]

ok, R-Studio läuft jetzt durch - ich melde mich. Danke für die Infos =)

 

[Ghost-CL]

8 GB RAM und 60 GB Auslagerungsdatei genügen nicht um die Ergebnisse von R-Studio anzuzeigen :-/