TrueCrypt Container 0KB nach "Reparatur" der Festplatte

[metpet]

Hallo Allerseits,

ich bin am Rande zum Nervenzusammenbruch.

folgende Situation:

• Externe USB-Festplatte 500GB
• 100GB Truecrypt-Container drauf, daneben ca. 200GB andere Daten.
• Nach dem Anschliessen wurde ich von Win7 aufgefordert die Platte zu "reparieren"-> getan.
• Der 100GB-TC-Container hat danach nur noch 0 KB und lässt sich nicht mounten "Error: incorrect volume size"
• Testcrypt mit Anfang/Ende auf "auto" laufen lassen
• Folgender Fund:

Sector:	60796/245/58
Volume Size:	392,70 GB
Hidden:	False
Version:	5
Supported:	True
Normal Header:	n/a
Embedded Backup Header:	13054/75/14-60796/249/61

Ich habe diesen CB-Thread gelesen und versuche auf der Basis der dortigen Informationen mein Glück.

Dazu meine Fragen:

1. TestCrypt zeigt mir einen gefundenen Header eines Volumes, das größer ist (392,7GB) als der von mir vermisste Container (100GB). Wenn es sich um ein alten Container handelt, bin ich mir aber sicher, dass ich damals das gleiche passwort nutzte. Bringt mir das dahingehend etwas, dass ich den Header trotzdem für meinen verschwundenen 100GB-Container ausprobieren kann?
2. Wie kann ich den gefundenen Header nutzen/ausprobieren. Rechtsklick bietet mir da ein mounten des Backup-Headers an. Das resultiert in einem nicht lesbaren neuen Laufwerk im Explorer. Ich weiss nicht wie ich das nutzen soll.
3. Kann ich TestCrypt mit irgendwelchen Paramtern Optimieren, dass er mir vielleicht doch noch den Header des von mir vermissten 100GB-Containers findet?
4. Hängt Truecrypt irgendwelche Standard-Dateiendungen an Sicherungen von Headern, nach denen ich suchen könnte? Ich bin mir nämlich nicht sicher, ob ich eine Sicherung gemacht habe.
5. Was kann ich noch tun?

Das mir das wohl zum letzten Mal passiert, ist mir jetzt klar. Aber das Kind liegt im Brunnen und ich wäre sehr dankbar, wenn mir jemand helfen könnte!

Viele Grüße, Martin

 

[BaserDevil]

Hallo,

hast Du nun ein Backup vom Header oder nicht? Geht nicht klar aus dem Text hervor. Wenn ja, dann nutze das. Das ist Deine einzigste Chance. Und mounte es wenn möglich erstmal read only.

 

[Simpson474]

hast Du nun ein Backup vom Header oder nicht? Geht nicht klar aus dem Text hervor. Wenn ja, dann nutze das. Das ist Deine einzigste Chance. Und mounte es wenn möglich erstmal read only.

Eine Sicherung des Headers würde an dieser Stelle nichts bringen, da ja kein Volume mehr existiert und ein gesicherter Header nicht binär identisch zum Originalheader ist - dadurch könnte man auch nicht mit der Headersicherung nach dem echten Header suchen.

• TestCrypt zeigt mir einen gefundenen Header eines Volumes, das größer ist (392,7GB) als der von mir vermisste Container (100GB). Wenn es sich um ein alten Container handelt, bin ich mir aber sicher, dass ich damals das gleiche passwort nutzte. Bringt mir das dahingehend etwas, dass ich den Header trotzdem für meinen verschwundenen 100GB-Container ausprobieren kann?

Das gleiche Passwort musst du für das alte Volume benutzt haben, ansonsten wäre der Header nicht gefunden worden. Allerdings bringt dir der Header nichts, da das Passwort nur den eigentlichen Schlüssel im Header sichert - dieser Schlüssel ist aber bei jedem TrueCrypt-Volume anders (dadurch die zufälligen Mausbewegungen beim Erstellen des Volumes, es werden aber auch noch viele andere Zufallsparameter verwendet).

• Wie kann ich den gefundenen Header nutzen/ausprobieren. Rechtsklick bietet mir da ein mounten des Backup-Headers an. Das resultiert in einem nicht lesbaren neuen Laufwerk im Explorer. Ich weiss nicht wie ich das nutzen soll.

Da der Header von einem alten Volume stammt, bekommst du nach dem Einbinden auch dein altes Volume zurück, worin die meisten Dateien wohl schon überschrieben sind.

• Hängt Truecrypt irgendwelche Standard-Dateiendungen an Sicherungen von Headern, nach denen ich suchen könnte? Ich bin mir nämlich nicht sicher, ob ich eine Sicherung gemacht habe.

Die Standardendung wäre *.tc - ich entferne bei meinen Dateicontainern aber im Normalfall die Endung.

• Kann ich TestCrypt mit irgendwelchen Paramtern Optimieren, dass er mir vielleicht doch noch den Header des von mir vermissten 100GB-Containers findet?
• Was kann ich noch tun?

Die Chancen stehen leider alles andere als gut, auf eine erfolgreiche Rettung eines Dateicontainers kommen mindestens 10 Fehlschläge. Da "chkdsk" von Windows bereits gelaufen ist, kann wohl kein Datenrettungsprogramm noch irgendwas wiederherstellen, da alle Programme die Datei mit 0 KB erkennen und grundsätzlich das Wiederherstellen von NTFS-Dateien größer 4 GB eigentlich so gut wie immer fehlschlägt. Hast du auf der Festplatte einen Found.xxx Ordner bekommen, welcher eine Datei mit der ungefähren Container-Größe enthält? Ansonsten versuch mal den RandomBlockLocator von hier mit folgendem Aufruf:

RandomBlockLocator.exe "\\.\PhysicalDriveX" 0 976773168 16 4 10485760

Dabei musst du das X durch die Nummer deiner HDD ersetzen (ist die gleiche Nummer, wie in TestCrypt angezeigt wird). Du solltest anschließend eine Fortschrittsanzeige in der Kommandozeile sehen - der Scan wird einige Stunden dauern. Das Programm erstellt eine Datei "block.txt", den Inhalt dieser Datei kannst du nach dem Scan hochladen. Sollte die Datei leer sein, so versuch noch den folgenden Befehl:

RandomBlockLocator.exe "\\.\PhysicalDriveX" 0 976773168 16 4 2097152

 

[metpet]

Vielen Dank für deine kompetente Hilfe.
Der Scan läuft gerade. Die Datei lade ich dan hier als Anhang hoch.