TrueCrypt Container "Nicht zugeordnet"

[Biermarke]

Hallo Leute!

Ich habe mir im Forum seit einigen Tagen ein paar Dinge bezüglich Datenrettung durchgelesen, aber mit den angebotenen Hilfen komme ich leider nicht zu Rande.

Problemschilderung:

Ich habe einen älteren Windows XP Rechner als Backup Rechner genutzt. Die 320 GB Festplatte hatte ich in eine 130 GB Systempartition und einen 170 GB TrueCrypt Container (Version 7.1a) geteilt. Ich wollte die Systemplatte mal wieder leer machen und habe formatiert, jetzt läuft Windows XP auf diesem Rechner wieder, aber der TrueCrypt verschlüsselte Container kann weder gemountet werden, noch wird der Container als Laufwerk im Arbeitsplatz angezeigt.

Vor der Formatierung war der als "Festplatte D:" angezeigt - wenn man ihn angeklickt hat, kam "Wollen Sie den Datenträger formatieren". Jetzt wird er mir nur noch in der "Computerverwaltung" angezeigt. Während "C:" als "Fehlerfrei (Systempartition)" ausgewiesen wird, steht bei dem anderen "Nicht zugeordnet" und als Partitionstyp "Master Boot Record (MBR)"

TrueCrypt selbst zeigt mir folgendes an:

Harddisk 0: 298 GB
\Device\Harddisk0\Partition1 C: 127 GB

Ich habe nach dem Lesen hier probiert mit TestDisk irgendetwas herauszufinden. Da bekam ich diesen Festplattensektor angezeigt und bei der tieferen Suche dann folgende Meldung: "The following partition can't be recovered."

Weiß jemand Rat?

 

[Hyourinmaru]

Hi und wilkommen im CB-Forum,

ich glaube, dass es bei XP noch so war, dass nachfolgende logische Partitionen mit der Systempartition zusammenhingen.
Ich hatte mal dasselbe Problem, dass ich nach einer Neuinstallation von Windows XP auf C: nicht mehr auf meine Datenpartition D: (welche beide auf derselben HDD lagen) zugreifen konnte und nur eine Neuformatierung geholfen von D: geholfen hat.
Allerdings bin ich mir da nicht mehr sicher, da ich XP schon lange nicht mehr genutzt habe.

MfG Hyourinmaru

 

[ekin06]

Ganz schnall ich es nicht.

- Du hast eine Festplatte, welche 320GB groß ist
- Die Festplatte war(?!) in zwei Partitionen unterteilt, welche beide höchstwahrscheinlich mit NTFS formatiert waren?

a) Auf der ersten Partition war XP installiert und auf der zweiten Partition lag ein Truecrypt-(Datei)Container welcher die komplette Partition vereinnahmt?
ODER
b) Auf der ersten Partition war XP installiert und die zweite Partition war vollständig mit Truecrypt verschlüsselt?

​hast du dann bei der Neuinstallation

a) die komplette Festplatte formatiert?
ODER
b) nur über die Systempartition drüber installiert?

Bitte genauere Angaben dazu was wie wann gemacht wurde und eingerichtet war.

 

[Biermarke]

Danke für eure Antworten.

ekin06: Ich bin mir ziemlich sicher, dass auf der ersten Partition XP installiert war und die zweite vollständig verschlüsselt war. Ich gehe deshalb davon aus, da man diesen Datenträger über den Arbeitsplatz nicht öffnen konnte, sondern nur gesamt mounten.

Zur zweiten Frage: Ich habe nur über die Systempartition drüberinstalliert.

Dateiformat davor war ziemlich sicher beide Male NTFS.

 

[ekin06]

Aha! Und die zweite Partition siehst du jetzt noch in der Datenträgerverwaltung?

Ergänzung (27. Januar 2018)

Im truecrypt kannst du sie nicht auswählen? Truecrypt als admin gestartet?

 

[Biermarke]

Genau, in der "Computerverwaltung" sehe ich die Partition. Bei Truecrypt wurde sie meines Wissens nach auch davor nicht angezeigt, aber mittels "auto mount" und Passworteingabe ohne weiteres gemountet und angezeigt. Das funktioniert jetzt nicht mehr. Da schreibt er, dass ich entweder ein falsches Passwort eingeben würde (Passwort stimmt definitiv) oder kein Truecrypt Volumen existieren würde.

 

[ekin06]

Mach mal bitte ein Screen von der Datenträgerverwaltung und von der Geräteliste im Truecrypt. Kann ich mir eigentlich gar nicht vorstellen das die Partition nicht angezeigt wird.

 

[Biermarke]

Anbei die Fotos.

 

[ekin06]

Achso... Bin doof. Ist ja "nicht zugeordnet". Das hatte ich übersehen, da hat's irgendwie die Partition beim Systemaufspielen gelöscht. Ich überlege mir was, muss jetzt auf Arbeit. Hab ne Idee, muss ich aber erst testen.

Wenn die Daten wichtig waren, kann du schon mal das Backup einspielen... Scherz.
Du kannst aber mal bitte eine 1:1 Kopie von der Platte machen.

Ergänzung (31. Januar 2018)

Also ich hab mir das mal angeguckt und nachgestellt. Wenn das Volume oder die Partition durch Windows gelöscht wird, bleibt die Partition bestehen. Es fliegt lediglich der Partitions-Eintrag aus dem MBR raus. Das heißt, man dürfte relativ einfach die Partition mit Testdisk wiederherstellen können, sofern die Festplatte wirklich nicht vollständig formatiert wurde.

- Lade dir also Testdisk herunter: https://www.cgsecurity.org/wiki/TestDisk_DE
- Starte Testdisk als Administrator
- Wähle Logfile (egal, ich mache in der Regel "No Log")
- Wähle in der Datenträgerübersicht die korrekte Festplatte mit der fehlenden Partition (also z.B. /dev/sda)
- Dann "Intel" (vermutlich automatischer Vorschlag wegen MBR)
- Wähle "Analyse"
- Wähe "Quick Search"
- Bereits nach wenigen Sekunden sollte eine Partition gefunden werden, da er am Ende der bekannten Partition anfängt zu suchen. Sollte dies nicht der Fall sein, drücke Stop. (Falls er was findet, kannst du die Partition schreiben lassen und im Truecrypt mounten)

- Drücke "Enter oder q"
- Wähle "Deeper Search"
- Bei ca. 43% sollten 2 Partitionen gefunden werden. Ein Backup-Header der ersten Partition und die fehlende Partition. Egal ob er etwas findet oder nicht. Drücke Stop.
- Findet er die 2. Partition nicht, drücke "q" und mache weiter mit dem nächsten Schritt.
- Drücke "a" um eine Partition hinzuzufügen
- Wähle der Reihe nach und bestätige immer mit Enter: Cylinder, Head, Sector, Cylinder, Head, Sector, Type "07" -> dann "Done/Fertig"
- In der Übersicht sollte nun eine zweite Partition erscheinen, wenn nicht Vorgang abbrechen und hier melden
- Drücke Enter um fortzufahren
- Wähle "Write" um die Struktur zu schreiben
- "Quit" bis das Programm beendet wird
- Drücke F5 in der Datenträgerverwaltung -> dort sollte jetzt auch die 2. Partition angezeigt werden, allerdings als RAW-Partition. Diese lässt sich trotzdem mit Truecrypt mounten.

Du kannst auch gerne bei allen Schritten Screenshots anfertigen, oder Log-File erstellen und hier posten wenn du nicht weiter weißt.

 

[Doe_John]

@ekin06
Keine Ahnung, ob der TE sich bei Dir bedanken wird und auch nicht, ob Deine Hinweise ihm (hoffentlich!) überhaupt helfen werden, aber zumindest wollte ich Dir einfach mal meinen Respekt für die letzte Antwort ausdrücken. Ein solcher Aufwand verdient m. M. n. ganz eindeutig ein echtes Lob!

 

[Biermarke]

Vielen Dank für deine verständliche Anleitung ekin06! Damit bin ich nun einen Schritt weiter, irgendwas macht aber leider noch immer Probleme.

In der "Computerverwaltung" wird die 170 GB Partition jetzt als E: angezeigt und "Fehlerfrei". Dateisystem ist wie von dir beschrieben RAW.

In Truecrypt zeigt er mir die Partition jetzt auch an. Wenn ich sie "normal" mittels "Auto-Mount Devices" und Passworteingabe mounten will, funktioniert das nicht. Er lässt sie mich aber durch Auswahl der Option "Mount partition using system encryption withouth pre-boot authentication" und Passworteingabe mounten (siehe Foto). Leider wirft er mir nach einem Doppelklick auf G: dann aber aus, dass der Datenträger "unformatiert" sei und fragt, ob er jetzt formatiert werden soll. Sowohl im Arbeitsplatz als im Truecrypt.

Einen Unterschied zu damals kann ich auch noch feststellen. Ein Doppelklick auf E: wirft nicht die - damals immer kommende Frage - nach "Soll er jetzt formatiert werden?" aus, sondern "Auf E: kann nicht zugegriffen werden. Falscher Parameter." Keine Ahnung ob das irgendeine Relevanz hat.

Vielleicht weißt du ja nochmals Rat. Die Partition kann nicht ganz verschwunden sein, zumindest Truecrypt erkennt sie ja durch die richtige Passworteingabe.

 

[ekin06]

Danke euch.

Also ich würde die entschlüsselte Partition klonen bzw...die Daten darin extern sichern, Truecrypt mit Veracrypt ersetzen und eine neue, frische verschlüsselte Partition erstellen. Die Daten dann wieder zurückspielen.

Evtl. kann man die Überprüfung/Meldung vom unbekannten Dateisystem über Registereinträge abschalten.

PS: Mir war noch eingefallen, dass gar kein Treffer bei der Analyse kommen kann, da der NTFS Header ja ebenfalls verschlüsselt ist. Es blieb somit nur noch das manuelle Hinzufügen der fehlenden Partition hinter der ersten. Im Falle das die Partition mal nicht verschlüsselt ist, kann man die Methode aber anwenden.

Ergänzung (31. Januar 2018)

Achso, jetzt hab ich verstanden. Du solltest vor dem mounten im truecrypt, den laufwerksbuchstaben in der Datenträgerverwaltung entfernen. (Rechtsklick auf Partition)

 

[Biermarke]

Wir haben jetzt leider aneinander vorbeigeredet oder ich habe mich unklar ausgedrückt. Ich kann zwar die verschlüsselte Partition mounten, aber ich kann sie dann nicht (mittels Doppelklick) öffnen, da er dann formatieren will. Das heißt ich komme nicht zu den Daten.

Ich habe trotzdem den Laufwerksbuchstaben entfernt. Jetzt sehe ich die Partition im Arbeitsplatz nicht mehr, im Truecrypt aber schon. Mounten kann sie (unter Zuhilfenahme der der Option "Mount partition using system encryption withouth pre-boot authentication") auch, aber trotzdem nicht öffnen.

 

[ekin06]

Zeige mal bitte ein Screenshot von Testdisk mit der Übersicht der jetzt aktuellen Partitionen von der Festplatte. Die ursprüngliche Größe der ersten Partition hat sich aber nach der Neuinstallation nicht geändert? war diese evtl eine erweitert logische Partition?

Du kannst mal die entschlüsselte Partition in Testdisk einlesen und analysieren.

 

[Biermarke]

Ich habe Testdisk jetzt mal die Platte analysieren lassen und davon Fotos angefertigt.

 

[ekin06]

Ne da haut was nicht hin. Bitte mal ein Screen von der Festplatte posten wie hier:
​


​

 

[Biermarke]

Ich hoffe ich habe das richtige gescreenshotet?

 

[ekin06]

Wieso stehen denn da 2 Partitionen als deleted drin. Ist klar daß er dann nicht automatisch die korrekten Werte einsetzt. Normalerweise sollten ja bereide Partitionen als P oder * (bootable) erscheinen. Deshalb bin ich mir jetzt nicht sicher ob das der richtige Screen ist und/oder ob du etwas falsch gemacht hast.

Ich gebe dir heute Abend nochmal eine bebilderte Anleitung die du genau befolgen musst. Kannst du bis dahin bitte eine 1:1 Kopie des Datenträgers anfertigen. Grüße

 

[Biermarke]

Beide sind nicht kaputt, was Testdisk da anzeigt weiß ich nicht.

Bei der obersten der beiden, bei der "D HPFS - NTFS 0 1 1..." kann ich mit p die Dateien anzeigen. Das ist die Systempartition
Bei der unteren der beiden, bei der "D HPFS - NTFS 12 223 20..." steht wenn ich mir die Dateien mit p anzeigen lassen will: "Can't open filesystem. Filesystem seems damaged."

 

[ekin06]

Dann ist die obere die aktuelle Systempartition und die untere kann aber unmöglich die zweite Partition sein, da diese sich überlappen würden. Wenigsten die obere müsste aber mindestens mit * markiert sein, da diese die aktive bootbare Systempartition ist. Das versteh ich nicht ganz. Ich melde mich später noch einmal.

Ergänzung (1. Februar 2018)

Sorry wird heut nix mehr.