truecrypt container wiederherstellen

[Simpson474]

Bei mir erscheinen sowohl Ordner als auch Dateien in TestDisk, allerdings ist die Reihenfolge wild durcheinander.

 

[tillbrd]

So sieht's aus - im Verzeichnis Musik liegt nichts (das ist unverschlüsselt). Und der TrueCrypt-File wird nicht angezeigt, im Windows Explorer schon.

Ergänzung (6. Juli 2015)

Anhang anzeigen 501889

 

[Simpson474]

Da ist das Dateisystem auch für TestDisk zu stark beschädigt. Wenn die komplette HDD geklont ist, dann kann man ja mal "chkdsk" bzw. ein Linux Live-System verwenden: falls beides nicht funktioniert, so wäre der nächste Schritt ein Datenrettungsprogramm wie GetDataBack for NTFS bzw. R-Studio.

 

[tillbrd]

Was mich stutzig macht: Es wird nicht eine der definitiv abspielbaren mp3s im Musikverzeichnis angezeigt. Damit ist aber alles in Ordnung. Vielleicht bringt chkdsk ja wirklich alles einfach wieder in Ordnung. TrueCrypt selbst scheint mit dem Container ja weniger Probleme zu haben, versucht ihn ja sogar zu öffnen, meckert dann aber über die Blockade seitens Windows. Sehe ich das schonmal richtig? Bin dir schon mal sehr dankbar für die Hilfe...

 

[Simpson474]

Der Aufruf "chkdsk" kann in diesem Fall durchaus helfen, es besteht jedoch die Gefahr, dass der Container anschließend nur noch 0 KB groß ist: daher ist vor dem Aufruf von "chkdsk" ein komplettes Image der betroffenen HDD empfohlen. Die unterschiedliche Anzeige von Windows und TestDisk kann von der unterschiedlichen Implementierung des NTFS-Dateisystem kommen: es sieht jedoch in beiden Implementierungen so aus, als stimmt irgendwas nicht mit dem Dateisystem.

 

[tillbrd]

Dankeschön!

Weiteres Vorgehen:
- Kopie des betroffenen HDD abschließen
- Lässt sich die Kopie eventuell in TrueCrypt öffnen?
- Lässt sich die Kopie mit TestDisk anzeigen und kopieren?
- Anwenderfehler TestDisk?
- HDD mit Knoppix öffnen? -> Öffnen in TrueCrypt? Kopieren des Containers möglich?
- chkdsk auf dem Image, nicht am Original
- GetDataBack am Image

Oder würdest du eine andere Reihenfolge empfehlen?

 

[Simpson474]

- Lässt sich die Kopie eventuell in TrueCrypt öffnen?

Nein, da es sich um einen Dateicontainer und keine vollständig verschlüsselte Partition handelt.

- Lässt sich die Kopie mit TestDisk anzeigen und kopieren?

Ja, allerdings wird die Datei auch mit dem Image nicht angezeigt werden, wenn es mit dem Original schon nicht funktioniert.

- Anwenderfehler TestDisk?

Es könnte höchstens sein, dass die falsche Partition gewählt wurde - da jedoch ein Ordner richtig angezeigt wird, sieht es stark nach einem defekten Dateisystem aus.

- HDD mit Knoppix öffnen? -> Öffnen in TrueCrypt? Kopieren des Containers möglich?

Dabei könnte schon eine Reparatur des Dateisystems durchgeführt werden, von daher am besten auch am Image durchführen.

 

[tillbrd]

Jetzt habe ich den ganzen Prozess verzögert. Ich habe zwar eine Kopie der HDD erstellt - allerdings mit einem Backupprogramm, das eine Archivdatei anlegt, die wiederum gemountet sein muss. Ist sie gemountet, kann chkdsk aber nicht arbeiten. Empfehlungen, mit welche Programm eine 1:1-Kopie ohne zu mountende Datei gelingt? Clonezilla?

Welchen chkdsk-Befehl nehme ich dann? /f?

Vielen Dank weiterhin!

 

[Simpson474]

ConeZilla könnte auch funktionieren, ich verwende immer "dd" unter Linux: für "chkdsk" sollte anschließend die Option "/f" ausreichen.

 

[tillbrd]

Nachdem Clonezilla gestern fast meinen Rechner zerschossen hätte, wollte ich nun erstmal den Weg "TestCrypt" probieren - das ist doch auch sinnvoll, oder? Oder man kann zumindest nichts falsch machen damit...

Microsoft .Net Framework 2.0 (x64) und
Microsoft Visual C++ 2010 Redistributable Package (x86), und nur dieses,

habe ich installiert.

Dann einmal beim Start per F8 die "Disable Driver Signature Enforcement"-Funktion aktiviert und es auch einmal bei normal gestartetem Windows so probiert:



Trotzdem kommt jedes Mal die Fehlermeldung:



Falls ich mich zu doof anstelle oder du keine Zeit hast, zu helfen, hätte ich dafür vollstes Verständnis. Dann sag es bitte einfach, dann suche ich mir privat Support.

 

[nicoon21]

Nachdem Clonezilla gestern fast meinen Rechner zerschossen hätte, wollte ich nun erstmal den Weg "TestCrypt" probieren - das ist doch auch sinnvoll, oder? Oder man kann zumindest nichts falsch machen damit...

Microsoft .Net Framework 2.0 (x64) und
Microsoft Visual C++ 2010 Redistributable Package (x86), und nur dieses,

habe ich installiert.

Dann einmal beim Start per F8 die "Disable Driver Signature Enforcement"-Funktion aktiviert und es auch einmal bei normal gestartetem Windows so probiert:

Anhang anzeigen 502075

Trotzdem kommt jedes Mal die Fehlermeldung:

Anhang anzeigen 502076

Falls ich mich zu doof anstelle oder du keine Zeit hast, zu helfen, hätte ich dafür vollstes Verständnis. Dann sag es bitte einfach, dann suche ich mir privat Support.

hi du musst Windoof booten und dort gleichzeitig F8 drücken und dann steht im letzten Punkt ohne Treiber starten.

Ergänzung (8. Juli 2015)

ConeZilla könnte auch funktionieren, ich verwende immer "dd" unter Linux: für "chkdsk" sollte anschließend die Option "/f" ausreichen.

Hi du kennst dich ja super gut mit Testcrypt aus, daher meine Frage: Bei mir hat es folgendes gefunden:
http://fs2.directupload.net/images/150707/cwjaugjq.jpg
Ich kann nur mount as Backup Header auswählen, leider weiß ich jetzt nicht wie ich truecrypt das verkaufen kann. Denn wenn ich die Platte auswähle passiert nichts.

 

[Simpson474]

Nachdem Clonezilla gestern fast meinen Rechner zerschossen hätte, wollte ich nun erstmal den Weg "TestCrypt" probieren - das ist doch auch sinnvoll, oder?

TestCrypt ist primär für vollständig verschlüsselte Partitionen gedacht und nicht für Dateicontainer: dort macht TestCrypt nur in Verbindung mit anderen Tools einen Sinn und es wird richtig kompliziert. Wenn die Image-Erstellung mit den anderen Programmen nicht funktioniert, so kann man auch mit TestDisk ein Image erstellen: anschließend muss man jedoch mit der Original-HDD weiterarbeiten, das Image kann man nur für Notfälle zum Zurückschreiben verwenden.

 

[tillbrd]

Richtig kompliziert heißt hoffentlich nicht, dass es geradezu unmöglich ist, aus dem Container meine Daten rauszupressen. Ich werde jetzt über Nacht meine Kopie der HDD abschließen, habe endlich ein Tool gefunden, das ich bedienen kann, mein Rechner ausführt und das auch noch das entsprechende Ergebnis verspricht. Morgen weiß ich mehr.

Allerdings sind meine Möglichkeiten im Anschluss begrenzt:

chkdsk /f
GetDataBack - wobei ich nicht so richtig weiß, was das bringen soll. Er wird mir wohl kaum den Container in den Zustand von vor drei Wochen versetzen... oder?

 

[Simpson474]

Es gibt Möglichkeiten, aber die bestehen aus aufwändiger Handarbeit: von daher liegt die Hoffnung zunächst darin, dass ein "chkdsk" den Container retten kann. Pass bei den Image-Tools auf, es gibt dateibasierte Image-Tools (z.B. Acronis, Macrium), welche bei einem Schaden des Dateisystems nutzlos sind: bei einigen dieser Programme kann eine Sektor-für-Sektor Kopie aktiviert werden (z.B. Acronis), aber die entsprechende Option existiert nicht bei allen Programmen.

 

[Harti2011]

Guten Abend,

gute einfache Programme zur Imageerstellung sind z.B. HDDRawCopy oder OSForensics. Beide Programme sind kostenlos und per Google auf den ersten Treffer zu finden.

Bei beiden Tools kann man eine Image Datei erstellen - wichtig ist nur, dass man RAW Kopie auswählt, so dass die komplette Platte (also auch die freien Bereiche) kopiert werden.

Gruß,
Harti

 

[tillbrd]

Danke für eure Einschätzungen, für eure Hilfe. Ich bin seit drei Stunden dabei, eine Kopie per HDD Raw Copy zu erstellen. Das war mal einfach zu bedienen. Erfreulich. Eine Einstellungsmöglichkeit bzgl. RAW-Kopie habe ich jedoch nicht gefunden. Ich hoffe mal, dass es so richtig läuft, wie es läuft. Morgen versuche ich dann chkdsk - würdet ihr die Prüfung eher bei angeschlossener HDD beim Hochfahren machen oder erst nach dem Windows-Start? Was ist erfolgsversprechender?

Ergänzung (9. Juli 2015)

Habe chkdsk /f über die Kopie laufen lassen. Wie versprochen ;-) ist jetzt die Dateigröße des TrueCrypt-Containers gleich null.

Also, Testcrypt bringt jetzt nichts?

Dann werde ich noch eine Kopie machen und versuchen, den Container unter Linux zu öffnen... sonst noch Ideen? Wie sehen die aufwändigen Handarbeiten aus?

Hier der Screenshot von chkdsk:

 

[Simpson474]

Also, Testcrypt bringt jetzt nichts?

TestCrypt ist nicht der erste Schritt - dafür sind zunächst andere Tools nötig, um einen TrueCrypt Header "schnell" (siehe unten) zu finden.

Dann werde ich noch eine Kopie machen und versuchen, den Container unter Linux zu öffnen... sonst noch Ideen?

Linux oder Datenrettungsprogramme wie GetDataBack wären jetzt der nächste Schritt.

Wie sehen die aufwändigen Handarbeiten aus?

Erst einmal muss ein TrueCrypt Header gefunden werden, falls dieser nicht separat gesichert wurde (dauert bei 1 TB und einem aktuellen Quad-Core in etwa 2 Wochen). Anschließend kann man die ersten Daten bis zu einem Fragmentierung des Containers retten: anschließend muss man anhand defekter Dateien die weiteren Fragmente zusammensetzen. Abhängig von der Anzahl der Fragmente, aus welchen der Container besteht, ist diese Aufgabe sehr aufwändig.

 

[Lalle]

Hallo,

ich habe ebenfalls meinen TrueCrypt Container gelöscht. (hab den ganzen Ordner direkt gelöscht, war zu groß für den Papierkorb)

Ich habe jetzt schon ein wenig in diesem Forum gestöbert, aber leider versteh ich das meiste nur bedingt

Das einzige was mir aufgefallen ist, ist das Simpson474 sehr viel Ahnung hat. Ich finde es toll das er hier so detailiert auf dier Posts reagiert und hoffe das er noch aktiv ist um mir zu helfen.

Ich habe schon Recuva durchlaufen lassen, keine Ergebnisse. Hab die externe Festplatte gescannt, da der Container von dort gelöscht wurde oder muss ich den Scan über C: laufen lassen zwecks nicht im Papierkorb gelandet.
Mit den anderen hier genannten Programmen kenn ich mich leider nicht aus

Der Container war 30 GB groß und als TXT gespeichert.
Die externe Festplatte ist 1 TB groß.

Wie gesagt ich bin kein Experte, ganz im Gegenteil. Also falls mir jemand helfen kann wäre ich unendlich dankbar. Die Daten sind mir sehr wichtig.

Liebsten Dank schon einmal...

 

[Simpson474]

Das einzige Datenrettungsprogramm, welches bisher hier im Forum Dateien größer als 4 GB geholfen hat, ist Restorer Ultimate. Teste mal, ob die Demo-Version des Programms den TrueCrypt-Container anzeigen kann. Wichtig ist, dass auf der betroffenen Festplatte keine weiteren Schreibzugriffe stattfinden, da sich damit die Wahrscheinlichkeit einer Wiederherstellung stark verringert.

 

[Lalle]

Danke erstmal für die Antwort.

Restorer Ultimate zeigt den Container an, jedoch mit 0 Bytes als Größe.

Was nun?