TrueCrypt - File system korrupt!

[rene1879]

Hallo,

ich wende mich an Euch, weil ich kurz vorm verzweifeln bin. Ich habe zwei Platten in meinem Rechner - SSD fürs win7 system und eine 1TB Platte für die Daten. Letztere ist komplette mit Truecrypt verschlüsselt.

Nach einer erforderlichen Neuinstallation von win7 war die Datenplatte nicht mehr mountbar - hab rausgefunden, dass win7 auf diese platte den bootmanager gepackt hat. Platte abgehangen, win neu auf ssd installiert und datenplatte wieder gemountet - ging! Aber ich kann im Explorer die Platte nicht aufrufen, sie hat für win7 kein file system.

helfen nach dem erfolgreichen mounten recovery tools, im prinzip hab ich ja mit dem mounten den container geöffnet, oder? wenn ja, welche tools helfen?

Danke für Eure Hilfe.
René

 

[Asghan]

nope, das wars.
dadurch dass er bootmanager draufgepackt war fehlt ein teil des verschlüsselten containers.

 

[Mifiman]

Hallo,

erstmal keine Panik, Ruhe bewahren.

Es macht nichts, wenn eine komplett verschlüsselte Platte keinen Laufwerksbuchstaben hat. Versuche einfach, sie mit Truecrypt über "select device" zu mounten.

Erst wenn das nicht geht, ist Panik erlaubt. Könnte sein, dass die vorherige Installation eines Win7-Bootsektors etwas an der Verschlüsselung ruiniert hat.

Grüße, Michael

 

[DunklerRabe]

Ist nur der Bootmanager auf der Festplatte gelandet, oder eine ganze Win 7 Installation?
Ich weiß auswendig nicht, wie groß der Bootmanager ist, aber wenn er ausreichend klein ist, dann hat es nur den Header zerlegt (wenn es kein Hidden Volume war) und den könntest du wiederherstellen, wenn du ein Backup hast. Wenn du kein Backup hast, oder der Bootmanager zu groß war, dann wars das. Wenn es eine ganze Win 7 Installation war, dann wars das ebenfalls.

 

[rene1879]

is nur der boot manager drauf gelandet. win7 ist auf der ssd gelandet, frag nicht, warum win das gemacht hat.

...die platte kann ich via TC mounten, sie wird mir auch mit buchstabend im explorer angezeigt, der volume header ist demnach noch ganz! ich kann nur nicht drauf zugreifen.

 

[Mifiman]

Dann könnte mit viel Glück ein Dateiundeleter helfen.

Oder Testdisk.

Hier http://www.piriform.com/recuva/builds die Portable Version holen und auf die mit Truecrypt gemountete Platte loslassen.

Versuch macht kluch + kostet nichts. Ein Scan kann nicht mehr Schaden anrichten.

Grüße, Michael

 

[rene1879]

recuva kann den boot sektor nicht lesen. ein trial von getdataback läuft grad drüber.

 

[ZerHaKKeR]

Imho macht truecrypt n headerbackup am ende der Partition

Tools -> Restore Volume Header

If the header of a TrueCrypt volume is damaged, the volume is, in most cases, impossible to mount. Therefore, each volume created by TrueCrypt 6.0 or later contains an embedded backup header, located at the end of the volume. For extra safety, you can also create external volume header backup files. To do so, click Select Device or Select File, select the volume, select Tools > Backup Volume Header, and then follow the instructions.

Note: A backup header (embedded or external) is not a copy of the original volume header because it is encrypted with a different header key derived using a different salt (see the section Header Key Derivation, Salt, and Iteration Count). When the volume password and/or keyfiles are changed, or when the header is restored from the embedded (or an external) header backup, both the volume header and the backup header (embedded in the volume) are re-encrypted with header keys derived using newly generated salts (the salt for the volume header is different from the salt for the backup header). Each salt is generated by the TrueCrypt random number generator (see the section Random Number Generator).

Both types of header backups (embedded and external) can be used to repair a damaged volume header. To do so, click Select Device or Select File, select the volume, select Tools > Restore Volume Header, and then follow the instructions.

mfg

 

[DunklerRabe]

Wenn das mit dem Restore des Backupheaders nicht hinhaut, dann war der Bootmanager größer als der Volume Header und hat Teile der Nutzdaten überschrieben. Dann ist es unwahrscheinlich, dass es wiederherstellbar ist.

 

[rene1879]

...ich bin ein stückchen weiter...

getdataback zeigt nur die daten den bootmanagers an -- #fail

file scavenger: zeigt inhalte an...jedoch alle mit der bezeichnung "unbekannt00000x.yyy" wobei x fortlaufend ist und y der dateityp. einige bilder habe ich schon ausmachen können. sieht nach einer mühsamen sicherung aus

R-studio: analog zu file scavenger: listed mir daten, aber die filestruktur ist verloren....


ich nehme gern noch weitere tipps an...

vg rene

 

[Simpson474]

getdataback zeigt nur die daten den bootmanagers an -- #fail

Dann hast du die falsche HDD ausgewählt. Du musst GetDataBack auf jeden Fall sagen, dass er die gemountete Partition scannen soll - ein Scan auf die verschlüsselten Daten ist ansonsten total nutzlos.

 

[ZerHaKKeR]

Würd dir auf jedenfall empfehlen ein Image der entschlüsselten Festplatte zu machen ... mit dem kannst du dann ohne Gefahr versuchen das Dateisystem zu reparieren ...

zb: chkdsk oder

zb: testdisk ...
http://www.cgsecurity.org/wiki/Erweiterte_Boot-_und_MFT-Reparatur_bei_NTFS

Wenn du den Speicherplatz hast IMMER mit image arbeiten ...

die 1,5 tb sind immoment sehr günstig - http://geizhals.at/deutschland/a401980.html

aber mach dir net zuviel hoffungen ... die Dateinamen zu verlieren iss echt ätzend und viel arbeit ... aber besser als weg ...

Ich hatte ein ähnliches Problem mit Truecrypt aber waren nur 80 GB ... leider ne softwaresammlung mit teils nicht mehr verfügbaren tools immaterieller verlust "grauenhaft"

mfg

 

[rene1879]

hier liegen jetzt 2x 2TB Platten, RAID1 wird kommen
...interessant ist, dass Photorec, dass mit TestDisk kommt, mir nahezu alle Bilder wiedergebracht hat. Über das ModificationDate kann ich sogar die alten Dateinamen wieder zuordnen lassen, da ich ein Bildbearbeitungsprogramm habe, dass die Zeit und den (alten) Namen in einem rudimentären Datenbankprogramm gespeichert hat. ...is aber schon ne rechte Fummelarbeit. Aber imho besser als weg.

CHKDSK springt nicht an, schon versucht.

vg rene

 

[ZerHaKKeR]

Was sagt testdisk denn zum MFT ? Komplett über den Jordan ?

edit://

Apropro ... guck ma unter Recovery Tools bei - http://www.hiren.info/pages/bootcd

Die CD ist eigentlich sowas wie ein Schweizer Taschenmesser ... nur falls du sie net kennst ..

 

[Fiona]

Testdisk setze ich so bei TrueCrypt-Volumes ab Version 6 nicht ,mehr ein.
Grund ist, am Ende des Laufwerks wird ein Backup vom Volumeheader gesetzt.
Daher sit ein Zugriff über Backup vom Bootsektor nicht mehr möglich.

Ja, die Exif-Daten wie Datum etc.. bleiben in PhotoRec beibehalten.
Kann beim Umbenennen hilfreich sein.

Enlischer Pendant zu R-Studio, dafür aber billiger ist Restorer Ultimate.

Sieht so aus, das die Ordnerstruktur und Dateinamen leider beschädigt sind.
Bessere Eregbnise als bis jetzt vorgeschlagen wird für eine Vorort-Weiderherstellung schwierig.

Daher überlege dir, ob du den Restorer noch testen möchtest.
Scanne am besten die Platte und nicht die Partition.
Hinterher zeigt dir Restorer die Partitionen an.
Öffne diese und überprüfe ob es dir mehr anzeigt.

Voiele Grüße

Fiona

 

[rene1879]

YES!!! Danke Fiona, Restorer hat mir sogar die Ordnersturktur wiederhergestellt. Vielen Dank für Deinen Tipp.

VG René

 

[Fiona]

Freut mich das es geklappt hat.

Viele Grüße

Fiona

 

[Mr_Smith]

Wieso zum Teufel schreibt Win7 bei der Installation noch auf eine andere, für die Installation nicht ausgewählte Platte?

Passiert das nur bei der Installation?

Dann wohl am besten gleich alle anderen Platten abstöpseln.

 

[Simpson474]

TrueCrypt warnt mittlerweile beim Verschlüsseln einer vollständigen HDD, dass viele Betriebssysteme entweder selbstständig oder nach kurzer Nachfrage einen MBR oder GPT auf die HDD schreiben, was den TrueCrypt-Header zerstört. Windows 7 bringt im normalen Betrieb eine Nachfrage beim Aufruf der Datenträgerverwaltung, während der Installation scheint jedoch keine Nachfrage zu kommen.

 

[Mr_Smith]

Ich würde auch nie auf die Idee kommen, eine 1TB Platte komplett mit TrueCrypt zu verschlüsseln. Was macht das für 'nen Sinn? Bei welchem Privatanwender laufen denn schon 1TB "sicherheitsrelevante" Daten auf? Ein oder mehrere Container reichen doch vollkommen.

P.S.: Na wenn Win7 bei der Installation auch noch auf die Idee kommt den MBR von deinem Raid5 zu ersetzen, dann währ ich mal echt angepisst. Die Gefahr besteht dann ja wohl ebenso.