Truecrypt: Kann Partition mounten, aber nicht mehr darauf zugreifen!

[lokamoka]

Hallo Expertenteam!

Habe ein riesen Problem mit einem Hidden Volume bei Truecrypt:

- Festplatte mit 1TB wurde damals von mir unterteilt in 2 Partitionen, welche ich dann mit Truecrypt verschlüsselt habe (komplette Verschlüsselung, keine Container)
- hat immer funktioniert, doch wenn ich nun das Passwort für die kleinere Partition eingebe wird das Passwort akzeptiert, aber ich kann nicht mehr auf die Platte zugreifen.

Fehlermeldung:
- "Auf M:\ kann nicht zugegriffen werden. Falscher Parameter."

Das Programm TestDisk meldet: "Partition sector doesn't have the endmark 0xAA55"
PCInspector FileRecovery sagt: "bad parameter in boot sector: bytes per sector (54664) > 32768! und bad parameter in boot sector: root directory cluster (1308698115) > count of clusters!" Die Plattenbezeichnung erkennt er als "Ša¸ÏÕ²B|åë"

Die andere Partition funktioniert noch (gebe PW ein, Platte mountet, kann drauf zugreifen).

Bitte um professionelle Hilfe!!! Bin am verzweifeln und es sind wichtige Daten drauf. Danke.

 

[Fiona]

Durch den Volume Header ab True Crypt 6 und sein Backup hatte ich in meinen Tests Probleme einen Bootsektor in Tstdisk wieder aufzubauen.
Wenn Testdisk sagt "Partition sector doesn't have the endmark 0xAA55", teste aber nochmal folgendes;
Mounte dein Laufwerk in TrueCrypt.
Bei Laufwerke wähle nicht Disk sonder Drive (dein mounted TrueCrypt Volume).
Teile mit ob es angezeigt wird?
Wähle mal in Testdisk nicht Partition table type Intel sondern None.
Bestätige dann in Testdisk durch, bis du das Menü Analyse siehst.
Bestätige aber nicht bei Analyse sondern bei Advanced!
Wenn jetzt dein Dateisystem als Unknown angezeigt wird, gehe auf Type und weise es zu.
Bestätige dann bei Boot und gehe auf Rebuild BS.
Hinterher zeigt Testdisk dir das Ergebnis an.
Wenn Testdisk zu lange sucht (mehr als einige Minuten, teile es mit.
Hinterher solltest du das Menü List sehen.
Gehe mal da drauf und teile mit, ob deine Daten oder wieder eine Meldung angezeigt wird.
Gehe dort erstmal nicht auf das Menü Write, um keine Änderungen vorzunehmen.

Teile es mit.


Wenn es nicht funktioniert, versuche kostengünstige Datenrettungssoftware wie scavenger erstmal in der Testversion um das Ergebnis zu überprüfen, was an Daten angezeigt wird.
Mounte auch dein Laufwerk inb TrueCrypt und wähle es in scavenger aus.
Führe den langen scan aus und überprüfe das Ergebnis auf deine Daten.

Viele Grüße

Fiona

 

[lokamoka]

Fiona, ersteinmal vielen lieben Dank für deine Antwort! Einfach super, bist ein Schatz :-)

Kann Drive auswählen in TestDisk. Dann im nächsten Schritt kann ich None auswählen. Dann im Advanced-Menü steht unknown, ich bin bei Zuweisen.

Da ich kein Festplattenexperte bin, weiß ich bei diesem Schritt nicht weiter. Wie kann ich herausfinden, was ich zuweisen muss? Hängt bestimmt davon ab, wie die Festplatte damals formatiert wurde, richtig? Wenn ich das noch wüsste...

Für eine weitere Antwort danke ich Dir im Voraus!

 

[Fiona]

Zumeist wird heute NTFS verwendet.
Nehme es mal zuerst.
Solange du in Testdisk nicht bei Write bestätigst, nimmst du keine Änderung vor.
Ansonsten wenn das Ergebnis nicht übereinstimmt, kann immer noch FAT32 zugewiesen werden.

Viele Grüße

Fiona

 

[lokamoka]

Es kommt die Meldung:



Was wäre, wenn ich in TrueCrypt "Repair Filesystem" auswähle (das läuft dann über Windows ChkDsk). Er warnt mich jedoch, dass dann Daten verloren gehen könnten.

 

[Fiona]

Wenn du bei List bestätigst, wird dort eine Fehlermeldung oder deine Daten angezeigt?

 

[lokamoka]

Can't open filesystem. Filesystem seems damaged.

:-(

 

[Fiona]

Teste mal was an Daten gefunden wird mit der Datenrettungssoftware scavenger in der Testversion.
Mounte dein Laufwerk, wähle das mounted Laufwerk in Scavenger aus und führe den langen scan aus.
Überprüfe es mal auf deine Daten.

Teile es mit.
Chkdsk ist ein Utility für den Versuch ein Dateisystem zu reparieren, aber nicht zum Datenretten.
Sollte somit erst nach einer Sicherung ausgeführt werden.
Daher im Fall auf eigenes Risiko.

Viele Grüße

Fiona

 

[lokamoka]

Das ist alles! Hilfe :-(
Auf der Platte war mein bisheriges Leben gespeichert :-(. Und ich wollte Ende des Monats ein neues Backup machen und jetzt geht mir diese Platte kaputt. Das darf doch nicht wahr sein.

Bist du nun am Ende mit Deinem Latein Fiona? Oh man ich hoffe nicht.

Ergänzung (9. Februar 2011)

Habe in einem anderem Thread was von GetDataBack gelesen und jetzt mal einen Scan mit dem Programm gestartet:

Sieht das schon vielversprechender aus?

 

[Fiona]

Während des scans hat keine Aussagekraft.
Lasse den scan fertig laufen und überprüfe dann das Ergebnis.

Viele Grüße

Fiona

 

[lokamoka]

Ok ich lasse laufen. Hatte eben ein paar Fehlermeldungen während des Scans, diese sollten aber zukünftig einfach ignoriert werden. Ich lasse über Nacht laufen und poste morgen früh so um 7 das Ergebnis.

 

[Marv21]

Interresanter weise ist auch bei mir das gleiuche Problem aufgetreten. NUr das ich mounten kann er es anzeigt und dann sagt:
Auf T:\ kann nicht zugegriffen werden.
Die Datei oder das Verzeichnis ist beschädigt und nicht lesbar.

hilfe...

 

[lokamoka]

Ich könnte ausrasten (Ich träume schon seit 2 Tagen, dass ich auf meine Platte zugreife und alles ist wieder da und dann wache ich auf und krieg erstmal einen Deprischub).

Keine Daten werden angezeigt:



Ergänzung: Fiona, hast Du noch eine Idee?

 

[Simpson474]

Du hast zumindest bei GetDataBack die falsche Partition ausgewählt (in deinem ersten Screenshot zu erkennen). Du darfst die Partition nicht unter "Physikalische Laufwerke" auswählen, denn diese Partition ist verschlüsselt. Du musst die Partition in TrueCrypt einbinden und anschließend den Laufwerksbuchstaben den TrueCrypt anzeigt unter "Logische Datenträger" in GetDataBack auswählen.

 

[lokamoka]

Danke Simpson474. Woher ist dein Avatar? Kommt mir so bekannt vor.

Sieht das so besser/"richtiger" aus?

 

[Simpson474]

Der Avatar ist aus dem PS1/PC-Spiel "Oddworld: Abe's Oddysee". Der Screen sieht besser aus, falls "P" der Laufwerksbuchstabe ist, der bei TrueCrypt nach dem Mounten angezeigt wird.

 

[lokamoka]

Ja, P: ist bei TC gemountet. Er findet bisher keine $MFT-Einträger und das ist schlecht, oder? Ich warte einfach mal das Ergebnis ab.

Ergänzung (10. Februar 2011)

Hier das Ergebnis :-(






Hoffnungslos verloren? Gibt es noch irgendetwas, was ich tun kann?


Reparieren klappt übrigens auch nicht, es kommt folgende Meldung:
Der Typ des Dateisystems ist RAW. CHKDSK ist für RAW-Laufwerke nicht verfügbar.

 

[Simpson474]

Hast du irgendwelche TrueCrypt-Header wiederhergestellt, bevor du die Partition mounten konntest? Wenn nicht, so ist es eigentlich ziemlich unwahrscheinlich, dass du das Volume mounten kannst, die Daten jedoch nicht verfügbar sind. Wenn du das Hauptfenster von TrueCrypt geöffnet hast, so sollte bei "P:" irgendein Bezeichner für das physikalische Laufwerk stehen - ist das der Fall, so hast du eigentlich auf dem richtigen Volume gesucht. Allerdings sieht das ganze eigentlich nach dem richtigen Volume aus, da ein plausibel aussehendes Dateisystem gefunden wurde - nur leider keine Daten.

Lade dir mal HxD herunter und öffne wieder das gleiche Laufwerk ("P:") über Extras -> "Open Disk...". Allerdings gibt es hier Probleme bei ein paar Rechnern mit HxD, so dass du das Laufwerk nicht öffnen kannst. In diesem Fall funktioniert meist dieser Editor. Beide Tools müssen unter Vista oder neuer per Rechtsklick "Als Administrator ausführen" gestartet werden. Wenn es funktioniert, dann mach einen Screenshot von dem, was du direkt nach dem Öffnen der Partition siehst.

EDIT: Welche Option hast du bei GetDataBack gewählt? Die Optionen "Weiß nicht" oder "Systematischer Dateisystemschaden" wären am besten geeignet.

 

[lokamoka]

Nein, mounten geht ohne Probleme (musste keinen Header wiederherstellen oder sonstiges). So sieht das in TC aus:


Bei HxD kann ich P nicht auswählen. Siehe hier:


Und bei Sectedit steht garkeine Disk zur Verfügung:


Bei GetDataBack hatte ich "weiß nicht" gewählt.

 

[Simpson474]

Du hast die Programme aber schon per Rechtsklick "Als Administrator ausführen" gestartet?