Truecrypt nach Windows 7 - Mounten funktioniert - Volume ist aber leer

[Peek&Poke]

Hallo an alle Truecrypt Spezialisten,

es geht um eine 1 TB externe Festplatte wovon eine Partition mit Truecrypt verschlüsselt wurde.
Die Platte hatte ich mal an einem Netbook mit Window 7 angeschlossen. Ich bin jedoch nicht
sicher,ob der Fehler daher kommt.
Jedenfalls lässt sich das Volume jetzt mit Truecrypt ganz normal mounten. Das gemountete Volume ist
jedoch komplett leer. Alle Daten sind weg (ausser "system volue information" , "Papierkorb" und "Recycled").

Im Ordner \System Volume Information\_restore{8FAB9080-1D1E-4460-91D8-739F3BD38055}\RP187\ findet sich eine change.log Datei in der gleich am Anfang, nach ein paar kryptischen Zeichen unter anderem "D e v i c e \ T r u e C r y p t V o l u m e " steht.

Der Backup Header ist vorhanden. Das mounten mit dessen Verwendung brachte leider das gleiche ErgebnisAnhang anzeigen 441690Anhang anzeigen 441691, das Volume ist leer.

Ich habe einige Datenrettungsprogramme (auf dem gemountetem Volume) ausprobiert,
es wurden keine Dateien gefunden.
Testcrypt hat beide Header gefunden, beide liessen sich auch mit Testcrypt mounten,
das Ergebnis war leider gleich, keine Dateien.

Testdisk meldet "The Harddisk seems to small" (Bild angefügt). Vielleicht liegt es daran ?

Ich habe ein paar Sektoren von der Platte gelesen, es sind Daten vorhanden welche
verschlüsselt aussehen (zumindest sind die Sektoren nicht leer).

Vielleicht weiss jemand etwas, das ich noch ausprobieren könnte ?

 

[wesch2000]

hier hast du paar links:

https://www.computerbase.de/forum/t...n-in-truecrypt-nicht-mehr-zu-oeffnen.1382252/

https://www.computerbase.de/forum/t...elte-hdd-formatiert-wiederherstellen.1372945/

https://www.computerbase.de/forum/threads/truecrypt-hidden-volume-nicht-mehr-zugaenglich.1383777/

 

[Peek&Poke]

Hallo wesch2000,

Danke für die schnelle Antwort. Ich schaue mir die Themen mal an. Ich habe allerdings schon seit monaten immer wieder mal die Foren durchsucht und durchgelesen. Leider habe ich jedoch eine zumindest ähnliche Fehlerbeschreibung nicht gefunden.

 

[wesch2000]

wir hatten hier das problem schon einmal- ich glaube es war der erste link

 

[Peek&Poke]

Ich habe nochmal die Foren durchforstet, bin aber leider nicht weitergekommen.
Ich weiss ja noch nichtmal was den Fehler verursacht hat.
Kann es denn sein, das Windows 7 irgendwas auf die Platte geschrieben hat ? Das sollte doch eigentlich nur bei einer Win7 Neuinstallation vorkommen ?
Ausserdem könnte ich doch dann die Partition nicht mehr mounten.
Wenn doch etwas an der Platte geändert wurde , sind dann die Änderungen in der change.log Datei protokolliert ?

 

[Peek&Poke]

Keiner eine Idee ?

hier ist noch ein Screenshot von TestCrypt (die alternative Version für spezielle externe HDs)



Auch hier lässt sich das Volume normal mounten, aber leider auch ohne Daten.

 

[wesch2000]

lies dir bitte folgenden thread durch, da ist das wiederherstellen von partitionen mit testdisk beschrieben:

https://www.computerbase.de/forum/t...n-in-truecrypt-nicht-mehr-zu-oeffnen.1382252/

 

[Simpson474]

Dein Problem sieht eigentlich weniger nach einem TrueCrypt Problem aus - das Dateisystem scheint jedoch beschädigt zu sein. Welche Datenrettungsprogramme hast du getestet? Die besten Erfahrungen habe ich mit GetDataBack und R-Studio gemacht: während bei R-Studio die Auswahl des eingebundenen Laufwerks relativ selbsterklärend ist, so muss bei GetDataBack eine Box mit der Aufschrift "Logische Laufwerke" aufgeklappt werden. Ob du die HDD in TrueCrypt oder TestCrypt einbindest, dürfte egal sein - die Header sind nur einmal vorhanden und es werden wohl beide Programme das Volume identisch einbinden.

 

[Peek&Poke]

erstmal vielen Dank an beide....

@wesch2000 : ich werde es auf jedem Fall mit Testdisk versuchen. Zuerst muss ich aber die Platte zur Sicherheit noch klonen. Ist es notwendig,die komplette Festplatte zu klonen,oder reicht die betroffene Partition ? (die anderen Partitionen sind unverschlüsselt)

@Simpson474 : ich benutze File Scavenger 4.2 (Vollversion) damit hatte ich immer die besten Ergebnisse erzielt. Ich versuche aber nochmal die von Dir genannten Programme. Ich glaube GetDataBack hatte ich mal ausprobiert. Während des Scans hat das Programm jede Menge File Starts gemeldet, aber am Ende keine Dateien angezeigt

 

[wesch2000]

ich würde sagen, es genügt die truecrypt-partition. die daten von der anderen partition kannst du ja normal irgendwohin kopieren.

 

[Peek&Poke]

GetDataBack läuft gerade.

Derzeit sieht es so aus :

 

[Simpson474]

Keine gefundene MFT sieht nicht gut aus - bist du sicher, dass das TrueCrypt Volume mit NTFS formatiert war (die Standardeinstellung in TrueCrypt war FAT32)? Außerdem steht hier "Laufwerk 2. Festplatte" - für mich hast du wieder die physikalische HDD und nicht das logische Volume ausgewählt.

 

[Peek&Poke]

Ja, Du hast Recht.... (in beiden Fällen)
Da hab ich wieder nicht aufgepasst.

Ich habe nun GetDataBack für FAT durchlaufen lassen. Auf dem gemountetem Laufwerk.
Das Ergebnis sieht so aus :

R-Studio ist derzeit bis ca 50% durchgelaufen, mit diesem Ergebnis :

 

[Peek&Poke]

Auch merkwürdig, bei GetDataBack kann ich bei der Auswahl des Laufwerks am Anfang die mit Truecrypt verschlüsselte Partition nochmals aufklappen und es erscheint eine NTFS Partition ?

 

[Simpson474]

Logische Laufwerke ist immer noch nicht aufgeklappt

 

[Peek&Poke]

Doch, war es schon...
Im Screenshot eins weiter oben steht es oben im Fenster ( Laufwerk U: ) das ist das von Truecrypt gemountete logische Laufwerk.

Der letzte Screenshot hat mit dem Scan eigentlich nichts zu tun. Ich klone nur gerade die Truecrypt Partition, das geht ja auch mit GetDataBack. dabei fiel mir auf,dass ich die Partition aufklappen kann.

 

[Peek&Poke]

Ich habe jetzt R-Studio nochmal komplett scannen lassen. Ausgewählt war das gemountete logische Laufwerk.
Gefunden wurden leider nur unbrauchbare Dateien.

Kann man denn mittels der change.log die Änderungen auf der Platte nicht rückgängig machen ?