Truecrypt Partition formatiert

[peete]

Hey,
hab grad aus versehen bei der Neuinstallation von Win XP meine zweite Platte formatiert. Leider hab ich den Header nicht gesichert. Die Platte wurde nur schnell formatiert und eine neue Partition darafu erstellt. Es wurde bis jetzt noch nichts auf diese Partition geschrieben. Gibts irgend eine Möglichkeit wieder an die Daten zu kommen?? Es müsste ja theoretisch noch alles da sein, da nichts überschrieben wurde.

Peete

 

[Simpson474]

Die Platte wurde nur schnell formatiert

Es müsste ja theoretisch noch alles da sein, da nichts überschrieben wurde.

Das widerspricht sich - beim Formatieren wird immer etwas auf die Platte geschrieben. Zunächst wäre mal wichtig, was du zuvor hattest (komplette HDD mit TrueCrypt verschlüsselt, einzelne Partition mit TrueCrypt verschlüsselt oder Container). Außerdem wäre wichtig, was du genau formatiert hast.

 

[peete]

Also ich hatte die ganze Festplatte mit Truecrypt verschlüsselt.
Ich wollte dann heute Windows XP neben Vista installieren. Dabei hab ich auch die richtige Partition ausgewählt und formatiert. Dann nachdem er formatiert hatte sprang er plötzlich wieder zurück und sagte er müsse nochmal formatieren. Klickte da auf ja und er formatierte nochmal. Nach dem booten mit Vista hatte ich dann eine zweite Partition mit XP und eben die zweite Platte formatiert als neue Partition.

Peete

 

[Simpson474]

Das sieht nicht gut aus - wenn die ganze HDD per TrueCrypt verschlüsselt war, dann liegt der Header ganz am Anfang der HDD. Genau an diese Stelle wird entweder direkt der MBR oder zumindest beim Formatieren das Dateisystem für die Partition geschrieben. Damit ist der erste Header wohl defekt. Mit welcher Version von TrueCrypt hattest du die Festplatte verschüsselt? Wenn es bereits Version 6.0 oder neuer war, so könnte der Backup-Header noch intakt sein.

 

[peete]

Hatte es mit 6.2a verschlüsselt. Wo fang ich da am besten an zum ausprobieren. Testdisk??

 

[Simpson474]

Testdisk bringt dir hier gar nichts, versuch zunächst einmal den automatisch erstellen Backup-Header zu verwenden. Wenn dieser auch nicht mehr intakt ist, gibt es keine Rettung - zumindest nicht die nächsten 20-100 Jahre bei linearer Weiterentwicklung der Rechenleistung. Schau dir mal hier das Kapitel "Tools -> Restore Volume Header" an.

 

[peete]

Hab das jetzt mal gemacht. Er sagt mir, dass er den Volume Header wieder herstellen konnte und ich kann das Laufwerk auch mounten, aber wenn ich es öffnen will, kommt nur ein weißes Fenster.

Wenn ich mit der rechten Maustaste auf das Volume in Truecrypt klicke, gäbe es die Möglichkeit, das Filesystem zu reparieren. Aber es wird gewarnt, dass man vorher alle Daten auf der Platte sichern sollte.
Zuvor hab ich das Volume mal überprüfen lassen und er sagt mir, dass lauter verwaiste Daten drauf sind.

Jetzt gabs grad ne Meldung nach dem weißen Fenster. Auf das Volume kann nicht zugegriffen werden.

Was soll ich machen??

 

[Simpson474]

Mach zunächst auf jeden Fall auch einen Neustart von Windows, damit die Partitionstabelle neu eingelesen wird. Windows denkt jetzt wahrscheinlich noch, dass die HDD mit NTFS formatiert und nicht verschlüsselt ist. Ansonsten sieht es jetzt wirklich nach einem beschädigten Dateisystem aus - was auch verständlich ist. Ich weiß nicht, ob man Tools wie Testdisk oder GetDataBack auf eine gemountete TrueCrypt-Partition loslassen kann, um das Dateisystem zu reparieren bzw. die Daten zu retten.

Mit der integrierten Funktion wäre ich vorsichtig - wenn dabei was schiefgeht, macht man nur mehr kaputt. Am besten wäre es natürlich, wenn du zunächst ein 1:1 Image der HDD machen könntest, damit du dieses später wieder verwenden kannst. Wenn da nicht geht, dann würde ich zunächst wirklich die Demo von GetDataBack probieren und versuchen, dort die gemountete Partition (nicht die physikalische Festplatte) zu durchsuchen.

 

[peete]

So, nach einem Neustart ist die Partition aus dem Arbeitsplatz verschwunden und es wird mir eine nicht formatierte Platte angezeigt. Genau so wars vor dem formatieren.
Wenn ich die Festplatte jedoch mounte kommt wieder diese Meldung:



Sieht denk ich schon mal viel besser aus als am Anfang.

Image kann ich nicht machen, da das ne 1,5TB Platte ist. Müsste dafür noch eine kaufen.

 

[Simpson474]

Probier mal die Demo von GetDataBack for NTFS oder die Freeware PC Inspector File Recovery. Wie bereits erwähnt, bei den Tools nicht die physikalische HDD, sondern - wenn möglich - die gemountete TrueCrypt-Partition auswählen. Allerdings müsstest du auch bei diesen Tools die Daten zunächst kopieren, damit du anschließend das Dateisystem neu formatieren kannst. Dafür sind diese Tools ungefährlich - es werden keine Daten geschrieben, sondern nur gelesen.

Eine andere Möglichkeit wäre chkdsk bzw. die integrierte Funktion von TrueCrypt um das Dateisystem zu reparieren. Allerdings können diese Funktionen dazu führen, dass man später gar nichts mehr wiederherstellen kann.

 

[peete]

GetDataBack läuft jetzt. Wie du gesagt hast hab ich nicht die Platte unter Physikalische Laufwerke genommen sonder die unter Logische Laufwerke. Hoffe das passt.

Mal sehen was das Programm ausspuckt.

Danke mal bis hier her für deine Hilfe. Langsam hab ich wieder ein bisschen Hoffnung.

 

[Simpson474]

Die Demo von GetDataBack kann halt keine Dateien wiederherstellen, sondern zeigt für Bilder z.B. nur eine Vorschau an, was die Vollversion wiederherstellen könnte. Dafür funktionert es deutlich zuverlässiger als PC Inspector File Recovery - dieses könnte jedoch die Daten wiederherstellen, da es sich um Freeware handelt.

 

[peete]

Stimmt folgendes schon: "Laufender Prozess: Suche nach NTFS Dateisystemen"??
Dauert nämlich knapp 4 Stunden und sollte nicht für die Katze sein.

 

[Simpson474]

Ich geh davon aus, dass die verschlüsselte HDD mit NTFS formatiert war. Beim Assistenten in GetDataBack hast du wahrscheinlich "Weiß nicht, benutze Standardeinstellungen gewählt", oder? Wenn ja, dann sollte das soweit passen. Außerdem kannst du bei so einem einfachen Dateisystemschaden mal probieren, den Scan jetzt einfach abzubrechen (läuft ja noch nicht so lange) und dann auf "Ignorieren" klicken. Wenn du Glück hast, dann sind die nötigen Daten bereits gefunden und das Programm zeigt dir die Daten zum Wiederherstellen an.

 

[peete]

JAAAAAAAAA er zeigt mir die Ordnerstruktur und einige Dateien an. Super. Heißt das die Daten sind vielleicht wiederherstellbar??

Soll ich jetzt besser mit dem PC Inspector suchen, da der Daten herstellen kann oder doch mit GetDAtaBack und da die Lizenz kaufen?? Was würde die den kosten, falls es mit dem anderen nicht geht?? Hab dazu noch nichts gefunden.

 

[Simpson474]

Sieht zumindest gut aus und da es sich um einen relativ simplen Dateisystemschaden handelt, sollte vielleicht auch mal PC Inspector File Recovery was zustande bekommen. Die Lizenzen für GetDataBack sind "relativ" teuer (für das was es kann eigentlich nicht) und kosten in Deutschland 94,01€ und in den USA $79 - ein bisschen frech, die Umrechnung.

 

[f4bii]

Hallo, habe den Post über google gefunden und gleich hier angemeldet, da ich so gut wie das gleiche Problem habe. Habe meine Externe 500gb ebenfalls komplett vercryptet (nicht sicher welche Version, vermutlich über 6.0) in Windows xp schnellformatiert (keine Absicht^^).

Hab Getdataback drüberlaufen lassen jedoch nur verwirrende Datein+Verzeichnisse gefunden.
http://img6.myimg.de/ScreenShot008GetDataBackfc640.png

Sollte ich es ebenfalls über diesen "restore Header" versuchen? oder ist das villeicht das Ergebniss von dem scan des Physikalischen Laufwerks?

 

[Simpson474]

Hast du GetDataBack auf das physikalische Laufwerk gehen lassen? Wenn ja, dann kann das nichts werden (GetDataBack knackt nicht mal so nebenbei die TrueCrypt-Verschlüsselung). Zunächst musst du die TrueCrypt-Partition mounten können, wenn das nicht klappt, dann hast du keine Chance. Daher versuch zunächst, den Header wiederherzustellen.

 

[f4bii]

Vielen dank, ich glaube der erste scan war nicht mit dem physicalischen Laufwerk

habe soweit nun ebenfalls den header wiederhergestellt und das laufwerk gemoutet, nun läuft Getdataback seid knappen 6stunden schon drüber und hat auch knapp an die 15.000 Datein erkannt, hört sich gut an soweit!, der scan ist aber noch lange nicht fertig (8 Std. noch).

für das kopieren brauche ich in meinem fall nocheinmal eine 500gb platte oder kann ich direkt auf das Laufwerk bzw meine externe festplatte wieder kopieren? Da ich nur knapp an die 350gb hier zu verfügung habe, sollte ich vermutlich die externe festplatte von meinem freund nehmen und dort alles drauf kopieren?

Thank4all

Edit: Habe mit getdataback nun so gut wie alle datein (glaube ich) wieder gefunden !! :> bin nun am wiederherstellen und lass dann getdataback noch einmal drüberlaufn in der hoffnung den rest auch zu finden... oder ich täusche mich und es sind alle da.

 

[Simpson474]

GetDataBack ein zweites mal drüber laufen zu lassen, dürfte nicht viel bringen. Es kann durchaus sein, dass ein paar Dateien verloren gegangen sind, da diese womöglich durch das Formatieren mit dem Dateisystem überschrieben wurden.