TrueCrypt: Partition gelöscht - wiederherstellen

[Simpson474]

Klingt nach einem defekten Dateisystem und nicht nach einem TrueCrypt Problem: hier helfen meist wirklich nur noch Programme wie GetDataBack bzw. R-Studio. Ungewöhnlich ist jedoch, dass die HDD leer dargestellt wird - im Normalfall bekommt man eine Formatierungsaufforderung von Windows.

 

[YMiD]

[...]

Was empfehlt ihr mir für eine Vorgangsweise?
GDB kaufen? oder hat es was anderes?

[...]
(

Ja, mach einen Scan mit GDB. Dafür musst du es nicht kaufen, sondern erst für die Wiederherstellung.

 

[Lightray]

Formataufforderung war keine. Auch das mounten mit TC funktioniert normal. Auch das mounten mir dem TestCrypt funktioniert. Selbiges Ergebnis. Ich werde mich mal weiterbemühen. Wenn irgendwelche Ideen aufkommen bitte ich um Information.

mfg Lightray

Ergänzung (30. September 2013)

Zwischenstand:
GBD zeigt nach dem ersten scan mit "suche nach verlohrenen Dateien", nur ein paar wiederherstellbare bilder (und mp3s) (behauptet weiter dass es insgesamt ca300MB widerherstelbare daten sind) obwohl auf der HD ca. 1TB Videofiles waren. Ich habe jetzt das Programm nochmal gestartet und sämtliche Suchoptionen ausgewählt.

Aktuell ist das Volume mit TC gemountet. Wäre es besser/sinnvoller mit dem Backupheader zu arbeiten?
Wie hoch ist die Wahrscheinlichkeit, dass das auch meine anderen TC Platten trifft?

mfg
Lightray

 

[Simpson474]

Wichtig ist, dass du in GetDataBack das eingebundene Laufwerk und nicht die physikalische HDD auswählst: dazu muss in GetDataBack eine kleine Box mit der Aufschrift "Logische Laufwerke" ausgeklappt werden. Nach deiner Beschreibung nach hat dein Problem nicht direkt was mit TrueCrypt zu tun: das Dateisystem wurde durch einen Schreibvorgang während des Stromausfalls wohl beschädigt - sollte bei NTFS zwar nicht passieren, kommt aber doch immer mal wieder vor.

 

[Lightray]

Das habe ich getan. Leider bekomme ich nach 4,5h Scan kein vernünftiges Ergebnis.
In der Suche gibt er zwar viele Starts an. In der Ansicht gibt es aber nur eine Handvoll wiederherstellbare Dateien (mache ich etwas falsch?). Es sieht fast so aus, als wäre die HD mit TC neu formatiert worden. Langsam geb ich es auf. Ich habe jetzt nochmal gestartet und auf exzessive Suche geklickt. Aber Hoffnungen mache ich mir keine großen mehr.

mfg
Lightray

 

[Simpson474]

Das TrueCrypt Volume war aber schon NTFS formatiert, oder? Bei GetDataBack gibt es zwei getrennte Versionen: eine für FAT, eine für NTFS: nur die richtige Version findet auch Dateien auf der HDD.

 

[Lightray]

Ja, ist NTFS und ich hab auch die richtige Version von GDB verwendet. Aber er findet nichts brauchbares. Es scheint fast so, als wär ein Dateishredder über das TC Volume gelaufen. Es waren lauter gopro vidoefiles (MP4+avi zwischen 10MB-10GB) drauf, aber er findet auch wenn ich alles Suchoptopionen verwende, nur ein paar wenige (kleine) jpg und mp3 files (die es meineserachtens nicht gibt). Ich finde das ganze ziemlich mysteriös. Aber nachdem ich mir eine professionelle Datenrettung nicht leisten werde, muss ich wohl auf die Files verzichten.

Mysteriös finde ich vorallem, dass die HD sicher schon 2 Jahre ohne irgendwelche Probleme als TC gelaufen ist und alle SMART Werte im grünen Bereich sind und nach 10 Tagen ohne Strom am PC sich die Platte quasi "aufgelöst" hat, sich zwar mounten lässt aber auch den Namen verloren hat.

Macht es Sinn die Option von TC "Repair File System" zu testen? Das habe ich bislang unterlassen, weil ich mehrmals gelesen habe, dass man sich sonst unter Umständen die Daten zerstört.

Grüße
Lightray

 

[sarg15]

hallo zusammen.
dieser thread lässt mein herz höher schlagen und macht mir hoffnung..


versehentlich habe ich meine externe fesplatte zu formatieren begonnen aber nach 1-2 sekunden wieder abgebrochen. die hd war zu diesem zeitpunkt gemountet..leider konnte ich danach nicht mehr auf alle daten zugreifen..
ich habe nun bereits den tc header von meiner partition wiederhergestellt und kann die die partition auch einbinden. wenn ich sie aber öffnen will kommt die meldung, dass ich den datenträger formatieren muss.. wie soll ich jetzt vorgehen?
ich habe bereits einen eigenen thrad eröffnet, aber da ich einfach nicht weiter weis, suche ich überall nach hilfe

die genaue beschreibung meiner situation findet ihr hier: https://www.computerbase.de/forum/threads/truecrypt-partition-versehentlich-angefangen-zu-formatieren-datenrettung.1334783/#post-15520033


ich bedanke mich schon im voraus für jede hilfe!!

gruss

 

[sarg15]

Ich konnte das Probem beheben. GetDataBack ist das Mittel zum Zweck!
True Crypt Partition einbinden, GetDataBack drüberlaufen lassen (bei 1TB brauch das seine Zeit!) und dann die wiedergefundenen Dateien auf eine neue HD speichern.

Viele Grüsse

 

[Huibuh2010]

Hallo liebe User,

ich habe Windows 8.1 auf installiert und dabei meine verschlüsselte Datenplatte angeschlossen gehabt.
Nun hat Windows da ein NTFS draus gemacht und ein Bootloader installiert....
Jetzt komme ich nicht mehr an die Daten, ich habe mich schon ein wenig belesen und es mit Testcrypt versucht, dort werden die Header gefunden und ich kann die Platte mounten allerdings sehe ich meine Daten nicht und beim Zugriff will er es formatieren. Anbei ein paar Screenshots, ich danke jeden im Voraus für die Hilfe.

 

[Simpson474]

Du musst in GetDataBack das in TrueCrypt bzw. TestCrypt eingebundene Laufwerk auswählen - momentan hast du das physikalische Laufwerk gewählt, welches die verschlüsselten Daten enthält. Ich weiß nicht, ob es mit der Simple-Version von GetDataBack überhaupt möglich ist, logische Laufwerke auszuwählen: beim normalen GetDataBack sind die logischen Laufwerke in einer zugeklappten Box mit der Aufschrift "Logische Datenträger" versteckt.

EDIT: Laut GetDataBack Homepage gibt es die Option auch bei der Simple Variante - dort sollte eine Kachel mit "Logical Drives..." beschriftet sein.

 

[Huibuh2010]

Hey Simpson,

das ist natürlich "logisch" und daran hab ich in dem Moment garnicht gedacht Danke für den Hinweis,
hab eben nochmal bei Simple geschaut aber keine Option gefunden. Nun läuft das normale GetDataBack,
mal schauen ob was gefunden wird aber ein paar Lieder usw konnte ich schon erkennen beim Durchlauf

 

[=DarkEagle=]

Mir ist auch ein Fehler passiert. Ich hatte eine verschlüsselte Partition auf nem Rechner. Die hats erwischt und ist nicht mehr da. Habe nun hier Testcrypt laufen lassen und er hat einen Header gefunden.
Anhang anzeigen 483065

In den ersten Seiten des Threads stand nun, dass man an hand der Sektorinformationen mit testdisk die Partition wiederherstellen sollen. Ich habe nun aber das Problem, dass ich bei Testdisk nur den Start und Endsektor beim Partitionieren einstellen kann und nicht Sachen wie Cylinder. Auf den Screenshoots der ersten Seiten wurde allerdings angezeigt, dass man die Cylinder mit angeben muss.
Wie sollte ich nun vorgehen? Kann ich nicht einfach eine Partition erstellen, die die ganze HDD ausfüllt? Vorher war es auch nur eine Partition mit maximaler Größe auf der HDD.

 

[DocDoLittle]

Sehr geehrte community/simpson474

ich versuche mein Anliegen möglichst
kurz und sachlich zu schildern:

Ja mir ist letzte Woche ein riesen Lapsus
passiert und ich gehöre nun leider auch
zu denjenigen die ausversehen eine
TC-verschlüsselte Partition gelöscht habn
> kein BackUp der Daten
> kein BackUp vom Header
> PW ist (natürlich) bekannt

System: Win 7
Platte: WDC Red 2Tera mit 4 Partitionen
2 unverschlüsselte, 2 TC-verschlüsselte
(Rest der HDD & die SDD wurden abgetrennt
um die Fehlerdiagnose zu vereinfachen)
Die betroffene Partition befindet sich
an 3.ter Stelle, also leider im "Sandwich"
Truecrypt: v.7.1a

Die 2.te verschlüsselte Partition lässt
sich problemlos mounten, da mit der ja
nichts gemacht wurde.
Num was eben passierte war, dass die 1.
gelöscht wurde und somit zum "unlocarted
Space" mutierte in Datenträgerverwaltung
Nach Recherche im Netz, vorwiegend in
diesem Forum, stiess ich auf den Tipp von
"Fiona" dass man versuchen kann den Platz
einfach zuzuweisen, ohne Formatierung -
Da dieser Schritt mir zwar riskant aber
auch erfolgsversprechend vorkam (was auch
die vielen positiven Reationen darauf
bestätigten) habe ich dies nun gemacht.
> Lässt sich leider (noch) nicht mounten

Nun nach weiteren Recherchen bzw. lesen
hier im Forum stiess ich auf TestCrypt
Sehr interessantes und vielversprechendes
Tool. Allerdings hat dieses bei mir nur
die bekannte 2.TC-Partition gefunden, aber
nicht die 1. -

Nun bin ich langsam am Anschlag...
Die Mission ist klar: Finden des Headers
für die besagte Partition
Ich hoffe hier einige hilfreiche Tipps
zu erhalten von Leute die Erfahrung mit
Truecrypt, TestCrypt, TestDisk und allen-
falls Hex-Editoren haben..

Bin froh um jeden Tipp - Bitte helft mir..




Noch ein paar ergänzende Worte
um mein Anliegen zu präzisieren

Diskmanagement:
Partition 1: D: System (NTFS)
Partition 2: E: Daten (NTFS)
Partition 3: TC Volume1 (RAW)
Partition 4: TC Volume2 (RAW)

Dass die TC Volumen als RAW
erkannt werden ist normal -
Gemounted sind beide auch NTFS

Mit Partition 4 klappt das auch
bestens wie bisher (1 Tera+)

Es geht aber um Partition 3 (244.14)
die ausversehen gelöscht wurde
Erste Massnahme:
> Erstellung einer neuen Partition
am selben Ort natürlich UNFORMATIERT

Meine Befürchtung ist nun aber dass
der/die Header (falls noch Existent)
sich am "falschen" Ort befinden -
Das weitere Problem ist, dass ich das
RAW nicht lesen kann mit WinHex
Und wie bereits erwähnt, TestCrypt
leider nur Partition 4 und den Header
erkennt.. (welches sich auch problem-
los mounten lässt)

irgendwelche Vorschläge ?

(hoffe ich habe die Sache nun nicht
noch mehr verkompliziert..)
Vielen lieben Dank an alle die sich
die Zeit dafür nehmen -
Um jede Hilfe wirklich sehr dankbar
Habe schon Seite 1-19 dieses Threats
und weitere gelesen, bevor ich mich
nun endlich entschlossen habe, mein
Anliegen auch posten zu müssen..

@=DarkEagle=
Jetzt kannst Du doch einfach mit
Rechtsklick auf den gefundenen Header
und dann versuchen das Ding zu mountn
oder klappts nicht ? Wenn ja, wieso ?
bzw. was kriegst für ne Meldung -

 

[=DarkEagle=]

Ich hatte bei meinem ersten Durchlauf noch nicht die digitale Treiber Signaturprüfung deaktiviert. Das habe ich jetzt gemacht, dazu dann noch das Tool im Kompatiblitätsmodus mit Windows 7 gestartet und nun geht alles. Ich dachte, ich müsste noch eine Partition erstellen, damit alles geht. Aber es reichte, den Datenträger als GPT zu initialisieren. Nun funtzt das Mounten einwandfrei und ich habe alle Daten wieder.
Ein großes Danke an Simpson474 für das Tool. Einwandfreie Arbeit!

 

[DocDoLittle]

Oh - Das freut mich sehr für Dich
Ich kann ja gerade gut nachvollziehen
wie es ist in so einer Situation..
Ich hatte leider noch kein Erfolg -
Ich kriege komischerweise auch die
Meldung bezüglich SIgnaturen beim
Start von Testcrypt obwohl ich mit
Sicherheit dies beim booten zugelassen
habe (F8) Aber ich habe in diesem Treat
gelesen, das dies vorkommen kann.
Ein Header finde ich ja + die Partition
lässt sich auch (durch Testcrypt)mountn
daher dürfte das bei mir kein Problem
darstellen. Ich finde halt bloss den
2.ten Header immernoch nicht..

Ich hoffe es stolpert noch jemand über
den Treat und hat eine Idee
Bin kurz vorm verzweifeln -

Edit: Habe ebn =DarkEagle=`s Anmerkung
TestCrypt im WIn7-Kompatibilitätsmodus
zu starten probiert und dies hat bei mir die
Meldung beim Start behoben. Dies kann nun
also definitiv kein Problem mehr darstellen.
Danke für den indirekten Tipp.

 

[=DarkEagle=]

Auch ist es so, dass ohne den Kompatiblitätsmodus er mir nacher paar Sekunden gesagt hat, dass der Treiber wieder entfernt wurde, da er nicht signiert ist. Das Entfernen wurde durch den Kompatiblitätsmodus auch unterbunden.

Für dein Problem habe ich leider so keine Lösung im Kopf.

 

[Simpson474]

Versuch mal den folgenden Bereich im "Custom Analyzer" von TestCrypt: 95608/179/57 - 95611/179/57

 

[DocDoLittle]

Vielen Dank für Eure Mühe
Schön Dich zu lesen Simpson474
Du bist ja definitiv der Experte hier
Scan ist am laufen: ca. 30 min

Ergänzung (24. März 2015)

Bin gerade überglücklich und
wieder sehr zuversichtlich..
War ein Volltreffer Simpson474
BackUp &-Header gefunden !
Partition wurde gemounted
Vielen vielen Dank schon mal !

Wenn ich nun das LW anvisiere
werde ich gefragt ob ichs
formatieren möchte, was ich
natürlich verweigere.

Wie ich aus vorhergehenden
Beiträge vernommen habe ist nun
wohl die Zeit für GetDataBack -
Logisches LW anwählen ist klar
und NTFS natürlich

Gerne melde ich mich wieder

Ergänzung (24. März 2015)

Stand der Dinge:
Es wurde wohl etwas spät gestern und
ich in meinem Glück etwas zu voreilig
Allerdings hab ich die Header wirklich
und bin weiterhin sehr zuversichtlich
da ich die Partition über TestCrypt ja
bereits mounten kann.

Entgegen meiner voreiligen Annahme kann
ich nun aber mit GetBackData noch nicht
an meine Daten kommen.
Es fehlt noch das Filesystem dafür -

Beim checken von einem der ersten Fälle
stiess ich nun auf dieses Statement von
Dir Simpson474

Sieht gut aus - du musst jetzt irgendwie die Partition anhand der angezeigten Grenzen für den Backup Header erstellen (CHS 0 1 32 - CHS 953867 14 1). Am leichtesten geht das wohl mit Testdisk - dort kann man die Grenzen der Partition per Hand eingeben und anschließend den MBR entsprechend schreiben.

Das wird wohl auch mein nächster Schritt
Ich wäre Dir sehr dankbar wenn Du mir
hier auch schnell die genauen Angaben
[Cylinder], [Head], [Sector] von Start
und Ende bestätigen bzw. sagen könntest.

Besten Dank bereits,
ich denke wir sind nun bereits sehr nah -

Update: =DarkEagle= schien gerade gestern
auch an dieser Stelle gewesen zu sein, hat
allerdings keine neue Partition erstellt
sondern

es reichte, den Datenträger als GPT zu initialisieren

Bin mir nicht sicher wo ich dies einstelle
Könnte dîes auch eine Möglichkeit sein ?

Ergänzung (24. März 2015)

Ergänzung (24. März 2015)

Also vorab mal eine Anmerkung zum Initialisieren als GPT
Das trifft natürlich bei mir nicht zu, da ich ja funktionierende
(MBR-) Partitionen auf der Platte habe.
D.h ich muss wohl die Partition noch richtig erstellen und den
MBR bzw. das ganze Filesystem für diese Partition wiederherstellen

Ich bin ein bischen verwirrt, muss ich zugeben und bräuchte
dringend nooch etwas Unterstützung -
Kernpunkt meiner Unsicherheit ist derzeit, wenn ich mit
Testdisk die Partition wieder herstellen will bzw. neu
erstellen muss, sollte dann die jenige gemounted sein odr nich ?

Aus älteren Beiträge konnte ich dies leider nicht deutlich
herauslesen. Auch wurden dazumal alte Versionen benutzt -
Ich muss zugeben ich habe nun auch schon stundenlang/tagelang
Forenbeiträge gelesen und sehe wahrscheinlich vor lauter Wald
die Bäume langsam nicht mehr -

Wenn ich nun mit TestDisk eine Analyse der gemountenden Part.
starte (was mir am sinvollsten erschien) kommt ich in einer
halben Stunde nicht mal auf 01 %..

Ich wäre wirklich extrem froh wenn mir hier jemand mit ein paar
Antworten behilflich sein könnte. Ich habe auch recht bedenken
dass ich (die nun endlich gefundenen) Header wieder überschreibe
Was natürlich eine Katastrophe wäre
Daher beabsichtige ich keinen gravierenden Schritt zu unternehmen
ohne das Ok eines Experten oder zumindest sehr Erfahrenen hier -

Vielen Dank für alle die sich die Zeit dafür nehmen, LG Doc

 

[Simpson474]

Welche Option wurde zum Einbinden des gefundenen Headers in TestCrypt benutzt: "Mount as normal header" oder "Mount as backup header" - richtig wäre Letzteres. Wurde in GetDataBack (die normale Version, nicht die neue Simple Version verwenden) die Option "Systematischer Dateisystemschaden" gewählt. Ist noch ein Screenshot nach der Analyse von GetDataBack vorhanden? Eine neue Partition brauchst du nicht zu erstellen, für die Analyse mit Datenrettungsprogrammen funktioniert auch das Einbinden direkt in TestCrypt.