TrueCrypt: Partition gelöscht - wiederherstellen

[DocDoLittle]

- Bin mir nicht sicher welche Option ich benutzt habe
zum mounten per TestCrypt. Ich glaube ich habe beide
(erfolgreich) versucht. Nehme nun also BackUp Header
- GetDataBack wurde erst die SImple Version probiert
die hat allerdings diese Partition nicht gefunden -
Ich muss allerdings anmerken dass ich keine Option
"Logische Laufwerke" irgendwo entdeckt habe -
GetBackData for NTFS wurde auch probiert, da hing ich
leider bei Schritt 2 fest mit irgendeiner Meldung:
"Wählen sie das Filesystem" aber keines zur Auswahl
auch als ich auf "alle" klickte -
Es wurde immer die Option Systematischer Dateischaden
genommen.

Daher auch meine Gedanken in Richtung Filesystem
Ich habe nun also mit dem BackUpHeader gemounted und
GDB Simple gestartet. Die gesuchte Partition zeigts
mir leider immernoch nicht an. Muss ich irgendwo
logische Laufwerke selektieren können ?

Vielen Dank schon mal, bin sehr froh wieder daran
weiterarbeiten zu können.. war schon am verzweifeln

Screenshots von GDB Simple;


Screenshot von GDB for NTFS:
Hier finde ich nun die gesuchte Partition unter Logische LW
Scan läuft ca. 30 min - Phew mein Herz schlägt höher.. ^^

Ergänzung (25. März 2015)

Hatte wirklich Erfolg heut Morgen
GetBackData for NTFS hat scheinbar
alles wichtige an Daten gefunden
und ich sollte nun definitiv fähig
sein diese wiederherzustellen

Ein riesen Dankeschön an Simpson474
ohne Deine Tipps und Dein Programm
hätte ich dies niemals geschafft..
Ich kann Dir gar nicht genug danken
das sich ein Experte wie Du die Zeit
sich durch meinen Roman zu lesen,
obwohl ich nicht mal langjähriger
User hier bin, ist alles andere als
selbstverständlich -
Ich werde nun noch viel zu tun haben
aber ich habe vor nun öfters ins
Forum reinzuschauen und im besten
Fall auch mal jemandem helfen zu
können. Mein Spezialgebiet ist aber
bestimmt nicht die Datenrettung ^^
Ach ja: Meine BackUp-Strategie wird
nun sicherlich auch überarbeitet

Vielen Dank nochmal Simpson474 !

 

[montay]

Hallo Leute,

zu aller erst wollte ich erst mal allen danken die aktiv an diesem Thema beteiligt waren, allen voran natürlich Simpson474. Was du hier die letzten Jahre geleistet hast ist wirklich grandios. Dank diesem Thema konnte ich meine Festplatte komplett wiederherstellen.

Kurz zu der Ursache meines Problems:

Heute Mittag hab ich meine externe Festplatte angeschlossen, während ich ein PC Spiel gezockt habe. Die externe Festplatte war mit TrueCrypt komplett als Datenträger verschlüsselt. Jedes mal beim einstecken kommt ja dann die Meldung "Wollen sie den Datenträger formatieren". Genau in diesem Moment ist mein Spiel abgestürzt und ich wollte es mit dem Task Manager schließen und habe dabei die Enter-Taste betätigt weil der Mauszeiger weg war, und was ist passiert? Es war die Meldung bzgl. der externen Festplatte im Vordergrund und es wurde eine Schnellformatierung durchgeführt.


Als Folge konnte ich mit TrueCrypt die Festplatte nicht mehr einbinden. Nach langen langen Recherchen im Internet bin ich dann auf dieses Thema gestoßen und hab mir hier mittlerweile alles durchgelesen. Der beste Tipp für mich war den Header im TrueCrypt zu resetten.

Extras > Volumen-Header-wiederherstellen. Meine Version war zum Glück die 7.1. Verschlüsselt war es als NTFS-System.

Jetzt konnte ich meine Festplatte wieder als Datenträger einbinden, es erschien dann aber ein unformatierter Datenträger auf den ich nicht zugreifen konnte.

Als nächste hab ich das Programm GetDataBack verwendet und es mit den hier empfohlenen Einstellungen durchlaufen lassen. Wie hier beschrieben:

Genau dafür ist GetDataBack ja gemacht - Daten von zerstörten NTFS-Dateisystemen zu retten. Das funktioniert natürlich nur, wenn die Daten unverschlüsselt sind - deshalb muss das Laufwerk zunächst in TrueCrypt eingebunden werden und in GetDataBack der entsprechende Laufwerksbuchstabe ausgewählt werden (dazu muss zunächst eine kleine Box mit dem Titel "Logische Laufwerke" aufgeklappt werden).

Ergebnis:

Das Programm hat tatsächlich alles wieder gefunden. Waren immerhin 178 GB. Da die Probeversion allerdings die Daten nicht kopiert, hab ich mich dann kurzer Hand dazu entschlossen die Vollversion per Paypal zu kaufen (die 75€ waren mir es mehr als wert, hätte auch 1000 gezahlt ). Die Lizenz konnte man direkt im Programm kaufen und eingeben, ohne dass man das Programm schließen musste. Leute es funktioniert, die Lizenz war innerhalb 1min da. Er kopiert mir grad alle Daten raus. Ich kann die Daten die schon da sind sogar alle schon verwenden. Das sind Bilder, Texte, Software, weitere andere Daten usw.

Danke noch mal an alle, da waren Sachen dabei die ich über 10 Jahre lang gesammelt habe. Ich bin so erleichtert

Ich wünsch euch allen noch viel Erfolg !

Liebe Grüße

 

[unreality]

Hallo mich hat es nun auch erwischt. Ich hatte nach einem Format (nur SSD) die SATA Stecker gewechselt und meine verschlüsselte 2TB Festplatte war danach nicht mehr Mountbar.

Über Restore Volume Header konnte ich das ganze zwar wieder einbinden aber es befinden sich keine Daten darauf.

Ich habe dann über Testdisk den Original Header mit dem Backupheader wieder hergestellt, sehe leider aber immer noch keine Daten weil der MFT wohl defekt ist.

Ich lasse gerade zum dritten mal GetDataBack drüber laufen, weil das ganze die ersten 2 mal abgestürzt ist:

Das ganze sieht momentan so aus:


Welchen Boottable muss ich nach dem Scan auswählen?

PS: So sah das ganze übrigens bei Testcrypt aus bevor ich den Normalen Header wieder hergestellt habe. habe seitdem Testcrypt nicht genutzt, weil ich ja auch per Truecrypt einbinden kann.


Den MFT konnte ich übrigens per Testcrypt nicht wiederherstellen.

EDIT: Alle Daten wieder da! Ein Großes Danke an alle die ihre Lösungsansätze hier beschrieben haben.

 

[eldios]

Hi,
nun hat es mich leider auch erwischt. Meine externe Festplatte die mit Trucrypt verschlüsselt war, wurde leider formatiert.

nun habe ich versucht es so zu machen wie hier immer wieder erzählt wird.

Als erstes habe ich TestCrypt über die Platte laufen lassen:



Dort habe ich dann, den makierten bereich genommen und Mount as Backup Header gemacht.

Nächster Schritt war/ist dann GetDataBack for Ntfs drüberlaufen lassen und zu Gott beten, dass es klappt.
Er läuft jetzt noch was mir allerdings auffällt ist, das oben rechts ja Erk. Daten xxxStarts, xxx Benutzerdefiniert steht und im Log Fenster steht auch öfter added User define File. (wie auf dem Bild zu sehen)



Kann mir einer sagen was das ist und ob das richtig ist? Irgendwie bin ich mir überhaupt nicht sicher, weil auf anderen bildern von dem Fenster (in anderen Beiträgen), habe ich das nicht gesehen. Kann es sein, dass ich was falsch eingestellt habe?

Viele Grüße und Danke

eldios

 

[neo2006]

[...]

 

[sheldon123]

Hallo,

Ich hab idiotischerweise meinen Truecrypt USB-Stick mit Windows Schnellformatierung neu mit FAT formatiert. Im Netz finde ich, dass eigentlich die Schnellformatierung (unter Windows 7) nur das TOC löschen und die Daten alle physisch stehenlässt, also nur gaaanz am Anfang der Platte was überschreibt... Jetzt ist meine Frage kann ich das mit Testcrypt retten?

Ich lasse Testcrypt Version 0.5.1 gerade laufen über die letzten 20000 Sektoren. Es dauert 12 Stunden.

Truecrypt Version mit der verschlüsselt wurde war 7.1a. Es wurde der gesamte USB Stick 16GB verschlüsselt. Es sind Daten oben und kein Betriebssytem. Zum Entschlüsseln hab ich immer verwendet: "Auto-Mount Devices" und das Passwort.

Das Drive war zum Zeitpunkt der Schnellformatierung nicht in Truecrypt gemounted (also entschlüsselt).

Ich habe meine Idiotie sofort bemerkt und den USB Stick mittels Linux Tool "dd bs=4M conv=noerror,sync,notrunc if=/dev/sda of=/dev/sdb" gleich mal 1:1 kopiert, sodass ich mit der Kopie Recovern kann.

Ich habe leider kein Backup des Volume Header. (und kann diesen mit den Truecrypt Volume Tools auch nicht mehr anlegen jetzt)

Kann ich TestCrypt nun wie der Erstposter anwenden? Wo erstelle ich die neue, unformatierte Partition? Auf einem 2. gleich großen USB-Stick? Und dann? Ich hab nicht ganz verstanden, wie das gehen soll mit neuer Partition erstellen und daraus den Header laden. Könnt ihr mich anleiten?

Falls Testcrypt bei mir nix bringt, bitte gerne andere Tools empfehlen...

 

[Simpson474]

Durch die Schnellformatierung wurde auf jeden Fall der normale TrueCrypt Header und das Dateisystem im TrueCrypt Volume zerstört. Du kannst jetzt nur hoffen, dass der Backup-Header noch vorhanden ist - dieser sollte dann auch von TestCrypt gefunden werden. Anschließend könnte man dann mit Programmen wie GetDataBack oder R-Studio arbeiten, um die Dateien vom zerstörten Dateisystem zu retten.

 

[sheldon123]

[GELÖST] AW: TrueCrypt: Partition gelöscht - wiederherstellen

Danke Simson474!

TAtaaaaa... und hier die Lösung... ich schreib sie für alle, die die gleich doofe Aktion wie ich gesetzt haben, nämlich Windows Schnellformatierung einer mit Truecrypt verschlüsselten Partition (kein Containier) auf einem 16GB USB-Stick.

0. Vor den Recovery Tests am Besten eine 1:1 Kopie des geschrotteten Devices ziehen, damit nicht noch mehr kaputt wird, zb mit Linux (Befehl selbst anpassen!):
dd bs=4M conv=noerror,sync,notrunc if=/dev/sda of=/dev/sdb

1. TestCrypt hab ich nicht gebraucht

2. Beschädigte Truecrypt Partition wie folgt mounten:
a) Truecrypt öffen, "Select Device" anklicken und die entsprechende Partition auswählen. (bei mir klappte es nur mit der Partition und nicht mit der gesamten Platte)
b) Tools/Restore Volume Header ausführen. Dann sucht er sich hoffentlich den Volume Header am Ende der kaputten Partition. (Die die am Anfang steht wurde genauso wie das Dateisystem durch die Schnellformatierung von Windows zerstört so wie Simpson474 schrieb)
c) Mount durchführen:
Windows: "Mount Options" "Use backup header embedded in volume if available"

Linux Mint LMDE: ebenfalls die Einstellung auswählen, dass der Backup header verwendet werden soll. Das ist aber an anderer Stelle als in den "Mount Options". Bei den "Mount Options", nicht mounten angeben, sodaß das Volume nur eingehängt wird, aber ohne dass versucht wird das Dateisystem irgendwohin einzuhängen.

OPTION I unter Linux
=============
du kannst dann in Truecrypt mit Rechtsklick auf das gemountete Device unter Properties oder Eigenschaften nachsehen wohin es gemountet wurde. Bei mir war es unter Linux eben /dev/loop0

Danach hab ich mich in Linux Mint herumgespielt mit dem Tool photorec, dass Dateien versucht wiederherzustellen, selbst wenn das Dateisystem im A* ist:
sudo photorec /dev/loop0

Findet so einiges, aber nicht alles. Außerdem werden die Dateien umbenannt und die Struktur (Ordner) geht verloren. Ich muss gestehen, ich fands eher unbrauchbar, weil die Datei, die ich unbedingt brauchte, nicht gefunden wurde.

OPTION II unter Windows 7
=================
GetDataBack für FAT oder NTFS installieren, je nachdem welches Filesystem auf dem kaputten Stick/Platte oben war.

In diesem Programm die gemountete Truecrypt Partition angeben! (sonst wird nix gefunden) Das geht so: Unter "More Drives" findest du den Link "Show all drives", dann wird es aufgelistet.... Der Rest ist so ziemlich selbsterklärend.

Kostenfaktor GetDataBack um die 70€, aber es hat bei mir zumindest auf den 1. Blick alles restored und sogar die Struktur, also Ordner und Unterordner erhalten! Prima Tool!

 

[CowaBunga2103]

Hallo Zusammen,

ich habe es auch geschafft. Leider habe ich schon einiges versucht. Vielleicht kannst du mir helfen Simpsons 474.
Ich habe eine Platte 2TB komplett mit TrueCrypt 7.1a verschlüsselt.

- Mit TrueCrypt lässst sich die Platte jetzt leider nicht mehr mounten.
- Der Restore des Headers mit TrueCrypt geht leider auch nicht.
- Mit TestCrypt finde ich leider keinen Embedded Header.
- Dummerweise habe ich mit zwei Programmen versucht die Partition wiederherszustellen. Jetzt herrscht leider ein Partitionschaos. Jedoch denke ich nciht, dass die Daten überschrieben wurden.



Was kann ich tun, dass wenigstens TestCrypt meinen Header wieder findet. Gibt es hier noch eine Möglichkkeit?

 

[Simpson474]

Wenn die HDD wirklich voll verschlüsselt war und TestCrypt mit der Einstellung "Automatic" bei "Begin of Volume" und "End of Volume" nichts findet, dann hat man ohne ein Backup des TrueCrypt-Headers keine Chance mehr. Kann es sein, dass beim Verschlüsseln der Partition die Formatierung abgebrochen wurde? In diesem Fall schreibt TrueCrypt nämlich überhaupt keinen Backup-Header.

 

[CowaBunga2103]

Nein, die Verschlüsselung lief ganz durch. Die Verschlüsselung ist aber schon alt evtl in Zeiten von XP gemacht. Jetzt leider mit Windows 10 geschrottet. Ich hatte schon mal Probleme, die ließen sich aber mit dem embedded header reparieren. Nur schlauer bin ich dadurch auch nicht geworden..

Lebt wohl ihr daten der letzten 15 Jahre....

Hier noch ein paar Bilder von testdisk:

..

 

[Simpson474]

Wenn keine externe Sicherung des Headers vorhanden ist, dann hilft hier wohl nichts mehr.

 

[Kamer]

Hallo@all
Habe aus versehen mein usb Stick,das mit True crypt verschlüsselt war formatiert. Der stick ist ganz verschlüsselt und ca. 7gb. Jetzt konnte ich nicht mehr mounten und habe bei Tc unter extras header wieder hergestellt. Angeblich wurde es wieder hergestellt aber bei Tc ist der Laufwerkbuchstabe nicht vorhanden. Das ändern der buchstaben bringt auch nichts.
Was kann ich tun ?

lg

 

[Simpson474]

Was heißt der Laufwerksbuchstabe ist nicht vorhanden? Dieser sollten nach erfolgreichem Einbinden eigentlich immer da sein, nur der Zugriff auf die TrueCrypt Partition ist nach einer Schnellformatierung nicht mehr möglich: dort helfen nur Datenrettungsprogramme wie R-Studio oder GetDataBack.

 

[Kamer]

Hi
Wenn ich mit tc mounte ändert sich der laufwerkbuchstabe bei tc, das meinte ich.

Mit getdataback habe ich tatsächlich die daten nach dem scan gesehen. Nur ist das programm abgestürzt. Habe dann paar mal nochmal versucht und nichts mehr ging. Also nichts gefunden.

Getdataback will auch geld damit man überhaupt die daten speichern kann. Gibt es kein anderen programM?

Danke Und lg

 

[Simpson474]

Es gibt zumindest keine gute Freeware: wenn die Dateinamen und Ordnerstrukturen egal sind, so könnte man auch PhotoRec aus dem TestDisk Paket probieren.

 

[Tenker]

Liebes Forum,

mich hat auch erwischt...
Bei Installation von Windows habe ich die gesamte Partition (war eine) der Daten-Festplatte gelöscht.
Boot FP ist eine SSD.
Leider habe ich VeraCrypt zu codieren benutzt.
Bringen die Tipps auch mir etwas?
Soll ich versuchen die Partition mit TestDisk zu wiederherstellen?
2TB Daten, Sammlung "des Lebens" sind weg!


Vielen Dank und viele Grüße
Tenker

 

[Tenker]

Liebes Forum,

ich bitte herzlich um Hilfe

Zur Probe habe ich eine andere gleiche Festplatte formatiert und mit VC vorbereitet.

Unter Computerverwaltung sieht sie so aus;



und VC kann die sehen:



als \Device\Harddisk\Partition1 sehen.


Die Festplatte, bei der ich die Partition gelöscht habe, wird unter Computerwerwaltung nicht als RAW erkannt:



un im VC sieht so aus:



\Device\Harddisk\Partition1 ist nicht vorhanden!

Ich kann den Volumen-Header z.Z. nicht wiederherstellen.

Wie kann ich sie irgendwie so einrichten, dass die Computerwerwaltung sie als
\Device\Harddisk\Partition1
RAW sehen kann?

Danke für Eure Tipps.
Tenker

Ergänzung (16. Januar 2016)

Es geht voran

1. Ich habe die Partition der Testfestplatte jetzt gleich wie damals über Windowsinstallation gelöscht.
2. VideoCrypt kann den Volumen-Header z.Z. nicht wiederherstellen.
3. Die Festplatte zur Probe unter Windows partitioniert und schnell formatiert.
4. VideoCrypt kann den Volumen-Header z.Z. wiederherstellen.
Jetzt versuche ich mit R-Studio die Testdaten zu wiederherstellen -> Ergebnis erst in ca. 5 Stunden, weil das Scannen so lange dauert.

Ich glaube, ich komme weiter wenn mir ein TestDisk-Fachmann hilft, die gelöschte Partition zu widerherstellen.
Findet sich jemand ?

 

[Simpson474]

VeraCrypt ist vom grundsätzlichen Aufbau sehr ähnlich zu TrueCrypt: ist das Volume nicht eingebunden, so sind normale Datenrettungstools unbrauchbar. Da VeraCrypt die Anzahl der PBKDF2-Durchläufe im Vergleich zu TrueCrypt stark erhöht hat, macht eine Suche wie bei TestCrypt wohl keinen Sinn mehr. Ich gehe mal davon aus, die Festplatte wurde ursprünglich unter Windows Vista bzw. neuer mit MBR-Layout partitioniert und verschlüsselt - falls nicht, dann hier aufhören zu lesen.

Erstell in der Windows Datenträgerverwaltung einen neue, unformatierte Partition über die komplette Festplatte und versuch anschließend in VeraCrypt die Partition über den integrierten Backup-Header einzubinden: der Backup-Header soll dabei nur zum Einbinden verwendet werden (war bei TrueCrypt eine Option bei der Passworteingabe), nicht jedoch zum Wiederherstellen des normalen Headers, da dies bei falschen Partitionsgrenzen eine weitere Analyse erschweren würde. Die neu angelegt Partition darf in der Windows Datenträgerverwaltung nicht mehr gelöscht werden, da dabei Daten überschrieben werden!

 

[Tenker]

...

versuch anschließend in VeraCrypt die Partition über den integrierten Backup-Header einzubinden: der Backup-Header soll dabei nur zum Einbinden verwendet werden (war bei TrueCrypt eine Option bei der Passworteingabe), nicht jedoch zum ...

Leider kann ich so die Festplatte nicht einbinden.

...

Erstell in der Windows Datenträgerverwaltung einen neue, unformatierte Partition über die komplette Festplatte und versuch anschließend in VeraCrypt die Partition über den integrierten Backup-Header einzubinden: der Backup-Header soll dabei nur zum Einbinden verwendet werden (war bei TrueCrypt eine Option bei der Passworteingabe), nicht jedoch zum Wiederherstellen des normalen Headers, da dies bei falschen Partitionsgrenzen eine weitere Analyse erschweren würde. Die neu angelegt Partition darf in der Windows Datenträgerverwaltung nicht mehr gelöscht werden, da dabei Daten überschrieben werden!

Ich verstehe nicht was ich machen soll?
Ich habe nur die Optionen: