TrueCrypt: Partition gelöscht - wiederherstellen

[CptIglo]

Hatte natürlich fälschlicherweise die erste Option gewählt. Jetzt habe ich die richtigen Einstellungen. In 9h weiß ich mehr. Schon mal riesen Dank, ich meld mich später wieder.

 

[Kratos 2017]

Hallo,

auf meiner externen Festplatte (500 GB) ist ein verschlüsselter TrueCrypt 7.1a Container verschwunden. Meine Versuche die Datei (1 GB) mit Recuva bzw. Restorer Ultimate wiederherzustellen waren erfolglos. Es wurden zwar 12 gelöschte Dateien gefunden und diese liessen sich auch problemlos wiederherstellen, der Container war aber leider nicht dabei.

Auf der Festplatte sind noch weitere 457 GB an unverschlüsselten Daten vorhanden. Ob inzwischen neue Dateien auf das Lauwerk geschrieben wurde kann ich leider nicht genau sagen, da ich nicht genau weiss, seit wann der Container verschwunden ist.

Ich habe hier zahlreiche Seiten gelesen, aber die hier gängigen Hilfsmethoden eignen sich scheinbar in erster Linie für gelöschte Partitionen.

Hat vielleicht jemand einen Tip für mich, wie ich die Daten aus dem vermissten Container wieder bekommen kann?

Hab die gesamte Festplatte schon mit TestCrypt 0.5.1 gescannt ohne das ein Header gefunden werden konnte.

System:
Windows 7 32bit, TrueCrypt 7.1a mit TwoFish Verschlüsselung

-Karsten

EDIT: Hat sich erledigt, ich habe ein Backup gefunden wo der Container vorhanden war! Ganze Aufregung umsonst

 

[masder]

Hallo,

ich hatte heute auch meine super tag und habe leider auch meine verschlüsselte Plate formatiert & gelöscht.
Aktuell habe ich keine Partition auf festplatte. Durch die analyze habe ich schon einen Backup Header gefunden, Mounten klappt auch.
leider noch keinen Zugriff auf meine Daten . habe darauf hin GetDataBack laufen lassen doch leider kein erfolg.

Plate : 2TB extern (Verschlüsselung mit Truycript erstellt Version Keine Ahnung mehr).
System: Windows 10 64bit




Gibt es noch Hoffnung für meine Daten ? oder ist für immer alles weg ?

mfg Masder

 

[Simpson474]

Welcher der 4 Header wurde gemountet? Am vielversprechendsten sieht der letzte Header aus.

 

[masder]

ich habe es mit dem Backup Header versucht, also der letzten.

 

[Simpson474]

In GetDataBack hast du auch sicher das gemountete, logische Laufwerk ausgewählt? Außerdem muss die Option "Systematischer Dateisystemschaden" in GetDataBack gewählt werden.

 

[masder]

ja habe ich gemacht sogar mit NTFS und FAT32 hat jeweils 20 stunden gebraucht.

 

[Simpson474]

Erstaunlich ist, wie 4 Header auf die Festplatte kommen und noch dazu teilweise an Stellen, die eigentlich unmöglich sind. Hast du mehrfach versucht, in TrueCrypt die Header wiederherzustellen? Wurde dazu auch ein externes Header-Backup verwendet?

 

[masder]

Ja ich habe versucht den Header Wieder herzustellen aber nur aus dem Backup.
mehr habe ich nicht gemacht.

Edit:
habe jetzt noch malt Testcrypt laufen lassen und ich glaube es nicht. jetzt sind es nur noch 3 Header.

 

[Simpson474]

Der erste Header wurde wahrscheinlich überschrieben, weil du in der Datenträgerverwaltung die Abfrage zum Initialisieren der Festplatte bestätigt hast. Mit dem Wiederherstellen aus dem "Backup" meinst du den integrierten Backup-Header von TrueCrypt, oder? Ich verstehe nicht wirklich, wie der vorletzte Header entstanden ist. Dieser liegt mitten im TrueCrypt Volume und kann weder ein Normaler- noch ein Backup-Header sein. Was du noch probieren könntest, wäre die Demo-Version von R-Studio statt GetDataBack. Auch dort muss das Laufwerk zunächst in TestCrypt eingebunden werden und anschließend kann der von TestCrypt angezeigte Laufwerksbuchstabe in R-Studio ausgewählt werden.

 

[masder]

Hallo Simpson474,

also ein R-Studio scann läuft gerade braucht noch bis heute Abend.
Sollte nix gefunden werden, würde ich gerne den 2 Header mall Mounten wie müsste ich das den anstellen ?

Brauch ich Eigendlich keine neue Partition ?

mfg masder

EDIT: habe jetzt noch mall beides laufen lassen leider keine brauch baren Ergebnisse.
GetDataBack for NTFS sagt nur das er NTFS-Dateisystem gefunden hat.
beim such hat er aber angezeigt das er da irgend welche Dateien findet

 

[Simpson474]

Brauch ich Eigendlich keine neue Partition ?

Wenn ich mir die gefundenen Header so ansehe, so waren wohl schon genügend Partitionen vorhanden

Mit der Partition sparst du dir nur den Weg über TestCrypt, ansonsten gibt es keinen Unterschied. Binde noch einmal den Backup-Header in TestCrypt ein: es kann auch der normale Header verwendet werden, dieser sollte aber zum gleichen Ergebnis führen. Lass anschließend einmal PhotoRec über das eingebundene Laufwerk scannen und schau ob zumindest eine bekannte Datei wiederhergestellt wird. PhotoRec kann nicht-fragmentierte Dateien ohne tieferes Wissen über das Dateisystem wiederherstellen. Da PhotoRec das Dateisystem ignoriert, gehen jedoch alle Dateinamen und Verzeichnisstrukturen verloren. Am besten wäre es, wenn auf der Festplatte ein paar JPEG-Dateien vorhanden waren, diese werden aufgrund der kleinen Dateigröße sehr zuverlässig wiederhergestellt. Falls auch PhotoRec nichts findet, so passt entweder die Position des Headers nicht bzw. der Header passt aus irgendeinem Grund nicht zum TrueCrypt-Volume.

 

[masder]

hallo Simpson474,

also ich glaube das stimmt irgend was nicht.
ich habe das Tool mal durchlaufen lassen.
ich hatte min 2000 Bilder & noch mall 2000 mp3s drauf und gefunden wurden nur 20 items. und die kann ich nicht mal abspielen oder ansehen.

ich habe mich schon damit abgefunden das ich die Daten wohl nie wieder sehen .


gibt es dennoch irgend etwas das ich machen kann ?
ich würde gerne noch die anderen Header testen.
kann ich irgend wie einen der Header manuell Direkt auswählen ? wen ja wie.

mfg masder

 

[Simpson474]

ich hatte min 2000 Bilder & noch mall 2000 mp3s drauf und gefunden wurden nur 20 items. und die kann ich nicht mal abspielen oder ansehen.

Fehlerkennung sind bei PhotoRec normal. Da keine echten Daten gefunden wurden, passt der Header entweder nicht zum TrueCrypt Volume oder aber die Position des Headers ist falsch. Hast du den normalen Header auch schon mal eingebunden und mit PhotoRec geprüft? Wie genau ist die Partition verloren gegangen? Wurde an der externen HDD seitdem was geändert (z.B. anderes externes Gehäuse verwendet)? Man könnte theoretisch noch den 3. Header testen, allerdings ist das nicht ganz einfach und man kann auch nur schätzen, an welche Stelle der Header geschrieben werden muss.

 

[masder]

Halo,

Also der Normale Header kann ich nicht mounten weis nicht wie so habe es schon versucht.
ich kann nur über Optionen den Backupheader mounten.

ich weis auf jeden Fall das formatiert wurde und dann die Partition gelöscht wurde.
mehr weis ich leider nicht.
die externe platte ist immer noch im Original Gehäuse es wurde nichts geändert.


mfg masder

 

[Simpson474]

Der normale Header sollte aber funktionieren. Kommt eine Fehlermeldung, wenn du den ersten gefundenen Header per Rechtsklick mit "Mount as Normal Header" einbinden willst (Achtung, es darf immer nur ein Header im System eingebunden sein)? Die Formatierung der Partition war aber eine Schnellformatierung, oder? Falls diese länger wie ein paar Sekunden gedauert hat, dann war es wohl eine normale Formatierung und dabei wird der Inhalt der Partition überschrieben.

 

[masder]

Hallo Simpson474,

also da ich mounten immer nur über VC direkt versucht habe, ging der normale Header nicht.
Mit Testcrypt habe ich es geschaft den normalen Header zu mounten.

ein schneller scann hat gezeigt das die Daten noch da sind ich sie aber nicht rauskopieren kann das ich keine Lizenz habe für GetDataBack.
ich lass jetzt das ganze noch mall mit "Systematischer Dateisystemschaden" laufen und hoffe das ich dann wieder drauf zugreifen kann.

Ps: in 20 stunden weis ich mehr.

 

[masder]

Hallo Simpson474,


Herzlichen dank Simpson474 alle Daten sind wieder da .

 

[laudin82]

Hallo!

Ich habe das selbe Problem wie masder, bin allerdings jetzt erst auf den Thread gestoßen, hoffentlich nicht zu spät...

Was bisher geschah:

Ich habe eine 4 TB externe HDD vor ca. 2 Jahren mit VeraCrypt verschlüsselt. Heute habe ich dann eine weitere 4TB Platte, diesmal aber intern bekommen. Ich wollte die Daten auf diese übertragen und die externe anderweitig nutzen.

Dummerweise habe ich dann statt der neue Platte die alte gleich zwei mal per Schnellformatierung geleert.

Das habe ich aber nicht gleich verstanden (daher auch zwei mal formatiert, da ich mich gefragt habe warum die neue Platte nicht im Explorer auftaucht), wunderte mich aber warum ich die Platte per VeraCrypt nicht mehr einbinden konnte. Also Restore Header versucht. Nätürlich nichts.

Wollte mich dann mal an TestCrypt versuchen, erhalte da aber direkt beim öffnen eine Fehlermeldung "...Disable Driver Signature Enforcement...to allow the TestCrypt driver to be loaded...

Bevor ich mir noch mehr zerschieße frage ich jetzt lieber mal hier nach.


Eine Schritt für Schritt Anleitung für Idioten wäre super, bin ja offensichtlich keine Leuchte auf diesem Gebiet.

Hoffe hier ist noch was zu machen...

 

[Simpson474]

TestCrypt funktioniert nur für TrueCrypt, nicht aber für VeraCrypt. Wurde nur eine Schnellformatierung ausgeführt, oder wurde die Partition auch gelöscht und neu angelegt? Welche Fehlermeldung gibt es beim Einbinden mit dem integrierten Backup-Header?