TrueCrypt: Partition gelöscht - wiederherstellen

[santander]

Vielleicht sollte man dieses Datenrettungstool für TC den TrueCrypt-Entwicklern anbieten, und - nach entsprechender Weiterentwicklung mit einem Frontend versehen - der Allgemeinheit zugänglich machen.
Würde ich für seeeehr sinnvoll halten, weil ich schon etliche TrueCrypt-Partitionen von einem Reboot zum nächsten urplötzlich verloren hatte. Das Volume ließ sich dann zwar jeweils immer noch einbinden, aber Daten konnte man keine mehr lesen. Dummerweise hatte ich auch nie einen Backup des Headers gemacht - dumm und leichtsinnig wie ich war damals.

 

[Simpson474]

Mein Plan war, dass ich noch eine Art GUI wie bei TestDisk und den Multithreading-Support einbaue und anschließend könnte man es ja z.B. hier bei CB in den Download-Bereich aufnehmen - bisher bin ich jedoch noch nicht dazugekommen.

 

[viper2k]

Hallo zusammen,
hallo Simpson474.

Nachdem ich diesen Thread gelesen habe, habe ich wirklich sowas wie Hoffnung, wieder an meine Daten zu kommen.

Zur Situation:

ich habe eine 500 GB HDD, die bis gestern aus 4 Partitionen bestand. Eine unverschlüsselte Systempartition (80GB) und 3 mit Truecrypt 6.x verschlüsselte Partitionen (50GB, 160GB, 160GB).
Nun habe ich gestern die verschlüsselte 50GB Partition mit einer 160GB Partition zusammengefüht (vorher Daten gesichert) und daraufhin die neue Partition formatiert.
Bis hierhin keine Probleme.

Ich konnte auch Problemlos die noch übriggebliebene 160GB Partition mounten und auf diese zugreifen.
Die verschlüsselte Partition hatte leider nun einen Laufwerksbuchstaben in der Datenträgerverwaltung bekommen. Diesen habe ich entfernt, so wie ich es immer bei verschlüsselten Laufwerken mache, damit diese nicht im Arbeitsplatz auftauchen und man sie ausversehen formatiert.
Nachdem ich den Laufwerksbuchstaben entfernt habe wurde mir meine verschlüsselte Partition in der Datenträgerveraltung plötzlich als "Freier Speicherplatz" grün angezeigt.
Sie lässt sich nicht mehr mounten.

Daraufhin habe ich in der Datenträgerverwaltung aus dem "Freien Speicherplatz" einfach ein neues Volume erstellt. Leider lies sie sich mit Truecrypt weder mounten noch lies sich der Backup-Header zurückspielen.

Dann hab ich das neu erstellte logische Laufwerk mit Paragon in eine Primäre Partition umgewandelt. Auch das führte leider nicht zum gewünschten Erfolg.

Nun meine Frage:
Was kann ich tun, um möglicherweise mithilfe von deinem Tool, @Simpson474, wieder an meine Daten zu kommen, bzw. erstmal den Backupheader aufzuspüren?

Wie kann ich den zu scannenden Bereich eingrenzen?


Ich habe leider kein komplettes Backup der Daten, doch sie sind wirklich sehr, sehr wichtig für mich.
Leider muss immer erst was passieren, bevor man aufwacht - ihr wisst ja wie das ist

 

[Simpson474]

Zeig mal die aktuelle Partitionstabelle, am besten mit Testdisk da man in der Datenträgerverwaltung nicht die genauen Partitionsgrenzen erkennen kann.

 

[viper2k]

Meinst du das (s. Anhang) oder sollte ich vorher einmal 'Quick Search' ausführen?

 

[Simpson474]

Genau den Screen meine ich - so wirklich schlau werde ich daraus aber nicht. Wahrscheinlich liegt hier irgendwo das Problem mit der erweiterten Partition. Mach vorerst keine weiteren Schreibzugriffe und lege auch keine Erweiterten Partitionen mehr an, da auch damit Daten überschrieben werden. Die Partition die nicht mehr gemountet werden kann ist die 210GB Partition, oder? Wenn ja, dann lass das Tool einfach mal auf die letzten 20000 Sektoren der HDD durchlaufen.

 

[viper2k]

nein, die 210GB Partition ist z.Z. gar nicht verschlüsselt. Die ist ja neu entstanden aus 2 ursprünglich verschlüsselten Partitionen. Davon habe ich aber alle Daten gesichert, das lief noch alles nach Plan.

Nicht mehr gemountet werden kann die 160GB Partition.

Die letzten 20000 Sektoren der HDD habe ich bereits gescannt, bevor ich hier gepostet habe, da es ja bei LeCram zum Erfolg geführt hat. Leider hat das Tool da nichts gefunden.

 

[Simpson474]

Ich hab mich vertan, die verschlüsselte 160GB Partition liegt ja eigentlich am Ende, die 210GB Partition liegt direkt davor. Daher war der Scan auf die letzten 20000 Sektoren eigentlich richtig. Hast du die schnelle Version oder die vollständige verwendet? Wurde das Passwort wieder richtig vom Tool ausgegeben? Hast du beim Mounten in TrueCrypt auch die richtige Partition ausgewählt, die Nummerierung kann durch die Erweiterte Partition durcheinanderkommen.

EDIT: Du kannst auch noch einen Versuch machen und von Sektor 635488496 bis Sektor 635518496 scannen um einen normalen Header zu finden. Da du aber scheinbar schon mit der Backup-Header rumgespielt hast, könnte da irgendwo ein gültiger Header liegen, welcher durch die Wiederherstellung geschrieben wurde und an der falschen Stelle liegt.

 

[viper2k]

Ich hab mich vertan, die verschlüsselte 160GB Partition liegt ja eigentlich am Ende, die 210GB Partition liegt direkt davor.

Genau so wird es auch in der Datenträgerverwaltung angezeigt.

Daher war der Scan auf die letzten 20000 Sektoren eigentlich richtig. Hast du die schnelle Version oder die vollständige verwendet?

Die schnelle Version.

Wurde das Passwort wieder richtig vom Tool ausgegeben?

Ja, das wurde korrekt ausgegeben.

Hast du beim Mounten in TrueCrypt auch die richtige Partition ausgewählt, die Nummerierung kann durch die Erweiterte Partition durcheinanderkommen.

Ja, bei Truecrypt ist es komischerweise die vorletzte Partition der Platte und nicht die letzte, wie in der Datenträgerverwaltung.

EDIT: Du kannst auch noch einen Versuch machen und von Sektor 635488496 bis Sektor 635518496 scannen um einen normalen Header zu finden. Da du aber scheinbar schon mit der Backup-Header rumgespielt hast, könnte da irgendwo ein gültiger Header liegen, welcher durch die Wiederherstellung geschrieben wurde und an der falschen Stelle liegt.

ER HAT WAS GEFUNDEN!!
Siehe Screen. Bitte, bitte sag, dass das weiterhelfen könnte.

 

[Simpson474]

Die Partition liegt zumindest an einer anderen Stelle, wie die bisher vorhandenen Partitionen. Erstell die Partition mal für die Grenzen des normalen Headers mit TestDisk, mach aber vor dem Schreiben noch einen Screenshot.

 

[viper2k]

Die Partition liegt zumindest an einer anderen Stelle, wie die bisher vorhandenen Partitionen. Erstell die Partition mal für die Grenzen des normalen Headers mit TestDisk, mach aber vor dem Schreiben noch einen Screenshot.

Hm, sorry könntest du mir da vielleicht ein bischen genauer sagen wie ich bei TestDisk vorgehen muss?
Möchte auf keinen Fall was falsch machen und finde das gerade etwas unübersichtlich.


Edit: Oder könnte es vielleicht sein, dass der gefundene Header zu einer der beiden früheren TC-Partitionen gehört, aus der jetzt die neue 220GB Partition entstanden ist?

 

[Simpson474]

Die Partition liegt auf jeden Fall ganz hinten und hat ca. 160GB Größe - könnte also passen. Das mit dem Erstellen wird wohl nicht ganz so einfach durch die erweiterte Partition, aber mach zunächst mal einen Quick Scan (sollte dieser länger als eine Minute brauchen, kannst du auch abbrechen) in Testdisk und erstelle danach einen Screenshot.

 

[viper2k]

Hier das Ergebnis.

Hat etwas länger gedauert, musste kurz weg.

 

[Simpson474]

Sieht gar nicht so schlecht aus, beide unverschlüsselten Partition wurden erkannt, die Erweiterte fehlt (ist aber auch nicht nötig) und die TrueCrypt-Partition fehlt. Jetzt fügst du einfach mit A die TrueCrypt Partition hinzu. Den Typ stellst du auf Compaq Diagnostic (dann vergibt Windows garantiert keinen Laufwerksbuchstaben und die Gefahr sinkt, dass die Partition in der Datenträgerverwaltung gelöscht wird), die Start- und Endadresse nimmst du aus dem gefundenen normalen Header von TestCrypt. Den Typ der Partition setzt du anschließend auf P wie Primary. Mach anschließend sicherheitshalber noch einen Screenshot, bevor du mit Write bestätigst.

 

[viper2k]

hm, da muss ich nochmal nachfragen:

Diese information habe ich ja aus Testcrypt erhalten:

Possible normal header: 635499333 (39558 1 1) - 976769860 (60801 28 32)

Was sind denn jetzt genau die Informationen die ich benötige?

[Cylinder] (Start)
[Head] (Start)
[Sector] (Start)

[Cylinder] (End)
[Head] (End)
[Sector] (End)



[Type] habe ich auf Compaq Diagnostics gestellt.

 

[Simpson474]

[Cylinder] (Start) 39558
[Head] (Start) 1
[Sector] (Start) 1

[Cylinder] (End) 60801
[Head] (End) 28
[Sector] (End) 32

 

[viper2k]

ok, siehe Screenshot:

(was sagen denn die 341270528 am Ende aus?)

 

[Simpson474]

Die Länge der Partition in Sektoren: 341270528 entspricht 162,73 GiB. Der Screenshot vom nächsten Fenster wäre dann auch noch interssant, da dort noch Primary für die Partition gewählt werden muss und Testdisk Structure OK melden muss.

 

[viper2k]

Hier der Screen vom nächsten Fenster:

 

[Simpson474]

Genauso soll es nicht aussehen: vor der neuen Partition muss ein P stehen und kein L. Die Partition markieren und mit den Pfeil nach links/rechts Tasten so lange rumspielen, bis dort ein P steht.