TrueCrypt: Partition gelöscht - wiederherstellen

[Alex66955]

Ich lasse jetzt heute Nacht nochmal GetDataBack for NTSF im Modus "Systematischer Dateisystemschaden" durchlaufen.
Melde mich sobald das Ergebnis da ist.

Danke schon mal für die erste Hilfestellung

[EDIT]
Das Ergebnis "kein NTSF Dateisystem gefunden" . Lass schonmal das nächste Programm drüber laufen (Restore Ultimate 2000) dort die RAW Suchmethode angeklickt mal schauen was raus kommt.
Habe das Gefühl das die eingebundene Platte mit TestCrypt immernoch verschlüsselt ist.

[EDIT]
Mit Restore Ultimate 2000 --> keine Daten gefunden
Was ist da faul? Welches Tool ist den Empfehlens Wert für das Durchsuchen einer RAW-Platte. Und wie bekomme ich raus ob das eingebundene Laufwerk wirklich entschlüsselt ist

 

[Simpson474]

Mach mal einen Screenshot bei GetDataBack, wo du das zu scannende Laufwerk ausgewählt hast - hier haben schon viele den falschen Punkt erwischt. Hast du bereits versucht irgendwelche TrueCrypt-Header wiederherzustellen? In diesem Fall könnte es wirklich sein, dass eine Volume gemountet wird aber anschließend immer noch verschlüsselt (bzw. falsch entschlüsselt) ist.

 

[Alex66955]

Also muss dazu sagen das ich zwei Laufwerke verschlüsselt hatte und beide nach diesem Vorfall nicht mehr zu mounten waren. Mit dem Unterschied das die erste Platte mit einer Partition versehen war und mit dem Menüpunkt Volumen-Header Wiederherstellen wieder alles funktioniert hat. Bei der zweiten Platte ging dies leider nicht und habe mich überwiegend mit dem TestCrypt Tool beschäftigt. Achja die zweite Platte war im Raid1 Verbund gespiegelt aber das macht ja keinen Unterschied. Hab von Raid1 auf NonRaid umgeschaltet sodass jetzt jede Platte für sich einzeln beschreib/Lesbar ist.

Im Anhang die Screenshots von GetDataBack

[EDIT]
Was mir noch Aufgefallen ist wie im Bild Anhang3 zusehen findet er anscheinend Dateien "BMP-File found @...."(Size =0??) aber im Nächsten Schritt sagt er mir das kein Dateisystem gefunden worden ist und leider auch keine weiteren Files.

 

[Simpson474]

Die Auswahl in GetDataBack scheint zu passen. Öffne mal das verschlüsselte, physikalische Laufwerk mit HxD und such nach NTFS - den Haken bei "Unicode String" und "Case Sensitiv" nicht setzen. Sollte relativ nahe am Beginn der HDD was gefunden werden, so kannst du einen Screenshot posten.

Kennst du einen Dateinamen auf dem verschlüsselten Volume? Wenn ja, dann öffne das eingebundene Laufwerk (unverschlüsselt) mit HxD (teilweise funktioniert HxD nicht bei logischen Laufwerken) und suche nach dem Dateinamen. Dieses mal muss jedoch der Haken bei "Unicode String" gesetzt sein.

 

[Alex66955]

Also in wie weit die gefundene Stelle relativ am Anfang ist sei mal dahingestellt.. der Eintrag taucht anschließend mehrmals auf, im Anhang der erste Fund.

HxD erkennt das virtuelle Logische Laufwerk leider nicht bin noch auf der Suche nach einem funktionierenden Tool.

[EDIT]
Hab jetzt mal http://www.roadkil.net/program.php?ProgramID=24 am laufen. Suche nach der Datei Avatar habe dazu den hexcode eingegeben da man keine Unicode eingaben machen kann
Also:
Avatar = 41 00 76 00 61 00 74 00 61 00 72 00 in HEX als Unicode nehm ich mal an

 

[Simpson474]

Es sieht nicht danach aus, als ob das physikalische Laufwerk mit NTFS überschrieben wurde bei der Installation - dafür ist die Fundstelle viel zu weit hinten und auch von der Groß- und Kleinschreibung her falsch. Dieser Editor kann das logische Laufwerk eigentlich immer öffnen (außer es ist gerade in einem anderen Programm wie GetDataBack eingebunden) - ich weiß jedoch nicht, ob dieser nach Unicode-Zeichen suchen kann.

EDIT: Bei der Suche mit Hex-Werten bist du jedoch von der Groß- und Kleinschreibung abhängig - allerdings kenne ich im Moment auch keine bessere Lösung. Das komische an HxD ist, dass es an manchen Rechnern absolut problemlos auch die logischen Laufwerke öffnet - an anderen Rechnern erscheinen diese jedoch nicht in der Liste.

EDIT: Die 00 muss jeweils nach den Buchstaben, also den ersten 00 Block weg und dafür hinten anhängen.

 

[Alex66955]

Mhh okay bin mir ziemlich sicher das die Datei so hieß Groß- und Kleinschreibung müsste auch stimmen mal schauen ob er was findet.
Also der, ich nenne es mal Defekt an der Platte trat auf als ich die Datenträgerverwaltung öffnete und "sie müssen den datenträger initialisieren --> MBR" Dialog aus versehen bestätigte.

So langsam glaube ich es ist alles verloren.

 

[Simpson474]

Also der, ich nenne es mal Defekt an der Platte trat auf als ich die Datenträgerverwaltung öffnete und "sie müssen den datenträger initialisieren --> MBR" Dialog aus versehen bestätigte.

So langsam glaube ich es ist alles verloren.

Wenn es nur das war, so sollte nur der Originalheader defekt sein. Ich bin mir jedoch nicht sicher inwieweit Bugfrei der integrierte Backup-Header von TrueCrypt ist. Außerdem kannst du mal ohne TestCrypt das Volume mounten, dazu darf jedoch keine Partition auf der HDD mehr vorhanden sein. Damit solltest du eigentlich nach dreimaliger Passworteingabe bzw. durch setzen der Option für den Backup-Header das Volume in TrueCrypt einbinden können.

 

[Alex66955]

Wenn es nur das war, so sollte nur der Originalheader defekt sein. Ich bin mir jedoch nicht sicher inwieweit Bugfrei der integrierte Backup-Header von TrueCrypt ist. Außerdem kannst du mal ohne TestCrypt das Volume mounten, dazu darf jedoch keine Partition auf der HDD mehr vorhanden sein. Damit solltest du eigentlich nach dreimaliger Passworteingabe bzw. durch setzen der Option für den Backup-Header das Volume in TrueCrypt einbinden können.

Habe ich schon ausprobiert, werde es nach dem Suchlauf nochmal tun. Wie gesagt die erste Platte ließ sich damit auch erfolgreich reparieren nur eben diese nicht


[EDIT]
die Suche auf dem gemountetem Logischen Laufwerk ohne Erfolg.

Partitionen werden ja nicht angezeigt oder kann ich sonst noch feststellen ob Partitionen vorhanden sind?

 

[Simpson474]

Wenn du in TrueCrypt "Select Device" wählst, so sollte bei deiner HDD entweder keine Partition stehen, oder aber Partition0 was ebenfalls keine Partition bedeutet.

 

[Alex66955]

Wenn du in TrueCrypt "Select Device" wählst, so sollte bei deiner HDD entweder keine Partition stehen, oder aber Partition0 was ebenfalls keine Partition bedeutet.

Leider funktioniert das Wiederherstellen des Headers immer noch nicht. Gibt es noch irgendwelche Optionen die ich ausprobieren könnte oder kann ich langsam das formatieren vorbereiten?

 

[Simpson474]

RAID ist nicht so meine Stärke, aber ich hab mich jetzt mal ein bisschen eingelesen. Demnach kann es auch bei einem RAID1 Controller passieren, dass dieser einen Sektoroffset hinzufügt um Metadaten in den ersten Sektoren abzulegen. Dadurch sind die HDDs nicht einzeln zu betreiben bzw. nur mit Offset zu betreiben. Genau das kann für TrueCrypt zu einem Problem werden, da die Position des aktuellen Sektors innerhalb des Volumes zum Entschlüsseln der Daten wichtig ist. Daher die eigentliche Frage: hast du als das RAID1 noch intakt war schon mal probiert, mit TestCrypt die HDD einzubinden?

 

[Alex66955]

RAID ist nicht so meine Stärke, aber ich hab mich jetzt mal ein bisschen eingelesen. Demnach kann es auch bei einem RAID1 Controller passieren, dass dieser einen Sektoroffset hinzufügt um Metadaten in den ersten Sektoren abzulegen. Dadurch sind die HDDs nicht einzeln zu betreiben bzw. nur mit Offset zu betreiben. Genau das kann für TrueCrypt zu einem Problem werden, da die Position des aktuellen Sektors innerhalb des Volumes zum Entschlüsseln der Daten wichtig ist. Daher die eigentliche Frage: hast du als das RAID1 noch intakt war schon mal probiert, mit TestCrypt die HDD einzubinden?

Das war das Erste das ich getan habe. Jedoch konnte ich auch bei intakten Raid1 den Backup-Header nicht wiederherstellen.

Mich ärgert das enorm das so eine Kleinigkeit (Win7 Datenträger Initialisierung) das komplette Laufwerk für mich unerreichbar gemacht hat.

 

[Simpson474]

Hast du TestCrypt auch mit intaktem RAID1 probiert? Kannst du das RAID1 zum Testen noch einmal neu aufbauen?

 

[Alex66955]

Hast du TestCrypt auch mit intaktem RAID1 probiert? Kannst du das RAID1 zum Testen noch einmal neu aufbauen?

Hab mich mal Informiert soweit ich das verstanden habe ist es bei den meisten Raid-Controller nicht möglich ein Raid mit besetehenden Daten neu aufzubauen, diese gehen im Normalfall ganz verloren.
Hab mich momentan abgefunden mit 1,5 TB Datenverlust trotz Raid 1. Naja Raid ist eben kein Backup sondern nur ein Schutz gegen Hardware defekt.

 

[allerhand]

Hallo zusammen

Habe das selbe Problem wie so viele, aber irgendwie stehe ich vor dem Berg.

1. Habe auf externer Festplatte 2 Partitionen
2. Fälschlicherweise habe ich unter win7 die Schnellformatierung für die True-Crypt Partition ausgelöst
3. Habe mich an die Anweisungen von Fiona gehalten und die True-Crypt Partition gelöscht, und eine neue logische erstellt ohne zu formatieren. Das hat soweit funktioniert, nur ein Laufwerksbuchstabe wurde nicht vergeben
4. Unter Windows XP hab ich dann versucht diese Partition zu mounten. Hat aber nicht funktioniert, da sie (fehlender Laufwerksbuchstabe?) unter True-Crypt nicht sichtbar war.
5. Habe nun alles (löschen, neu erstellen, nicht formatieren) unter win7 wiederholt, danach war auch ein Laufwerksbuchstaben zu sehen.
6. Unter True-Crypt gemountet, 3 x die Passwortabfrage wiederholt und siehe da, etwas geschah: Die Meldung kam, ich solle unter "Extras den Menüpunkt Volume Header wiederherstellen.
7. Als ich dies versuchte, kam die Meldung, ich müsse das Volume wieder trennen und danach den besagten Befehl ausführen.
8. Danach musste ich erneut den Mousezeiger bewegen um eine neue Verschlüsselung(?) zu erhalten.
9. Nun konnte ich das Volume wieder mounten aber das Filesystem war nicht mehr erkennbar, ich sollte die Partition neu formatieren.
10. Habe nun einen Scan mit Getdataback for NTFS ausgeführt. NAch 5 Std. Scannen erhalte ich die Meldung "kein NTSF Dateisystem gefunden"
11. Hab nun Testdisk am Laufen, beim angschlagenen Tempo wird dies aber sicher noch so ca. 36 Std. weiterwerkeln wollen. (Die FP ist 500 Giga gross)
12. Besteht noch Hoffnung?

Gruss

 

[Simpson474]

Hast du unter GetDataBack auch wirklich das in TrueCrypt eingebundene Volume ausgewählt (unter "Logsiche Laufwerke"). Ansonsten kannst du auch mal mit TestCrypt scannen, möglicherweise gibt es jetzt mehrere Volume-Header und dein aktueller wurde an der falschen Stelle wiederhergestellt.

 

[allerhand]

Bin mir nicht sicher, ob das wirklich das korrekte Volume war.
Habe nun nochmal Testcrypt laufen lassen und folgendes wird auf dem ersten Screen angezeigt:

Dann dasselbe nochmals mit getdataback.

Welches Laifwerk/welche Partition müsste ich vorraussichtlich auswählen?

 

[Simpson474]

Wie groß war deine TrueCrypt-Partition ungefähr - 30GB oder über 400GB? Bei GetDataBack musst du für den Scan - nachdem das Laufwerk in TrueCrypt oder TestCrypt eingebunden ist - das Laufwerk unter "Logische Laufwerke" und nicht unter "Physikalische Laufwerke" auswählen.

 

[allerhand]

Hallo Simpson474

Danke für die schnelle Antwort. Die Partition über 400 GB ist die Richtige. Zur Zeit läuft ein Scan mit getdataback über diese als "logisches Laufwerk" eingebunde Partition welche ca. 435 GB hat. Melde mich.

Danke nochmals und Gruss