TrueCrypt: Partition verloren

[LilywhiteLilith]

TrueCrypt: Partition verloren, Dateisystem nun RAW

Hallo,

ich habe folgendes Problem mit einer externen 500 GB Festplatte an einem XP Rechner.
Datentraeger wurde verschluesselt mit TrueCrypt. Es sind 400 GB belegt. Nachdem TrueCrypt heute beim Mounten einen defekten Volume-Header gemeldet hatte, konnte dieser ueber das interne Backup des Headers im Volume erfolgreich wiederhergestellt werden. Danach habe ich noch die empfohlene Reparatur des Headers durchgefuehrt. Auch dies hat ohne Fehler funktioniert.
Danach konnte ich das Volume zwar mounten, doch seither wird keine Partition mehr angezeigt.
An einem XP Rechner sehe ich das Laufwerk in der Datentraegerverwaltung gar nicht, an einem VISTA Rechner zeigt mir Windows den Datentraeger an mit Status "Unbekannt" und "nicht initialisiert".

TrueCrypt zeigt bei der Dateisystem-Pruefung als Dateisystem RAW an.

TestDisk habe ich installiert. Es fand keine Partition. Die Suche laeuft jetzt, das dauert sicher einige Stunden.

Gibt es Hoffnung, dass ich an die Daten noch herankomme?

Herzlichen Dank fuer Eure Hilfe im voraus!
Gruesse
Lilywhite Lilith

 

[thrawnx]

aus eigener erfahrung eher nicht

 

[GARRRRNOVE]

Wenn du die Partition richtig entschlüsseln kannst (in Truecrypt), du aber nicht im Explorer drauf zugreifen kannst, gibts die Möglichkeit mit Windows Quick Format drüberzufahren (sofern überhaupt möglich) um das Dateisystem wiederherzustellen. Allerdings solltest du die gleichen Dinge einstellen wie bei der alten Partition. Danach solltest du unter Windows eine leer Partition sehen und kannst nun mit diversen Recovery Tools versuchen die Daten wiederherzustellen.

Hat bei mir einmal funktioniert, sollte aber eher als Notlösung gedacht sein...

 

[Fiona]

Bitte nicht formatieren.
Wenn du das Laufwerk in TrueCrypt einbinden (mount) kannst, und die Daten nicht vorhanden sind, dann versuche mal Datenrettungssoftware in der Testversion.

Speziell bewährt hat sich bei virtuelle Laufwerke Restorer Ultimate.

Wähle in Restorer Ultimate dein Truecrypt-Laufwerk nach dem einbinden.
Mache einen vollen Scan und nicht File Search.

Überprüfe das Ergebnis.

In der Testversion solltest du nur eine Diagnose machen.
Es können nur Daten mit einer Größe von 128 KB wiederhergestellt werden.
Wenn das Ergebnis gut ist, kannst du dir die Vollversion überlegen.

Viele Grüße

Fiona

 

[LilywhiteLilith]

Vielen Dank fuer Eure Ratschlaege.
Fiona, ich bin gerade dabei, mit Restore Ultimate zu scannen. Hoffentlich lassen sich die Daten retten. Andernfalls beginnen sehr traurige Tage fuer mich. Die Platte wollte ich in diesen Tagen auf eine 2. sichern...
Lilywhite Lilith

 

[GARRRRNOVE]

Du hast schon recht Fiona, allerdings hört sich die Beschreibung von Lilith für mich so an, als ob Windows die Partition überhaupt nicht mehr korrekt einbinden kann, also kein funktionierendes Dateisystem. So würden die Recovery Tools nicht mal darauf zugreifen können. In diesem Fall kann ein Quickformat, um die Partition wieder zu "reparieren", schon sinnvoll sein.

 

[LilywhiteLilith]

Restorer Ultimate

...zeigt nach dem Scannen einen leeren "Root"-Folder an.
Jetzt bin ich allmaehlich mit den Nerven am Ende.

Im TrueCrypt-Forum fand ich diesen Hinweis:
http://forums.truecrypt.org/viewtopic.php?t=18335

Doch ein User hier im Forum berichtete, dass er mit der empfohlenen Methode keinen Erfolg hatte.

Mit TestDisk die Partition wiederherzustellen, ist wohl sinnlos, Fiona? Du schreibst es hier in diesem Thread:
https://www.computerbase.de/forum/threads/mft-auf-ntfs-platte-reparieren.350781/

Ich hatte in TestDisk die "tiefere Suche" nach der Partition nicht durchlaufen lassen. Aber das wird wohl auch ueberfluessig sein, nachdem Restore Ultimate keine Daten finden konnte??

Viele Gruesse, eine ziemlich verzweifelte
Lilywhite Lilith

 

[Simpson474]

Fangen wir mal ganz systematisch an - kannst du das Volume in TrueCrypt mounten oder bekommst du eine Fehlermeldung, dass das Passwort falsch ist? Sollte das Volume ganz normal gemountet werden können, so kannst du mit Datenrettungsprogrammen beginnen. Dabei ist es wichtig, dass das Volume gemountet und im Datenrettungsprogramm nicht die physikalische HDD, sondern das gemountete, logische Volume ausgewählt ist.

 

[LilywhiteLilith]

Fangen wir mal ganz systematisch an - kannst du das Volume in TrueCrypt mounten oder bekommst du eine Fehlermeldung, dass das Passwort falsch ist? Sollte das Volume ganz normal gemountet werden können, so kannst du mit Datenrettungsprogrammen beginnen. Dabei ist es wichtig, dass das Volume gemountet und im Datenrettungsprogramm nicht die physikalische HDD, sondern das gemountete, logische Volume ausgewählt ist.

Dies ist der aktuelle Stand:

1.
Das Volume laesst sich problemlos mounten

2.
TrueCrypt/TestDisk zeigen als Dateisystem RAW an

3.
Windows findet beim Klicken auf den logischen Laufwerksbuchstaben im Explorer keine Partition und moechte den Datentraeger formatieren

4.
TestDisk, GetDataBack, File Scavenger und Restore Ultimate finden keine Partition/Dateisystem/Daten

Viele Gruesse
Lilywhite Lilith

 

[Simpson474]

Bei GetDataBack weiß ich sicher, dass es auch mit logischen Volumes umgehen kann - da musst du nur ein bisschen suchen, die Option ist etwas versteckt.

 

[LilywhiteLilith]

Bei GetDataBack weiß ich sicher, dass es auch mit logischen Volumes umgehen kann - da musst du nur ein bisschen suchen, die Option ist etwas versteckt.

Ja, das stimmt, sowohl diese Software als auch der von Fiona empfohlene Restorer Ultimate koennen mit logischen Volumes umgehen. Nur finden eben beide in diesem kein Dateisystem. TrueCrypt und TestDisk zeigen ja nach erfolgreichem Mounten als Dateisystem RAW an. Es gibt keinen MBR mehr, somit keine Partitionstabelle und somit, denke ich, ist kein Wegweiser mehr vorhanden zu den Daten?

Viele Gruesse
Lilywhite Lilith

 

[Simpson474]

Hast du bei GetDataBack auch die richtige Version genommen - falls es ein FAT-Dateisystem war, brauchst du nämlich eine andere Version.

 

[LilywhiteLilith]

Hast du bei GetDataBack auch die richtige Version genommen - falls es ein FAT-Dateisystem war, brauchst du nämlich eine andere Version.

Ja, ich habe die Version GetDataBack fuer NTFS installiert. Die externe Platte wurde mit NTFS formatiert.

Viele Gruesse
Lilywhite Lilith

 

[Simpson474]

Kannst du das logische Laufwerk mal mit HxD öffnen (Extras -> "Open Disk") und die ersten paar KB entweder extrahieren und posten oder einen Screenshot direkt vom Anfang der Partition machen. Sollten irgendwelche geschützte Daten sichtbar sein, so diese zensieren.

 

[LilywhiteLilith]

Kannst du das logische Laufwerk mal mit HxD öffnen (Extras -> "Open Disk") und die ersten paar KB entweder extrahieren und posten oder einen Screenshot direkt vom Anfang der Partition machen. Sollten irgendwelche geschützte Daten sichtbar sein, so diese zensieren.

Ich hoffe, die Screenshots zeigen das Wesentliche.
Die Sektoren 1-7 sind mit 0-en ueberschrieben. Ab Sektor 8 befinden sich wieder Daten mit u. a. Hinweisen auf die fehlerhafte Partitionstabelle?

Viele Gruesse
Lilith

 

[Simpson474]

Das ist aber nicht das gemountete logische Laufwerk, oder? Sieht eher nach der physikalischen HDD aus.

 

[LilywhiteLilith]

Das ist aber nicht das gemountete logische Laufwerk, oder? Sieht eher nach der physikalischen HDD aus.

Es ist das nach dem Mounten als "Lokaler Datentraeger P:" angezeigte Laufwerk im Vista Explorer
HxD zeigt mir allerdings in der Auswahl nur einen physischen Datentraeger "Festplatte 1" an.
Viele Gruesse
Lilith

 

[Simpson474]

Und du hast in HxD auch Laufwerk P ausgewählt? Das sieht nämlich ganz komisch aus - hast du Symantec Endpoint Encryption installiert? Die Textteile, die man hier erkennen kann, deuten nämlich auf das hin.

 

[LilywhiteLilith]

Und du hast in HxD auch Laufwerk P ausgewählt? Das sieht nämlich ganz komisch aus - hast du Symantec Endpoint Encryption installiert? Die Textteile, die man hier erkennen kann, deuten nämlich auf das hin.

Der zweite Screenshot zeigt, was mir HxD zur Auswahl anbietet: Festplatte 1.
Von Symantec habe ich nichts installiert.

Viele Gruesse
Lilith

 

[Simpson474]

Dann war es doch die physikalische HDD. Erstaunlich ist, dass das logische Laufwerk bei HxD nicht aufgeführt wird.