TrueCrypt-Partition wird nur noch als RAW erkannt

[rocketsue]

TrueCrypt-Partition wird nicht mehr erkannt

Hallo ihr Lieben,

vor einiger Zeit habe ich mir eine 1,5TB-Platte für Backups gekauft und mit TrueCrypt darauf eine versteckte Partition erstellt. Alle Daten kopiert, alles schick, und in den letzten Wochen sukzessive die Originale von den anderen Platten gelöscht.

Letzte Woche habe ich die Funktion auto-dismount on entering power saving mode eingeschaltet und noch ein paar Dateien verschoben. Heute brauchte ich sie wieder - verdammt! Nach dem Mounten der Partition bringt Win7 die Frage, ob ich den Datenträger nicht formatieren will. Und beim Versuch, die gemountete Partition über TC zu öffnen, kommt die Meldung "Auf Y kann nicht zugegriffen werden. Falscher Parameter".
Die Datenträgerverwaltung von Windows findet die Partition gleich gar nicht, sondern nur die Platte. Aber das hat wohl nichts zu sagen.

Habe schon in einigen Foren gestöbert und daher die Befürchtung, dass beim auto-dismount und dem anschließenden Ausschalten der Steckdosenleiste ( ) irgendwas kaputt gegangen ist.

Meine Frage - was könnte schief gelaufen sein?
Kann ich die Partition wiederherstellen?

Über Testdisk habe ich schon viel gelesen, aber ohne Hintergründe des Problems trau' ich mich nicht, dort was zu machen.

Danke schonmal für eure Hilfe!
Viele Grüße
rocketsue

 

[Madman1209]

Hi,

- eine Platte für Backups? Wieso löscht du dann die Originaldateien? Dann ist es kein Backup!
- Wie genau bist du vorgegangen: Energiesparmodus eingeschalten und dann? Erkläre mal genauer, was du gemacht hast. Der Satz mit der "ausgeschalteten Steckdosenleiste" zusammen mit "Energiesparmodus" erschließt sich mir z.B. nicht so ganz.
- Es könnte nicht nur was schief gelaufen sein, da ist etwas schief gelaufen, sonst hättest du ja noch Zugriff auf deine Daten.
- Wie genau versuchst du die Partition zu mounten?

VG,
Mad

 

[Fiona]

Simpson474 hat sicherlich bessere Ideen?
TestDisk könnte nur helfen, wenn deine Partition entschlüsselt und gemounted ist.
Du kannst ja mal mit CrytalDiskInfo und hdtune deine Festplatte prüfen.
Mit hdtune einen Oberfläschenscan.
Geht um bad sectors.

Viele Grüße

Fiona

 

[rocketsue]

@Mad:

- eine Platte für Backups? Wieso löscht du dann die Originaldateien? Dann ist es kein Backup!

Bin mir dessen schmerzlich bewusst. Das Löschen der Originaldateien geschah aus Platzgründen und sollte nur temporär sein.

- Wie genau bist du vorgegangen: Energiesparmodus eingeschalten und dann? Erkläre mal genauer, was du gemacht hast.

Kann das nicht richtig nachvollziehen. Es kann sicher auch was ganz anderes sein, zB Hardwarefehler. Das prüfe ich morgen mit den genannten Tools. Bei der Ursachensuche ist mir nur diese eine Situation eingefallen.
Hatte auto-dismount eingeschaltet und den Laptop zugeklappt. Der fährt ja dann in den Standby-Modus. Anschließend schalte ich die Steckdosenleiste aus, um alle angeschlossenen Geräte vom Netz zu trennen. Ggf. war der Zeitabstand zwischen "Zuklappen" und "vom-Strom-Trennen" einfach zu kurz, sodass die Platte noch nicht erfolgreich dismounted war (die Platte hat eine externe Stromversorgung und hängt an der Steckdosenleiste). Ist aber wie gesagt nur eine Vermutung.

- Wie genau versuchst du die Partition zu mounten?

Ich wähle in TC die Platte aus, gehe auf Mount und gebe das Passwort ein. Die Platte erscheint daraufhin im Windows Explorer und in TC, allerdings mit den angegebenen Fehlermeldungen.

@Fiona:
Ob die Platte erfolgreich entschlüsselt wurde, kann ich nicht feststellen. Wie kann ich das herausfinden?
Ich hatte angenommen, dass sie entschlüsselt ist, wenn sie in der Laufwerks-Liste von TC auftaucht.

CrytalDiskInfo und hdtune probiere ich aus, sobald der testdisk fertig ist. Ich habe gestern eine Wiederherstellung der MFT gestartet, weiß aber nicht, ob es erfolgreich sein wird.

Den Bootsektor konnte ich nicht wiederherstellen, weil das Backup als Bad gekennzeichnet war.

Ich warte noch und hoffe
Vielen Dank erstmal für euren Input!

 

[Simpson474]

Hattest du ein Hidden- oder ein einfaches TrueCrypt-Volume erstellt? Da du die Partition in TrueCrypt einbinden kannst, kannst du mit Datenrettungsprogrammen wie GetDataBack oder R-Studio mal versuchen, auf das in TrueCrypt eingebundene, logische Laufwerk zuzugreifen (Achtung, nicht die physikalische HDD in den Datenrettungsprogrammen, sondern das logische Laufwerk auswählen). Wenn diese Programme keine Daten finden, so könnte theoretisch der TrueCrypt-Header noch verschoben sein, aber versuch es zunächst einfach mal so.

 

[knibel]

ich hatte schonmal genau das selbe problem. bei mir war die MFT (master file table) kaputt und ich hab sie auch nicht repariert bekommen. konnte aber einzelne dateien rausziehen.
ich kam mit Acronis Recoveryexpert ganz gut klar, kostet aber geld.

zur datenrettung kenne ich noch

pci_filerecovery
Ontrack Easy Recovery
Getdataback
testdisk

 

[rocketsue]

@Simpson474

Hattest du ein Hidden- oder ein einfaches TrueCrypt-Volume erstellt?

(Leider) ein hidden volume.

Habe heute Nacht schon einen Testlauf mit File Scavenger gestartet, da wurde aber überhaupt nichts gefunden

Ich zahle auch gern viel Geld für das Programm, Hauptsache ich bekomme meine ganzen Fotos wieder.
Die anderen Programme werde ich über das Wochenende mal ausprobieren.

@knibel
Die Daten hast du mit dem Acronis Recoveryexpert wiederbekommen? Kommt der damit klar, dass kein Dateisystem existiert?

 

[Simpson474]

Kann es sein, dass du Dateien in das normale Volume geschrieben und damit das Hidden Volume zerstört wurde? Kommt leider relativ häufig vor, bei einem Hidden Volume sollten keine neuen Dateien im normalen Volume erstellt werden, sondern nur im Hidden Volume.

 

[rocketsue]

Kann eigentlich nich sein, ich wüsste grad das PW für das normale Volume nich mal. Hatte letzte Woche nur das hidden volume gemounted.

Ergänzung (23. März 2012)

Rebuild BS / MFT hat nichts gebracht. Die Dateien können nach wie vor nicht gelistet werden.

Can't open filesystem. Filesystem seems damaged.

@Simpson474, wie finde ich heraus, ob ich einen verschobenen TC-Header habe? Restore Volume Header direkt im TC-Menü bringt leider keine Veränderung.

Und wie gehe ich jetzt weiter vor?

a) Recovery-Tools probieren (es gibt ja einige, da bin ich sicher das Wochenende über beschäftigt)
b) Festplatten-Analyse-Tools checken? (Da habe ich die Befürchtung, dass ich mit den Scans die Platte endgültig töte, falls es Hardwareprobleme sind. Kann das passieren?)
c) TC-Header wieder an seine Position bringen?

 

[Simpson474]

Lass zunächst die Datenrettungsprogramme drüber - wenn diese nichts finden, so kann man mal mit TestCrypt nach weiteren Headern suchen. Du solltest jedoch aufhören, schreibend auf die HDD zuzugreifen - weder irgendwelche Header wiederherstellen noch Tools wie "chkdsk" verwenden. Bei GetDataBack und R-Studio wird nur lesend auf die HDD zugegriffen - die Programme sind daher sicher.

 

[rocketsue]

Danke Simpson474,

die Recovery-Tools haben nichts gefunden (R-Studio, File Scavenger). GetDataBack probiere ich heute Nacht aus, allerdings ist das eine Version für NTFS und meine Platte hat ja aktuell kein richtiges Filesystem - bin gespannt, ob da trotzdem was passiert.

Momentan läuft der Oberflächenscan von HD Tune und sieht gut aus, ein Hardwarefehler ist wohl endgültig auszuschließen. Auch CrystalDiskInfo sagt, dass der Zustand der Platte gut ist.

TestCrypt lade ich auch gerade, gibt es da etwas zu beachten?

 

[Simpson474]

Bei GetDataBack musst du die Version für das Dateisystem verwenden, welches vor dem Crash vorhanden war. Außerdem darauf achten, dass die logischen Laufwerke bei GetDataBack in einer kleinen Box zum aufklappen versteckt sind. Bei TestCrypt kannst du einfach mal mit der "Automatic"-Option den Anfang und das Ende der HDD scannen lassen.

 

[rocketsue]

TestCrypt hat drei mögliche (hidden) Volumes gefunden - nur eins davon hat einen Backup header. Macht es Sinn, den zu mounten, oder ist das der gleiche, der auch in TrueCrypt verwendet wird?

edit: GetDataBack scannt und zählt bei "Erk.Dateien" hoch, ist grad bei "233 Starts". Ist das ein Zeichen zum Aufatmen? (Hatte erstmal Systematischer Dateisystemschaden ausgewählt)

 

[Simpson474]

Du hast wirklich einen verschobenen TrueCrypt-Header - den Scan solltest du eigentlich abbrechen können, anschließend den letzten Eintrag in TestCrypt mounten und den Scan (falls nötig) darüber ausführen.

 

[rocketsue]

Wohooo! Vielen, vielen Dank, Simpson474! Partition ist da, alle Daten unberührt. Wahnsinn!

Kann ich den jetzt zurück verschieben, oder ist es einfacher, die Platte zu formatieren und von vorn zu beginnen?

Und - hast du jetzt noch eine Erklärung parat, wie es passieren kann, dass sich so ein Header verschiebt?

 

[Simpson474]

Die Verschiebung kommt normal daher, dass der Backup-Header wiederhergestellt wird, während die ursprüngliche Partition verschoben ist (das Ende der Partition passt, der Anfang jedoch nicht). Wie die verschobene Partition zu Stande kommt kann ich dir leider auch nicht sagen - selbst ist mir sowas noch nie passiert. Allerdings kommt das ganze hier im Forum häufiger vor, irgendeinen Auslöser muss es wohl geben.

Das Verschieben der Partition wäre theoretisch mit TestDisk anhand der Daten von TestCrypt möglich, wenn du den Speicherplatz hast so ist das Kopieren aber einfacher.

 

[Crax]

Ich hatte genau das Gleiche Problem, wollte meine Verschlüsselte HDD in ein Externes Gehäuse einbauen (USB), Windows wollte die HDD danach ersteinmal inititialisieren und ich Depp hab das natürlich gemacht.

Danach wollte ich die Platte mit Truecrypt mounten und bumm, falsches Kennwort. Hatte aber zum Glück einen Header Backup erstellt, danach ließ sich das Laufwerk auch wieder mounten, allerdings hatte es kein Dateisystem (RAW).

Hab dann natürlich erstmal gegoogelt und alles mögliche ausprobiert (GetDataBack, R-Studio, TestDisk, File Scavenger etc.) alles ohne Erfolg.

Ich hatte die Hoffnung schon fast aufgegeben, doch dann hab ich TestCrypt benutzt und bei mir wurden auch drei Header gefunden (wie in dem Screenshot oben). Habe dann den Header mit der "Embedded Backup Header" Information (beiden Anderen waren n/a) gemountet und tatsächlich wird das Laufwerk nun wieder als NTFS erkannt und ich kann auf alle Daten zugreifen.

Bin so froh, dass ich deswegen hier einen Account erstellt habe und kann jedem der Problem der gleichen Art hat TestCrypt nur empfehlen.

Edit: Hätte ich beinahe vergessen, TAUSEND DANK AN SIMPSON

MfG

Ein glücklicher User

Ergänzung (29. Mai 2012)

Einen kleinen Nachgeschmack hat die Sache wohl, denn TrueCrypt erkennt das Laufwerk nun nicht als "Mounted" und es ist Schreibgeschützt (lesen kann ich), d.h. ich muss alle Daten auf eine Andere HDD kopieren und das TrueCrypt Volume neu Formatieren?

 

[Simpson474]

Das mit dem Schreibschutz ist ein Sicherheitsfeature von TestCrypt, soll eigentlich nur verhindern, dass beim Einbinden des falschen Headers eine automatische Datenträgerüberprüfung angestoßen wird, welche Dateien zerstören kann. Am einfachsten ist es wirklich, die Daten auf eine andere HDD zu kopieren und anschließend das Volume wieder neu zu verschlüsseln.

 

[Crax]

Danke für die Info, hab noch ne Frage:

Kann man den Backup Header den man in TestCrypt findet nicht irgendwie speichern oder heißt es nun einfach 24h Betrieb? (Hab nämlich nen Haufen Daten zu kopieren), sonst müsste ich nach dem Hochfahren TestCrypt ja immer wieder durchlaufen lassen um an die Daten zu kommen.

 

[Simpson474]

Wirklich speichern kann man den Header nicht, allerdings kann man sich die Fundstelle notieren und beim nächsten Scan nur den notierten Sektor per "Custom Analyzer" analysieren lassen.