Truecrypt + Schnellformatierung -> Daten wiederherstellen?

[Justin's]

Hallo!

Ich habe eine komplette Festplatte als logische Partition mit TrueCrypt 7.0a verschlüsselt und heute leider diese schnellformatiert (in der Datenträgerverwaltung).

Natürlich lässt sich die Platte nicht mehr einbinden, darum hat weder Testdisk noch Recuva etwas gefunden. Den Volume-Header habe ich nicht gesichert. Eine Wiederherstellung unter "Volume-Header wiederherstellen" und "Wiederherstellen des Volume-Headers von einer in das Volume eingebetteten Sicherung" schlug fehl -> "Kennwort nicht richtig oder kein TrueCrypt-Volume".
Was kann ich tun, um wieder Zugriff auf meine Daten zu bekommen?

Versuche ich die formatierte und bereits mit einem Laufwerksbuchstaben versehene Festplatte mit TC einzubinden, bekomme ich nach der Passworteingabe die Warnung, dass das Laufwerk bereits verwendet wird. Versuche ich das gleiche bei der Volume-Header-Wiederherstellung, schriebt es "Falsches Kennwort oder kein TrueCrypt-Volume."

Verwende Windows XP SP3.

PS: Zuvor verwendete ich Testdisk, da ich glaubte, dass ich trotz Verschlüsselung so alles wiederhestellen kann. Testdisk fand jedenfalls auf dieser Platte eine Partition und versah diese mit einem *. Ich habe dann "Write" gemacht, brachte nix, und erst nach einem Neustart auf Primäre Partition "P" umgeändert, womit ich jetzt beim aktuellen Stand bin.

 

[Simpson474]

Hast du zunächst versucht den Header wiederherzustellen oder kamen die destruktiven Testdisk Operationen zuvor? Zunächst wären mal ein paar zusätzlich Informationen interessant: ein Screenshot der aktuellen Partitionierung aus TestDisk und die ungefähren Partitionsgrößen.

 

[Justin's]

Leider habe ich in meinem Anfall von unendlicher Produktivität zuerst Testdisk verwendet.
Hier die Screenshots.

Ich hatte und habe auf der formatierten Festplatte nur eine Partition über 500 Gb.

 

[Simpson474]

Nimm mal TestCrypt von hier und lasse es wie hier ab Beitrag #9 auf die hinteren 20000 Sektoren scannen. Weißt du vielleicht noch welche TrueCrypt Version du zum Verschlüsseln verwendet hast - war diese älter als 6 so gibt es keinen Backup-Header und keine Hoffnung.

 

[Justin's]

Hallo, ich habe es jetzt so gemacht unter C:\Programme\Testdisk\full mit dem Parameter TestCrypt.exe "\\.\PhysicalDriveX" SectorStart SectorEnd "TrueCrypt Password" wobei ich statt "TrueCrypt Password" dann "Mein Passwort" eingegeben habe.
Folgende Meldung in der Eingabeaufforderung kam: Invalid start sector 0, end sector 0.

Testdisk oder so hat sich nicht geöffnet.

 

[Simpson474]

Du musst auch das X in PhysicalDriveX, SectorStart und SectorEnd durch passende Zahlen ersetzen. Steht eigentlich recht schön im anderen Thread, wie man die Zahlen herausfindet.

 

[Justin's]

Hallo, danke, habe jetzt für 1 für X eingesetzt und nach SectorStart 976731937 und SectorEnd 976751937:
TestCrypt.exe "\\.\PhysicalDrive1" 976731937 976751937 "MeinPasswort"

Nun schreibt dein Programm "Using TrueCrypt password MeinPasswort"
Darunter blinkt ein _

Arbeitet er schon? CPU-Auslastung ist bei 100%
Was ist eigentlich der Unterschied zwischen den TestCrypt.exe-Dateien in fast und full, also welche .exe sollte ich unter der Eingabeaufforderung ansteuern?

Und wenn ich ein falsches Passwort eingebe, arbeitet es dann trotzdem alle Sektoren ab oder gibt es mir eine Fehlermeldung, sodass ich nicht umsonst warten muss?

Update:
Testcrypt hat von selbst seine Suche ohne Meldung beendet.
Keine Sektoren oder so wurden gefunden, es kommt nur diese Zeile:

C:\Programme\Testdisk\full

 

[Simpson474]

Bei einem falschen Passwort werden ebenfalls alle Sektoren abgesucht, es gibt keine Möglichkeit ein falsches Passwort zu erkennen. Die "full" Version unterstützt alle Verschlüsselungsverfahren von TrueCrypt, ist dafür aber deutlich langsamer. Die "fast" Version unterstützt nur die Standardeinstellung AES + RIPMED/160.

 

[Justin's]

Alle meine Zeichen sind Teil des ASCII-Zeichensatzes und wurden von TrueCrypt akzeptiert.
Soll ich die letzten 100.000 Sektoren durchlaufen lassen?

 

[Simpson474]

Es ist sehr unwahrscheinlich, dass die Partition nicht innerhalb der letzten 20000 Sektoren endet, wenn diese einst die komplette HDD genutzt hat. Hast du eine Idee, mit welcher TrueCrypt Version das Volume erstellt wurde? War die Version älter als 6.0 so ist kein Backup-Header vorhanden und der normale Header wurde durch die Schnellformatierung überschrieben.

 

[Justin's]

Version war 7.0a, wurde erst vor wenigen Wochen verschlüsselt. Ich lasse jetzt noch einen Suchlauf über 21.000 Sektoren durchführen.

Update:
Also auch nach dem 2. Durchlauf wurde nichts gefunden, diesmal mit fast gesucht.
War es das schon?

 

[Simpson474]

Nimm mal noch einen Hex-Editor (z.B. HxD) und öffne die komplette HDD. Dabei sollte die HDD ganz am Ende entweder nur Nullen oder aber nur kurze Blöcke mit Daten enthalten. Anschließend gehst du von hinten her rein bis du irgendwelche Zufallsdaten siehst. Bei welchem Sektor ist das der Fall?

 

[Justin's]

Meine HDD hat bereits nach 1/5 ihrer Sektorenanzahl nur noch Nullen geschrieben.
Bei 142206245 von 976773168 enden die letzen zufällig geschriebenen Daten.
Dh von Sektor 0 - 142206245 sind Zufallsdaten aufzufinden.

 

[Simpson474]

TrueCrypt überschreibt beim Erstellen des Volumes alle Sektoren mit Zufallsdaten (zumindest wenn man nicht abbricht und die Warnungen von TrueCrypt wegklickt). Entweder die Formatierung hat gewaltig Daten überschrieben (und vor allem auch den Backup-Header, denn dieser liegt ganz am Ende der Partition) oder die TrueCrypt-Partition war nur ca. 67GB groß. Falls das der Fall sein könnte, dann kannst du auch den Bereich mit den letzten Zufallsdaten noch einmal scannen lassen. Falls du die Formatierung von TrueCrypt wirklich abgebrochen hast, so müsste irgendwo ganz am Ende inmitten der Nullen ein 128KB großer Datenblock stehen, welcher den Backup-Header enthält.

 

[TBS7]

Hi,
Selbe Problem

Habe true 7a, habe kein Backup oder so gemacht
Habe meine Platte Ausvershen Formatiert
& meine Platte war im HIDE als Unformatiert getarnt

Gibt es eine Möglichkeit die Platte 1 zu 1 zurück zu setzen ?

Gibt es den jetzt überhaupt noch Möglichkeiten

es is ne 1TB Platte es waren nur noch 60GB Free der Rest waren alles Daten
Bilder vom Urlaub Filme Musik alles halt das sollte meine Backup platte sein bis ich meine Neue bekomme die Heute Gekommen ist

Ich habe die Platte angeschlossen und wollte sie Formatiern dabei war es meine Trucrypt Platte ><

was kann ich noch machen ?

LG
TBS

Edit.:

Momentan Verschlüssel ich gerade eine Platte wider wenn ich das identich machen soll soll ich dann auch die Platte im HIDE Modus machen ? also Versteckte Patition ?

 

[Simpson474]

Du verschlüsselst aber nicht die betroffene HDD, oder? Das würde garantiert alle Chancen zerstören, noch Daten wiederherzustellen. Ansonsten lade dir mal mein TestCrypt-Tool von hier und lass den Scan mit der Option "Automatic" bei "Start of Volume" und "End of Volume" durchlaufen. Sollte was gefunden werden, so stell einen Screenshot hier rein.

 

[TBS7]

Simpson474 Erst mal Danke für dein Interesse

ne die Truecrypt platte fasse ich nicht an
ich habe
1x 1TB WesternDigital ( 250GB System & 680GB So halt )und die 680GB tue ich gerade Verschlüsseln
1x 1TB Samsung Spinpoint F3 (die Platte mit dem Truecrypt Problem)
1x 1TB Samsung Spinpoint F3 ( die die Heute Gekommen ist und die die eig Formatiert werden sollte)

und noch ne Externe mit 640GB ne Sungoo xD

Edit.:

Okay und was soll ich da machen ich habe 2 Gleiche Werte von Platten ich weis doch net welche die richtige ist

PDrive 0 1TB
pdrive 1 1TB

 

[Simpson474]

Die Nummer von TestCrypt ist gleich der Nummer aus der Datenträgerverwaltung.

 

[TBS7]

ich meinte ich weis nicht bei welcher platte ich anfangen muss

habe jetzt mit der Mitte angefangen

 

[Simpson474]

Wie gesagt, die Nummerierung hinter PhysicalDrive ist gleich mit der Nummerierung in der Windows-Datenträgerverwaltung - dort solltest du deine HDD ja finden können.