Truecrypt + Schnellformatierung -> Daten wiederherstellen?

[tommy-18]

Ja warscheinlich

Danke trotzdem für deine hilfe ^^
Ich werde beim nächsten mal vorsichtiger sein

 

[Justin's]

Hallo Simpson!

Da ich damals keine auffälligen Zahlenkolonnen finden konnte, mit Testdisk, habe ich jetzt einmal Testcrypt probiert. Ich habe lt. Screenshots die ganze Platte absuchen lassen (dauerte etwa 45 Minuten). Ergebnis: No boot header found.

Jetzt versuche ich nochmal HxD, aber 20.000 Sektoren abzusuchen dauert sehr lange. Wie groß wäre denn die Zahlenkolonne innerhalb der letzten 20.000 Sektoren? Danach könnte ich die Mausradgeschwindigkeit einstellen (weil ich dann einzelne Sektoren überspringen darf)

Update:
Ich habe bei Sektor 976751999 von 976773168 einen Sektor mit Zufallsdaten gefunden!
Was soll ich jetzt tun?

Ist doch komisch, damals habe ich das hier geschrieben:

Meine HDD hat bereits nach 1/5 ihrer Sektorenanzahl nur noch Nullen geschrieben.
Bei 142206245 von 976773168 enden die letzen zufällig geschriebenen Daten.
Dh von Sektor 0 - 142206245 sind Zufallsdaten aufzufinden.

und jetzt enden die Zufallszahlen genau bei Sektor 976751744 (also eigentlich so, wie du es erwartest hast)?! Wie kann sich sowas ändern?
Mit Testcrypt die Sektoren 1 vor 976751999 (wo ich Zufallszahlen inmitten der 000er gefunden habe) bis 1 nach 976751999 gescannt, will er 1045 Tage suchen... aber bin ich auf dem richtigen Weg?

Bitte um Unterstützung!

 

[Simpson474]

Meine HDD hat bereits nach 1/5 ihrer Sektorenanzahl nur noch Nullen geschrieben.

Falls du die Formatierung von TrueCrypt wirklich abgebrochen hast, so müsste irgendwo ganz am Ende inmitten der Nullen ein 128KB großer Datenblock stehen, welcher den Backup-Header enthält.

Mittlerweile bin ich hier etwas schlauer und muss diese Aussage revidieren: TrueCrypt hat einen Bug, der dazu führt, dass beim Abbruch der Formatierung in TrueCrypt der Backup-Header nicht geschrieben wird. In diesem Fall existiert wie bei alten TrueCrypt-Versionen nur der Header am Beginn der Partition - dieser wird im Gegensatz zum Backup-Header jedoch durch eine Schnellformatierung zu 100% zerstört. Wenn du keinen Backup-Header von Hand erstellt hast, so gibt es hier keine Chance noch einmal an die Daten zu kommen.

 

[Justin's]

Hallo!

Das heißt mein Fund in den letzten 20.000 Sektoren bei Sektor 976751999 von 976773168 ist ohne Bedeutung und für die Zukunft sollte ich stets einen Backup-Header gesichert haben?

 

[Simpson474]

Ja, ist leider so. Den Bug in TrueCrypt habe ich ungefähr vor einem Jahr bei einem ähnlichen Fall gefunden, wo ich mir auch nicht erklären konnte, wieso kein integrierter Backup-Header gefunden wird - daraufhin habe ich selbst Tests gemacht und siehe da, wenn man die Formatierung in TrueCrypt abbricht, so wird kein Backup-Header geschrieben. Das ganze habe ich auch an die TrueCrypt-Entwickler gemeldet (sogar mit der entsprechenden Quelltextstelle), aber bisher habe ich weder eine Rückmeldung bekommen noch wurde der Bug behoben. Eine separate Sicherung des Headers (bzw. eigentlich auch der Daten) ist immer anzuraten, es gab auch schon so intelligente Programme zum Schreiben von ISO-Images, welche in einem Rutsch sowohl den normalen als auch den Backup-Header gekillt haben.

 

[Sylar]

Ich hab hier ein TrueCrypt Volume (ganze HDD) und ich konnte den Header wiederherstellen. Ich kann mit TrueCrypt die Platte mounten. Aber ich kann auf das Laufwerk nicht zugreifen, weil es unbekannt ist.

Auch TestDisk konnte den Header finden, nur auch hier kann ich nicht auf das Laufwerk zugreifen, weil es unbekannt ist.

Was könnte ich noch machen? Oder sind die Daten weg (Windows hat eine 100MB Parition bei der installation erstellt)

 

[Datalogic]

Moinsen,
fast das gleich Problem, aber offensichtlich mit größerer Hoffnung:
Verschlüsselte externe FP wurde mit aktuellem TrueCrypt veschlüsselt und mit Windows schnellformatiert.
Neue Daten wurden nicht auf die Festplatte geschrieben.
TrueCrypt mountet das Laufwerk noch und kann auch den Header backupen. Windows möchte die Platte formatieren, wenn man Sie öffnen will. (Darauf folgende Meldungen siehe Screenshot.)
Besonders interessant find ich, dass mir nach dem Mounten einmal die gemountete FP "L" angezeigt wird und zusätzlich weiterhin noch das Laufwerk C, dass da ist sobald die Platte anschließe. Die physisch 1x vorhandene FP wird also 2x auf dem Arbeitsplatz angezeigt.
Habe Win7 64 Bit. Platte ist 1TB groß. Was für Informationen sind sonst noch relevant?
Wie soll ich zur Datenrettung vorgehen?

 

[Simpson474]

In diesem Fall helfen nur noch Datenrettungsprogramme wie R-Studio oder GetDataBack - wichtig ist, dass du diese Programme auf das in TrueCrypt eingebundene Laufwerk anwendest, auf der verschlüsselten HDD können die Programme nämlich nichts machen.

 

[Datalogic]

Nach 3,5 stündigem Scan lieferte GetDataBack for NTFS folgendes ernüchternes Ergebnis (siehe Screenshot).
Das sieht mir bald aus, als wenn da doch erneut daten daruf geschrieben worden oder?
Oder habe ich das falsche Dateisystem angewandt? Ich war mir eig. ziemlich sicher sicher, dass es NTSC war... gibt es ein Tool um das zu überprüfen?

 

[Simpson474]

Bist du dir sicher, dass GetDataBack über das in TrueCrypt eingebundene Laufwerk gelaufen ist (die Option ist in GetDataBack etwas versteckt, es muss eine kleine Box mit der Aufschrift "Logische Laufwerke" aufgeklappt werden)? Welches Dateisystem verwendet wurde, lässt sich nach dem Überformatieren nicht mehr eindeutig feststellen - standardmäßig wird FAT32 in TrueCrypt verwendet, außer man wählt die Option, dass Dateien größer 4 GB gespeichert werden sollen.