TrueCrypt Volume formatiert -> PLS Help

[Mutambu_Xbert]

Hallo,
-->wäre über Hilfe SEHR dankbar!

Habe schon tagelang sämtliche Foren durchforstet, aber nix 100%ig passendes gefunden.

Ein Thread bei Gulli ist ganz interessant:
http://board.gulli.com/thread/1456199-erledigtntfs-formatiertes-truecrypt-volume-retten/
Doch hier handelte es sich um eine kompl. verschlüsselte Festplatte und nicht (wie bei mir) um einen Teil der Festplatte welcher verschlüsselt wurde.

Folgender Fall: Ich habe mir win7 installiert und sicherheitshalber die anderen Festplatten ausgesteckt.
DOCH ICH ARSCH HABE LEIDER DIE FALSCHE FESTPLATTE EINGESTECKT GELASSEN
Jetzt ist auf dieser Festplatte Win7 drauf. Festplatte ist 500Gig groß.
Wurde bestimmt mit Schnell-Format formatiert.
Vorher waren da 150GB unverschlüsselt und 350GB TrueCrypt (V6.2a) verschlüsselt.
Und auf diesem verschlüsselten Volume sind eben leider meine kompl. Privaten Daten, Fotos, Filme + wichtige Geschäftsunterlagen drauf.

Das TC-Volume hieß J:\XYZ
Wenn ich in TC versuche dieses Volume einzubinden kommt "nicht gefunden"
Wenn ich versuche J: einzubinden kommt "Falsche Volume Grösse"
Wenn ich Volume-Header wiederherstellen mache (von einer in das Image eingebetteten Sicherung) kommt "das System kann den angegebenen Pfad nicht finden.

Sieht für mich fast so aus, als könnte ich das Volume wieder einbinden, wenn die grösse stimmen würde.
Was kann ich da machen???????????

Kann mir nicht vorstellen, dass mit der Win7 Installation der Header meines TC-Volumes überschrieben wurde, da ich das Volume erstellt habe als schon ca. 120gb auf der Platte drauf waren (welche ich im unverschlüsselten Bereich (150gb) der Platte belassen habe. Und die Daten im unverschlüsselten Bereich sind nicht wichtig.
Wenn ich irgendeine Möglichkeit finde, den verschlüsselten Bereich wieder in TC zu mounten, bekomme ich die Daten mit GetDataBack vielleicht wieder (zumindest zum Teil).

Eine neue Externe Festplatte habe ich bereits geordert um mit dd ein Image der betroffenen Platte zu machen.
Da ich Linux-noob bin -> taugt WinDD auch was?
Oder gibt es noch eine andere einfache Methode ein Sicherungs-Image der kompl. Platte zu machen?

Bin über jede Hilfestellung sehr dankbar

Grüße
Ralf

 

[Tux]

Ich habe da wenig Hoffnung.
Du hast ein Teil der Daten vielleicht schon mit Win 7 überschrieben.
Das wir eine Rettung der TrueCrypt Partition unmöglich machen.

Ich bin mal rihig und sage nicht über Backups

Das Problem an der Sache ist das selbst ein Unternehmen das auf Daten rettung spezialisiert ist wohl nix machen kann wegen der truecrypt Partition.

 

[Simpson474]

Mach auf keinen Fall weitere Schreibzugriffe auf die HDD - je mehr du jetzt schreibst desto schlimmer wird es bei deiner aktuellen Konstellation. Wenn ich dich richtig verstehe, dann hattest du eine verschlüsselte Partition - und genau da haben wir jetzt das Problem. Um die Partition zu mounten, müsstest du diese Partition wieder bekommen - Start und Ende der Partition müssen richtig in der Partitionstabelle sein. Leider sind TrueCrypt-Partitionen transparent - erst durch das Entschlüsseln kann man erkennen, dass es sich um einen TrueCrypt-Container handelt: deshalb wird hier auch Testdisk nichts finden können. Hast du irgendwo eine Sicherung deiner alten Partitionstabelle - vielleicht eine Acronis-Sicherung oder ähnliches?

EDIT: Der Fall ist gar nicht so hoffnunglos wie einige andere hier - wenn ich das richtig verstehe, dann hat er sogar ein Backup des Volume-Headers. Mit diesem kann man sogar bei teilweise überschriebenen TrueCrypt-Container (bei dieser Konstellation könnten sogar gar keine Daten überschrieben worden sein) die meisten Daten per Datenrettungsprogramme noch retten - nur einbinden muss man die Partition halt zunächst erst können.

 

[Mutambu_Xbert]

Is doch kacke, sowas ...

Ein Backup des Volume-Headers habe ich leider nicht!

Dachte, dass es vielleicht möglich ist die Header-Sicherung aus dem TC-Volume zu nutzen.

Hört sich in meinem Fall wohl relativ aussichtslos an.

Oder hat noch einer eine Idee, was ich machen könnte?

Grüße
Ralf

 

[Simpson474]

Auch ohne ein Backup des Headers ist die Chance immer noch sehr groß, dass entweder der Original-Header oder der integrierte Backup-Header in Takt ist.

Zunächst wäre wirklich mal wichtig, welche Verschlüsselungsart (Dateicontainer, Partition oder verstecktes Volume) du verwendet hast. War es eine verschlüsselte Partition, so wäre interessant, ob noch irgendwelche älteren Sicherungen rumliegen, aus denen man die größe der Partitionen rekonstruieren kann (z.B. ein Acronis-Image).

EDIT: Ich hab mir deinen Text jetzt noch einmal genau durchgelesen, und wenn ich dich jetzt richtig verstehe, dann hattest du eine verschlüsselte Datei mit dem Namen "XYZ" - in diesem Fall musst du anders vorgehen. Starte zunächst mal GetDataBack oder ein anderes Datenrettungsprogramm deines Vertrauens und lass es über die komplette HDD scannen. Speichere jeden Zwischenschritt von GetDataBack ab, damit du leicht wieder zurück kannst. Wenn du Glück hast, dann kannst du deine Datei XYZ in der Sicherung finden - durchsuch dabei auch alle gefundenen MFTs in GetDataBack. Sollte die Datei auftauchen, stell diese auf eine andere HDD wieder her. Anschließend brauchst du erneut Glück, damit der Header der Datei weiterhin intakt ist - dann kannst du versuchen die Datei mit TrueCrypt zu mounten.

 

[Mutambu_Xbert]

Danke für die Hilfe

GetDataBack läuft gerade. Dauert halt >2h die HDD zu scannen.

Bei mir handelte es sich um einen Dateicontainer mit Namen XYZ auf dem Laufwerk J:
Wenn ich diesen in TC eingebunden habe, wurde er als neues Laufwerk Z: angezeigt

Gesichert habe ich bisher immer nur meine 2 Betriebssystem-Partitionen. In Zukunft wird ALLES gesichert!

Vielleicht habe ich ja Glück und der XYZ-Ordner wird gefunden.

Gebe wieder bescheid.

Grüße
Ralf

Ergänzung (28. Dezember 2009)

Scheisse ist das geil

Meine Daten sind wieder da!

1000Dank an Simpson474 (schicke Dir noch ne PN)

Vorgehensweise:
--HDD mit GetDataBack eingelesen und jeden Schritt gespeichert (Speichern war SEHR sinvoll, da sich das Programm zeitweise aufgehängt hat). Dauerte ca. 2,5h
--Ordner XYZ wurde gefunden
--Ordner XYZ 350gb auf externer Festplatte wiederhergestellt. Dauerte ca. 7h
--Ordner über TrueCrypt ausgewählt+eingebunden (ganz normal mit PW-eingabe), dann ging erstmal gar nix, TC hat sich (vermeindlich) aufgehängt. Habe versucht (nach ca.4min) TC zu beenden, was auch nicht über den Task-Manager ging. Und gerade als ich den PC neu starten wollte --> PLOPP, der Ordner war eingebunden und ich hatte Zugriff auf sämtliche Ordner + Dateien.
IST WIE EIN ZWEITES WEIHNACHTEN!!!! Mehr Glück als Verstand

Die Wiederherstellung war ja prinzipiell recht simpel, aber man muss halt erstmal drauf kommen.

In Zukunft werden ALLE Daten gesichert - VERSPROCHEN!


Viele Grüße und einen guten Rutsch nach 2010
Ralf

 

[Simpson474]

Schön zu hören, dass du die Daten doch noch retten konntest. Es besteht jedoch die Möglichkeit, dass einige Dateien bereits teilweise überschrieben wurden und damit beschädigt sind. Wenn wirklich keine einzige Datei beschädigt ist, dann hattest du extremes Glück.

 

[Kamikatze]

Nur mal eine grundsätzliche Frage - hat man mit der TrueCrypt Rescue Disc nicht ohnehin automatisch ein Backup des Headers? Ich wüsste jetzt im Betrieb gar nicht, wie ich ein Backup des Headers der Systemplatte anlegen könnte.

 

[Simpson474]

Laut der TrueCrypt-Dokumentation enthält die Rescue Disc auch ein Backup des Headers.

 

[Kamikatze]

Eben - von dieser ging ich aus.
Nur die ersten Posts hier klangen etwas anders.

 

[Simpson474]

Die Rescue Disc ist ja nur für verschlüsselte Systempartitionen - diese werden anders gehandhabt als normale verschlüsselte Partitionen oder verschlüsselte Container-Dateien.

 

[Kamikatze]

Ah, schon klar.

Aber bei verschlüsselten Systemlaufwerken (also mehreren Partitionen) gibt es nur einen Header für alle Partitionen - und der ist in der Rescue Disc gesichert?

(3333 GET!)