TrueCrypt Volume Header wiederhergestellt, aber keine Änderung!

[w00tification]

Moin!

Mein Problem ist folgendes. Wie die meisten anderen hilflosen Geschöpfe habe auch ich mein TrueCrypt-Volume gelöscht. In der Windows Datenträgerverwaltung habe ich die Laufwerke gesehen, da war eines RAW und dachte mir "Hey, das ist doch die neue Festplatte, die ich gerade verbaut habe. Denn die anderen haben ja Namen und ein Dateisystem."
Rechtsklick -> Volume löschen -> Neues einfaches Volume.
An der Stelle (weil ) weiß ich leider nicht mehr genau, ob ich tatsächlich formatiert habe. Ich denke nicht.

Kurz zur Platte: Es ist eine gesamte Festplatte, die ich verschlüsselt habe. Sie ist 1,5 TB groß (real 1,37 TiB). Es gab nur eine Partition über die gesamte Kapazität.

Habe mich ausgiebig online erkundigt, aber leider gibt es ja zuuu viele Quellen, wo man Informationen herbekommen kann. Die Information, die ich am häufigsten wiederfand, war:
"Drei mal in TC mounten, danach Header wiederherstellen."

Klang plausibel. Hab's gemacht, gemountet, unmountet und direkt den eingebetteten Volume-Header wiederherstellen lassen. Tja, aber? Im Arbeitsplatz wird die Festplatte [F:] immer noch als unformatiert angezeigt. Erst DANN (!) bin ich auf den Trichter gekommen, dass ich doch eine Sicherung anlegen könnte. Hab dann über Linux per dd ein Abbild erzeugt, dass auch noch existiert.
Ich habe leider kein Header-Backup, weshalb ich auf das eingebettete zugreifen muss.

Seit dem habe ich viele Versuche unternommen, wieder an die Daten ranzukommen, in der Hoffnung das NTFS auf der Platte würde aufgeschlüsselt für 'GetDataBack for NTFS'.
Die drei mit TestCrypt gefundenen Header z.B. bringen mir ingesamt nichts. Davon befindet sich einer, wie zu erwarten, ganz hinten, der bringt aber dasselbe Resultat wie alles andere.
GetDataBack war nie erfolgreicher als ein paar Systemdateien aufzulisten, die mit einem $ beginnen. Außerdem waren die Partitionen maximal 128 MiB groß oder 400 MiB. Das sind nicht gerade 1,37 TiB.
TestDisk oder Aomei habe ich nie angerührt, um irgendetwas zu finden oder so, da ich davon ausgehe, dass TestCrypt und GetDataBack for NTFS schon genügend mächtig sind, um etwas wiederherstellbares zu finden.

Was würde ein Simpson474 jetzt machen?

 

[YMiD]

Wenn du mit dem eingebetteten Backup-Header mounten kannst, bist du schon einen Schritt weiter. Abhängig davon wie viel überschrieben wurde, kann alles oder auch nichts mehr wiederhergestellt werden.

Bei den Rettungstools ist es natürlich entscheidend, das gemountete logische Laufwerk zu scannen und nicht die HDD selbst.

 

[w00tification]

Wenn du mit dem eingebetteten Backup-Header mounten kannst, bist du schon einen Schritt weiter. Abhängig davon wie viel überschrieben wurde, kann alles oder auch nichts mehr wiederhergestellt werden.

Mounten ist ja eine Sache, aber ein "unformatiertes Laufwerk" ist nicht gerade ein großartiges Ergebnis.
Geschrieben wurde an sich nichts auf das Laufwerk, da keines meiner Programme draufzugreifen muss. Es gibt keine dynamischen Daten drauf, "nur" ein Datengrab mit allen möglichen Medien.

Bei den Rettungstools ist es natürlich entscheidend, das gemountete logische Laufwerk zu scannen und nicht die HDD selbst.

Du meinst sicherlich den Unterschied die Festplatte auf Daten zu prüfen oder die Partition. Ich konnte tatsächlich beides probieren und habe bei beiden dasselbe Ergebnis erzielt, welches die $-Dateien waren :/

 

[YMiD]

Du meinst sicherlich den Unterschied die Festplatte auf Daten zu prüfen oder die Partition.

Wenn du die Festplatte scannst wird garantiert nichts brauchbares gefunden. Du musst z.B. in getdataback unter "Logische Laufwerke" das von Truecrypt gemountete virtuelle Laufwerk auswählen. Hast du das gemacht?

 

[w00tification]

Wenn du die Festplatte scannst wird garantiert nichts brauchbares gefunden. Du musst z.B. in getdataback unter "Logische Laufwerke" das von Truecrypt gemountete virtuelle Laufwerk auswählen. Hast du das gemacht?

Wann immer ich diese Prüfung gemacht habe, war die Platte gemountet wie TestCrypt oder TrueCrypt.
Allerdings war in GetDataBack einfach die Festplatte aufgelistet und als Unterpunkt die einzige Partition (FAT16-HUGE). Das hat sie nicht geändert, ob die Platte gemountet war oder nicht gemountet. Direkt Laufwerk F: konnte ich da nirgends auswählen.
Ich hatte übrigens sowohl den Schnell-Scan als auch den "Scan bei systematischem Schaden" (also Full-Scan) auf beiden ausgeführt. Ohne Ergebnis.

Was soll das FAT16-HUGE überhaupt bedeuten? Ist das wirklich das alte Dateisystem gewesen? Ich wüsste eigentlich nicht, wieso ich nicht NTFS formatiert haben sollte.

EDIT:
*seufz*
Ich habe es gefunden ... das logische Laufwerk F:. Es gibt den aufgeklappten Punkt physikalische Laufwerke und den Punkt logische Laufwerke direkt dadrunter, aber zugeklappt.
Ich melde mich dann morgen mal, wenn ich das Backup der Platte wiederhergestellt habe und GDB wieder ausgeführt habe.

DANKE schon mal für diesen Anstoß. Wenn man so mental zerstreut ist, sieht man tatsächlich nur die Hälfte

 

[YMiD]

Verwendest du die simple Version von gdb? Falls ja solltest du die klassische Version verwenden, dort kannst du das richtige Laufwerk auswählen.
Download hier: http://www.runtime.org/data-recovery-products.htm

Edit: OK, dann sollte jetzt deutlich mehr gefunden werden.

 

[w00tification]

Erstmal ein Tipp an alle, die auch ihre Daten über Nacht retten möchten:
Deaktiviert Windows Update für die Dauer der Rettung. Der Mist hat meinen PC neugestartet...

Wo das gesagt ist, hab ich heute morgen eine neue Datenrettung gestartet, die eben gerade fertig wurde.

Unglaublicher Weise, nachdem ich rational handeln konnte, findet sich alles wieder. Selbst gelöschte Dateien von vor Monaten.

Sehr sehr cool! Vielen Dank nochmal YMiD

Sollte ich das Plattenbackup noch ne Weile behalten? Könnte ein anderes Programm mehr finden? Halte ich eigentlich für ausgeschlossen, da die unterschiedlichen Algorithmen ja auf dasselbe hin arbeiten. Und somit müssten defekte Dateien dann immer noch defekt sein.

 

[YMiD]

Könnte ein anderes Programm mehr finden? Und somit müssten defekte Dateien dann immer noch defekt sein.

Es kann je nach Software schon Unterschiede geben. Manche Programme haben z.B. Probleme damit, Dateien grösser als 4 GB wiederherzustellen.
Wenn die defekten Dateien schon länger gelöscht waren, und deshalb teilweise überschrieben wurden, kann auch kein anderes Programm diese retten. Praktisch alle anderen Dateien sollten sich in deinem Fall aber fehlerfrei wiederherstellen lassen.

 

[w00tification]

Es kann je nach Software schon Unterschiede geben. Manche Programme haben z.B. Probleme damit, Dateien grösser als 4 GB wiederherzustellen.
Wenn die defekten Dateien schon länger gelöscht waren, und deshalb teilweise überschrieben wurden, kann auch kein anderes Programm diese retten. Praktisch alle anderen Dateien sollten sich in deinem Fall aber fehlerfrei wiederherstellen lassen.

Alles klar, vielen Dank. In meinem Fall vermisse ich aber tatsächlich nichts =) und 4+GiB Dateien halte ich auch nicht. Dann kann ich ja jetzt in Ruuuhe schlaaafen...