Truecrypt Volume Header

[pizza]

Ich habe mir den Volume Header einer mit Truecrypt verschlüsselten Festplatte gelöscht, in dem ich in der Datenträgerverwaltung in Windows 7 einen "format" des physikalischen Laufwerks begonnen und sofort wieder abgebrochen habe. Das Truecrypt Volume wurde mit der Version 7.0a erstellt. Bei der Festplatte handelt es sich um eine externe WD Elements 1 TB. Diese wurde einmal komplett mit Truecrypt verschlüsselt und es befinden sich "nur" Daten auf ihr.

Der Backup Header scheint sich mit Truecrypt wiederherstellen zu lassen. Ich versuche nun gerade mit Testdisk die Dateien des Volumes, dass durch den backup-header gemountet habe zu identifizieren und zu retten. Ich habe schon ein bisschen hin- und herprobiert und das mit ziemlich wenig Erfolg.

Es müsste doch eigentlich möglich sein die Daten ohne großen Verlust zu retten, oder ? Ich habe in der Datenträgerverwaltun sofort gesehen, dass ich das falsche Laufwerk ausgewählt habe und habe, wie schon gesagt, sofort abgebrochen. Ich hoffe sehr, dass es möglich ist die Daten ohne Verlust von Attributen wiederherzustellen.

Ich hänge mal 2 screens von Testdisk an, mit denen ich herzlich wenig anfangen kann. Bei dem zweiten screen stoppte die Analyse einfach (Ich habe Intel partition unter Vista gewählt. Ich habe übrigens keine Ahnung, welches Dateisystem für ein unter Windows 7 erstelltes Truecrypt Volume verwendet wird.). Ich habe Testdisk analyse jetzt nochmal neu gestartet. Diesmal als non partitioned.


Könnt Ihr mir bitte weiterhelfen ?

 

[KMut]

AW: Treucrypt Volume Header

Wenn der Container, in deinem Fall die Partition einmal verändert wurde (beginn und sofortiger Abbruch der Formatierung reicht vermutlich aus), sind sämtliche Daten in der verschlüsselten Partition dahin.

 

[pizza]

AW: Treucrypt Volume Header

Du meinst, dass man selbst mit dem backup header keine Daten mehr auslesen kann ?


Testdisk zeigt jetzt schon wieder den Fehler aus dem zweiten screen. Der Fortschritt in Prozent scheint wieder sehen geblieben zu sein. Die anderen Zahlen (sind das die Cluster ?) laufen aber noch...
Was bedeutet denn diese Warnung ?

 

[Simpson474]

AW: Treucrypt Volume Header

Normal kommst du schon an fast alle Daten - jedoch nicht mit TestDisk (zumindest hab ich es bei beschädigten Dateisystemen in TrueCrypt-Containern noch nie hingebracht). Am besten funktionieren hier Datenrettungsprogramme wie GetDataBack oder R-Studio - diese sind jedoch nicht kostenlos. Wichtig bei diesen Programmen ist, dass du das in TrueCrypt eingebundene Laufwerk auswählst (bei GetDataBack befindet sich dieses unter "Logische Laufwerke").

 

[pizza]

AW: Treucrypt Volume Header

Wenn ich es also mit diesen Programmen versuche, habe ich nicht die Möglichkeit meine Daten, wie sie auf der Platte waren, also in ihren Ordnern und original Namen wiederherzustellen ?

So wie es normalerweise bei Testdisk möglich wäre: list files -> restore. o.ä ?

Ergänzung (11. Mai 2011)

Okay und da müsste ich dann nach NTFS testen ? Da bekomme ich dann aber nur Daten ohne originale Ordnerstrukturen etc ?

Testdisk läuft immer noch. Ist jetzt bei 50 %.

Ergänzung (11. Mai 2011)

check_FAT ???

 

[Simpson474]

AW: Treucrypt Volume Header

Wenn weder R-Studio noch GetDataBack eine Verzeichnisstruktur anzeigen, so existiert auf der Platte wohl auch keine mehr. Das Problem beim Formatieren ist, dass viele Datenstrukturen des Dateisystems an die gleiche Stelle wie im ursprünglichen Dateisystem geschrieben und damit überschrieben werden.

 

[pizza]

AW: Treucrypt Volume Header

Okay, ich hatte bisher sehr gute Erfahrungen mit Testdisk gemacht...

Über Nacht hat sich der Rechner nun einfach neu gestartet. Der scan war jetzt nach fast 3 Tagen bei 60 %. Weltklasse.

Jetzt lasse ich Getdataback für NTFS drüber laufen. Ich weiß doch aber gar nicht, ob NTFS richtige ist. Ich habe "exzessive Suche" und "rette verlorene Dateien" eingestellt. Ist das so okay ?

Ist da ein Unterschied, ob ich das Volume normal per Truecrypt mit backup header mounte oder mit Testcrypt ?

 

[Simpson474]

AW: Treucrypt Volume Header

TrueCrypt kann in sehr seltenen Fällen das Volume falsch mounten, wenn sich die Start-Adresse der Partition verschoben hat, die Endadresse aber noch passt. In diesem Fall würde TestCrypt das Volume über den Backup-Header richtig mounten.

Bei GetDataBack ist die Option "Systematischer Dateisystemschaden" meist am besten geeignet. Hattest du Dateien größer als 4 GB auf dem Volume gespeichert? Wenn ja, dann ist dein Dateisystem garantiert NTFS.

 

[pizza]

AW: Treucrypt Volume Header

Das verstehe ich jetzt nicht. Das Dateisystem wird doch beim formatieren erstellt und nicht sobald ich eine 4 GB große Datei auf das Laufwerk verschiebe. Ob ich eine solch große Datei auf dem Laufwerk hatte weiß ich jetzt gar nicht.

Mit Getdataback bekomme ich leider nur Fetzen meiner Daten. Sehr viele Ordner werden wiederhergestellt und am Ende immer einen mit Lost Files (mit dem ich noch am besten was anfangen kann). Wie auf dem Bild zu sehen. Das heißt also kaum originale Dateinamen und meist alles ziemlich durcheinander.

Insgesamt zeigt mir das Programm 5 verschiedene empfohlene Dateisysteme, wovon ich mir bis jetzt die ersten beiden angeguckt habe.

Meinst Du es gibt wirklich keine bessere Möglichkeit meine Daten wiederherzustellen als Getdataback ? Oder gibt es ein paar andere Einstellungen, die ich noch versuchen sollte ? Ist es eigentlich ein Beweis, weil er überhaupt Daten findet, dass das Dateisystem NTFS gewesen sein muss ? Ich guck erstmal alle Vorschläge durch. Aber ich kann auch nicht jedes mal alle Daten durchgehen bzw. einfach alles kopieren. Was schlägst Du vor ?

 

[Simpson474]

AW: Treucrypt Volume Header

Das verstehe ich jetzt nicht. Das Dateisystem wird doch beim formatieren erstellt und nicht sobald ich eine 4 GB große Datei auf das Laufwerk verschiebe.

Ja, das Dateisystem wird beim Formatieren erstellt. Allerdings kann auf einem FAT32-Dateisystem keine Datei mit mehr als 4 GB gespeichert werden, da bekommst du beim Kopieren eine Fehlermeldung.

Meinst Du es gibt wirklich keine bessere Möglichkeit meine Daten wiederherzustellen als Getdataback ?

Hast du R-Studio schon probiert - wirklich bessere Tools sind mir nicht bekannt.

Aber ich kann auch nicht jedes mal alle Daten durchgehen bzw. einfach alles kopieren. Was schlägst Du vor ?

Wie groß war das TrueCrypt-Volume ungefähr? Die Einträge kleiner 32 GB kannst du dir dann wohl sparen.

 

[pizza]

AW: Treucrypt Volume Header

Ja, das Dateisystem wird beim Formatieren erstellt. Allerdings kann auf einem FAT32-Dateisystem keine Datei mit mehr als 4 GB gespeichert werden, da bekommst du beim Kopieren eine Fehlermeldung.

Weiß nicht mehr. Sollte ich dann FAT auch nochmal ausprobieren ? Wäre denn nicht auch ext2/3 möglich ?

Hast du R-Studio schon probiert - wirklich bessere Tools sind mir nicht bekannt.

Nein habe ich noch nicht probiert.

Es wäre einfach schön, wenn ich intakte Daten mit den originalen Ordnern und Namen bekommen würde.
Was mir an Testdisk immer sehr gefallen hat ist, dass ich mir die Ordner habe "listen" und kopieren lassen können. Sollte ich das nicht nochmal versuchen ? Auch wenn es mehr als 3 Tage dauert.

Wie groß war das TrueCrypt-Volume ungefähr? Die Einträge kleiner 32 GB kannst du dir dann wohl sparen.

Das weiß ich nicht mehr so genau. Aber es waren schon ein paar 100 GB glaube ich. Wenn ich aber alle restlichen empfohlenen Dateisysteme durchgehe, sind es immer noch viel zu viele Daten, um sie alle zu kopieren.

 

[Simpson474]

AW: Treucrypt Volume Header

Wäre denn nicht auch ext2/3 möglich ?

Wenn du das Volume unter Windows verwendet hast, so halte ich ext2/3 für ausgeschlossen, da dieses ohne Zusatzsoftware nicht gelesen werden kann.

Was mir an Testdisk immer sehr gefallen hat ist, dass ich mir die Ordner habe "listen" und kopieren lassen können.

Geht bei GetDataBack und R-Studio auch - halt nur, wenn die Daten noch existieren. Bei identisch formatierten Partitionen kann TestDisk nichts mehr machen.

 

[pizza]

AW: Treucrypt Volume Header

Was meinst Du denn genau mit "identisch formatierten Partitionen" ?

Ich habe das Laufwerk als ich es in Betrieb genommen hatte sofort mit Truecrypt formatiert und seitdem nie wieder. Ich habe es eben nur einmal erneut und versehentlich kurz angefangen zu formatieren, mit der Datenträgerverwaltung in Windows 7.

Deshalb kann ich auch absolut nicht verstehen, was R-Studio (und Getdataback) da finden...

Kann es nicht sein, dass ich irgendwie mit der richtigen Vorgehensweise an meine Daten komme ? Zum Beispiel so wie in diesem post von Fiona beschrieben ?

 

[Simpson474]

AW: Treucrypt Volume Header

Ich habe es eben nur einmal erneut und versehentlich kurz angefangen zu formatieren, mit der Datenträgerverwaltung in Windows 7.

Wie viel Megabyte pro Sekunde schreiben heutige HDDs - da kannst du dir ausrechnen, wie viele Daten innerhalb von z.B. 2 Sekunden überschrieben werden. Außerdem werden beim Formatieren eigentlich nur so Sachen wie MFT und Boot-Rekord überschrieben - daher geht die volle Schreibleistung auf die kritischen Bereiche.

Kann es nicht sein, dass ich irgendwie mit der richtigen Vorgehensweise an meine Daten komme ? Zum Beispiel so wie in diesem post von Fiona beschrieben ?

Dieser Post erklärt nur, wie du versuchen kannst ein TrueCrypt-Volume zu mounten, welches von TrueCrypt nicht mehr akzeptiert wird. TestDisk ist bei richtigen Dateisystemfehlern recht schwach und kann garantiert nicht mehr als die von mir erwähnten Programme. Was du noch probieren könntest sind Testversionen anderer Wiederherstellungsprogramme.

 

[pizza]

AW: Treucrypt Volume Header

Okay, ich habe mir jetzt mal einiges von den Dateifetzen angesehen, die R-Studio und Getdataback wiederherstellen könnten. Allerdings haben die Daten recht wenig mit denen zu tun, die ich auf dem Truecrypt Volume hatte.

Ich dachte eigentlich ich hätte das HDD aus dem Ursprungszustand direkt mit Truecrypt formatiert. Offensichtlich hatte ich schon zuvor Daten auf das HDD kopiert und die MFT's haben nichts mit dem Truecrypt Volume zu tun.

Gibt es nicht eine Möglichkeit, wie ich das Truecrypt Volume sicher identifizieren kann bevor ich es weiter analysiere ? Diese anderen Daten, die ich jetzt gefunden habe sind für mich nämlich völlig irrelevant.

 

[Simpson474]

AW: Treucrypt Volume Header

Wichtig bei diesen Programmen ist, dass du das in TrueCrypt eingebundene Laufwerk auswählst (bei GetDataBack befindet sich dieses unter "Logische Laufwerke").

Hast du das beachtet? Wie viele TrueCrypt-Header findet TestCrypt, wenn du Anfang und Ende der HDD mit der Option "Automatic" scannen lässt?

 

[pizza]

AW: Treucrypt Volume Header

Ja habe ich beachtet. Sieht man auch auf dem R-Studio screen.

Bei TestCrypt findet er einen Backup Header.

 

[pizza]

AW: Treucrypt Volume Header

Hier mal screens von testcrypt. Kann man mit den Informationen gezielter suchen ? Ich habe uzvor mit truecrypt selbst gemountet, weil ich die x64 Fehlermeldung beim starten des Programms bekomme...

 

[Simpson474]

AW: Treucrypt Volume Header

Die Partitionsgrenzen passen zum gefundenen Header, daher ist es egal ob du mit TrueCrypt oder mit TestCrypt mountest. Ich fürchte wirklich fast, da kannst du nicht mehr viel machen. Wenn du es noch probieren willst, andere Datenrettungsprogramme wären z.B. Recuva, Restorer2000 oder File Scavenger - welche von diesen Programmen logische Volumes (also keine physikalischen HDDs, sondern in TrueCrypt eingebundene Partitionen) unterstützen kann ich dir leider nicht sagen.

 

[pizza]

AW: Treucrypt Volume Header

Ich versuche nochmal Testdisk druchlaufen zu lassen auch, wenn Du damit weniger gute Erfahrungen gemacht hast. Welche Einstellungen sollte ich da nehmen ? Intel partition oder Non partitioned ? Created under Vista = No ? Danach muss ich mich wohl damit abfinden und ich formatiere neu

Noch eine Frage. Wie kann es sein, dass FAT(32) Dateisysteme gefunden werden (s. z.B.: R-Studio) ? Das habe ich definitiv nicht formatiert.