Truecrypt Volumen von Win7 formatiert, Wiederherstellung möglich?

[Nelson_777]

Hallo Leute!
Nachdem ich mit meinem Problem nicht weiterkomme, auch nicht nach Tagen des Lesens hier im Forum, brauche ich direkte Hilfe von Euch, vielleicht habe ich was übersehen oder mache etwas falsch.

Zum Problem:
Win 7 x64 habe ich neu installiert und vergessen meine 2x 2TB Datenfestplatten (beide Truecrypt-Volume mit Truecrypt 7.1a) vorher abzukoppeln. Die wurden also heimlich von Windows formatiert.
Den Header hatte ich gesichert, der ist für beide Platten identisch.

Das habe ich getan (chronologisch:
Versuch den Header über externe Datei wiederherzustellen. Truecrypt meldet Erolg, mountet, ich kann aber nicht zugreifen, die andere Platte wird als leer dargestellt.

Festplatten wie von Simpson474 (https://www.computerbase.de/forum/t...atierung-daten-wiederherstellen.795095/page-3) beschrieben mit EASEUS Partition Master partitioniert und Testcrypt laufen lassen.

Über Testcrypt die gefundenen Partitionen gemountet und GetDataBack drauf angesetzt.
GetDataBack scheint jede Menge Dateien zu finden (aber wohl verschlüsselt, leider aber keine MFTs, womit ich auch keine Daten retten kann.

Ich weiß jetzt leider nicht weiter. Es wurden auf den Volumes keine Daten geschrieben, das einzige was ich manipulativ gemacht habe, ist den Header wiederherzustellen und die Partitionierung durchzuführen, was wahrscheinlich die Fehler waren. Ich habe die Hoffnung noch nicht ganz aufgegeben, gerade weil ich den Header ja gesichert habe. Mittlerweile weiß ich aber gar nicht mehr ob mir das noch was nützt.

Wenn mir jemand mit einer strukturierten Vorgehensweise helfen könnte, wäre ich Euch sehr zu Dank verpflichtet. Auf den Platten waren viele Familienfotos und -filme, die ich nur zu ca. 10% noch woanders zusammenkratzen könnte, der Rest wäre weg wenn die Rettung nicht klappt

Screenshots von Testcrypt lasse ich bald folgen.

Danke schonmal,

Nelson

 

[InteGralFormat]

Hi.

Also zur eigentlichen Datenrettung kann ich dir nicht großartig weiterhelfen.
Habe aber einen kritischen Fragepunkt, der vielleicht relevant sein könnte (gerade damit Leute nicht den selben Fehler machen):

Wie bitte hat Windows "heimlich" die Platten formatiert? Auch gleich zwei?
Win7 überschreibt doch bei einer Neuinstallation nicht wahllos Platten, oder etwa doch?
Das würde mich brennend interessieren, für den Fall, dass es mich auch mal betreffen sollte, eine Platte mit TC verschlüsselt zu haben und Windows installieren zu wollen.

Da wäre doch dann noch die Frage, ob es eine schnellformatierung oder eine richtige Formatierung war.
Letzteres hätte ziemlich lange gedauert, und dann wären die Daten mit hoher Sicherheit futsch.

 

[disk31p]

Moin
Mich würde auch interessieren wie Windows heimlich 2 Platten formatiert obwohl hoffentlich die Systemplatte ausgewählt war. Ich selbst habe so etwas noch nie erlebt.
MfG

 

[Nelson_777]

Die Systemplatte ist nicht die um die es hier geht und ein völlig anderes physisches Laufwerk. Das Problem ist vielmehr, das Windows bei einer Neuinstallation die verschlüsselten Platten als unformatiert erkennt und die dann ohne Nachfrage irgendwann im Laufe der Installation schnellformatiert. Ziemlich unglücklich, aber so macht MS das nun mal. Ist kein Problem wenn man daran denkt, hab ich diesmal aber nicht

 

[disk31p]

Krasse Sache. Noch nie gehört aber sehr gut zu wissen. Leider kann ich nicht weiterhelfen. Vielleicht meldet sich ja ernst@at der könnte eventuell helfen.
MfG

 

[Nelson_777]

Festplatten nach Testcrypt. Und Übersicht über alle Festplatten. Es geht um die beiden mit 2 TB.

 

[bongo]

Hi.
Wie bitte hat Windows "heimlich" die Platten formatiert? Auch gleich zwei?
Win7 überschreibt doch bei einer Neuinstallation nicht wahllos Platten, oder etwa doch?
Das würde mich brennend interessieren, für den Fall, dass es mich auch mal betreffen sollte, eine Platte mit TC verschlüsselt zu haben und Windows installieren zu wollen.

Da wäre doch dann noch die Frage, ob es eine schnellformatierung oder eine richtige Formatierung war.
Letzteres hätte ziemlich lange gedauert, und dann wären die Daten mit hoher Sicherheit futsch.

Mir ist das gleiche wie dem TE passiert, habe es dann aber wieder hinbekommen. Anscheinend schreibt die Windows7-Installation wahllos den FAT neu oder macht ein Quickformat auch auf Platten, auf denen nicht Windows7 installiert werden soll.

Ich hatte allerdings die Header meiner TC-Platten gesichert und konnte diese dann nach einigem hin und her wieder in TC mounten. Dann mit GetDataBack die Dateien wieder hergeholt.

Deshalb der dringende Hinweis, bei einer Neuinstallation von Windows alle Platten, die nichts mit der Installation zu tun haben, physisch abzuklemmen.

 

[Nelson_777]

So ist es. Das hat leider bei mir diesmal nicht geklappt. Mittlerweile habe ich die Analyse von Testcrypt hochgeladen, s.o.! Vielleicht kann ja jemand etwas damit anfangen. Mir fiel auf, dass bei der einen Platte die Partition viel zu klein angegeben ist, obwohl beide Festplatten je eine Partition über die gesamte Größe haben sollten.

Wenn ich die Partitionen mit Testcrypt mounte und GetDataBack suchen lasse, werden Dateien, aber keine MFTs gefunden.

 

[InteGralFormat]

Ok - das überrascht mich jetzt doch ganz schön.

Ist auf alle Fälle gut zu wissen. Vielen Dank für das Feedback.

 

[Simpson474]

Wie bitte hat Windows "heimlich" die Platten formatiert? Auch gleich zwei?
Win7 überschreibt doch bei einer Neuinstallation nicht wahllos Platten, oder etwa doch?

Leider ist das Setup von Windows 7 wirklich gefährlich: bei vollständig verschlüsselten HDDs ohne Partitionen wird ein MBR bei Legacy Boot (nicht gut) bzw. ein GPT bei EFI Boot (absolute Katastrophe) auf die HDD geschrieben und bei HDDs mit verschlüsselten Partitionen weiß das Setup auch nichts anzufangen und scheint diese je nach BIOS-Reihenfolge gerne als Systempartition zu verwenden (natürlich nach vorhergehender Schnellformatierung).

Den Header hatte ich gesichert, der ist für beide Platten identisch.

Für jemanden ohne Programmiererfahrung ist das Klonen einer HDD die einzige Möglichkeit, für zwei Platten einen identischen Header zu bekommen - ansonsten ist jeder Header (auch bei identischer Volumegröße und identischem Passwort) ein Unikat.

Versuch den Header über externe Datei wiederherzustellen.

Wenn die Header in Wirklichkeit verschieden sind, dann war diese Aktion nicht gut.

Jede der beiden 2TB HDDs hatte nur eine einzige Partition mit 2TB, oder? TestCrypt hat fast ausschließlich 1TB Volumes gefunden (auch diese Information ist im Header gespeichert, hattest du vielleicht auch mal eine 1TB HDD), einzig bei einer von den beiden 2TB HDDs existiert noch ein 2TB Volume. Versuch mal dieses 2TB Volume in TestCrypt einzubinden und anschließend mit GetDataBack zu analysieren.

 

[Nelson_777]

Hallo Simpson und Danke für Deine Hilfe!
Dass das mit dem Header in die Richtung gehen könnte hatte ich befürchtet, da war es aber schon passiert. Definitiv ist er aber dann zumindest der Header von einer der Platten.
Die 2 TB Partition hatte ich gestern mal gescannt während sie über Testcrypt gemounet war mit GDB, leider fand es keine MFTs und konnte daher dann im Datenbaum nach dem Scan nichts anzeigen.
Besteht dann überhaupt noch eine Chance?

 

[Simpson474]

Definitiv ist er aber dann zumindest der Header von einer der Platten.

Bist du dir da ganz sicher? Die vielen gefundenen TrueCrypt Header mit 1TB deuten eher auf den Header einer 1TB HDD hin. Du bekommst eine PM mit einem kleinen Tool zum Prüfen der Volumegröße des Header Backups.

Die 2 TB Partition hatte ich gestern mal gescannt während sie über Testcrypt gemounet war mit GDB, leider fand es keine MFTs und konnte daher dann im Datenbaum nach dem Scan nichts anzeigen.

Du hast aber in GetDataBack die HDD schon unter "Logische Laufwerke" ausgewählt? Falls du stattdessen die physikalische HDD ausgewählt hast, dann war diese für GetDataBack weiterhin verschlüsselt.

Besteht dann überhaupt noch eine Chance?

Ohne den Header besteht keine Chance - die letzte Chance ist der eine noch vorhandene 2TB Header bzw. das du noch ein weiteres Header-Backup für irgendwo finden kannst.

 

[Nelson_777]

Ja, die HDD war als logisches Laufwerk ausgewählt.

Mehr Header habe ich leider nicht gesichert, dann werde ich mich mal auf die 2TB Partition konzentrieren, die mit 1TB sind jetzt also Datenmüll.

Ich lasse die 2TB Partition heute nochmal scannen, dauert allerdings ein paar Stunden, morgen werde ich dann wieder berichten.

Ärgerlich, dass es im Nachhinein die eigene Doofheit war. War mir mit dem externen Header zu sicher, nur mit dem Einsatz von Testcrypt wäre das wohl nicht passiert. Lehrgeld....

Vielen Dank für Deine Mühen!

Ergänzung (26. Januar 2014)

So, das hat Dein Tool gefunden. Unter Size gibt es die Partitionsgröße an oder? Demnach wäre der gesicherte Header völliger Mist?!?!
Na das habe ich ja toll hinbekommen. Gut, aber das erklärt jetzt wenigstens die 1TB großen Partitionen.

Den Scan der 2TB Partition habe ich gerade wieder abgebrochen, es werden wieder keine MFTs erkannt.

Gibt es nun noch irgendeine Chance über den Header den Testcrypt gefunden hat?
Ansonsten führe ich die HDDs nun einem neuen Zweck zu

 

[Simpson474]

Der Header scheint wirklich von einem 1TB Volume zu stammen. Wenn auch der 2TB Header zu keinen Daten führt, dann dürfte hier wohl nichts mehr zu retten sein.

 

[Nelson_777]

Ja, GDB scheint nur zu erkennen, dass Daten vorhanden sind, aber eben ohne Anfang und Ende. Dann habe ich jetzt wieder viel Platz auf meinen HDDs.

Schade dass es nicht geklappt hat, aber auf jeden Fall vielen Dank für Deine Bereitschaft zu helfen, finde ich sehr gut wenn jemand so etwas macht!

DANKE!

 

[Holt]

Das würde mich brennend interessieren, für den Fall, dass es mich auch mal betreffen sollte, eine Platte mit TC verschlüsselt zu haben und Windows installieren zu wollen.

Wenn man Windows frisch installiert, sollte man immer alle anderen Platten abklemmen und wenn man Daten nicht verlieren will, sollte man immer eine weitere Kopie (Backup) auf einem Medium haben, welches in einem anderen Gehäuse steckt, also z.B. einer USB Platte. Die sollte dann nur zum Erstellen / Aktualisieren des Backups angeschlossen sein und nicht dauernd mitlaufen.

Mit der Verschlüsselung erreicht man übrigens nur eine Schutz der Daten, falls jemand an die Platte kommt, nicht gegen Spionage und Datenklau, der erfolgt meist per Schadsoftware und die kann die Daten dann auch von den verschlüsselten LW lesen. Meist sperrt man sich also nur selbst aus. Daher würde ich mir auch gut überlegen, ob die Backupplatte ebenfalls verschlüsselt werden muss oder ob man die nicht so gut wegschließen kann, dass da keiner sonst Zugriff bekommt.