Verschlüsselte TrueCrypt HDD formatiert - Daten wiederherstellen!

[marcelul]

Hallo Leute!

Mir ist ein Missgeschick unterlaufen... Habe meine externe 1TB HDD formatiert. Die war komplett mit True Crypt verschlüsselt. Habe eine einfache Windows-Schnellformatierung durchgeführt.

Habe ich eine Möglichkeit, wieder an meine Daten heran zu kommen? Habe keinerlei Schreibvorgänge mehr durchgeführt auf der Platte, sondern nur formatiert!

Benötige dringend Hilfe.... Betriebssystem ist Windows 7!

Danke schon im Voraus!

Gruß
marcelul

 

[Simpson474]

Du sprichst in deiner PM von einer TrueCrypt Rescue Disk - diese kann man jedoch nur erstellen, wenn man die komplette HDD für PBA (Passworteingabe vor dem Windowsstart) verschlüsselt hat. Dies ist bei einer externen HDD aber eher weniger der Fall. Von daher wäre zunächst wichtig, wie du deine HDD immer gemountet hast - vor dem Windowsstart per Passworteingabe oder unter TrueCrypt.

 

[marcelul]

Ich habe die HDD immer nach dem Windows-Start über TrueCrypt selbst gemountet. Habe da den Datenträger ausgewählt und das Kennwort eingegeben.

 

[Simpson474]

Die Option "Mount partition using system encryption without pre-boot authentication" hast du in TrueCrypt beim Mounten auch nicht angewählt, oder? In diesem Fall wird dir die Rescue-Disk nichts bringen - lass einfach mal TestCrypt am Ende der HDD scannen.

 

[luks337]

Hallo, habe das selbe Problem, was heißt am ende? Habe 12900 sektoren (habe ne 1 gb platte), soll ich da ab 12000-12900 scannen oder was heißt das? Weil bei automatisch findet er nichts

 

[Simpson474]

12900 Sektoren sind gerade mal 6MB - irgendwas passt das also nicht. Außerdem hatte bereits meine allererste HDD 1,3GB - eine 1GB Platte klingt in der heutigen Zeit ein bisschen ungewöhnlich

Wichtig wäre auch hier, ob die ganze HDD verschlüsselt war, oder nur eine Partition. Außerdem wäre die TrueCrypt-Version wichtig, mit der die HDD verschlüsselt wurde.

 

[luks337]

So, jetzt habe ichs, ist natürlich 1TB und habe auf die geometry geachtet (die auch falsch ist, richtig ist 129201/240/63). Sectors sind 1953523055. Wie stelle ich das nun am besten ein bei manual?
Zudem ist es nur eine partion, die hidden war und die ich dann über computer->verwalten schnell formatiert habe

 

[Simpson474]

Wenn du wirklich nur formatiert hast, so sollte TrueCrypt selbst den Header wiederherstellen können. Dazu beim Einbinden die Option "Use backup header embedded in volume if available" auswählen. Sollte das nicht funktionieren, so sieht es nicht besonders gut aus.

 

[luks337]

Habe ich probiert. klappt nicht. Habe aber immer die formatierte partition ausgewählt, bzw. die ganze festplatte. Ist das richtig oder muss ich irgendwie die partition wieder in unformartierten bereich bringen?

 

[Simpson474]

Welche Fehlermeldung erhältst du von TrueCrypt? Du kannst sicherheitshalber (TrueCrypt ist hier manchmal empfindlich) die NTFS-Formatierung entfernen. Am leichtesten geht das wohl mit HxD - den Hex-Editor mit Administratorrechten öffnen und unter Extras -> "Open Disk" die Partition öffnen (Haken bei Readonly entfernen). Du solltest ganz am Anfang "ëR.NTFS" sehen, dass änderst du einfach in "ëR.NTFX". Anschließend neu starten und die Partition enthält kein gültiges Dateisystem mehr.

 

[luks337]

Ich bekomme immer "incorrect Password or not a truecrypt volume". Probiere deine Methode mal mit dem Hex-editor, melde mich dann gleich wieder...

 

[marcelul]

Die Option "Mount partition using system encryption without pre-boot authentication" hast du in TrueCrypt beim Mounten auch nicht angewählt, oder? In diesem Fall wird dir die Rescue-Disk nichts bringen - lass einfach mal TestCrypt am Ende der HDD scannen.

Ich glaube nicht dass ich den Haken damals nicht gesetzt habe. Ist schon länger her. TrueCrypt Version mit der ich verschlüsselt habe war 6.1 meine ich.

Habe hier einen Screen von TestCrypt:



Wie muss ich das einstellen um das Ende der HDD zu scannen?

 

[Simpson474]

Noch einmal auf "Next" klicken und dann bei "End of Volume" auf "Automatic" stellen.

@luks337: Die Fehlermeldung klingt weniger nach einem durch das Dateisystem verursachten Fehler. Weißt du noch, welche TrueCrypt-Version du verwendet hast?

 

[luks337]

leider nein, denke aber es war 6.3a, weil die ist noch recht neu. Sonst mit viel pech die 4er oder 5er, weiß es nicht mehr genau

 

[Simpson474]

Ein Backup-Header existiert erst ab Version 6 und der Originalheader wurde durch die Formatierung sicher gekillt. Wenn es jedoch ein Hidden-Volume war, so sollte bei TrueCrypt 5 der Header mit TestCrypt gefunden werden, wenn du mit dem Hidden-Volume Passwort suchst (nicht jedoch mit dem Alibi-Passwort) - allerdings kann man in diesem Fall mit dem gefundenen Header nicht wirklich viel anfangen.

 

[marcelul]

Noch einmal auf "Next" klicken und dann bei "End of Volume" auf "Automatic" stellen.

Muss ich bei TrueCrypt Properties mein vergebenes Kennwort eingeben, was ich damals bei der Verschlüsselung gewählt habe?

 

[Simpson474]

Ja, außer du hast das Kennwort später noch einmal geändert. Es muss immer das aktuellste Kennwort verwendet werden.

 

[luks337]

Ok, daß ist natürlich echt mist . Mir ist noch eine Fehlermeldung eingefallen, als ich im verwalten war wollte er irgendwas mit dem MBR machen, weil da ein fehler oder so drinne war. War im stress und habe einfach ja geklickt (ja ich weiß sehr dumm) und kann es auch dadran liegen?`Habe so zusagen das und das schnell formatieren gemacht
Zudem was ist ein alibi-passwort?

 

[Simpson474]

Bei einem Hidden-Volume hast du zwei Passwörter - das Alibi-Passwort für das äußere Volume und das zweite Passwort für das versteckte Volume. Bei älteren TrueCrypt-Versionen liegt der Hidden-Volume Header am Ende der Partition, weshalb man in diesem Fall zumindest noch einen Header findet, allerdings nur wenn man mit dem Hidden-Volume Passwort sucht.

Was du jetzt zusätzlich noch geschrieben hast, klingt danach, als ob deine komplette HDD verschlüsselt war. In diesem Fall muss die Partition weg - da die Daten am Anfang des Volumes eh schon zerstört sind, kannst du das auch mit der Datenträgerverwaltung von Windows machen. Anschließend kannst du noch einmal versuchen, deine HDD in TrueCrypt (ebenfalls wieder mit der vorherigen Option) zu mounten.

 

[luks337]

Wie meinst du das mit komplett weg und es war nur die partition. Weil da ist auch die C-partition druaf, auf der gleichen platte. Also was meinst du mit komplett weg, wie mache ich das über die datenträgerverwaltung?
Weil denke der MBR fehler kam von einer anderen platte, aber bin mir nicht sicher.