Verschlüsselten Ordner gelöscht

Quantumf

Cadet 1st Year
Registriert
Dez. 2021
Beiträge
10
Hallo zusammen,

ich hoffe, die Schwarmintelligenz kann mir hier helfen.

Folgendes Problem:

Ich habe (hatte) sämtliche Familien Fotos und Videos auf einer separaten Festplatte archiviert ( Laufwerk G).

Diese hatte ich mit meinem Antivirenprogramm G-Data verschlüsselt. Hierzu habe ich zwei Datensafes erstellt, welche auf Laufwerk G als .ts4 Datei erschienen.

Öffnete man den Safe durch Eingabe des Passworts erschien im Explorer ein neues Laufwerk unter anderem Buchstaben (Laufwerk H).

Ihr könnt euch fast schon denken, dummerweise habe ich diese beiden Dateien natürlich aus Versehen gelöscht:wall:

Seitdem wurde auf Laufwerk G glücklicherweise noch nichts gemacht. Die Dateien sollten also noch nicht überschrieben worden sein.

Ich habe schon mit dem Programm Wondershare Recoverit versucht, die Daten wiederherzustellen, doch leider ohne Erfolg…

Das Programm hat in etwa 50 GB an Daten gefunden, allerdings lediglich Fotos und Videos, welche unverschlüsselt auf der Platte lagen. Insgesamt geht es jedoch um ca. 2,5 tb Daten. Die Wiederherstellung habe ich dann natürlich nicht ausgeführt, um nichts auf Laufwerk G zu überschreiben.

Auch Recuva habe ich schon durchlaufen lassen. Es hat die zwei.ts4 Dateien wirklich gefunden. Allerdings sind diese rot markiert, in der Zeile Zustand steht unwiederherstellbar…Bei Kommentar: „keine überschriebenen Cluster gefunden“

Das steht aber auch bei den wiederherstellbaren Dateien…

Kann es sein, dass es an der exotischen Endung.ts4 liegt?

Wie gesagt, auf der Platte wurde nach dem löschen nichts geschrieben…

Gibt es ein Programm, welches die komplette Festplatte Bit für Bit wieder herstellt? Ich habe das Gefühl, dass Rcoverit lediglich nach bestimmten Dateien sucht und ts4– Dateien nicht unterstützt werden.

Für jede Hilfe wäre ich sehr dankbar!
 
Wenns einfach nur gelöscht markiert wurde hilft evtl. dies hier: PC Inspector File Recovery.
 
Es ist eine normale HDD, NTFS formatiert, 4tb.
Zur Zeit lasse ich Windows file recovery laufen… danach kann ich testdisk probieren…
 
Laut Anleitung Seite 50 geht das bis 2 TB. Du schreibst aber von 2,5 TB an Daten.
G Data Safe.png
Da ich G-Data nicht nutze, weis ich nicht ob über 2 TB hinaus unterstützt wird.
 
Ich denke, dass Du mit herkömmlichen Tools nicht weiter kommst, da das Format zu wenig bekannt ist.
Zuerst wie in Post 6 vorgeschlagen, ein Image (1:1 Kopie) anfertigen z.B. mit dd oder FTK-lite Imager.
Auf einem weiteren Datenträger einen kleinen Test-Container erstellen und diesen mit einem Hex-Editor öffnen und schauen, ob dieser Container (ts4) einen spezifischen Header und Footer hat. Wenn das so ist, ist das schon die halbe Miete. Anschließend Deine 1:1 Kopie z.B. mit Autospy öffnen und nach diesem Header und Footer suchen. Alles dazwischen markieren und rauskopieren. Umbennen nach ts4 und testen. Falls erfolgreich, das ganze für den 2. Container wiederholen.
 
  • Gefällt mir
Reaktionen: Fusionator
teufel82 schrieb:
Ich denke, dass Du mit herkömmlichen Tools nicht weiter kommst, da das Format zu wenig bekannt ist.
Zuerst wie in Post 6 vorgeschlagen, ein Image (1:1 Kopie) anfertigen z.B. mit dd oder FTK-lite Imager.
Auf einem weiteren Datenträger einen kleinen Test-Container erstellen und diesen mit einem Hex-Editor öffnen und schauen, ob dieser Container (ts4) einen spezifischen Header und Footer hat. Wenn das so ist, ist das schon die halbe Miete. Anschließend Deine 1:1 Kopie z.B. mit Autospy öffnen und nach diesem Header und Footer suchen. Alles dazwischen markieren und rauskopieren. Umbennen nach ts4 und testen. Falls erfolgreich, das ganze für den 2. Container wiederholen.
Auch das ist aber nur dann halbwegs realistisch, wenn die Partition beim Anlegen der Container komplett leer war und das Betriebssystem diese Dateien an einem Stück ablegen konnte (und nicht wild zerwürfelt über verschiedene freie Lücken zwischen belegten Sektoren hinweg...)

Im Normalfall liegen größere Dateien nie fortlaufend beginnend mit dem Header und endend mit dem Footer innerhalb der Rohdaten einer Platte bzw. ihres Images.
 
  • Gefällt mir
Reaktionen: M-X und Ichthys
Purche schrieb:
und nicht wild zerwürfelt über verschiedene freie Lücken zwischen belegten Sektoren hinweg
Und das ist bei 2,5 TB sehr wahrscheinlich. Meiner Erfahrung nach kannst Du Dich von den Daten höchstwahrscheinlich verabschieden. Ich zumindest habe noch keinen Fall erlebt, dass die Daten wiederhergestellt werden könnten.
 
Quantumf schrieb:
Image am besten mit acronis, oder?

Nein, niemals in solchen Fällen 🤦‍♂️ siehe #12 und jeden beliebigen anderen
halbwegs kompetenten Artikel/Thread zum Thema Datenrettung.

Es hat schon seinen Grund, warum immer zu einem bitgenauen Image des Datenträgers geraten wird.
Aber lass Windows ruhig noch weiter auf die Platte zugreifen.

teufel82 schrieb:
Anschließend Deine 1:1 Kopie z.B. mit Autospy öffnen und nach diesem Header und Footer suchen. Alles dazwischen markieren und rauskopieren.
Genial, muss ich mir merken 👍 Du meinst vermutlich Autopsy , oder?

Ichthys schrieb:
Ich zumindest habe noch keinen Fall erlebt, dass die Daten wiederhergestellt werden könnten.
Ich schon :D Verschiedene Daten, verschiedene Größen, verschiedene Datenträger. GetDataback is your Friend.

Es gab übrigens noch gar keine Belehrung zu dem eigentlichen Epic Fail hier, nämlich alle Familienfotos usw. in verschlüsselte Container ohne irgendein weiteres Backup abzulegen…
 
Fusionator schrieb:
Nein, niemals in solchen Fällen 🤦‍♂️ siehe #12 und jeden beliebigen anderen
halbwegs kompetenten Artikel/Thread zum Thema Datenrettung.

Es hat schon seinen Grund, warum immer zu einem bitgenauen Image des Datenträgers geraten wird.
Aber lass Windows ruhig noch weiter auf die Platte zugreifen.


Genial, muss ich mir merken 👍 Du meinst vermutlich Autopsy , oder?


Ich schon :D Verschiedene Daten, verschiedene Größen, verschiedene Datenträger. GetDataback is your Friend.

Es gab übrigens noch gar keine Belehrung zu dem eigentlichen Epic Fail hier, nämlich alle Familienfotos usw. in verschlüsselte Container ohne irgendein weiteres Backup abzulegen…
Ja steinigt mich ruhig, ich hab’s verdient…
Windows file recovery rödelt noch… danach zieh ich ein Image und arbeite eure Tipps ab.
Weitere Fragen spätestens Morgen ;)
 
Dann ist die unbekannte Platte hoffentliche keine SMR-Platte von WD, die auch TRIM unterstützt... Schritt 1 ist IMMER mind. einen 1:1 Klon anzulegen.
 
TorenAltair schrieb:
Dann ist die unbekannte Platte hoffentliche keine SMR-Platte von WD, die auch TRIM unterstützt... Schritt 1 ist IMMER mind. einen 1:1 Klon anzulegen.
Laut Crystal Disk Info: WDC40EFRX-68WT0N0
File recovery braucht übrigens EWIG…steht erst bei 66% und läuft schon seit gestern morgen…
 
Zurück
Oben