Windows-Setup-Assistent ruiniert VeraCrypt-verschlüsselte HDD - Noch was zu retten?

Marvolo

Lt. Commander
Registriert
Nov. 2007
Beiträge
1.951
Hallo,

Folgende Ausgangslage:
ich habe eine 6TB HDD, die vollständig mit VeraCrypt auf HDD-Ebene (nicht Partitionsebene) verschlüsselt war, d.h., ab Sektor 0.
In Folge dessen erschien sie in Windows auch regelmäßig in der Datenträgerverwaltung als "nicht initialisiert", was ich dann immer vorsichtig weggeklickt habe. Denn so war es ja richtig. Mit VeraCrypt konnte ich die Platte dann mounten und gut war.

Desweiteren habe ich von der Platte mit VeraCrypt ein Backup des Headers / Kopfzeile sowie ein Backup des Keys angelegt, was ich beides als Dateien noch vorliegen habe. Desweiteren weiß ich mein Passwort für die Entschlüsselung.

Folgendes Drama/Problem:
Gestern wollte ich Windows neu installieren, aber auf eine 250GB SSD - also eine physisch komplett andere Platte. Im Nachhinein hätte ich die VeraCrypt-Platte physisch vom Mainboard trennen sollen, was ich aber nicht gemacht habe. Im Windows Setup habe ich dann explizit und nach 10x überprüfen die SSD ausgewählt und NUR die SSD, um darauf Windows neu zu installieren. Ich war ganz sicher, dass die SSD ausgewählt war und NICHT die VeraCrypt-Platte.

Nach der Windows-Installation bemerkte ich in der Datenträgerverwaltung schon das erste unheilvolle Zeichen: er fragt plötzlich gar nicht mehr danach, die 6TB-Platte zu initialisieren, so wie das vorher immer war. Dann merke ich, Windows-Setup hat jetzt die 50mb MBR "System-reserviert"-Partition anstatt auf die SSD zum restlichen Windows auf die 6TB VeraCrypt-Platte geschrieben. Weiß der Geier, warum... Ich hatte explizit die SSD ausgewählt im Setup, warum schreibt der den MBR dann plötzlich auf andere Platten?!

Vermutung aus dem anderen Forum: die VeraCrypt-Platte hing am SATA-0-Port. Vermutlich dachte Windows, alles was am 0-Port hängt, muss wohl automatisch das C-Windows-Laufwerk sein und hat dann dort direkt schonmal den 50mb MBR / System-reserviert draufgeschrieben.

Naja, jedenfalls hatte ich danach versucht, mit VeraCrypt die HDD zu mounten, aber wie erwartet, ging nicht mehr. Fehlermeldung. Habe die Platte dann direkt ausgebaut und ONTRACK Datenrettung kontaktiert, am Telefon das Problem geschildert - ein Techniker würde sich dann melden bei mir. Bisher noch keine Antwort.

Im leider nur englischssprachigen VeraCrypt-Forum sagte man mir, dass die Chancen prinzipiell sehr gut stünden, dass da nichts verloren ist. Denn ich habe den Header als Backup, ich habe den Key, ich habe mein Passwort zur Entschlüsselung. Alles, was jetzt getan werden müsste, sei das Backup des Headers einzuspielen - dabei würde VeraCrypt dann die bisherige Partitionstabelle überschreiben und alles sei dann wieder wie vorher. Da die Platte ja ab Sektor 0 direkt verschlüsselt war und nicht auf Partitionsebene, muss auch kein Partitionsanfang gefunden werden.

Am Telefon mit einem örtlichen Dattenrettungsunternehmen sagte man mir zudem, dass das Schreiben der 50mb-Partition nicht zwangsweise vorhandene Daten überschrieben hätte. Wenn noch genug freier Platz auf der HDD war, dann hätte es erstmal freie Sektoren beschrieben, keine bereits vorhandenen. Platz war von den 6TB noch genug. Mindestens 2 oder 3 TB.

All diese Zeichen lassen mich nun hoffen, dass es vielleicht noch nicht zu spät ist. Das meiste auf der HDD waren Backup-Daten, von denen ich Kopien habe. Also nicht schlimm, falls weg. Aber einige wenige Dateien waren einzigartig und leider auch sehr wichtig. Die bräuchte ich schon dringend wieder.

Ich traue mich jetzt aber nicht, an der HDD weiter rumzupfuschen. Ich habe sie direkt ausgebaut. Vielleicht lieber erstmal ein Sektor-für-Sektor-Klon erstellen und dort dann versuchen, das Header-Backup wieder einzuspielen?
Meint ihr, da besteht nun noch Chance, dass man wieder an die verschlüsselten Daten rankommt?

Was komisch ist, vorher war die Platte wie gesagt un-initialisiert und un-partitioniert. Nun nach dem Massaker durch das Windows-Setup sieht sie wie folgt aus:

HDD_veraCrypt_1.png


PS: Bitte keine Grundsatzdiskussion bezüglich Pro-Contra-Verschlüsselung... Die Vor- und Nachteile kenne ich selber sehr wohl und sowohl die Risiken als auch das Nutzen einer Verschlüsselung.
 
Marvolo schrieb:
Am Telefon mit einem örtlichen Dattenrettungsunternehmen
Genau denen sendest du deine Platten zu!

Das ist die beste und sicherste Möglichkeit!
 
Boah das ist fies.
Aber was man draus lernen kann: Bei Windows Installation immer nur das System Laufwerk anschliessen, alle anderen Laufwerke physisch disconnecten. (Aus dem M.2 / Sata Slot raus).
 
  • Gefällt mir
Reaktionen: Araska, wesch2000 und Marvolo
D0m1n4t0r schrieb:
Aber was man draus lernen kann: Bei Windows Installation immer nur das System Laufwerk anschliessen, alle anderen Laufwerke physisch disconnecten. (Aus dem M.2 / Sata Slot raus).

Das habe ich jetzt auch gelernt da draus... Ich hätte NIE gedacht, dass andere Platten betroffen sein könnten, selbst wenn ich im Setup ganz explizit eine andere ausgewählt hatte. Und das meiste von Windows war ja dann auch auf der gewünschten Platte. Nur der 50mb MBR eben nicht...
Ergänzung ()

Skudrinka schrieb:
Genau denen sendest du deine Platten zu!

Ich sollte hier vielleicht dazu sagen: der lokale Dienst, mit dem ich telefoniert hatte, schien nicht sehr kompetent. Ich glaube, die kannten sich mit Verschlüsselungen kaum aus. Die machen wahrscheinlich eher so Sachen wie "gelöschte Dateien wiederherstellen etc."

Ontrack wäre eine Option, aber die sind halt Sack-teuer. Da die Platte ja weder physisch kaputt ist noch irgendwas Gelöschtes wiederhergestellt werden muss, würde ich aktuell dazu tendieren, die Platte 1:1 mit Schreibschutz zu klonen und dann erstmal am Klon versuchen, das Backup des VC-Headers wieder einzuspielen und sie dann hoffentlich erfolgreich zu mounten und alles wäre wieder da...
 
  • Gefällt mir
Reaktionen: Wo bin ich hier und Skudrinka
Marvolo schrieb:
Am Telefon mit einem örtlichen Dattenrettungsunternehmen sagte man mir zudem, dass das Schreiben der 50mb-Partition nicht zwangsweise vorhandene Daten überschrieben hätte.
Bin ich mir unsicher.. am Ende war die gesamte platte Verschlüsselt.. woher weiß Windows wo keine Daten sind?

Auch wird ja eine Partition erstellt und diese an eine gewisse Position platziert und nicht mitten wo was frei ist.. ist ja keine SSD..

Marvolo schrieb:
Vielleicht lieber erstmal ein Sektor-für-Sektor-Klon erstellen und dort dann versuchen, das Header-Backup wieder einzuspielen?

Das sowieso... Nicht an der originalen Platte experimentieren.

Weiterhin wird immer wieder darauf hingewiesen bei Installation von BS nur den Primären Datenträger dran zu lassen... Windows ist immer noch doof seit Windows 7 hat sich da nichts geändert.
 
  • Gefällt mir
Reaktionen: guzzisti und iSight2TheBlind
Ja, auch ich habe dieses Lehrgeld schon bezahlt!
Zwar NUR mit dem Ärger meiner Frau ob der Bilder die verloren gingen;-)
Aber das reichte, leider ließt man derartige Vorfälle hier im Forum immer wieder!?
Ich denke das MS hier dringend nachbessern sollte z.Bsp. mit einer entsprechneden Abfrage bzw. klar Auskunft gibt wo welche Daten hingeschrieben werden.
Bei den aktuellen PCs wo bis zu 4 m.2 SSDs verbaut werden können kann der Aufwand nur für eine Betriebssysteminstallation recht aufwendig werden.
 
Skudrinka schrieb:
Genau denen sendest du deine Platten zu!

Bei der Aussage von denen das eine Partition sich quer über den Datenträger (HDD) auf möglichst freien Bereich erstreckt würde ich denen keinen Meter trauen...
Ergänzung ()

Anderweitig wäre das Problem nicht aufgetreten wenn die Festplatte normal partitioniert gewesen wäre und man dort einen Container eingerichtet hätte..

In der aktuellen Konstellation hat Windows gedacht ist leer..
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: Fusionator, recu, guzzisti und 3 andere
xxMuahdibxx schrieb:
Bin ich mir unsicher.. am Ende war die gesamte platte Verschlüsselt.. woher weiß Windows wo keine Daten sind?

Auch wird ja eine Partition erstellt und diese an eine gewisse Position platziert und nicht mitten wo was frei ist.. ist ja keine SSD..

Das klingt nicht gut. Aber selbst wenn es dann so wäre, das meiste der Daten sind Backup-Dateien. Wenn dann von denen irgendwo 50mb fehlen würden, wär's nicht tragisch.
Aber ja, die Platte war von Anfang an (Sektor 0) verschlüsselt, nicht erst ab Partitionsebene, was im Nachhinein vllt schlauer gewesen wäre...

Größere Angst habe ich gerade, dass Windows-Setup die ganze Platte evtl. formatiert haben könnte, bevor es die 50mb MBR draufgeschrieben hat.
Und warum es plötzlich 2 "nicht zugeordnete Partitionen" erstellt hat (siehe Screenshot oben), verstehe ich auch nicht.

Vorher war die Platte dort eine einzige große, schwarze Grafik. Nicht-initialisiert eben und un-partitioniert.
 
Marvolo schrieb:
Größere Angst habe ich gerade, dass Windows-Setup die ganze Platte evtl. formatiert haben könnte, bevor es die 50mb MBR draufgeschrieben hat.
Nein, das hättest du zeitlich sehr bemerkt wenn Windows erstmal 6TB an 0en geschrieben hätte.
 
Frage:
macht es Sinn, sich ein hardwaremäßig identisches Modell derselben HDD nochmal zu kaufen fürs Klonen, wo ich dann sicher sein kann, dass die Ziel-HDD exakt gleich groß ist wie das Original? Oder kann die Ziel-HDD prinzipiell auch größer sein als das Original? Oder auch kleiner - da ja beim Original nicht die gesamten 5.5TB in Nutzung waren?
 
nun, man muß die anderen datenträger ned zwingend ausbauen. ich empfehle das aber wie viele andere user.

das aufgetretene problem wäre vermeidbar gewesen mit partitionierung per hand bzw batch.
siehe ms link mit beispielscript.
und man muß es ned per script machen, man kann die entsprechenden befehle auch abtippen, eventuell mit angepassten größen.

aber wer aus faulheit ned ausbaut, und ned per hand partitioniert, und sich somit blind auf eine recht intransparente 08/15 automatik, ist auch ein bissl selber schuld.
nun, aus katastrophen lernt man, so heisst es.
 
Marvolo schrieb:
Wenn dann von denen irgendwo 50mb fehlen würden, wär's nicht tragisch.
50 MByte Informationen aus einem voll verschlüsselten Datenträger können heftig sein. Z.B. die Infos zu Dateisystem, wo was liegt und wie etwas heißt.

Marvolo schrieb:
Wenn noch genug freier Platz auf der HDD war, dann hätte es erstmal freie Sektoren beschrieben, keine bereits vorhandenen. Platz war von den 6TB noch genug. Mindestens 2 oder 3 TB.
Ein vollverschlüsselter Datenträger hat keinen Platz. Für ein Windows ist der nicht initialisiert.

Anyway.
Wenn überhaupt trau ich nur Ontrack zu überhaupt irgendwas tun zu können. Und das unter Vorbehalt.

joel schrieb:
Bei den aktuellen PCs wo bis zu 4 m.2 SSDs verbaut werden können kann der Aufwand nur für eine Betriebssysteminstallation recht aufwendig werden.
Solange das der selbe Datenträger bleibt wo immer wieder das Windows drauf kommt geht das. Was meist schief geht irgendwann ist das Datenträger wechseln und nicht vollständig Cleanen von Systemdatenträgern. Wenn solche drin gelassen werden kommt es zu Murks.
 
  • Gefällt mir
Reaktionen: iSight2TheBlind
nuja, aber wasauchimmer für ein anschluss, erzeugst per hand ein passendes layout, wir setup das verwenden.
ich find das setup auch schwach, was transparenz betrifft.
 
An welchem SATA Port die HDD hängt ist nicht relevant, da muss bei der Installation etwas falsch gelaufen sein, denn bei korrekter Auswahl passiert das nicht, zudem sollte da auch nichts von MBR stehen. Verschlüsselung ist ok, wenn man noch eine weitere unverschlüsselte Sicherung extern im Schrank liegen hat!
 
Questionmark schrieb:
An welchem SATA Port die HDD hängt ist nicht relevant, da muss bei der Installation etwas falsch gelaufen sein, denn bei korrekter Auswahl passiert das nicht

Was ist dann sonst hier passiert? Ausgewählt wurde im Windows-Setup definitiv die SSD - daran zu sehen, wie im Screenshot oben, dass der meiste Teil von Windows auf der SSD landete, nur aber der MBR woanders.
Ergänzung ()

BFF schrieb:
50 MByte Informationen aus einem voll verschlüsselten Datenträger können heftig sein. Z.B. die Infos zu Dateisystem, wo was liegt und wie etwas heißt.

Denkst du, mit Hilfe des VeraCrypt Header-Backups kann ich den vorherigen Zustand nicht wiederherstellen und die Platte dann mit VC mounten?
 
Marvolo schrieb:
Schnell-Formatierung
Das vermutlich schon, aber hierbei werden nicht alle Sektoren überschrieben.
https://de.wikipedia.org/wiki/Formatierung#Normal-_und_Schnellformatierung

Bei einer schnellen High-Level-Formatierung sind in dem neuen Dateisystem die alten Daten nicht verfügbar, da sie nicht mehr durch entsprechende Verweise im Dateisystem referenziert werden. Sie werden jedoch nicht notwendigerweise gelöscht. Meistens verbleiben sie rein physisch auf der Festplatte, bis sie mit neuen Daten überschrieben werden. Solange die verwendeten Datenblöcke nicht erneut beschrieben werden, ist mit entsprechender Software eine weitgehende Wiederherstellung noch möglich, gestaltet sich jedoch schwerer, als wenn die Dateien einfach nur gelöscht würden.
 
Wieso überhaupt MBR, das hat da nichts zu suchen! Was passiert ist, kann ich nicht sagen, aber es ist was schief gelaufen, ich installiere mehrere Systeme am Tag und da kommt soetwas nicht vor.
 
Zurück
Oben