3/10 Datenrettung mit „TestDisk“ : Rettung für verlorene Partitionen, Daten und Co.

, 220 Kommentare

Einfache Diagnose und Wiederherstellung

Der Ausgangspunkt für das Problem „Einfache Diagnose und Wiederherstellung“ ist eine Festplatte mit drei Partitionen und folgenden Symptomen.

  • Die erste primäre Partition weist auf einen korrupten Bootsektor hin und
  • eine zweite logische Partition mit Namen „Partition_2“ wurde versehentlich gelöscht.

Die Symptome äußern sich unter Windows wie folgt:

  • In der Datenträgerverwaltung (Bild 1) von WinXP fehlt bei der ersten primären Partition das Dateisystem NTFS. Der Laufwerksbuchstabe ist vorhanden. Die zweite logische FAT32-Partition fehlt komplett. Die Datenträgerverwaltung zeigt freien Speicherplatz an. Dieser kann bei einer primären Partition aber auch als nicht zugewiesen oder unallocated erscheinen.
  • Im Explorer erscheint die erste Partition mit Laufwerksbuchstaben. Der Name fehlt und wird nur als „Lokaler Datenträger“ angezeigt. Beim Versuch, den Datenträger zu öffnen, erscheint die Meldung, ob jetzt formatiert werden soll (siehe Bild 2). Diese Frage sollte jedoch immer verneint werden. Unter Rechtsklick auf dem Laufwerk und Eigenschaften (siehe Bild 3) erscheint das Dateisystem als RAW (Rohformat). RAW bedeutet unformatiert. Die zweite versehentlich gelöschte Partition ist im Explorer nicht vorhanden.

Der nachfolgende Weg zeigt die Wiederherstellung der zwei verlorenen Partitionen mit TestDisk durch:

  • Reparatur eines korrupten Bootsektors und
  • Wiederherstellung einer versehentlich gelöschten logischen Partition.

Nach dem Download und der Extraktion der Dateien einschließlich der Unterverzeichnisse kann TestDisk direkt ohne Installation ausgeführt werden. Zum Ausführen werden die Benutzerrechte vorausgesetzt. Ältere Versionen als TestDisk 6.11 werden unter Vista mit Rechtsklick auf testdisk_win.exe und „Als Administrator ausführen“, ausgeführt.

Hinweis zur Bedienung: TestDisk wird ausschließlich über die Pfeil- und Bild-Nach-Oben/Unten-Tasten bedient. Bestätigt wird jeweils mit der Eingabetaste. Mit der q-Taste („q“ für Quit) kann zur vorherigen Anzeige zurückgekehrt oder TestDisk beendet werden. TestDisk nimmt nur Änderungen vor, wenn dies ausdrücklich befohlen wird. Dazu muss in TestDisk die Funktion „Write“ (Schreiben) explizit markiert und mit der Eingabetaste bestätigt werden. Bevor TestDisk dann die Daten aus dem TestDisk-Speicherpuffer auf die Festplatte schreibt, muss nochmals mit „y“ für ja bestätigt werden. TestDisk arbeitet dynamisch. D.h. wenn keine Partition für eine Wiederherstellung vorhanden oder gesetzt ist, dann wird auch die Funktion „Write“ nicht angeboten.

Die ersten Schritte nach dem Start sind:

Log-Datei erstellen
Festplattenauswahl
Partitionstabellentyp
Analyse
Die Schritte 1 – 4

Schritt 1: Log-Datei erstellen: TestDisk kann jeden Schritt protokollieren. Dies ist in erster Linie ein Tool für Anwender, die nichts oder nicht viel über Datenwiederherstellung wissen. Die Log-Datei kann an einen Techniker für weitere Analysen weitergeleitet werden. Die Optionen sind a) eine Log-Datei erstellen, b) Daten an einer existierenden Log-Datei anhängen oder c) keine Log-Datei erstellen. Es sollte auf Standard belassen werden, es sei denn, es gibt einen Grund, dies zu ändern. Ansonsten einfach mit der Eingabetaste weiter bestätigen.
Schritt 2: Festplattenauswahl: TestDisk sollte alle Festplatte in der korrekten Größe mit Hersteller und Modell anzeigen. Es können die Nach-Oben-und-Unten-Pfeile benutzt werden, um die Festplatte mit den verlorenen Partitionen auszuwählen. Nach der Auswahl kann mit der Eingabetaste bestätigt werden.
Schritt 3: Partitionstabellentyp (partition table type) auswählen: TestDisk erkennt den Partitionstabellentyp in der Regel automatisch. Er sollte daher nur geändert werden, wenn man genau weiß, dass die Angabe falsch ist. Ansonsten mit der Eingabetaste einfach weiterbestätigen.
Schritt 4: TestDisk Menüpunkte: In TestDisk werden die einzelnen Menüpunkte angezeigt. Das Standardmenü „Analyse“ ist für eine Diagnose von verlorenen Partitionen bereits voreingestellt. Für eine Analyse kann mit der Eingabetaste bestätigen werden.
Schritt 5: Status der Partitionstabelle: Diese Ansicht zeigt die Übersicht der gegenwärtigen Partitionstabelle. Es kann für eine Diagnose verwendet werden, zum Beispiel um zu prüfen, ob Partitionen fehlen oder falsch eingetragen sind.

Schritt 5: Status der Partitionstabelle
Schritt 5: Status der Partitionstabelle

Als Ergebnis wird die erste primäre Partition doppelt angezeigt. Das bedeutet jedoch nicht, dass die erste Partition in der Partitionstabelle doppelt vorhanden ist, sondern TestDisk gibt die Meldung „Invalid NTFS Boot“ aus, was auf einen korrupten oder nicht vorhandenen Bootsektor hinweist. Zur Meldung „Invalid NTFS Boot“ wird in TestDisk die betroffene Partition zusätzlich aufgeführt! Nach der beschädigten, ersten primären NTFS-Partition startet die erweiterte Partition (E extended LBA). In der erweiterten Partition befindet sich freier Speicherplatz. Es ist nur eine logische Partition „Partition_3“ vorhanden. Die mittlere logische Partition „Partition_2“ fehlt komplett. Die Funktion „Backup“ ist dazu da, um ein Backup von der gegenwärtigen Situation der Partitionstabelle zu machen. Es stellt im Fall die Ausgangssituation wieder her. Weiter geht es mit Bestätigen bei „Quick Search“ (Schnelle Suche).
6: Vista Check: TestDisk fragt, ob nach Partitionen, die unter Vista erstellt wurden, gesucht werden soll. Wer unsicher ist, sollte mit „y“ für ja bestätigen. Auch dies ist eine dynamische Funktion.
7: TestDisk Partitionssuche: Wenn sich auf der Festplatte freier Speicherplatz befindet, kann TestDisk in der schnellen Suche „Quick Search“ das Laufwerk auch nach verlorenen Partitionen scannen.

Vista-Auswahl
Schnelles scannen
Die Schritte 6 und 7

8: Erste Ergebnisse nach Quick Search: TestDisk sucht bei der schnellen Suche „Quick Search“ nach jedem möglichen Bootsektor und zeigt die Partitionen für eine Wiederherstellung an.

Schritt 8: Erste Ergebnisse nach Quick Search
Schritt 8: Erste Ergebnisse nach Quick Search

TestDisk hat die „Partition_2“ gefunden und den Status L für logische Partition automatisch gesetzt (siehe ganz links in Ansicht 8). Die erste primäre NTFS-Partition fehlt immer noch.
Schritt 9: Dateien anzeigen (P: list files): Wenn TestDisk Partitionen gefunden hat, sollte der Zustand der Daten überprüft werden. Es sollten nur Partitionen wiederhergestellt werden, die auch die Daten komplett anzeigen. Bei Fehlermeldungen ist es ratsam, Datenrettungssoftware für beschädigte Dateisysteme zu verwenden. Durch Markieren der Partition und drücken der Taste „p“ werden die Daten gelistet. Um zur vorherigen Ansicht (Bild 8:) zurückzukehren, genügt es „q“ für Quit zu drücken. Weiter geht es mit der Eingabetaste.
Schritt 10: Partitionstabelle abspeichern oder mehr Partitionen suchen: Wenn bereits alle Partitionen gefunden wurden, kann auf dieser Ansicht die Partitionstabelle (mit allen Partitionen) bei „Write“ (Schreiben) komplett in die Partitionstabelle geschrieben werden. Da aber immer noch die erste primäre Partition fehlt, wird noch die tiefere Suche „Deeper Search“ ausgeführt. Wenn nicht bereits automatisch ausgewählt, sollte die Funktion „Deeper Search“ (tiefere Suche) markiert und mit der Eingabetaste bestätigt werden.

Daten-Liste
Menü Tiefere Suche
Die Schritte 9 und 10

Schritt 11: Ergebnisse nach Deeper Search (tiefere Suche): Die tiefere Suche sucht im Gegensatz zur schnelleren Suche (Quick Search) zusätzlich nach jeglichen Sicherheitskopien von Bootsektoren oder Superblöcken und zeigt die Partitionen für eine Wiederherstellung an. Hierbei können auch ältere Partitionen anhand von Überbleibseln erkannt werden.

Schritt 11: Ergebnisse nach Deeper Search (tiefere Suche)
Schritt 11: Ergebnisse nach Deeper Search (tiefere Suche)

Nach der tieferen Suche findet Testdisk noch zwei Partitionen mehr. Alle Partitionen werden ganz links mit dem Status D für deleted (gelöscht) angezeigt. Grund hierfür: die zweite Partition von oben belegt den gesamten Speicherplatz der Festplatte. Mehrere Partitionen können aber nicht denselben Speicherplatz belegen. Bei dem Versuch, zwei Partitionen auf denselben Speicherplatz für eine Wiederherstellung zu setzen, wird die Meldung „Structure: Bad“ ausgegeben. TestDisk bietet nun die volle Kontrolle, welche Partitionen wiederhergestellt werden sollen. Partitionen können durch Markieren und mit dem Links- oder Rechtspfeil auf der Tastatur entweder auf * (Stern) für primär und aktiv als bootfähig, auf P für nur primär, L für logische Partitionen oder auch auf D für deleted (gelöscht) gesetzt werden. Partitionen, die auf D für gelöscht stehen, werden nicht wiederhergestellt.
12: Hilfestellung zum Setzen von primären und logischen Partitionen:

Schritt 12: Hilfestellung zum Setzen von primären und logischen Partitionen
Schritt 12: Hilfestellung zum Setzen von primären und logischen Partitionen

Partitionen, die mit 0 beginnen, sind primäre Partitionen. Bei nachfolgenden primären Partitionen ist der zweite Wert 0. Logische Partitionen starten mit den Wert 1. Bei darauf folgenden logischen Partitionen ist der zweite Wert 1 (siehe Bild 12). Wenn die Partitionen für eine Wiederherstellung gesetzt sind, kann mit der Eingabetaste bestätigt werden.
13: Ansicht zum Schreiben der wiederherzustellenden Partitionen: TestDisk zeigt auf dieser Ansicht alle Partitionen an, die in der Partitionstabelle registriert werden können. Die erweiterte Partition (E extended LBA) in der sich die logischen Partitionen befinden, wird automatisch gesetzt.

Schritt 13: Ansicht zum Schreiben der wiederherzustellenden Partitionen
Schritt 13: Ansicht zum Schreiben der wiederherzustellenden Partitionen

Wenn alle gewünschten Partitionen angezeigt werden, können diese durch Bestätigen bei „Write“ mit der Eingabetaste in die Partitionstabelle eingetragen werden. Dies ist das erste Mal, dass TestDisk überhaupt etwas schreibt, und muss noch mit „y“ für ja bestätigt werden.
Schritt 14–15: Reparatur des Bootsektors: Da bei der ersten Partition „Partition_1“ der Bootsektor beschädigt ist, erscheint jetzt noch das Menü „Boot“ (Bild 14). Der Bootsektor wird als Status mit schlecht (bad), aber das Backup vom Bootsektor mit gut (Ok) angezeigt. Auch sind der Bootsektor und das Backup vom Bootsektor nicht identisch (sectors are not identical).

Funktion Backup Bootsektor kopieren
Nach kopieren vom Backup-Bootsektor
Die Schritte 14 und 15

Die Reparatur erfolgt durch Bestätigen bei der Funktion „Backup BS“ mit Eingabe und „y“. Dadurch wird das gültige Backup des Bootsektor über den Bootsektor kopiert. TestDisk zeigt jetzt beide Sektoren als OK und identisch an (siehe Bild 15). Für den Fall, dass der Bootsektor und sein Backup beschädigt sind, kann auch ein Wiederaufbau des Bootsektors mit der Funktion „Rebuild BS“ (Bootsektor wieder aufbauen) in Betracht gezogen werden. Das Schreiben eines wiederaufgebauten Bootsektors sollte nur erfolgen, wenn die Daten im Menü „List“ vollständig angezeigt werden.

TestDisk gibt noch die letzte Meldung aus. Nach Bestätigen bei Ok kann TestDisk mit Quit beendet werden.

Neustart
Neustart


Schritt 16: Abschluss der Wiederherstellung Um auf die Daten wieder zuzugreifen, muss der Computer noch neu gestartet werden.

Nach der Beschreibung der grundlegenden Arbeitsweise um Partitionen wiederherzustellen, zeigen wir auf den folgenden Seiten noch einige spezielle Techniken wie das „Konvertieren von dynamischen Volumen ohne Datenverlust“ und „Wiederherstellung von einem Stripeset“ (Software-RAID 0) unter Windows.

Auf der nächsten Seite: Konvertieren von dynamischen Datenträgern

220 Kommentare
Themen:
  • Fiona Meg Riessler E-Mail
    … hat von Juli 2004 bis Dezember 2008 Artikel für ComputerBase verfasst.