Analyse mit Testdisk, ist da noch eine chance?

Liebes Forum,
ich mache noch einmal einen Versuch. Habe eine Laufwerk verloren und habe mich mit Testdisk daran versucht. (Auf dem Laufwerk befindet oder befand sich ein Truecrypt-Container).
Testdisk lieferte folgendes:

---------------------------------------------------------------------------

Drive G: - 1000 GB / 931 GiB - CHS 1953519490 1 1
Current partition structure:
Partition Start End Size in sectors

1 * DiskSecure MB 1953654121 3262935656 1309281536

Warning: Bad starting sector (CHS and LBA don't match)
2 * SpeedStor 544500077 2280054207 1735554131

Warning: Bad starting sector (CHS and LBA don't match)
3 * Sys=2B 658790 658799 10

Warning: Bad starting sector (CHS and LBA don't match)
Only one partition must be bootable
Space conflict between the following two partitions
2 * SpeedStor 544500077 2280054207 1735554131
1 * DiskSecure MB 1953654121 3262935656 1309281536
---------------------------------------------------------------------
Screenshot zwischendurch:
---------------------------------------------------------------------

Drive G: - 1000 GB / 931 GiB - CHS 1953519490 1 1
Analyse cylinder 1081251687/1953519489: 55%5


check_FAT: Incorrect number of bytes per sector 64576 (FAT) != 512 (HD)
HFS 8092415637787515 2801292%70 2333454486 [^A»¸ì¹~@~,~Qrd]ǤÁ
HFS 11575877433 3065254774 2489377342 [^Lo~]<^P]
check_FAT: Incorrect num964 of bytes per sector 7539 (FAT) != 512 (HD)
HFS 607939609712 2308195307 1488585596 [&ã^B^C3~ZîìÙª^G2^F?ÿ~G
HFS 97173293688 3450309257 2487015570 [p^P^Tp]
HFS 967227040 3438093998 2470866959 [_D~SVà~MC7[*Ö¼â"fÀ^V~L
YÉ=Bô~T(f$]



check_FAT: Bad jump in FAT partition
check_FAT: Bad jump in FAT partition
HFS 1581196996 1717520069 136323074 [Ë^X&X¹B¥ ^T&H~QB%
Stop ^R(H~I2^CH^EKrÎ]


4340



49363

--------------------------------------------------------------

Endergebnis:

--------------------------------------------------------------


TestDisk 6.11.3, Data Recovery Utility, May 2009
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Drive G: - 1000 GB / 931 GiB - CHS 1953519490 1 1

The harddisk (1000 GB / 931 GiB) seems too small! (< 1766 GB / 1645 GiB)
Check the harddisk size: HD jumpers settings, BIOS detection...

The following partitions can't be recovered:
Partition Start End Size in sectors
HFS 467787515 2801242000 2333454486 [^A»¸ì¹~@~,~Qrd]ǤÁ
HFS 575877433 3065254774 2489377342 [^Lo~]<^P]
HFS 819609712 2308195307 1488585596 [&ã^B^C3~ZîìÙª^G2^F?ÿ~G
HFS 963293688 3450309257 2487015570 [p^P^Tp]
HFS 967227040 3438093998 2470866959 [_D~SVà~MC7[*Ö¼â"fÀ^V~L
YÉ=Bô~T(f$]





[ Continue ]
HFS, 1194 GB / 1112 GiB

49363

---------------------------------------------------------

Ich kann mir keinen Reim machen, hat jemand eine Idee?
Vielen Dank

Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

ich hatte bei sowas schon mal erfolg mit Partition magic:
Partition magic hat beim Starten einen fehler gefunden und repariert, anschließend hab ich die Partitionen mit Testdisk wiederherstellen können.

wenn das nicht hilft, solltest du versuchen deinen Truecryptordner mit einem File Recoverytool (z.B.: gelöschte Dateien retten) wiederherzustellen (nicht die ganze Partition),

ev. hilft auch ein Regeneration Tool wie HDD Regenerator ??

AW: Analyse mit Testdisk, ist da noch eine hance?

Ich bin da garnicht so erfahren, weißt Du, wie ich genau vorgehen soll?

AW: Analyse mit Testdisk, ist da noch eine hance?

wenn du nur den Truecrypt Container benötigst, würde ich es ev. mit PhotoRec versuchen / ist das 2te Tool, welches bei Testdisk normalerweise dabei ist: mit dem kannst du nach Dateien auf einem Laufwerk suchen (auch mit defekter Partitition)

AW: Analyse mit Testdisk, ist da noch eine hance?

Teile mal dein Betriebssystem und Dateisystem mit.
TueCrypt Container ist ja eine Datei.
Partitionstabelle sieht fehlerhaft aus.

Viele Grüße

Fiona

AW: Analyse mit Testdisk, ist da noch eine hance?

Betriebssystem Win7 64bit, Dateisystem NTFS. Das Laufwerk ist mit Truecrypt verschlüsselt!

Ebenfalls viele Grüße

Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

Ist jetzt da Laufwerk verschlüsselt oder nur ein TrueCrypt-Container?
Siehe hier;

(Auf dem Laufwerk befindet oder befand sich ein Truecrypt-Container).

Zum Vergrößern anklicken....

Und hier;

Das Laufwerk ist mit Truecrypt verschlüsselt!

Zum Vergrößern anklicken....

Auch sollte Testdisk mit Rechtsklick und "Als Administrator ausführen" ausgeführt werden.
Dann kannst du auch deine Platte (Disk) und nicht nur dein Laufwerk (Drive) auswählen.

Viele Grüße

Fiona

AW: Analyse mit Testdisk, ist da noch eine hance?

Entschuldigung für die ungenaue Ausdrucksweise.
Das Laufwerk ist eine primäre Partition und mit Truectypt verschlüsselt, also kein Container!
Bin zur Zeit auf der Arbeit, es wird erst heute am Nachmittag etwas werden.

AW: Analyse mit Testdisk, ist da noch eine hance?

Kannst du das Laufwerk einbinden (mount)?
Lasse Testdisk bis dato mal weg.
Weil wenn mit TrueCrypt verschlüsselt, hat es keinen Standard Partiotionstyp mehr.

Viele Grüße

Fiona

AW: Analyse mit Testdisk, ist da noch eine hance?

Bin zwar nicht zu Hause, eines kann ich aber schon jetzt sagen. Truecrypt bindet das LW ohne murren ein, wenn ich dann jedoch den dann vergebenen LWbuchstaben anklicke, erhalte ich die Meldung unter Totalcommander "Laufwerk nicht gefunden".
Im Gerätemanager ist das LW aber "online"! Es ist eine primäre Partition!

Viele Grüße

Ludwig

So, da bin ich wieder! Liebe Fiona, bin am Wochenende und auch Montag weitestgehend zu Hause, wenn Du Zeit hast und helfen kannst, können wir es fortsetzen!
Ein schönes Wochenende!

Viele Grüße

Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

Welche Fehlermeldung bringt der Windows Explorer? Mit Freeware-Programmen wie TestDisk konnte ich bei Dateisystemfehlern bisher nie viel machen, womöglich hat hier aber Fiona noch eine Idee. Ansonsten kannst du einfach mal die Demo von R-Studio oder GetDataBack probieren - dabei musst du jedoch darauf achten, dass du das logische Laufwerk, welches in TrueCrypt eingebunden ist auswählst und nicht die physikalische Partition, da diese verschlüsselt ist.

AW: Analyse mit Testdisk, ist da noch eine hance?

Hallo Simpson474,
es ist kein logisches Laufwerk, sondern eine primäre Partition. Der Total Commander meldet wie der Windows Explorer "Laufwerk nicht gefunden.
Leider hat sich Fiona bisher noch nicht wieder gemeldet, aber Sie ist vielleicht auch nicht da.

Viele Grüße
Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

Nach dem Mounten in TrueCrypt ist es garantiert ein logisches Laufwerk, da TrueCrypt das physikalische entschlüsselt und dieses als logisches Laufwerk zur Verfügung stellt. Die Fehlermeldung klingt jedoch ungewöhnlich, bei Dateisystemfehlern wird man normal zum Formatieren aufgefordert. Hast du schon mal einen anderen Rechner bzw. das Mounten mit einer Linux Live-CD probiert?

AW: Analyse mit Testdisk, ist da noch eine hance?

Hi Simpson474,

"logisches Laufwerk" steht in der Datenträgerverwaltung. Hängt dies mit Truecrypt zusammen?
Linux habe ich noch nicht versucht, ich hatte zunächst einmal die Füsse ruhig gehalten, weil ich nichts kaputt machen wollte, in der Hoffnung halt, dass Fiona sich noch einmal meldet.
Vielleicht ist Sie ja im Karneval aktiv ...

AW: Analyse mit Testdisk, ist da noch eine hance?

Probier mal folgendes: Mounte das Laufwerk in TrueCrypt und merk dir den Laufwerksbuchstaben. Starte dann TestDisk, wähl den Laufwerksbuchstaben, der in TrueCrypt angezeigt wird und bei Partition Layout "None". Anschließend die Analyse starten und nach ein paar Sekunden abbrechen. Mach einen Screenshot falls was gefunden wurde.

AW: Analyse mit Testdisk, ist da noch eine hance?

Entschuldigung, zur Zeit sieht es mau mit dem Netz aus.
Ich kann wegen Bauarbeiten im Netz für 3 Wochen nur mit 2 UMTS-Sticks ins Netz und im Keller habe ich so gut wie keinen Empfang. Sitze daher oben mit dem Laptop und lauf nun runter.
So, erledigt:
TestDisk 6.11.3, Data Recovery Utility, May 2009
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sdf - 1000 GB / 931 GiB - CHS 121601 255 63

Partition Start End Size in sectors
P Unknown 0 0 1 121601 80 63 1953525168

Was kann man da erkennen?

Viele Grüße
Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

Sieht bei dir folgendermaßen aus;

Bei dir wird der letzte Cylinder der Festplatte benutzt.
Dieser wird nach Intel-Standard freigelassen.

Siehe hier fett und kursiv angezeigt.;

Bei deiner Platte (Disk);
CHS 121601 255 63

Bei deiner Partition;
P Unknown 0 0 1 121601 80 63 1953525168

Nach Intel-Standard sollte deine Partition 121600, also einen weniger haben.

Ob ein Workaround mit Testdisk was bringt weiß ich nicht.
Wäre unter Options, Allow partial last cylinder auf yes stellen.
Du könnntest dann deine Partition in Testdisk bei Write schreiben.
Diese wäre dann wieder da.
Dann, das nächste ist, Testdisk arbeitet nach Intel Standard.
Eine Partition Unknown kann nicht in die Partitionstabelle geschrieben werden.
Daher müßte mit T für Type drücken (nach Quick Search) ein Partitionstyp wie NTFS zugewiesen werden.
Dann könnte die Partition in die Partitionstabelle eingetragen werden.
Diese ist dann unformatiert (RAW).
Sollte aber nie formatiert werden, da du dann dein unterliegendes TrueCrypt-Volumen überschreiben würdest.

Zumindest wäre dann die Möglichkeit darauf eine Diagnose des Backups vom Volume-Header zu machen.

Aber warte mal eine Antwort von Simpson474 ab, ob er da bessere Ideen hat?

Viele Grüße

Fiona

AW: Analyse mit Testdisk, ist da noch eine hance?

Hallo Simpson474,

sollen wir es so machen wie Fiona vorschlägt oder hast Du eine andere Idee?

Viele Grüße

Ludwig

AW: Analyse mit Testdisk, ist da noch eine hance?

Immerhin weiß ich jetzt, wieso ich in TestDisk nie den letzten Zylinder verwenden konnte und daher bisher immer auf einen Hex-Editor zurückgegriffen habe

Du hast die Analyse - wenn ich das richtig sehe - auf die verschlüsselte Partition und nicht auf den eingebundenen Laufwerksbuchstaben gemacht. Eine mit TrueCrypt verschlüsselte Partition kann jedoch nicht von TestDisk gefunden werden. Außerdem wird deine Partition ja korrekt von TrueCrypt eingebunden, daher keine andere Partitionstabelle schreiben. Ich weiß bisher nicht, ob es eine einfache, verschlüsselte Partition war (Passworteingabe in TrueCrypt), oder ob du die Preboot Authentication von TrueCrypt verwendet hast (Passworteingabe vor dem Windowsstart). Beim ersten Fall müsstet du TestDisk noch einmal auf den entsprechenden Laufwerksbuchstaben ansetzen. Wenn das nicht hilft, so muss wirklich ein Datenrettungsprogramm wie R-Studio oder GetDataBack verwendet werden.

AW: Analyse mit Testdisk, ist da noch eine hance?

Ich habe unter Truecrypt das LW gemountet, kann aber ansonsten mit bekannter Meldung nicht darauf zugreifen.
Mit Testdisk habe dann alles so gemacht, wie Du sagtest, also auf den LW-Buchstaben zugegriffen.
Meldung wie weiter o. g.:
*****************************
TestDisk 6.11.3, Data Recovery Utility, May 2009
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sdf - 1000 GB / 931 GiB - CHS 121601 255 63

Partition Start End Size in sectors
P Unknown 0 0 1 121601 80 63 1953525168
*****************************
Mehr nicht!

Zur Info weiter:
Es ist eine einfache verschlüsselte Partition und ich gebe unter Truecrypt nach dem Booten und starten von Truecrypt das Passwort ein.
Wenn ich Dich nun richtig verstehe:
1. Testdisk nach dem Mounten auf den durch Truecrypt vergebenen Buchstaben ansetzen.
Dies habe ich gemacht und o. g. Meldung unter Testdisk erhalten.
2. Wenn dem so ist, brauche ich also eines der genannten Programme! GetDataBack steht mir zur Verfügung. Eine weitere externe Festplatte habe ich mir gestern bestellt, sie wird noch geliefert.
Wie kann ich weiter vorgehen?
Sollte ich zuerst die Zylinderzahl so wie Fiona beschrieben hat, korrigieren?

Viele Grüße

Ludwig