TrueCrypt 6.3a: kein erkanntes Dateisystem (hidden vol)

Hallo erstmal!
Normalerweise bin ich nicht der Typ User der sich wegen nur einem Problem in einem Forum anmeldet ...aber im Moment ist mir das wichtig und ihr seid meine letzte Chance (sehr kompetente Antworten hier gelesen ...daher dieser Gedanke!).

Nun zu meinem Problem:

Aufgrund von gewissen Gespräch bei einem Kneipenabend hatte ich gestern etwas mit meiner verschlüsselten 2TB HDD probiert.
Sie besitzt ein normales + verstecktes Volumen. Komplettverschlüsselung ...keine Container!
Ich war mir sicher damals das versteckte Vol. möglichst groß gemacht zu haben und wollte nun schaun ob man rausfinden kann ob sowas existiert.
Somit habe ich aufs normale Vol. ca. 20GB kopiert und siehe da ...keinerlei Meldungen.
Dachte mir nur, dass es komisch ist, aber was solls (hidden vol. hatte noch ca. 50GB frei).

Als nächstes habe ich das Passwort geändert! Alles wie gewohnt ...daher bin ich mir ziemlich sicher, dass das nicht der Fehler ist. Wollte es aber trotzdem erwähnen.

Nun das dilemma: Wenn ich jetzt mein verstecktes Vol. einbinde und drauf zugreifen will kommt folgende Geschichte!

Auf X:\ kann nicht zugegriffen werden.

Auf dem Datenträger befindet sich kein erkanntes Dateisystem.
Stellen Sie sicher, dass alle benötigten Dateisystemtreiber geladen sind und dass der Datenträger nicht beschädigt ist.

Zum Vergrößern anklicken....

Ich habe keine Headersicherung ...warum auch.
Groß rumexperimentieren wollte ich nie, aber wer hätte gedacht, dass TrueCrypt mich so ausknocked! :/ ...die Einstellung, dass man das versteckte Volumen schützt kannte ich bis dato noch nicht, weil ich angenommen habe sowas funktioniert von allein.

Die folgenden Optionen welche man auswählen kann brachten folgendes...

Dateisystem prüfen:

Es wird das Dateisystem des als Z: eingebundenen TrueCrypt-Volumes überprüft...

Der Typ des Dateisystems ist NTFS.
Der erste NTFS-Startsektor ist nicht lesbar oder beschädigt.
Es wird stattdessen der zweite NTFS-Startsektor gelesen.
Version und Status des Volumes konnten nicht festgestellt werden. CHKDSK wurde a
bgebrochen.
Drücken Sie eine beliebige Taste . . .

Zum Vergrößern anklicken....

Dateisystem reparieren.

Es wird versucht das Dateisystem des als Z: eingebundenen TrueCrypt-Volumes zu
reparieren...
Der Typ des Dateisystems ist NTFS.
Der erste NTFS-Startsektor ist nicht lesbar oder beschädigt.
Es wird stattdessen der zweite NTFS-Startsektor gelesen.
Version und Status des Volumes konnten nicht festgestellt werden. CHKDSK wurde a
bgebrochen.
Drücken Sie eine beliebige Taste . . .

Zum Vergrößern anklicken....

Beim Nachforschen habe ich folgenden Thread gefunden und hab alles genauso gemacht:
https://www.computerbase.de/forum/threads/truecrypt-platte-zerschossen.659139/
Und es ist bin zum Schluss immer das gleiche passiert wie bei diesem User.
Mit dem Unterschied, dass die gefundenen Daten 1TB umfassen und alle nur den Namen "Unbekannt..." besitzen!

Nach all diesen Fehlversuchen hatte ich mich daran erinnert, dass das Boot Sector Backup ja eigentlich ok war und habe dann mal in testdisk "Rebuild BS" versucht ...leider auch vergebens.
Jetzt steht zwar bei beiden "OK" dort, aber bringt auch nix.
Wenn ich das Volumen einbinde und raufgehen möchte kommt nun:

Auf Z:\ konnte nicht zugegriffen werden.
Die Datei oder der Ordner ist beschädigt oder nicht lesbar

Zum Vergrößern anklicken....

Rettungsvoschläge?! Es ist wie ihr euch denken könnt extrem wichtig!

Vielen Dank schonmal!!!

//pS: im Anhang sieht man was TestCrypt dazu sagt

TestCrypt brauchst du gar nicht, bei dir wird das Volume ja korrekt eingebunden, nur das Dateisystem ist beschädigt. Leider gibt es hier keine wirkliche funktionierende Freeware, allerdings funktionieren Kaufversionen wie GetDataBack recht gut. Wichtig ist, dass du bei den Datenrettungsprogrammen unbedingt das in TrueCrypt eingebundene Laufwerk auswählst, da die Programme mit verschlüsselten Daten gar nichts anfangen können.

Nach 1,5 Tagen das Ergebnis:

0 Dateien, 0 Verzeichnisse, 0,00 in diesem Verzeichnis
0 Verzeichnisse, 0 Dateien, 0,00 in dieser Datenrettung

Zum Vergrößern anklicken....

Hat viel gebracht würde ich sagen! :/

Alle Programme erkennen die genaue Größe und sogar TestDisk hat erkannt wieviel Speicher davon belegt war ...da muss doch was zu machen sein *grummel*
Ich ärger mich so ...ich bekomm einfach keine gute Laune mehr!

Erstaunlich ist, dass GetDataBack eigentlich eine volle MFT anzeigt - das da gar keine Dateien angezeigt werden, ist ungewöhnlich. Außerdem kannst du noch mal den Punkt "Zeige alle" anstatt "Zeige empfohlene" auswählen, damit werden auch unwahrscheinlichere MFTs angezeigt. Hast du auch wirklich deinen Laufwerksbuchstaben in GetDataBack ausgewählt, den TrueCrypt nach dem Einbinden der Partition angezeigt hat ("Z:" in deinem ersten Beitrag)?

Auf die Idee mit alle kam ich dann auch ...leider hat das aber auch nichts gebracht!
Und, dass ich das richtige ausgewählt habe ...da bin ich mir auch "ziemlich sicher" (siehe Anhang).

1. "Systematischer Dateisystemschaden, z.B. Format oder FDisk" hatte ich im Willkommens-Bildschirm angewählt.
2. alles auf Standard gelassen und die Partition von Z gewählt (screen)

Oder gibts da noch große Unterschiede zwischen physikalisch, logisch und der Partition?

Auf deinem Screen hast du aber nicht die Partition Z gewählt, sondern die verschlüsselte TrueCrypt-Partition. Der Unterschied dabei ist, dass das physikalische Laufwerk deine echte HDD ist, welche eben durch TrueCrypt verschlüsselt ist. Das von TrueCrypt eingebundene Volume ist anschließend ein logisches Laufwerk - dessen Daten sind entschlüsselt. Pass aber auf, es kann sein, dass du zwei logische Laufwerke für deine TrueCrypt-Partition hast - einmal die RAW-Partition und einmal das eingebundene Laufwerk, das erste ist wiederum verschlüsselt. Nimm einfach den Laufwerksbuchstaben bei logische Laufwerke, welchen auch TrueCrypt anzeigt.

Das ging wohl nach hinten los ...hm, na mal schaun.
Hab halt gedacht, weil Partition dasteht und so wirds das wohl sein.

...also nochmal das ganze.

(kann man eigentlich irgendwie überprüfen ob er wenigstens etwas findet ohne das Teil 2 Tage lang laufen zu lassen?)
Habe vorhin dann nachdem nix gefunden wurde mal nen schnellen Suchlauf gemacht und er hat bei keinem was gefunden...

In deinem Screenshot ist "1. Partition" ausgewählt - das ist das physikalische, verschlüsselte Laufwerk.

EDIT:
Der schnelle Suchlauf bringt dir wohl nichts, allerdings kannst du beim normalen Suchlauf meist abbrechen, sobald bei MFT eine Zahl größer 0 steht.

Ich lass es einfach nochmal durchlaufen! ...was solls.

Anders ist jetzt schonmal dass ab und zu

Index Allocation Buffer (directory found @ sector ********

Zum Vergrößern anklicken....

5% sind geschafft, noch ca. 18 Stunden und Erk. Dateien ~7000 Starts

MFT-Einträge steht wie auch beim anderen Scan auf 0,0 $MFT! :/ ...hoffe jetzt einfach das ist normal.

Werde mich also denke morgen abend wieder melden und dich entweder knutschen wollen oder nach weiteren Lösungen suchen.
Weil einfach aufgeben werde ich nicht ...hab ja Zeit rumzuprobieren, ist ja eh alles verloren dann.

Gruß und vielen vielen Dank für deine Hilfe!!!

//Guten Morgen, hoffe das ist ein gutes Zeichen! xD

S3ThCoLe schrieb:

MFT-Einträge steht wie auch beim anderen Scan auf 0,0 $MFT! :/ ...hoffe jetzt einfach das ist normal.

Zum Vergrößern anklicken....

Kann durchaus sein, wenn die erste MFT wirklich defekt ist und überschrieben wurde. Allerdings sollte GetDataBack in diesem Fall mit der zweiten MFT noch was anfangen können, du kannst jedoch nicht früher abbrechen.

Hey hey..

ich hab gerade genau dasselbe Problem. Komplette externe Festplatte verschlüsselt.. outer & hidden volume.. Hidden volume lässt sich ohne Probleme mounten.. Outer Volume mit sämtlichen Fotos der letzten 10 Jahre nicht mehr. Habe auch mit TestDisk versucht des Dateisystem wiederherzustellen.. ohne Erfolg.

GetDataBack for NTFS (V.4) läuft zum ersten Mal, hoffe das bringt's. Frag mich aber wie's danach weitergeht.. Er scheint ja n paar Dateien zu erkennen, aber worauf kommt's an? MFT-Einträge? Index-Allok?

Wünsch dir schon mal viel Erfolg!
Gruß,
exter

Und exter und S3ThCoLe, seid Ihr weiter gekommen? Wenn ja, teilt mir bitte das Ergebnis mit.

Ich habe mal ein Video gemacht indem man sieht was ich eingestellt habe und wie der Scan so abläuft (das Video besteht aus 3 Teilen ...ich kann ja nicht alles 36h laufen lassen ^^).

http://www.youtube.com/watch?v=zCS7LUKQd6U

Der Scan hat wie zu sehen nichts gebracht und ich weiß nicht mehr was ich machen soll.
Egal was ich im 2. Abschnitt (NICHT SCHRITT!) auswähle ...es kommen immer nur Dateien die wie Systemdateien aussehen. oO
Sowas war dort jedoch nicht drauf!!!
btw: sind die roten eigentlich nutzlos?

Anmerkung: Wenn ich im 2. Abschnitt etwas auswähle und auf weiter klicke kommt ja dieses ""Extrahiere gefundene MFTs" ...das rennt zwar schnell durch, jedoch konnte ich einige von meinen verloren Dateien sehen. Sprich er erkennt ja irgendwas! :/
Doch ich sehe die nicht ...und über die Suche im 3. Abschnitt finde ich auch nichts.

Ideen, Vorschläge, Tipps?! Er erkennt etwas, trotzdem zeigt er nix an ...ich habe noch Hoffnung!

pS: Wenn ich mir eine 2TB besorge und den Header von der jetzigen "emulieren" will ...welche Einstellungen müssen dann gleich sein? Alle ...also auch sowas wie Größe von outter und hidden vol, Algorythmus, etc? Oder ist irgendwas unwichtig?

Das was du das siehst sind Daten einer Windows XP Installation - wie die dort hinkommen, kann ich mir auch nicht erklären.

Ich hab bei mir noch mal ein bisschen mit GetDataBack experimentiert und dabei herausgefunden, dass die Einstellung "Weiß nicht" hin und wieder nur einen Schnell-Scan durchführt. Nur bei der Einstellung "Systematischer Dateisystemschaden" bzw. "Nachhaltiger Dateisystemschaden" wird immer ein voller Scan durchgeführt. Was ich auch noch nicht explizit geschrieben habe, du musst natürlich in TrueCrypt das Passwort des versteckten Volumes eingeben, wenn du Daten auf diesem Wiederherstellen willst und das Passwort des normalen Volumes, wenn auf diesem die verlorenen Daten liegen. Beim normalen Volume ist jedoch das Dateisystem normal FAT und nicht NTFS - allerdings verstehe ich aus deiner Beschreibung, dass die verlorenen Daten sowieso auf dem versteckten Volume sind.

Das was du das siehst sind Daten einer Windows XP Installation - wie die dort hinkommen, kann ich mir auch nicht erklären.

Jo klar, deswegen sagte ich ja schon ...wie normale Systemdateien. Ist halt auch bei allen so :/

Ich hab bei mir noch mal ein bisschen mit GetDataBack experimentiert und dabei herausgefunden, dass die Einstellung "Weiß nicht" hin und wieder nur einen Schnell-Scan durchführt. Nur bei der Einstellung "Systematischer Dateisystemschaden" wird immer ein voller Scan durchgeführt.

Denke nicht, dass das etwas bringt ...der Scan hat 1,5 Tage gedauert und als ich vorher die falsche Partition (physikalisches Laufwerk, sieh Post oben) gescannt habe dauerte es genauso lange, obwohl ich die besagte Einstellung genommen habe.
Klar, ich kann es ausprobieren ...Daten sind ja eh hin, aber erstmal noch versuchen. :/

Was ich auch noch nicht explizit geschrieben habe, du musst natürlich in TrueCrypt das Passwort des versteckten Volumes eingeben, wenn du Daten auf diesem Wiederherstellen willst und das Passwort des normalen Volumes, wenn auf diesem die verlorenen Daten liegen.

Wenn ich das Passwort nicht eingegeben hätte wäre die HDD doch gar nicht eingebunden ...meinste nicht auch!
Und ohne Einbinden keine Auflistung in GDB.

Beim normalen Volume ist jedoch das Dateisystem normal FAT und nicht NTFS - allerdings verstehe ich aus deiner Beschreibung, dass die verlorenen Daten sowieso auf dem versteckten Volume sind.

Normales Volume funzt ...da liegt aber nichts. Ist FAT!
Nur das versteckte ist ja wichtige ...NTFS!

Zum Vergrößern anklicken....

Noch ein Statement zu meinem "PS:" ?!

Der Punkt mit dem Passwort war so gemeint, dass du natürlich das Passwort von dem Volume (normal oder versteckt) nehmen musst, von welchem du auch die Daten wiederherstellen willst. Bei 1,5 Tagen sollte es schon ein vollständiger Scan gewesen sein.

Statt GetDataBack könntest du noch die Demo von R-Studio probieren, möglicherweise kommt GetDataBack hier irgendwo aus dem Tritt. Aber ansonsten gehen mir schön langsam auch die Ideen aus.

Der Punkt mit dem Passwort war so gemeint, dass du natürlich das Passwort von dem Volume (normal oder versteckt) nehmen musst, von welchem du auch die Daten wiederherstellen willst. Bei 1,5 Tagen sollte es schon ein vollständiger Scan gewesen sein.

Ahso! *lach* ...najo wäre ja doof! ^^
Aber achte ich schon drauf ...Passwörter sind ja logischerweise nicht die selben ...und ich klicke auf Reflex schon immer auf Öffnen und spätestens da merk ich dann immer wieder , dass es die kaputte ist. ...er will mich ja nicht reinlassen!

Statt GetDataBack könntest du noch die Demo von R-Studio probieren, möglicherweise kommt GetDataBack hier irgendwo aus dem Tritt. Aber ansonsten gehen mir schön langsam auch die Ideen aus.

Scan läuft! Noch ca. 19 Stunden ...na mal gucken!
Werde mich heute aber mal um die 2. HDD kümmern damit ich diesen Trick mit dem Header am Montag ausprobieren kann

Zum Vergrößern anklicken....

Vielen Dank für deine Mühen!
Dass das ein Zuckerschlecken wird hatte ich auch wirklich nicht gedachte ...aber hätte gehoft, dass ein Programm wie GetDataBack da schon was reißen könnte.

Was hast du denn überhaupt mit der zweiten HDD und dem Header vor? Wenn du die Daten mit GetDataBack oder R-Studio bereit zum Kopieren hast, so kannst du diese einfach auf die neue HDD kopieren - entweder unverschlüsselt oder zunächst die HDD mit TrueCrypt komplett verschlüsseln. Den alten Header brauchst du da dann nicht zu übernehmen, da die Daten dann neu verschlüsselt werden.

GetDataBack findet ja erstmal gar nix! :/
Und R-Studio findet was ...sogar Bilder. Mal schaun was noch so kommt.
Jedenfalls alles weiterhin ohne Namen. Und das nervt!

Wegen der 2. Platte! Ich habe irgendwo gelesen, dass man versuchen kann eine gleiche Verschlüsselung zu vollführen ^^ und von der den Header zu sichern und auf die kaputte Platte zu "kopieren".
Gleiche Kapazität, gleicher Algorithmus ...alles muss das Gleiche sein.
Das will ich dann noch probieren.
Einzige Schwierigkeit dabei ist die Größen vom hidden Volume zu bestimmt ...weiß nicht ob ich damals glatt 1,82 TB genommen habe.

TrueCrypt zeigt in den Eigenschaften als Kapazität 1999307145216 Bytes an.
Das müsste mir ja eigentlich helfen ...aber komme nie glatt auf 1,82TB ^^
Mal schaun

Mach das mit dem Header auf keinen Fall - wer das auch geschrieben hat, es ist falsch. Jeder von TrueCrypt je erstellte Header ist so gut wie einzigartig, dafür auch die Mausbewegungen (es werden zusätzlich noch zahlreiche andere Informationen wie MAC-Adresse, High-Precision Timer usw. verwendet) beim Erstellen eines Volumes. Außerdem ist bei dir der Header ja in Ordnung, sonst bekommst du beim Einbinden die Fehlermeldung "Falsches Passwort oder kein TrueCrypt Volume".