Windows-Installation hat vollverschl. Truecrypt-Volumen beschädigt

Hallo zusammen,

ich wollte Windows 10 (64 bit) neu installieren (auf HDD#1) und vergaß dummerweise meine mit Truecrypt 7.1a vollverschlüsselte Datenplatte (HDD#2 mit Musik, Dokumenten, etc.) vorher vom Mainboard zu trennen. Dann kam die "große Überraschung", Windows hat das Volumen oder den TC-Header der Datenplatte beschädigt. Mein letztes Backup ist schon eine Weile her. Deswegen möchte ich alles versuchen, so viele Dateien wie möglich zu retten.

Nach der Windows-Installation konnte ich die HDD#2 nicht mehr in Truecrypt mounten. Also stellte ich das integrierte Volume-Header-Backup wieder her. Seitdem kann ich die Festplatte wieder erfolgreich in Truecrypt mounten.

Windows selbst schmeißt jedoch Fehlermeldungen: "Auf O:\ kann nicht zugegriffen werden. Falscher Parameter"

In der Datenträgerverwaltung steht folgendes:
Datenträger 2, Basis, Online:
O:, 1863,01 GB RAW, Fehlerfrei (Aktiv, Primäre Partition)

In Parted Magic (Live CD) konnte ich das Volumen ebenfalls erfolgreich mit Truecrypt mounten. Doch auch hier konnte ich nicht über den Dateiexplorer auf das Volumen zugreifen.

Mit PhotoRec kann ich erfolgreich einzelne Dateien wiederherstellen. Jedoch gehen hierbei meine komlette Ordnerstruktur und viele Dateinamen verloren. Deswegen würde ich das Problem gerne mit TestCrypt lösen.

Nach einem Scan (alles auf automatisch) mit Testcrypt bekam ich folgende Ergebnisse:


Wie muss ich nun vorgehen?
Sektor 0/32/33 bietet als Option "Mount as Normal Header"
Sektor 243201/41/41 bietet als Option "Mount as Backup Header"

Ich bin für jegliche Hilfe dankbar!

Edit: Zusätzliche Informationen:
In Winhex habe ich die erfolgreich gemountete Truecrypt-Partition mit Tools -> Open disk durchsucht. Hier kamen folgende Fehlermeldungen:
"Auf dem Datenträger befindet sich kein erkanntes Dateisystem. Stellen Sie sicher, dass alle benötigten Dateisystemtreiber geladen sind und dass der Datenträger nicht beschädigt ist."
"Falscher Parameter"
"Warning: Unsupported FILE record size!
Drive O: Cannot open "$MFT". Unexpected data at offset 478897068199122432 and offset 7659665671168, Res=1, Res2=1"

Winhex selbst zeigt neben random data auch Dateien in Klartext an.

Den Header (512 Bytes) habe ich gefunden.

Ganz am Ende steht das hier:
"ëR NTFS"
"Fehler beim Lesen des Datenträgers. BOOTMGR fehlt. BOOTMGR komprimiert. Neustart mit STRG+ALT+Entf"

TestDisk sagt zum erfolgreich gemounteten Volumen folgendes:

TestDisk 7.1-WIP, Data Recovery Utility, October 2017
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Drive O: - 2000 GB / 1863 GiB - CHS 3907024384 1 1
Partition Start End Size in sectors
P NTFS 0 3907024383 3907024384

Boot sector
Status: Bad

Backup boot sector
Status: OK

Sectors are not identical.

A valid NTFS Boot sector must be present in order to access
any data; even if the partition is not bootable.

[ Quit ] [ List ] >[Backup BS] [Rebuild BS] [ Dump ]
Copy backup boot sector over boot sector

Zum Vergrößern anklicken....

hallo p3et, hatte solche effekte vor jahren auch schon. win beschädigt das dateisystem von tc partitionen, ein schelm, wer böses dabei denkt. du solltest die platte unter linux mounten, auslesen, inhalt wegsichern und mit einem nicht journaling dateisystem formatieren. danach nicht mehr unter win mounten und natürlich backups halten.
viel glück

Was meinst du mit auslesen? Ich kann sie wie gesagt nicht über den Dateimanager öffnen. Oder meinst du Wiederherstellungstools?

Sein Vorschlag ist, das Volumen unter Linux zu mounten. Hast Du das schon ausprobiert?

Habe ich schon gemacht. Siehe oben:

In Parted Magic (Live CD) konnte ich das Volumen ebenfalls erfolgreich mit Truecrypt mounten. Doch auch hier konnte ich nicht über den Dateiexplorer auf das Volumen zugreifen.

Zum Vergrößern anklicken....

p3et schrieb:

ich wollte Windows 10 (64 bit) neu installieren (auf HDD#1) und vergaß dummerweise meine mit Truecrypt 7.1a vollverschlüsselte Datenplatte (HDD#2 mit Musik, Dokumenten, etc.) vorher vom Mainboard zu trennen.

Zum Vergrößern anklicken....

Anhand der gefundenen Header handelt es sich nicht um eine vollverschlüsselte Datenplatte, sondern nur um eine verschlüsselte Partition. Bei einer vollverschlüsselten Datenplatte wird zumindest von manchen Windows Versionen ohne Nachfrage eine neue MBR- bzw. GPT-Partitionstabelle angelegt, welche den TrueCrypt-Header, nicht aber das Dateisystem zerstört. Bei einer verschlüsselten Partition passiert im Windows Setup normal nichts - außer das UEFI bzw. BIOS denkt, dass die Datenplatte die primäre Festplatte ist, welche zum Booten verwendet werden soll. In diesem Fall wird die Festplatte schnellformatiert und die Startdateien auf die falsche Festplatte geschrieben, wodurch sowohl der TrueCrypt-Header als auch Dateisystem zerstört werden. In diesem Fall kommt man mit Freeware - abgesehen von PhotoRec mit den entsprechenden Einschränkungen - nicht weit. Hier helfen nur noch Programme wie GetDataBack oder R-Studio, welche ein defektes Dateisystem rekonstruieren können. Allerdings wird es auch in diesem Fall etwas Datenverlust geben, die meisten Dateien sollten sich jedoch retten lassen.

Soll ich das Volumen mit Truecrypt oder mit TestCrypt mounten, bevor ich nach Daten suche? Macht das einen Unterschied?

Da beide Header übereinstimmen, ist es egal, ob TrueCrypt oder TestCrypt verwendet wird.

Ich habe GetDataBack drüberlaufen lassen. Während des Scans fand es angeblich bis zu 100.000 Dateien. Doch nachdem der Scan vorbei war kam lediglich das hier:



Momentan lasse ich PhotoRec drüberlaufen.

Kann ich da nicht noch irgendwas anderes machen? Den 1:1-Klon mit chkdsk reparieren? Repair in Truecrypt? Den TC-Header an eine andere Stelle verschieben? Partition table löschen, erstellen oder ändern?

*bump*

Mit PhotoRec kann ich viele Dateien wieder herstellen. Allerdings ohne Ordnerstruktur und Originaldateinamen. Ich probiere weitere Tools.

In WinHex habe ich unter anderem auch Klartext der Dateien. Kann ich nicht den MBR reparieren oder den TC-Header an die richtige Stelle schieben? (Auf einer geklonten Festplatte natürlich)

p3et schrieb:

Kann ich nicht den MBR reparieren oder den TC-Header an die richtige Stelle schieben? (Auf einer geklonten Festplatte natürlich)

Zum Vergrößern anklicken....

Das wär alles kein Problem, wenn du nicht überformatiert hättest. In diesem Fall helfen nur noch Datenrettungsprogramme oder man verzichtet auf die Ordnerstruktur (PhotoRec).