2 platten 0.01 prozent formatiert

[LkwPeter81]

€dit: Fragen siehe mein letzter Post



Hi,

wollte nen usb-stick formatieren, DBAN gestartet, und ohne nachfrage kam es zum erasen des usb-sticks und meiner 2 hdds - der prozess ging bis 0.01% nur (3x DoD-Mode), sind die daten trotzdem wech?

1. hdd: unverschlüsselt, winvista.
- kann man iwie mit testdisk den boot sektor oder so neu schreiben? bei 0.01% kann doch nicht viel passiert sein ?!

2. hdd: komplett verschlüsselt mit TrueCrypt.

 

[sp33d]

also eins kann ich dir sagen: wenn du den tc-header nicht gesichert hast kann st du auf jeden fall die tc-platte vergessen (ich spreche aus erfahrung).

 

[Fiona]

Dban löscht sicher.
Im Normalfall hilft Datenrettungssoftware.
0,01 kommt darauf an wie groß die Festplatte ist.
Aleine einige Megabyte reichen wohl aus, um vorn in die Dateistruktur die Ordner und auch Daten zu löschen.
Das Dateisystem ist dann beschädigt und du brauchst Datenrettungssoftware.
Dennoch kannst du mit Testdisk prüfen ob es noch möglich ist oder dein Dateisystem bereits hinüber ist.
Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.11 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[LkwPeter81]

so, konnte die 1. unverschlüsselte platte wiederherstellen.

jetzt gehts um die 2. 1tb mit TrueCrypt verschlüsselte Platte. Wie gesagt, 0.01% formatiert, kann aber nicht mehr mounten.
Header Backup habe ich nicht.

 

[sp33d]

in diesem fall kannst du's komplett vergessen...
mit "haushaltsüblichen" mitteln hast du null chance.

 

[Fiona]

Welche Version hast du und mit welcher verschlüsselt?
Schaue dir auch mal das an;
https://www.computerbase.de/forum/t...tion-geloescht-testdisk-findet-nichts.499446/

Viele Grüße

Fiona

 

[sp33d]

hmmm... besagte methode funktioniert doch nur, wenn das volumen "nur" gelöscht wurde.
in diesem fall heir wurden allerdigns teile überschrieben, was die platte / partition ohne header nicht wiederherstellbar macht, oder sehe ich das falsch?
dann würde ich mir nämlich in den ar*** beißen.
als ich nämlich w7 rc installiert habe hat dieses einfach ungefragt und ohne meldung die 100 mb system partition auf die vermeintlich leere tc-platte geschrieben. OHNE ZU FRAGEN!! *kotz*
habe auch lange recherchiert und bin nach einigen tagen zu dem ergebnis gekommen, dass ohne header rein garnichts zu machen ist.
finde, das is n witz vom w7 rc, sich einfach ne partition / platte zu schnappen nach lust und laune. ich mein, es hätte ja sein können, dasses n usb-stick oder n mp3-player oder ne esata- oder ne usb-platte ist. wtf??!

 

[LkwPeter81]

- oh mann, die daten aus der 1. platte sind corrupted. habe schon mehrere recovery tools benutzt. die finden komischerweise 20 partitionen oder so

- und wegen der 2. platte, hab schon versucht das backup vom header das am ende nicht am anfang liegen soll herzustellen, funzt aber net.
wie meinst du das in dem von dir genannten thread, soll ich unter computerverwaltung die platte "neues einfaches volume..." machen? wird übrigens angezeigt nicht belegt, also nicht raw oder so.

 

[Fiona]

Wegen deiner TrueCrypt-Platte;
Wenn die jetzt leer oder nicht zugeordnet ist, fehlt die Partition in der Partitionstabelle.
Die Partitionstabelle liegt im MBR und nicht in einer Partition.
Dann hast du kein Laufwerk zum einbinden (to mount).
Wenn die Partition unformatiert erstellt wird, wird ein Laufwerksbuchstabe vergeben.
Nur dann kannst du testen das Backup vom Volume Header das am Ender der Partition liegt wiederherzustellen.
Im Fall um sicher zu gehen, kannst du mit mal einen Screen von deiner Datenträgerverwaltung setzen.

Zu deinen Daten.
Dban führt rigoros sicheres löschen durch und überschreibt sofort Sektoren.
Wenn du es nur gering benutzt hast, kannst du noch an Daten kommen.
Sicherlich wurde der Anfang der Festplatte und der Partition mit Daten überschrieben.
Am Anfang liegt oft die Ordnestruktur und auch Dateien.
Daher kannst du nur prüfen wieviel du wiederherstellen kannst.
Empfehlung war scavenger.
Markiere damit die Festplatte und nicht eine Partition.
Mache den langen scan, der alle Sektoren unterswucht.
Hinterher kann es je nach Schaden aufwendig sein die Daten zu unteruchen.
Scavenger hat normal gute Ergebnisse mit den Erhalt von Dateinamen und Ordnerstruktur.
Das Ergebnis kann sicherlich variieren, wenn Ordnerstruktur und Dsteien überchrieben wurden.
Auf jeden Fall wenn es wenig war, könnte es sich lohnen.

Viele Grüße

Fiona

 

[LkwPeter81]

bevor ich deine tipps anwende, versuche ich noch mit diversen recovery tools (1. platte) eine liste mit möglichst nicht corrupten dateien zu finden; es werden nämlich mehrere partition tables erkannt (20 ntfs oder so). ein programm zeigt sogar 2 mal samsung datenträger an.

screenies mach ich mal, (bin ja jetzt erstmal beschäftigt), aber von der computerverwaltung gibts nicht viel zu sehen, is halt "Datenträger x - online - schwarzer balken - nicht zugeordnet" (bei beiden platten).

- kann ich vielleicht mit TestDisk irgendwas erreichen, MBR neu schreiben oder so?

2. tc platte: also soll ich bei computerverwaltung daraufklicken und "einfaches volume" machen, und dann nochmal mit tc mounten versuchen mit o.g. tipps?

 

[Fiona]

Bei deiner verschlüsselten Platte wurde der MBR vom Volume Header ausgewechselt.
Daher wenn die jetzt nicht zugeoerdnet ist, ist dein Volume Header und auch die Partitionstabelle weg.
Das Backup vom Volume Header liegt am Ende der Partition.
Daher wenn du eine leere Partition hast, könntest du mit TrueCrypt 6.x versuchen as Backup vom Volume Header wieder zurückzuholen.
Sicherlich sollte eine identische Patition erstellt werden.
Wenn du formatierst oder ähnlich wird dein verschlüsseltes Dateisystem überschrieben und du kommst nicht mehr an die Daten sondern nur noch an die leere Partition.

Lasse mal alle Tools weg, um nicht noch mehr Schaden zu machen.
Grundsatz ist, nach der Verschlüsselung wird das Dateisystem nicht mehr erkannt, da Windows nur mit FAT oder NTFS umgehen kann.
Sowie du etwas machst, kannst du deine Verschlüsselung zerstören.
Daher niemals Änderungen am Dateisystem oder der Partition an sich vornehmen.
Eine Partition fängt normal Intel-Standard am absoluten Sektor 63 den Bootsektor an.
Der Bootsektor ist der erste logisch ausführbare Sektor einer Partition.
Der MBR liegt vorher und ist der erste physikalisch ausführbare Sektor einer Platte.

Viele Grüße

Fiona

 

[LkwPeter81]

1. festplatte:









2. truecrypt festplatte:






+ ich hatte ein backup auf einem verschlüsselten usb-stick (zip + .part datei) was ich sofort gelöscht habe also nicht über papierkorb. komischerweise, obwohl ich seitdem nichts mehr auf den stick geschrieben habe, finden die recovery tools die dateien nicht.

 

[Fiona]

Zu deiner ersten Festplatte.
Partition wird mit Label (Name) nach Deeper Search gefunden.
Solltest aber mal p drücken ob Daten oder eine Fehlermeldung angezeigt wird und mitteilen.
Wenn Daten da sind, kann die direkt wiederhergestelolt werden.
Im Fall folgen Infos.
Wenn Fehlermeldung angezeigt wird, bleibt Datenrettungssofware als sichere Alternative.

Zu deiner zweiten Platte.
Wenn du die gesamte Platte partitioniert hattest, könnte die Partition stimmen.
Teste es wie beschrieben.
Da deine Partition nur in die Partitionstabelle im MBR eingtragen wird, nimmst du an der Partition an sich keine Änderungen vor.
Auch ist diese sowieso modifiziert, da leer.
Nur nicht formatieren.
Auch mußt du das Kennwort von deiner Verschlüsselung nehmen, bei der du die Partition erstellt hattest.
Das bedeutet, wenn du das Kennwort nachträglich geändert hattest, passt es nicht, da das Backup vom Volume Header am Ende des Laufwerks das Passwort von deiner Verschlüsselung während der Erstellung des Laufwerks beinhaltet.

Viele Grüße

Fiona

 

[LkwPeter81]

1. platte:



mehr files werden nicht angezeigt


2. truecrypt platte: volume mit datenträgerverwaltung erstellt, RAW, aber problem unverändert tc mountet gar nicht. der header muss am ende sein, hab seitdem auch nix mehr am pw oder so geändert, und es wurde ja durch dban nur der anfang überschrieben. hilft vielleicht partition statt vista mit GParted machen? oder mit testdisk disk geometry oder so was ?

 

[Fiona]

Deine erste Partition beinhaltet überhaupt keine weiteren Daten bis auf die net.ini.
Daher bleibt in dem Fall Datenrettungssoftware.

Es gibt einen Unterschied zwischen gparted und Vista.
Gparted arbeitet nach Cylinder boundary und Vista nach Megabyte boundary.
Die Partition muß identisch zu vorher erstellt werden.
Das Backup vom Volume Header liegt am Ende des Laufwerks.
Daher auch wenn du mit dban wieter reingeschrieben haben solltest, solltest du das Laufwerk normal einbinden können.
Es erscheint bei einen beschäddigten Dateisystem dann als unformatiert.
Dann kannst es trotzdem mit Datenrettungssoftware scannen.

Viele Grüße

Fiona

 

[LkwPeter81]

ich versteh nicht ganz.

also 1. platte bringt auch testdisk-"write bootsector" nix? dann sind die daten wech. hab schon 5-6 verschiedene tools ausprobiert. am wichtigsten sind keepass.kdb, firefoxportable und thunderbirdportable. davon sind nur bruchstücke zB die bookmarks vorhanden. bei thunderbird bissel krasser, hab so etwa 1500 emails, muss ich jetzt jede durchgucken (wenn der "mail" ordner nicht auch corrupted ist) ob irgendwoe "ddddd" is oder ist es so dass dateien entweder nur aus "dddd" bestehn oder ganz erhalten sind also kein mix aus corrupted und valid?
- .zip-datei; wenn sie sich öffnen lässt, kein schaden drin?
- dann noch alles 4fach vorhanden unter "lost files" oh mann das wird arbeit

2. platte: ich weiß ja nicht wie truecrypt volumes erstellt. deshalb kann ich eine identische partition gar net erstellen oder? aber es war ja nur eine partition auf der platte, also doch noch mal mit gparted versuchen?

 

[Fiona]

Wegen deiner érsten Platte kommt es darauf an, wie weit dban reingeschrieben hat?
Da aber Label etc.. da ist, kannst du mal Testdisk testen, ob wenn du einen Bootsektor erstellst, der den Pfad zu dein Dateisystem (MFT) findet.
Bootsektor beinhaltet wichtige Daten mit Pfad zu deinen Dateisystem (MFT und die Größe der Partition.
Ist somit nich nur zum booten.
Ziel ist, wenn du einen Bootsektor erstellst, ob Testdisk den Pfad zum Dateisystem findet und mehr Daten anzeigt?
Ist aber schwierig zu beurteilen, da dban rigoros löscht?

Normal sehe ich bei dir auf deiner ersten Platte eine Vista-Partition.
Wenn du deine zweite Partition nicht mit Vista erstellt hast, kannst du gparted probieren?
Infos zu Vista;
https://www.computerbase.de/artikel...sk.859/#abschnitt_hinweis_zu_vistapartitionen
Infos zu Intel-Partitionen (so wie gparted arbeitet);
http://www.cgsecurity.org/wiki/Partitionserkennung_primär_und_logisch
Wichtig ist, das deine Partitionen identisch und genau wie vorher sind.
Erst dann macht eine Diagnose des Backups vom Volume Header sind.
Wenn deine Partitionsstruktur abweicht, findest du dein Backup vom Volume Header nicht.

Viele Grüße

Fiona

 

[LkwPeter81]

fiona kannst du mir noch einmal helfen ein paar fragen?

- habe ja schon mehrere tools drüberlaufen lassen, die arbeiten doch alle gleich oder? weil dann brauch ich nicht noch mehr ausprobieren, wenn immer dasselbe rauskommt, dass halt alle dateien vorhanden sind aber in manchen ist "dddddd..." drin also nur die buchstaben.
Wenn eine Datei im Texteditor kein "dddd.." enthält, ist sie dann 100% erhalten oder kann es sein dass mit anderen buchstaben überschrieben wurde, oder sogar teile von anderen dateien "vermischt" wurden? (zB mp3s, dass zwei lieder in einer datei sind oder dass der anfang ok ist aber hinterher nur rauschen)

- also bei testdisk nochmal den deeper scan, und dann write bootsector? und dann nochmal datenrettungssoftware drüberlaufen lassen?

- wenn "CDCheck" bei einem Scan (CRC-Prüfung) keinen Fehler findet, sind dann die Daten auf der CD noch 100% erhalten oder kann es bei CDs sein das nach längerer Zeit Lagerung auch etwas corrupted ist?

- wie ist das mit einer .zip-datei; lässt sie sich entweder ganz oder gar nicht öffnen oder kann es sein dass auch innerhalb der zip-datei manche dateien corrupted sind?

- werden in meinem fall alle dateien angezeigt oder fehlen manche durch die beschädigung der mft?

- filescavenger hat bei der truecrypt platte nur manche dateien mit status "good" markiert. heißt das, dass die datei 100% erhalten ist oder kann sie dennoch modifiziert sein? und wenn man die truecrypt partition mit dem volume header am ende der partition mountet, ist dann auch die MFT wieder richtig oder wird nur der Verschlüsselungs-Header wiederhergestellt?

Grüße

 

[Ernst@at]

Kann Dir nur zu 3 Fragen eine definitive Antwort geben:

Wenn die CRC-Prüfsumme übereinstimmt, kann von einer intakten CD ausgegangen werden. CRC ist nicht das gelbe vom Ei, aber dass bei Fehlern der selbe CRC rauskommt, ist nahezu unwahrscheinlich.

Zip-Dateien enthalten ebenfalls eine Prüfsumme, wenn er am Ende des Entpackens nicht motzt, ist alles da drin OK

Wenn im beschädigten Bereich irgendwelche Metadaten (dazu gehört u.A. auch die MFT) lagen, können Die Daten eines Files u.U. trotzdem gefunden werden. Kommt auf die Such- und Abgleichmethode des Recovery-Tools an. "good" sollte bedeuten, dass alle zu dieser Datei zugewiesenen Cluster nicht auch anderweitig referenziert wurden. Ob der Inhalt noch stimmt, ist damit nicht gesagt, wenn nicht über das Filesystem per Einträge in die Metadaten geschrieben wurde (was bei einem Format leider der Fall ist)