Daten von gestohlenem Notebook retten

[Xan1704]

Hallo allerseits,

mir wurde letzte Woche mein Notebook aus dem Auto gestohlen. Ich habe es nur Minuten später bemerkt, die Polizei wusste aufgrund der Beschreibung einer aufmerksamen Verkäuferin auch sofort wer dafür in Frage kommt und stand schon vor der Tür bevor der Dieb zu Hause war. Am nächsten Tag hatte ich mein Notebook wieder.

Leider hatte der Dieb die darauf vorhandenen Daten bereits gelöscht, während er mit dem Bus nach Hause gefahren ist. Die Daten kann er also nur mit "Bordmitteln" gelöscht haben, glaube nicht dass er einen USB-Stick oder CD mit Löschprogramm dabei hatte. Das würde auch deutlich länger dauern als eine Busfahrt, also gehe ich mal davon aus dass er "nur" den MBR plattgemacht hat.

Nun habe ich die Platte über einen USB-Adapter an meinen PC angeschlossen und versucht, meine Daten wiederherzustellen, komme aber nicht ganz klar. Im Windows-Explorer wird ein Laufwerk auf der Platte angezeigt, wenn ich drauf zugreifen will sagt er das wäre nicht formatiert. In der Datenträgerverwaltung sieht es so aus, als ob dieses unformatierte Laufwerk die gesamte Platte belegt.

Testdisk zeigt folgendes an:



und findet auch mit der intensiven Suche überhaupt keine Partition. Einfach Partitionen draufschreiben will ich nicht, weil vorher insgesamt 3 Partitionen drauf waren, eine davon eine Backup-Partition von Acer - deren Einstellungen ich nicht mehr weiß.

Hat jemand eine Idee, was ich tun könnte?

Vielen Dank schonmal...

Xan

 

[Fiona]

Hattest du explizit die tiefere Suche Deeper Search ausgeführt?

Ich setze dir mal Infos für eine Analyse.
Der erste Screen wird nicht mehr benötigt da bereits vorhanden.

Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.9 für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[Xan1704]

Hallo Fiona,

Danke für Deine Antwort. Ich hatte mir Deine Anleitung für Testdisk [*****] durchgelesen bevor ich das Programm benutzt habe.

Die Konfiguarion habe ich gemacht wie nochmal von Dir beschrieben, habe Quick Seach drüberlaufen lassen, die Vista-Abfrage bejaht (war zwar nur XP drauf, aber ich dachte es kann nicht schaden). Ergebnis: Nix gefunden. Anschließend habe ich die Erweiterte Suche gemacht, wie beschrieben. Ergebnis: Nix gefunden.
Ich poste Dir morgen früh die Screenshots, muss jetzt zur Arbeit - keine Zeit mehr für die Tests.

PS: Wie lange dauert so ein Testlauf bei einer 120er Platte? Selbst die intensive Suche war nach 15 min fertig...

Xan

 

[Fiona]

Gegenwärtig befindet sich in deiner Partitionstabelle nur eine primäre Partition, die doppelt gelistet wird.
Diese weist normal auf einen defekten Bootsektor oder beschädigtes Dateisystem hin.
Erscheint somit unter Windows als unformatiert, und solltest du nicht formatieren.
Um im Fall mehr Partitionen zu finden, hilft eigentlich nur die tiefere Suche.
Wenn dort nichts gefunden wird, ist eine sichere Alternative kostengünstige Datenrettungssoftware in der Testversion zum überprüfen (Diagnose), was an Daten noch vorhanden ist.

Viele Grüße

Fiona

 

[Tartaro$]

hast du wichtige Datenverloren?
Kannst dafür nicht schadenersatz heraus klagen?
Bei Daten kann seeehr viel Kohle bei rumspringen..


EDIT_
ich kenne auch das Gefühl daten verloren zu haben -> Verschlüsselte HD in Container datei in der der ein paar Bytes verändert wurden -.-
(alle meine Fotos der letzen 8 Jahren wech)

Aber ich sag man muss den Typen ja bestrafen für so einen blödsinn

 

[IchKannNichts]

Hier geht es doch um Datenrettung und nicht um Schadenersatzansprüche - manchmal sind andere Dinge mehr Wert als Geld. Viel Glück bei der Rettung (ich kenne das Gefühl [mechanischer HD-Schaden])

edit: Ich weiß. Nur muß man sich mal Strafrechtverfahren anschauen: Wenn der angesetze Wert des Schadens zu gering ist, wird das Verfahren eingestellt. Letzte Hilfe - zivile Klage, mit dem Risiko, dass man auf den Verfahrenskosten sitzen bleibt, wenn bei dem Beklagten nichts zu holen ist.

 

[schillijo]

Ich kanns nur immer wieder betonen: von wichtigen, vor allem Persönlichen Daten immer mindestens noch eine Kopie anlegen! ( ja, ich weis, hinterher kann man immer schlau daher reden)

 

[Xan1704]

Hallo,

also hier die Screeshots, nach Quick Seach:



und nach Deeper Search:



Zum Thema Datensicherung: Ich habe eine Datensicherung, aber die ist fast 2 Monate alt, und ich hatte in der Zwischenzeit einiges daran gearbeitet. Zumindest brauche ich - falls nix mehr geht - keine Neuinstallation zu machen.

Edit:
Wegen Schadenersatz brauche ich mir keine Hoffnungen zu machen. Ich hatte gestern nochmal bei der Polizei angerufen, ob die den eventuell mal fragen können was genau er gemacht hat. Der Typ sagt aber gar nix, und es wurde mir auch angedeutet dass ich mir eine Schadenersatzklage sparen kann, weil bei dem nix zu holen ist.

 

[Fiona]

Sieht wohl nicht nur nach einerÄnderung in der Partitionstabelle aus.
Bei der tieferen Suche Deeper Search, werden die Partitionen auch anhand des Backups vom Bootsektor gesucht un angezeigt.
Bei einer NTFS-Partition ist der erste Sektor der Bootsektor und der letzte Sektor der Partition, das Backup vom Bootsektor.
Hier wird nichts gefunden.
Nur eine Partition erstellen, kann nicht zu dem Ergebnis fürhren.
Öfters haben Notbooks und Laptops eine Geometrie von 240 Heads pro Cylinder.
Wenn du die Festplatte aber an einem USB-Adapter angeschlossen hast, kann der Kontroller die Geometrie auf Standard von 255 Heads setzen, da er unterschidlich zu dein Laptop-Kontroller ist..
Daher vielleicht Abweichungen.
Lasse daher mal eine Diagnose mit 240 Heads laufen, ob die Partitionen dann gefunden werden.
Sieht so aus das deine Festplattengeometrie nicht stimmt!
Korrigiere es mal und schaue ob die Partitionen dann gefunden werden.

Starte Testdisk, bestätige bei Log-Datei erstellen mit Enter, wähle deine Festplatte und bestätige mit Enter.
Bestätige auch bei Partition Table Typ Intel mit Enter.
Gehe jetzt auf das Menü Geometry.
Gehe dort auf Heads.
Gib dort 240 ein und bestätige mit Enter.
Lasse SectorSize und den Rest in Ruhe.
Bestätige dann mit OK zum verlassen von Geometry.
Du darfst dann Testdisk nicht beenden da du dann die Einstellungen verlierst.
Gehe dann mit dem Pfeil auf Analyse bestätige mit Enter und setze mir einen Screenshot.
Bestätige bei Quick Search und setze mir auch einen Screenshot.

Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Wenn keine Partition gefunden wurde;

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Deeper Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir einen Screenshot
Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[IchKannNichts]

Ich weiß zwar, dass Testdisk wirklich gut ist, aber versuche es mal mit "GetDataBack" für NTFS-Dateisystem http://runtime.org/gdbnt.zip

Weil ich (vielmehr mein Bruder) habe damit gute Erfahrungen gemacht, vor allem wenn die Platte "ausversehen" formatiert wurde.

MfG

 

[Xan1704]

Hallo,

hier die Screenshots mit 240 Heads:

Analyse:


Quick Seach:


Deeper Analysis:


Hab die Platte mittlerweile direkt per SATA angeschlossen, nicht dass durch den USB-Adapter irgendwas falsch läuft.

Ich habe übrigens gestern abend einen USB-Schreibschutz draufgelegt und über Nacht PC Inspector File Recovery nach Bildern suchen lassen. Ergebnis: kein einziges Bild gefunden. Das macht mich jetzt schon nachdenklich, denn der untersucht ja auf Wunsch Sektor für Sektor, unabhängig von der Formatierung - das hab ich ihn auch tun lassen. Kann es sein dass das Notebook die Platte verschlüsselt, so dass sie woanders nicht lesbar ist? Im BIOS vom Notebook ist aber diesbezüglich nix eingetragen, hab da keine Passwörter oder so vergeben.

 

[Fiona]

Weiß nicht, ob mit irgend einen Diebstahlschutz vom Notebook was gemacht wurde.
Baue die mal in das Notbook zurück und mache mal eine Diagnose mit der Testdisk BootCD.
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Die brennt sich unter Windows selber.
Einfach entpacken, Doppelklick auf die Exe und wenn du aufgefordert wirst, lege einen Rohlin ein.
Boot mal damit, mache die Diagnose wie beschrieben und teile s mit.

Viele Grüße

Fiona

 

[The-Heinz]

Ich weiß zwar, dass Testdisk wirklich gut ist, aber versuche es mal mit "GetDataBack" für NTFS-Dateisystem http://runtime.org/gdbnt.zip

Weil ich (vielmehr mein Bruder) habe damit gute Erfahrungen gemacht, vor allem wenn die Platte "ausversehen" formatiert wurde.

MfG

Kann ich bestätigen. Hatte mein Dateisystem des NB komplett zerschossen, den ganzen Mist formatiert und dann mit dem Programm 95% meiner Daten wiederhergestellt.

Nur WInmuss man halt neu aufspielen!

MfG

 

[Hypocrisy]

Oh Mann, ich wünsche dir viel Erfolg! Aber hier bist du bestens aufgehoben.
Jeglichen Kommentar zum Übeltäter lasse ich besser.

 

[Xan1704]

Hallo nochmal,

hab die Platte jetzt wieder im Notebook, und Testdisk von der CD aus drüberlaufen lassen. Ergebnis siehe oben, nix gefunden. Im Notebook wird die Platte auch mit 255 Heads erkannt.

Fällt noch jemandem etwas ein? Bzw. hat jemand eine Ahnung was der gemacht haben könnte, dass gar nix mehr gefunden wird? Irgendwie ist es nicht mit meinem Verständnis von Festplatten vereinbar, dass es jemand in ein paar Minuten mit Windows-Bordmitteln schafft alles unwiederbringlich plattzumachen.

Werde nochmal das GetDataBack versuchen, mal sehen was der so spricht. Melde mich dann.

Gruß

Xan

 

[The-Heinz]

Es gibt hier im Forum auch ne ganze Liste von anderen Tools. Probier die alle mal aus.

Ich habe meine NB HDD als Sata an nen normalen PC geklemmt und das ganze aus Windows gemacht. Sollte er "nur" formatiert haben, müsstest du einiges wiederfinden!


MfG

 

[Fiona]

Mache mal eine Diagnose mit Datenrettungssoftware ob was gefunden wird;
Teile im Fall auch das Ergebnis von GetDataBack mit.
Infos;
Mache mir mal einen Scan mit Datenrettuntgssoftware in der Testversion.
Nehme mal dazu den kostengünstigen Restorer2000 (english) und lasse den mal nach Partitionen suchen.
Liefert in der Testversion gute Ergebnisse zum vergleichen.
Dazu folgende Anleitung;
Gute Ergebnisse sind Restorer2000, Scavenger und Recover it All.
Linkk dazu hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Freeware hat nicht immer gute Ergebnisse.

Du kannst dir ja mal den kostengünstigen Restorer2000 Pro (Shareware 49.99 $ ca. 38 €) in der Testversion anschauen was der an Daten nach Diagnose anzeigt.
Hatte hier bereits gute Ergebnisse und macht auch wenig Probleme mit verschiedene Dateiformate.
Daher noch ergänzende Hinweise und Tips wegen der Bedienung um optimale Ergebnisse zu erzielen.
Mache damit mal einen genauen Sektorscan.
Markiere die Festplatte und nicht deine Partition..
Scanne die Festplatte indem du auf das Icon im Menü mit dieser Uhr oder ähnlich gehst (Diese Option sucht nach Partitionen macht aber einen Sektorscan).
Dabei kannst du den Start auf der Festplatte festlegen und die Größe auch.
Dadurch scannst du nicht die gesamte Festplatte und sparst Zeit beim scannen und auch beim durchsuchen der Partitionen und Daten.
Hinterher kannst du oben im rechten Fenster in Restorer auf die Festplattensymbole (erkannte Partitionen) klicken und auf deine Daten untersuchen.
Wähle bitte zuerst die Laufwerkssymbole aus die deiner Partitionsgröße und Dateisystem entsprechen.
Da kannst du auch wenn im rechten Fenster mehrere angezeigt werden wechseln indem du in Restorer2000 im Menü oben ganz links auf das Laufwerkssysmbol klickst.
Dann kommst du wieder zurück und kannst im rechten Fenster das nächste Laufwerkssymbol zum untersuchen auf Daten auswählen.

Zusätzliche Infos nur für den Versuch einer Wiederherstellung;

Wenn du auf Dateinamen und die Ordnerstruktur keinen Wert legst, kannst du dir mal Photorec anschauen.
Lade dir im Fall mal die neueste Version von Testdisk beta 6.6 direkt von der Homepage.
Photorec befindet sich mit bei Testdisk im Ordner.
http://www.cgsecurity.org/wiki/TestDisk_Herunterladen

Du kannst auch Dateien damit woanders hinkopieren.
Infos über das kopieren hier;
https://www.computerbase.de/forum/threads/232924/
Infos;
https://www.computerbase.de/forum/t...ttet-was-mach-ich-falsch.226036/#post-2223465
Du kannst es auch unter File Opt einstellen nach was für Dateiformate Photorec suchen soll.
Infos über die Unterstützung separat nochmal hier;
http://www.cgsecurity.org/wiki/File_Formats_Recovered_By_PhotoRec

Viele Grüße

Fiona

 

[Xan1704]

Hallo,

habe gestern abend noch GetDataBack und 2 weitere Tools ausprobiert, die Fiona gepostet hat. Keines der Tools konnte etwas verwertbares finden. Im Internet habe ich von Leuten gelesen die ähnliche Probleme mit Notebookplatten hatten, da hat sich anschließend herausgestellt dass diese Platten verschlüsselt waren. Ich werd heute im Lauf des Tages mal bei Acer anrufen, wie das sein kann dass die Platte verschlüsselt ist, wenn ich kein Passwort im BIOS vergebe. Meine Daten habe ich jedenfalls abgeschrieben, werde dann meine alte Sicherung wiederherstellen.

Auf jeden Fall danke ich euch Allen herzlich für eure Unterstützung und Mühe, werde versuchen mich zu revanchieren.

CYA

 

[Mueli]

wenn du genügend freien platz zur verfügung hast, würde ich dir ein image der disk empfehlen, es kommt allerdings erschwerend hinzu, dass keine partitionen der ursprünglichen einteilung zu finden sind. dies image sollte nicht komprimirt sein, also am besten mittel dd aus einem linux heraus (win-dd sollte aber auch gehen). jetzt könntest du dein backup zurückspielen und alle aktionen mit dem image probieren, dann sollte aber eine kopie des images vorhanden sein, worauf man wieder zurückgreifen kann, du bräuchtest also mindestens 250gb freien speicher.
das image könnte man dann mit forensic-tools bearbeiten, hierzu gibt es viele freie tools, die allerdings etwas einarbeitung erfordern (die c't hatte bereits ein paar artikel dazu geschrieben). von winhex gibt es z.b. auch eine forensic version. mit dem begriff 'forensic' könntest du googlen, eine anlaufstelle wäre z.b. diese oder hier.

sorry für die Form meines Geschreibsels, aber mir steht im Moment nur meine linke ('schlechte') Hand zur Verfügung.

 

[MnEmIc]

hoi

ich hab so ein ähnlisches prob:

vor einigen tagen wollte ich eine partition von 60gb auf 40gb verkleinern mit hilfe von partition magic 8.0. das dumme was nun passiert ist das sich das schöne prog aufgehängt hat und ich es mit dem task manager beenden musste. danach hatte ich es neugestartet und zack die partition war fehlerhaft und konnte sie nur noch neu formatieren. hab auch schon dieses getdataback rüber rattern lassen aber der hat von den alten daten nichts gefunden kann mir das einer genauer erklären?