Datenwiederherstellung zusammen mit TrueCrypt

Fropper

Ensign
Registriert
Aug. 2008
Beiträge
132
Ich werde mein Problem etwas genauer beschreibenm, bzw wie es dazu kam.

Ich habe gestern Windows 7 neu aufgesetzt. Dabei hats eine meiner Festplatten erwischt; auf eine komplett mit Truecrypt verschlüsselte zweite Platte wurden wohl bei der Installation die Bootinformationen geschrieben. Ich denk mal es lag daran, weil sie in der Liste der verfügbaren Festplatten an erster Stelle, also als Harddisk 0 gelistet war. Die Festplatte, auf welche Windows vorher war, und auch wieder drauf sollte, war als Harddisk 1 darunter.
Als dann nach der Installation eine Fehlermeldung beim booten kam hatte ich mich schon gewundert und das schlimmste befürchtet. Da kam eine Fehlermeldung dass der Bootmgr (oder so ähnlich) nicht gefunden werden konnte, die Datenfestplatte war im BIOS garnicht als mögliche Bootoption gelistet. Nachdem ich dann aber die Datenfestplatte zum booten ausgewählt hatte, klappte alles.
Ich hab dann erstmal die wichtigsten Programme installiert, darunter Truecrypt und wollte dann meine Daternfestplatte mounten, das ging aber nicht, Truecrypt sagte, sie wird bereits verwendet und kann nicht darauf zugreifen. In der Datenträgerverwaltung hab ich dann gesehen, dass statt wie gewöhnlich RAW als Datenträgertyp, NTFS bei der Datenplatte stand. Ich hab dann erstmal den Laufswerkbuchstaben entfernt, mounten lies es sich immer noch nicht. Nach einem Neustart ging auch nichts und ich hab noch was in der Datenträgerverwaltung geändert, sodass nachher wieder RAW angegeben war (Was genau ich da gedrückt habe weiß ich nicht mehr, sorry). Nachdem ich dann bei der Datenfestplatte einen alten Volumenheader wiederhergestellt hatte, lies sie sich auch wieder mounten, lies sich dann aber nicht öffnen, sie müsste erst formatiert werden, weil kein Dateisystem vorhanden sei.

So jetzt zu der Frage, in weiser vorraussicht hatte ich den Volumenheader der Truecryptpartition direkt nach der Erstellung extern gesichert, also hoffe ich, ist nicht alles verloren, mounten lässt sich die Platte jedenfalls einwandfrei.
ALSO, welches Programm ist am besten geeignet um die verlorenen Dateien wiederherzustellen? Sind halt echt wichtige Dateien darunter von denen ich kein Backup hab (jaja ich weiß, man sollte immer ein backup machen :( )

Kurz zusammengefasst:
Bei Windowsneuinstalltion wurde der Bootsekttor statt auf die Windowspartition auf meine (mit Truecrypt verschlüsselte) Datenfestplatte geschrieben und nun such ich ein geeignetes Programm zur Datenrettung. Datenplatte lässt sich nach ein enig Frickelei wieder mounten.
 
Kann es sein das du deine Datenfestplatte 2 mal formatiert hast? Denn so aus dem nichts ändert sich nicht das Format des Dateisystems (NTFS/RAW). Prüfe das bitte noch einmal genau nach und höre bitte auf, auf irgendwelche Knöpfe zu drücken von denen du nicht weißt was sie bewirken...

Falls du die HDD 2 mal neu formatiert hast, sieht es wirklich schelcht aus mit ner Recovery, vor allem da deine Daten nunmal verschlüsselt sind und im Datensalat mit den von Truecrypt generierten Zufallswerten liegen.

Wenn du deine HDD mountest, was wird dir dann angezeigt?
 
Naja formatiert hab ich eigentlich garnichts, wenn dann unbeabsichtigt und mounten lässt es sich ja auch noch. Im Truecryptfester sieht alles aus wie immer, nur wenn ich sie dann im explorer öffnen will kommt die Meldung hier

errorpid0.jpg

nach klick auf abbrechen dann
error2296t.png


also zumindest überschrieben wurde nichts, bis auf den kleinen bereich wo der bootsektor reingeschrieben wurde.

Achja was ich noch vergessen hatte zu schreiben, nachdem die Platte wieder RAW war konnte ich natürlich auch nicht mehr neu booten, hab dann alles bis auf die Systemplatte abgeklemmt und Windows nochmal aufgesetzt, dann die Datenplatte wieder angeschlossen.
 
Zuletzt bearbeitet:
Hallo Fropper,

also wenn ich das richtig verstanden habe, suchst du ein Programm welches die Daten in deinem Container bzw. verschlüsselten Festplatte wiederherstellt. Richtig?

Also ich habe sehr gute Erfahrungen bei der Datenwiederherstellung mit dem Programm File Scavenger 3.2 gemacht. Ist leider nicht kostenlos, wenn ich mich aber richtig erinnere, kannst du mit der Testversion alle Daten, welche er findet, ansehen und abhängig vom Wiederherstellungsergebnis entscheiden, ob du das Programm kaufen möchtest.

Ich hoffe ich konnte dir helfen.



Gruß Sniffer
 
Ich hab mir das Programm mal geladen und den langen Suchmodus aktiviert, bin jetzt bei 12% aber es wurde noch nichts gefunden, zumindest wird nichts angezeigt. Werden die Ergebnisse erst am Ende angezeigt oder wurde wirklich noch nichts gefunden? Denn wenn das der Fall ist kann ich genau so gut abbrechen, dann wird der auch in den anderen 88% nichts mehr finde, es waren nämlich viele kleine Dateien darauf.
 
Er zeigt die gefundenen Daten schon während des Suchvorgangs an.

Mhm das bedeutet leider nichts gutes,...
 
Habs jetzt ganz durchlaufen lassen, es wurde nichts gefunden, mit R-Studio auch nicht
 
Wenn du deine gesamte HDD verschlüsselt hast, dann kannst du lange nach Dateien mit den Tools oben suchen. Verschlüsselung ist dafür da, das nichts gefunden wird. Kannst nur versuchen die Bootsektoren wieder her zu stellen, wenn es nicht mit TrueCrypt geht, dann stehen die Chancen für ein anderes Tool noch schlechter...
 
Das ist mir schon klar, ich war aber davon ausgegangen, dass die Platte entschlüsselt ist, wenn ich den Volumenheader wiedhergestellt habe und die Platte sich wieder mounten lässt. Ich dachte, dass der MBR fehlen würde, in dem Fall sollte es natürlich schon möglich sein da was wiederherzustellen.
 
Haste es mal mit der Rescue Disk von TC versucht ?

oder vllt mal im TrueCrypt Forum versuchen :)

edit: in nem Forum gerade gefunden da hat jmd mit GetDataBack seinen Teil wiederhergestellt
 
Zuletzt bearbeitet:
mit GetDataBack scheint er was zu finden, läuft noch 3 stunden,
werde morgen dann mal berichten ob ich was retten konnte

eine rescuedisk von dem volumen hab ich leider nicht

edit: hier das Programm konnte zwar ETWAS finden, aber nur noch die neu draufgeschriebenen Bootdateien, was wohl heißt das Truecrypt die Platte garnicht mehr entschlüsselt, obwohl ich den Volumeheader wiederhergestellt habe :/
 
Zuletzt bearbeitet:
Sieht bei dir wohl formatiert aus?
Grund;
dass statt wie gewöhnlich RAW als Datenträgertyp, NTFS bei der Datenplatte stand.
Weil bei einer unformatierten Partition steht nicht NTFS, sondern RAW (Rohformat).
Beim formatieren wird das unterliegende Dateisystem überschrieben.
Das bedeutet du benötigst Datenrettungssoftware.

Oftmals läßt die Windows-Installations-CD am Ende 8 MB frei.
Wenn du darauf dein Backup vom Volume Header wiederherstellst, stimmt die Partitionslänge nicht.
Dann werden auch keine Daten gefunden.

Lösche daher die NTFS-Partition.
Erstelle in der Datenträgerverwaltung eine neue unformatierte Partition.
Sollte dann identisch zu deiner vorigen Situation sein.

Stelle dein Backup vom Volume Header wiederher.
Wenn keine Daten angezeigt werden, scannen mit Datenrettungssoftware wieder.
Mounte das Laufwerk.
Wähle dein mounted Laufwerk in der Datenrettungssoftware aus und scanne es.
Wenn das Ergebnis mit GetDataBack nicht zufriedenstellend ist, versuche es mit scavenger in der Testversion.
Benutze damit den langen scan.

Teile erstmal dein Ergebnis mit.

Viele Grüße

Fiona
 
So habe mal die von dir genannten Schritte durchgeführt, im moment sieht es bei der Wiederherstellungssoftware so aus, irgendwelche Dateien scheint er zu erkennen, das tat er aber auch vorher schon, wobei dann die Bootdateien dabei heraus kamen.

scanpfxw.jpg


edit: mit getDataBack hab ich nichts brauchbares gefunden, während der Suche sagte das prgramm ja schon was von über 700 gefundenen Dateien bei grade mal 2% abgesucht, naja jetzt hat er nach den 3-4 stunden ca 20 (nutzlose) Dateien gefunden

in den 5 File Systems befinden sich jeweils ca die gleichen Daten

scan207ip.jpg

scan3o7lz.jpg


edit2: und das gleiche ergebnis mit file scavenger :/
 
Zuletzt bearbeitet:
Zurück
Oben