nach Formatierung Partition weg, Testdisk findet nur noch leere Partition

[unwissend1]

Hallo an alle,

ich bin neu hier und begrüße euch alle erstmal recht herzlich.

Ich habe viel in eurem Forum gelesen und mich schon erkundigt, doch leider komme ich zu keinem Ergebnis. Daher seid ihr meine letzte Hoffnung, da ich seit Tagen versuche meine Daten wiederherzustellen, habe sämtliche Tools, Software etc. ausprobiert aber es klappt einfach nicht so wie ich will. Auch mit Testdisk und Photorec. komme ich nicht wirklich weiter. Daher brauche ich nun euren Experten-Rat, ich hoffe dabei sehr auf Fiona und Co.

Ich schildere euch mal kurz mein Problem.

Vor ca. 1 Woche habe ich mit Paragon Partition Manager versucht von meiner 2. Partition (Laufwerk D) ein paar Gig wegzunehmen und diese auf meine 3. Partition (ich glaube es war Laufwerk E oder F, sorry, weiß ich leider nach sooo vielen Stunden verzweifelter Suche nicht mehr genau) zu übertragen.

Dabei lief irgendetwas schief, denn nach mehreren Stunden umpartitionieren habe ich den Vorgang abgebrochen, da es mir entschiedend zu lange dauerte. Ich hatte es zuvor schon einige Male gemacht und es hatte noch nie so lange gedauert, gleich gar nicht wegen 5 Gig. Jedenfalls war dann die Partition weg. Ich öffnete nochmals den Partition Manager um zu schauen, ob sie dort noch angezeigt wird. Sie wurde auch noch angezeigt aber als "unallocated".

Dann hatte ich versucht mit diversen Programmen wie u.a. GetDataBack meine Daten wiederherzustellen, er hat auch komplett alle Daten wiedergefunden, allerdings waren mehr ca. 90% davon unbrauchbar, sprich die Dateiheader etc. fehlten usw. Ich hatte mich erst so gefreut, dass er alle wiedergefunden hat aber ich konnte kein einziges Bild, Video, Installationsdateien wie z.b. exe usw. öffnen, ich hätte heulen können und könnte auch immer noch heulen, da dort alle meine wichtigen Daten gespeichert waren, sämtliche Bilder, Videos etc. - alles weg

Gut danach dachte ich mir, stelle ich die Partition mal wieder her und somit formatierte ich die "unallocated" Partition, was ich wahrscheinlich nicht hätte machen sollen... nun gut ich habs getan, zu spät...

dann versuchte ich erneut mit sämtlicher Wiederherstellungssoftware u.a. wieder GetDataback und auch Davory die Daten wiederherzustellen. Ein paar Bilder konnte ich mit Davory zurückholen aber auch nicht in der Qualität wie sie vorher waren und natürlich vieeeel zu wenige.

so daraufhin sicherte ich zumindest mal all diese Daten auch wenn diese unbrauchbar zu sein scheinen. Das witzige daran ist, dass die Bilder etc. alle ihre Originalgröße haben aber eben keines davon zu öffnen geht, wegen der Dateiheader usw.

Dann hatte ich von Testdisk und Photorec gelesen und diese auch gleich ausprobiert. Nun sitze ich schon seit Tagen daran und versuche die verlorene Partition mit allen Daten wiederzubekommen aber auch das funktioniert mit diesen beiden Programmen nicht, wie ich es mir erhofft hatte.

Ich habe Testdisk mehrmals durchlaufen lassen, und natürlich auch immer wieder mit "Deeper Search" versucht meine Partition wiederzufinden.

Ich komme immer zu dem selben Ergebnis. Er zeigt mir zwar einmal die "alte, verlorene Partition mit allen Daten" an, zumindest die Größe davon, denn der Name, den die Partition vorher hatte, erscheint nie!!! So dann zeigt er mir auch die "neue, formatierte Partition" an, auch mit Namen, aber die brauche ich ja nun nicht wirklich... Diese is auch etwas größer, da ich gleich beim formatieren die zuvor gewollten 5 Gig da mit drauf gepackt habe, also erscheint dann sowas wie 67 GB / 62 GiB... die Partition mit den Daten hatte vorher 57 GB, wie gesagt wollte ich ja 5 GB mehr drauf packen und das wären dann demnach 62 GB gewesen. Diese zeigt mir Testdisk auch an, und zwar so: 62 GB / 57 GiB

Wenn ich diese Partition aber auswähle und Daten anzeigen mit "p" mache, kommt gar nichts.

Auch wenn ich auf wiederherstellen dieser Partition gehe, was ich natürlich gemacht habe, dann zeigt er mir im Arbeitsplatz zwar das Laufwerk an aber keine Größe und gar nichts, also 0! Also er stellt mir nicht mal mehr die 57 GB her, wie sie anfangs waren... auch nach mehrmaligen Versuchen komme ich zu keinem Erfolg.

Nun habe ich also das leere Laufwerk aber keine wirkliche Partition, wo mir angezeigt wird, wieviel GB ich zur Verfügung habe etc.

Daraufhin habe ich nochmals mehrmals u.a. das programm "photorec" laufen lassen, in der Hoffnung dadurch ein paar Daten wiederzubekommen, aber nichts!

So nun stehe ich also da, nun könnte ich die Partition wieder herstellen, in den Zustand nach Formatierung, was mir aber wenig nützt, da ich ja meine Daten wieder haben will.

Nun die Frage und bitte an euch: Was soll und kann ich da jetzt noch machen???

Ich habe auch alles mögliche mit "Testdisk" ausprobiert, auch im "None" Zustand, da findet er zwar sämtliche Partitionen wieder aber auch nicht die, die ich vorher mal hatte mit dem Namen. Er findet zwar wieder diese 57 GiB Partition aber eben nicht mit dem Namen, ist das richtig so? Also wenn ich vorher die Bezeichnung "ANYTHING" drin hatte, dann müßte er mir die doch auch anzeigen oder?

BITTE BITTE HELFT MIR WEITER!!! Was kann ich noch machen, damit ich meine Partition und somit meine Daten wieder bekomme??? Da muß es doch einen Weg geben oder hilft da wirklich nur noch die professionelle Datenrettung gegen Bezahlung???

Ich hoffe soooo sehr, dass mir jemand mit Erfahrung weiterhelfen kann... ich kann auch gern screenshots einfügen, dazu müßte ich aber nochmal testdisk laufen lassen, dann bestimmt inzwischen das 15. Mal ;-) aber mache ich natürlich gern, wenn mir dadurch geholfen werden kann.

Sagt mir doch einfach mal, was ich machen soll, also bis wo hin, denn wie gesagt ich habe das Programm schon mehrmals durchlaufen lassen, mit sämtlichen Möglichkeiten, habe aber allerdings keine Ahnung was z.b. fehler oder sowas betrifft, daher brauche ich euren Expertenrat... vielleicht ist ja auch nur ein Fehler, den ich manuell irgendwie beseitigen kann, ich wäre euch sooo dankbar...

Also bitte sagt mir Bescheid was ich genau tun soll und welche genauen screenshots evtl. gebraucht werden!!!

VIELEN LIEBEN DANK IM VORAUS AN ALLE FÜR EURE HILFE UND UNTERSTÜTZUNG!!! ICH KANN MIT JEDEM EINZELNEN MITFÜHLEN; DEM DAS PASSIERT IST; ES IST EINFACH ZUM HEULEN!!!

 

[Mueli]

Jetzt hast Du schon so viel geschrieben und hast dennoch wichtige Informationen nicht erwähnt: Welches OS verwendest Du? Welche Dateisysteme sind eingerichtet gewesen? Wie war die Disk partitioniert in Größenangaben und Typ der Partitionen und wie sollte die Partitionierung im Detail verändert werden? Wo war das OS installiert und wie viele physikalische Disk's sind verbaut?

So eine Umpartitionierung sollte immer mit DaSi gemacht werden, was Du sicher versäumt hast, sonst wäre das Problem ja nicht so groß. Je nach verwendetem Tool läuft so ein Umbau in mehreren Steps ab, die durch die Art der Veränderungen, also wo etwa weggenommen und etwas hinzugefügt werden, unterscheiden. Auch das Filesystem spielt eine Rolle, im Fall von NTFS wird sehr viel bereits in der MFT die eigentlich immer am Anfang der Partition beginnt und zwischen 12 und etwa 50% (je nach Konfiguration in der Registry) des gesamten Platzes in der Partition einnimmt. Die MFT hat bereits einen Anfangswert und wächst dann dynamisch. In der MFT befinden sich bereits Teile der Daten und Files bis zu einer Größe von etwa 1.5kB werden komplett in der MFT gespeichert. Wenn eine Partition gekürzt wird müssen diverse Meta-Dateien, zu denen auch die MFT gehört angepasst werden, ebenso wird der Bootsektor der Partition und i. d. R. auch der MBR angepackt. Es wird also überall auf der Disk geschrieben! Wir wissen jetzt nicht, an welcher Stelle der diversen Schritte, Du die Aktion unterbrochen hast. Sollte der Manager z. B. beim defragmentieren (um Platz für die Verkleinerung der Partition zu schaffen) abgebrochen haben, könnten diverse Aktionen nicht abgeschlossen worden sein. Dies würde auch erklären, warum Files zwar zu 'sehen' sind, aber deren Inhalt nicht passt.

Wahrscheinlich wirst Du wenn überhaupt nur etwas mit Datenrettungstools werden, dennoch führe mal eine Diagnose mit Testdisk wie folgt aus.
Lade Dir dazu Testdisk 6.12.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

Fiona hat auch den folgenden Artikel Beratung: Datenrettung mit „TestDisk“ verfasst, um den Usern das Programm etwas näher zu bringen.

 

[unwissend1]

Hallo Mueli und herzlichen Dank für deine schnelle Antwort und die ausführliche Beschreibung.

Sorry, das hatte ich wirklich total vergessen anzugeben, also hier nun erstmal die für dich/euch erforderlichen Daten:

1. OS = Windows Vista Ultimate
2. Dateisysteme??? Sorry, was meinst du genau damit...
3. partitioniert folgendermaßen:
C: = OS Windows Vista (Größe ca. 62 GB? bin mir nicht ganz sicher) = BOOT... NTFS primär
D: = OS Windows 7 (Größe vorher ca. 30 GB)... NTFS primär
E oder F: SONSTIGES (Größe vorher ca. 57 GB)... NTFS??? logical oder primär??? (kann ich das noch irgendwo sehen???)
PLATTE GESAMT: 160GB davon 149 GB nutzbar
4. Partitinierung sollte dahin gehend verändert werden, dass von D: ca. 5 GB auf E/F übertragen werden sollten, da ich diese gebraucht hätte, da ich Windows 7 nur im Notfall nutze und dementsprechend nichts weiter da draus ist an Daten etc. Also habe ich, wie schon zig 1000 Mal vorher auch, mit dem Partition Manager die Partition E ausgewählt und vergrößern angegeben. dann die Partition gewählt, wo die 5 GB abgehen sollen, also in meinem Fall D: und den Prozess gestartet... das hatte ich ja nicht zum 1. Mal gemacht und hatte noch nie Probleme damit. Ja jedenfalls hatte er dann stundenlang rumgerudert wegen den 5 GB, woraufhin ich es eben abgebrochen hatte, weil es entschieden zu lange gedauert hatte. Dann war Partition E wie gesagt ganz weg danach.
5. Es ist nur 1 physikalische Disk verbaut = 160 GB

Ich hoffe ich habe die Fragen soweit verständlich beantwortet, ansonsten bitte nochmal nachfragen, wenn was unklar ist.

Das weiß ich leider auch nicht, an welcher Stelle ich die Partitionierung unterbrochen habe.
Bei GetDataBack wird mir u.a. angezeigt von wo bis wo die Sektoren etc. gehen bei den einzelnen Partitionen, hilft das vielleicht auch weiter? Da ich ja diese Sache gesichert hatte, könnte ich nochmals die Sicherungsdatei aufrufen und schauen bei welchen Sektoren (nennt man das so?) die verlorene Partition vorher war, also anfang und ende etc.

Ok ich werde nochmals testdisk runterladen, und nach deiner Beschreibung laufen lassen und entsprechend die screenshots dazu einfügen, gerne doch... wird gleich mal angefangen damit...

Aber wie gesagt hatte ich das ja schon etliche Male gemacht, diese ganze Prozedur und auch mit "p" für Daten anzeigen etc. aber er zeigt nichts an, aber egal, ich mach das einfach nochmal und mache einfach zu jedem Schritt einen Screenshot, sodass ihr nachvollziehen könnt, was da los ist...

Ich mach mich jetzt mal an die Arbeit und sende dann die Screenshots zu ok...

Vielen Dank schonmal vorab...

Ergänzung (17. November 2009)

Hallo nochmal,

so nun habe ich den ganzen Prozess nochmal durchlaufen lassen und hänge mal die screenshots dazu an.

Folgendes zu den Bildern:

1. Bild = Anzeige der Partitionen nach 1. Suchlauf
2. Bild = die grün markierte 3. Partition ist die, die ich gern wieder hätte, zumindest die Daten davon, also die vorherigen 57 GB
3. Bild = Ergebnis nach Eingabe "p", also Fehlermeldung (KANN MAN DIESE WIEDER HERSTELLEN???)
4. Bild = Suchergebnis nach "Deeper Search"... daran sieht man ja auch, dass die letzten beiden gelöscht wurden, da diese mit "D" gekennzeichnet und weiß sind. Die letzte Partition mit der Bezeichnung "Volume" ist die, die ich dann neu erstellt hatte, nach Formatierung! Die Partition davor, also die 3. angezeigte ist die von mir verloren gegangene mit den ganzen wichtigen Daten, diese hatte mal die Bezeichnung "ANYTHING"
5. Bild = zeigt nochmals die Partition die wiederhergestellt werden soll (vorher 57 GB)
6. Bild = nochmals Anzeige der Fehlermeldung auf dieser Partition
7. Bild = zeigt an, dass nach Formatierung die 62 GB drauf waren und dann nochmals 5 GB extra drauf kamen, also dann insgesamt 67 - vorher wie gesagt waren es mal die besagten 57 GB
8. Bild = zeigt die Daten an, die nach Formatierung neu drauf kamen, diese sind aber nicht wichtig, wie gesagt, die von vorher, die wiederhergestellt werden müßten, sind nicht abrufbar, da wohl beschädigt!

So und nun eben meine Frage, was soll ich jetzt machen bzw. was kann ich jetzt noch machen oder ist die chance unrealistisch da noch Daten retten zu können, bei beschädigtem Filesystem?

Vielen Dank an alle lieben Helfer!!!

 

[Mueli]

Wenn die Partitionen im Screen nach Analyse, also der gegenwärtigen Partitionstabelle, mit dem nach Quick Search übereinstimmt und dann auch noch grün dargestellt werden, ist für Testdisk die Partitionierung o. k., in einem tieferen Scan können alle möglichen Partitionen noch gefunden werden, sie stammen i. d. R. aus vormaligen Partitionierungen. Testdisk prüft zunächst (Quick Search) an Hand der Partitionstabelle, der Einstellungen und der hinterlegten Geometrie. Für den tiefen Scan sucht Testdisk gemäß der Geometrie und auch der Einstellungen wie Intel Typ, dies bedeutet an den Cylindergrenzen (Cylinder für Cylinder). So wie es aussieht ist Deine Partitionsänderung bereits in die aktualisierte Partitionstabelle eingeflossen, denn die zweite Partition ist jetzt etwas größer als 20 GB (kannst Du alles in Testdisk an Hand der Angaben unter Size nachprüfen). Die dritte Partition ist jetzt etwas über 60GB, das entspricht wohl auch der Änderung. Es hätte die Möglichkeit bestanden, dass die Änderungen noch nicht vollzogen wären (was die Größe betrifft). So sehe ich keine Möglichkeit in Testdisk. Kannst Du eigentlich noch alle daten der zweiten Partition sehen und lesen?

Nebenbei: Testdisk würde ich nicht löschen (konnte ich Deinem Text so entnehmen), es ist ein Tool, was man immer auf dem PC haben sollte und sei es nur um die Partitionierung zu sichern, es erlaubt auch ein Image zu erstellen usw.

Wenn ich von Dateisystemen schreibe, meine ich NTFS oder halt FAT, ist aber durch die PIC's erledigt.

Ich denke, Du wirst nur etwas mit Datenrettungstools wie GetDataBack, Restorer Ultimate oder R-Studio (hier habe ich sehr gute Erfahrungen gesammelt). Den Restorer empfiehlt Fiona gerne, weil sie damit gute Erfahrungen sammeln konnte. Wenn Du diese Tools einsetzt, solltest Du einen RAW-Scan und nicht den Scan in möglicherweise angezeigten Partitionen durchführen. Evtl. könnte auch der File Scavenger etwas bringen, der bei der Suche nach Dateien hier schon gute Ergebnisse gezeigt hat.

Bei Dir ist freier Space vor der ursprünglichen Partition hinzugefügt worden, dazu muss ganz sicher die MFT, MFT_mirr und die Bitmap angepasst worden sein, wie weit dabei die MFT neu organisiert wird, könnte Dir sicher nur der Hersteller des Partitions Managers sagen. Im Bootsektor steht der Start der MFT, hier könnte das Tool evtl. noch nicht zu gekommen sein. Dies könntest Du mal probieren mit Testdisk zu prüfen, im Menü Advanced gibt es den Menüpunkt Boot, dieser testet den Bootsektor.

 

[unwissend1]

Hallo Mueli und sorry für die verspätete Antwort, aber ich war mal wieder stundenlang damit beschäftigt die Daten irgendwie wiederzufinden, mit etlichen anderen Programmen aber wieder ohne Erfolg.

Wenn ich die Suchläufe der sämtlichen Programme starte und die Ergebnisse angezeigt bekomme, ist es eigentlich immer das selbe Szenario, er zeigt mir die Daten an, die ich nach der Umpartitionierung und Neuformatierung drauf hatte, aber nicht die, die eben davor drauf waren, bevor ich den Partition Manager eingesetzt hatte, also die damals 57 GB. Das ist echt ärgerlich...

Habe nochmal alles erdenklich mögliche versucht aber nichts...

• Gibt es denn irgend eine Möglichkeit, die Partition so wiederherzustellen oder in den Zustand zu versetzen, bevor ich all den "Mist" gemacht hatte?

• Dann wollte ich noch fragen, ob du/ihr irgendwelche Software kennt, die kaputte .jpg-Dateien und mpg´s etc. wieder herstellen können??? Habe da bisher leider nichts brauchbares ausfindig machen können. Erhalte immer wieder die Fehlermeldung "Dateiheader nicht gefunden" oder "Quelldatenformat nicht erkannt" etc. Es muß doch irgend eine Möglichkeit geben, die wiedergefundenen beschädigten jpegs etc. wiederherzustellen...

• Dann hätte ich gern gewußt, ob du/ihr eine Software kennt, die bereits gelöschte Daten von Speichermedien wiederherstellen kann. Also aber auch die, die schon vor längerer Zeit mal drauf waren, sprich, diese wurden gelöscht, dann wieder neue drauf gemacht z.B. Digicam Speicherkarte. Oder auch DVD-RW! Also eine Software, die mal auf der DVD vorhandene Daten wieder herstellen kann, auch wenn diese bereits mehrmals neu bespielt wurde??? Habe leider auch nichts brauchbares finden können. Habe es mit Davory probiert, das soll ja angeblich formatierte DVD´s und andere Speichermedien wiederherstellen können aber auch da hatte ich wenig Erfolg. Außer bei 1 Speicherkarte von 8, konnten alte Bilder und Daten wiederhergestellt werden, die mal drauf waren, bei allen anderen, nur die neuen Daten!!! Woran kann das liegen???

Ja ich wäre sehr sehr dankbar, wenn ihr mir entsprechende Software empfehlen könntet, die auch solche Speichermedien wiederherstellen kann. Ich verzweifle noch langsam, denn ich hatte die Hoffnung, dass ich wenigstens so einige meiner Bilder und Videos wieder bekommen kann, wenn ich eine Möglichkeit finde, die Daten der Speicherkarten und DVD-RW´s von Camcordern, wiederherzustellen, aber auch das stellt sich nicht als so einfach dar. Bei den DVD´s ist es mir fast klar, da diese ja die Daten "brennt" und somit es bestimmt nicht mehr möglich ist, da ältere Videos wiederherstellen zu können, aber ein Versuch ists Wert.

Ansonsten behaupten ja die "professionellen Datenwiederhersteller", dass wohl die Daten alle wiederhergestellt werden könnten, dann frage ich mich nur, was haben die für Möglichkeiten, die wir nicht haben??? Leider ist der ganze Spaß nicht gerade billig, aber evtl. werde ich es in Erwägung ziehen müssen, falls ich mit meinen Eigenversuchen der Datenrettung nicht weiterkomme...

Achso, du hattest noch die Frage gestellt, ob ich alle Daten noch auf der 2. Partition sehen und lesen kann, ja das kann ich ;-) Allerdings mußten diese anhand der recovery disc von windows 7 auch wiederhergestellt werden, was aber kein Problem war, kann ganz normal auf windows 7 zugreifen und auch alles machen damit... noch!!! ;-))

Ja und testdisk werde ich natürlich nicht löschen, dann hab ich mich wohl falsch ausgedrückt, sorry... erstmal werde ich die ganzen tools, die ich so in der Zwischenzeit gesammelt habe, beibehalten... sollte es mir alles nichts bringen, werde ich wohl professionelle Hilfe in Anspruch nehmen müssen und kann diese dann wieder entfernen bzw. lass ich testdisk selbstverständlich drauf ;-)

Jetzt ist nur noch die Frage, ich habe nirgends bei all den von dir aufgelisteten Tools (r-Studio etc.) die Möglichkeit gefunden, einen RAW-Scan zu machen. Wie mache ich denn das am besten, vielleicht kennst du dich damit gut aus??? Aber ich denke auch da wird es ohne Erfolg bleiben, denn er mag einfach nicht mehr die Daten anzeigen, die vorher mal drauf waren, immer nur die neu aufgespielten wie gesagt... egal mit welchem tool, immer komme ich zu dem gleichen Ergebnis... leider!!!

GetDataBack hatte ich mal gaaaaanz am Anfang als 1. Wiederherstellungs-Tool benutzt und da hatte er auch noch die ganzen daten wiedergefunden, aber eben beschädigt, wie schon erwähnt in einem vorherigen Post. Die ganzen Dateiheader etc. sind beschädigt, das ist ja mein problem. Wenn ich jetzt ein Programm hätte, mit dem ich diese wieder reparieren kann oder sowas, dann wäre das ja ein traum... doch leider habe ich noch keines gefunden. Denn die Größe etc. stimmt alles noch überein mit den Bildern, nur kann ich die eben nicht öffnen, egal in welchem Programm, ob Irfanview, ACDSee, Photoshop oder was auch immer, kein Erfolg!!! auch eine Konvertierung in andere Formate hatte ich versucht, auch da keine Chance... es ist schon fast aussichtslos, ich weiß nicht, was ich noch machen soll...

Denkt ihr, dass professionelle Datenretter das wieder hinbekommen können? Habe bei Ontrack z.B. gelesen, dass diese auch die Dateiheader wieder herstellen können und wenn nicht, dann können die das wohl manuell machen?

Hilft dir/euch das denn weiter, wenn ich weiß wo die MFT und die MFT-Mirr steht bzw. stand?

Danke und LG

 

[Mueli]

Du erwischt mich im Moment auf dem falschen Fuß, denn mein Datenrettungs-PC ist geshreddert und ich arbeite im Moment mit einem rel. frisch installierten Vista-PC, auf dem ich erst die wichtigsten Tools und meine DOC's installiert habe. Ich bin bei meinem historisch gewachsenen (Datenrettungs-)PC (XP) immer noch dabei ihn wieder zum ticken zu bekommen, aber da ich zur Zeit auch viele Gesundheitsprobleme habe und sehr viel unterwegs bin, komme ich nicht so richtig dazu konzentriert an meinem eigenen Problem zu werkeln.

Bei Datenrettungssoftware ist es so, dass sie zum Teil in verschiedenen Modes arbeiten, da musst Du mal durch die Menüs gehen und nach etwas wie Roh-Scan, Tiefen-Scan zu suchen oder als Quelle eben kein Filesystem oder Partition sondern eine Disk anzugeben. Diese Funktionen haben in den verschiedenen Tools unterschiedliche Bezeichnungen, habe z. B. schon einen Quick-Scan gesehen, so etwas wäre in Deinem Fall sicher nicht ziel-führend.

Wenn daten bereits überschrieben wurden, ist kaum etwas zu machen, früher konnte man in Datenrettungslaboren, die Justage der Heads so weit ändern, dass man in den Randzonen der Tracks lesen konnte, weil sich die Spurlage im Betrieb durch Erwärmung änderte (Disk rekalibrieren ihre Spurlage im Betrieb) und nicht immer alle Daten wieder überschrieben wurden. Diese Art der Datenrettung ist sehr aufwendig und teuer (lagen vor etwa 15 - 10 Jahren im fünfstelligen Bereich) und ich bin mir nicht sicher, ob das bei den aktuellen Strukturen überhaupt noch möglich bzw. angeboten wird.

Bei Dir kommt hinzu, dass nicht klar ist, was von dem Tool verändert wurde, die Verwaltung des NTFS erfolgt über diverse Metafiles, in der Bitmap stehen z. B. die belegten bzw. nicht belegten Blöcke, in der MFT (und im Mirror) finden sich diverse Informationen zu den Dateien und bei kleinen Files eben auch die Daten selber. Dann finden sich Informationen zu den Logs in Bezug auf Filesystemänderungen die noch nicht endgültig geschrieben wurden (das sogen. Journal). Wenn aber z. B. der Partition Boot Sektor auf einen falschen Block zeigt, wird die MFT überhaupt nicht gefunden. Es kann also an diversen Stellen kneifen. Angenommen, das Partitionstool hätte nur die Daten für die Lage und Größe der Partition geändert, müssten die Files (bis auf jene, die kleiner als etwa 1.5kB groß sind) noch komplett auf der Disk zu finden sein. Hat das Tool aber auch eine Defragmentierung durchgeführt können alle möglichen Blöcke durcheinander geraten sein. Der Header einer Image-Datei ist aber auch in einem Block gespeichert, befindet er sich nun nicht mehr am Anfang der Datei kann die Datei zwar noch in der richtigen Größe angezeigt werden, weil diese Daten stehen ja woanders, aber dies File wird nicht mehr als Image-Datei identifiziert. Geladen wird die Datei aber nur, wenn sie an Hand des Headers auch als supportete PIC-Datei identifiziert wurde.

Reparieren wird man solche Dateien aber nur können, wenn sie noch als PIC oder dergl. erkannt werden, sonst braucht man einen Hexeditor um diesen Header wieder rein zu schreiben, aber dies müsste File für File und Typ für Typ geschehen. Ich denke Du solltest mal ein Textdokument probieren, mit einem Hex-Editor wie Winhex kannst Du nach Strings auf einer Disk suchen und den Sektor ausfindig machen, wenn die Disk stark fragmentiert war, wird man die dazugehörenden Blöcke aber auch erst mühevoll suchen müssen, bei einer aufgeräumten Disk liegen die anderen Blöcke aber davor bzw. dahinter. Bei Graphiken hat man diese Möglichkeit leider nicht.
Es gibt auch sicher Programme, ich kenne jetzt keins namentlich, mit denen man PIC's reparieren kann, aber wenn die PIC's schon garnicht als solche identifiziert werden, sehe ich keine Möglichkeit.

Das was Du da vorhast, nennt sich (Computer)-Forensic, dazu gibt es Projekte auf Linux-Basis auch zum freien Download (Z. B. Helix 3 wenn ich nicht irre ist sowas). Auch von Win-Hex gibt es eine Forensic-Edition.

In Testdisk kannst Du die Partitionen manuell in der Größe erstellen, nur was nützt es Dir, wenn Dir nicht bekannt ist, was der Partitionsmanager bereits alles verändert hat. Wenn Du da wirklich ran willst, solltest Du Dir die Disk zunächst einmal, so wie sie ist, als Image sichern, dann kannst Du da immer wieder aufsetzen.

Gelöschte Files kann man mit sogenannten Undelete-Tools wieder herstellen, Recuva (Freeware) sollte das auch können.

Zur MFT bzw. dem Mirror davon, eigentlich mit allen Datenrettungstools kannst Du sie 'sehen' als $MFT im Wurzelverzeichnis einer Partition. Mit nfi (ein Tool von M$) sollte man auch die Lage bestimmen können, Fsutil zeigt wenn ich nicht irre die Größe an, nur ohne intakte Filesysteme wird es unmöglich die Tools zu nutzen.

 

[unwissend1]

Oh je das tut mir leid, dass du deinen PC geshreddert hast und nun selber genug Arbeit hast, um alles wieder neu einzurichten... aber danke erstmal für deine Nachricht. Ach ja wollte auch noch erwähnen, dass ich weiblich bin und falls ich zu viele Fragen stelle, nimm es mir bitte nicht übel ;-) von vielen dieser Fachbegriffe weiß ich demnach nichts und kann damit auch nicht viel anfangen aber ich gebe mein Bestes und ganz so dumm bin ich auch nicht haha...

Tja nun habe ich mal den "Restorer Ultimate" laufen lassen und da zeigt er mir dann im Ergebnis zig Laufwerke an die wohl mal so da gewesen sein müssen. Siehe Bilder... WAS SOLL ICH DAMIT JETZT ANFANGEN?

Wenn ich z.B. das Drive "NTFS_0018 = 57,8 GB - 39,3 GB" auswähle und mir die Daten darin anschaue, dann steht da unter anderem:

- bootex.log mit einem X markiert, also lost file - Größe: 3996 vom 10.11.09 (das war glaub ich das Datum als alles noch lief und dann habe ich eben versucht umzupartitionieren)
- $MFT = Größe: 16973824 vom 11.11.09 früh 00:20 Uhr
- $MFTMirr = Größe: 4096 vom 11.11.09 früh 00:20 Uhr
- $Bitmap = Größe: 2047776 vom 11.11.09 früh 00:20 Uhr

Dann habe ich mir mal eine andere angeschaut und zwar die "NTFS_0011"

- dort konnte ich u.a. eine $MTF, $MTFMirr und $Bitmap vom 10.07.09 finden! (Könnte mir dies evtl. weiterhelfen um es wiederherzustellen oder sowas in der Art oder ist dann tatsächlich nur das drauf, was also am 10.07. drauf war und nicht mehr das danach? Hilft das irgendwie weiter evtl.? )

Ansonsten verzweifel ich nun langsam, will aber immer noch nicht aufgeben, meine Daten wiederzubekommen. Das kann doch nicht soooooooo schwierig sein ;-) was machen denn die Profis auf dem Gebiet anders???

Was den RAW-Scan betrifft habe ich das eigentlich auch immer so gemacht, also wenn dann die ganze Platte durchsuchen lassen, anstatt nur einzelne Partitionen oder so. Klar hab ich auch mal nur den Partitions-Scan gemacht, um zu schauen was dann so angezeigt wird aber zur intensiven Suche, hab ich immer komplette Platte durchsuchen lassen. Aber wie schon gesagt, bin ich immer zum selben Ergebnis gekommen... Dateien werden gefunden aber jetzt nur noch die, die ich nach Formatierung draufgespielt hatte. Alle Daten davor, die ich gern wieder haben möchte, werden nicht mehr angezeigt und wenn er noch welche findet davon, dann sind diese beschädigt, also die jpeg´s etc. können nicht geöffnet werden.

Ganz am Anfang, also noch vor der Formatierung hatte ich ja mal den Scan gemacht mit GetDataBack und hatte mich wie ein kleines Kind gefreut, meine verloren geglaubten Daten alle wiederzusehen Leider war ich auch sehr naiv und habe diese nicht alle geprüft, denn dann hätte ich schon da festgestellt, dass diese beschädigt sind, hätte also andere Tools drüber laufen lassen, bevor ich formatiert habe... aber gut, ich dachte, ich sehe alle Ordner usw. wieder, also paßt ja alles... aber dem war leider nicht so. Jedenfalls habe ich von diesen gefundenen daten leider auch nur einige gespeichert, wie z.b. die Bilder, daher liegen mir diese alle noch vor aber eben nicht zum öffnen möglich. Ich hoffe ja immer noch auf ein Tool, womit ich diese defekten Header/Quelldatenformate wieder herstellen kann. Angeblich gibt es da ja einige Firmen, die das wohl wieder herstellen können... aber ich möchte es natürlich erstmal selber versuchen, bis ich irgendwann mal aufgebe und eben dafür zahlen muß, in der Hoffnung wenigstens dann, alle meine Bilder, Videos etc. wiederzubekommen... nur kann ich mir einfach nicht erklären, was diese "Profis" wohl anders machen, wie Ontrack z.b. ... naja...

Du kennst ja auch kein tool ne?? Mit dem man defekte jpg´s wiederherstellen kann, hab schon das ganze, na gut fast das ganze google durchforstet und so einige gedownloaded, wie z.b. Pixrecovery und viele andere... doch leider erkennt dieser gar nicht erst die Dateien, also kann sie nicht mal öffnen um die Reparatur zu versuchen... aber ich suche noch weiter... leider kenne ich mich mit dem Hintergrundwissen zu wenig aus, daher weiß ich nicht, wie man den header wieder selber neu schreiben, setzen oder wie auch immer man das nennt, kann... wie du ja schon geschrieben hast, mit einem Hexeditor etc. aber ob ich damit wohl klar komme???

Ich kann es ja mal versuchen, du hast was geschrieben, dass ich es mal mit einem Textdokument versuchen soll, wie soll ich da genau vorgehen, sorry, kenne mich leider gar nicht damit aus... Ach ja, bezieht sich das jetzt auf die beschädigten Dateien von der HDD oder meinst du damit jetzt die CD/DVD etc.??? Ist grad wie Bahnhof für mich, so viele Infos auf einmal und ich hatte soooo viele Fragen gestellt, daher weiß ich grad gar nicht, auf was sich das jetzt genau bezieht... kannst du mir mal bitte die einzelnen Schritte erklären? Wäre super nett... dann werde ich mal "Winhex" versuchen, wie du es vorgeschlagen hast, aber ich weiß gar nicht wie ich anfangen soll... also soll ich den auf der HDD suchen lassen wo die Daten mal drauf waren oder dort, wo sie jetzt liegen und eben beschädigt sind oder eben wie gesagt meinst du mein Problem mit der DVD, den Speicherkarten etc.?

Dann schreibst du was von Computer-Forensic. In welchem Zusammenhang steht das nun wieder? Also um Daten wiederzufinden, wiederherzustellen etc. oder beschädigte Dateien zu reparieren? Sorry aber das ist sehr viel neues für mich... hatte mich damit vorher noch nie beschäftigt, da ich ja so ein Problem noch nie hatte... aber ich schau mir gern mal "Helix 3" an, vielleicht werde ich dann etwas schlauer, was dieses genau macht... HDD, DVD, SPEICHERKARTEN???? BAHNHOF ;-)

Aber für mein Speicherkarten Problem werde ich mal Recuva probieren, danke für den Tipp! Habe auch schon einige Erfolge gehabt mit diversen anderen Tools, einige Bilder von den Speicherkarten wiederzubekommen, aber leider immer noch längst nicht alle. Ich suche immer noch bestimmte Bilder, die mir keines dieser Tools wiederbeschaffen will, das ist doch nicht normal, ich krieg langsam aber sicher die Krise... alle möglichen Bilder werden gefunden, nur die nicht, die ich unbedingt wieder haben möchte und das witzige daran ist, das sind alles neuere Bilder, also erst vor ca. 2 Monaten gemacht, doch er findet sie nicht, findet stattdessen Bilder von 2008 usw. wieder. Komisch... woran kann das nur liegen???

Und zu meinem DVD-RW Problem. Kennst du auch kein Tool wenn ich das richtig verstanden habe, womit man die Videos die mal vorher drauf waren wiederbekommen kann? Oder meintest du damit das Forensic-Tool? Sorry, jetzt komm ich selber durcheinander... vielleicht kannst du es nochmal genau erklären, für was welches Tool eingesetzt werden soll, DAAAAANKE ;-)

So dann schaue ich mir jetzt mal die ganzen hier benannten Tools an und schau mal, ob ich damit klar komme und was anfangen kann...

freu mich wieder von dir zu hören und wünsche dir alles Gute mit deinen gesundheitlichen Problemen, die natürlich vorrangig sind, zu all diesen "unwichtigen" Problemen, welche wir ja nur haben, weil irgendwann mal einer kam und einen computer erfunden hat...

 

[Mueli]

Du solltest Dich erst einem Problem widmen, wenn Dir die Wiederherstellung von optischen Medien mehr unter den Nägeln brennt, können wir auch damit weiter machen. Nur alle Probleme parallel zu behandeln halte ich für den falschen Weg (und ja es gibt Tools für optische Medien und auch spezielle für Flash-Speicher), alle Probleme sind im Prinzip Threads füllende Themen. Alle Speicher arbeiten mit ECC-Codes, über die man Daten wieder herstellen kann, nur irgendwann ist auch da Schluss. Von O&O gibt es z. B. Mediarecovery, für Flash-Speicher gibt es noch Flash Memory Toolkit und USB Flash Drive Data Recovery (um mal ein paar Beispiele zu nennen).
Mit Programmen wie ISOBuster, UltraISO und PowerISO sollte man auch def. Rohlinge lesen können.

Mit den Meta-Dateien kannst Du selber kaum etwas anfangen, theoretisch schon aber es ist nicht praktikabel, denn dann wäre man wenigstens auf Jahre damit beschäftigt. Das die Files gefunden werden ist aber eine Bedingung für die Datenrettungstools.

Wenn Du Dir die Ausgabe vom Restorer Ultimate ansiehst, steht unten eine Legende, in der das Programm die Datenrettungsmöglichkeiten abschätzt, demnach sieht es für Deine Files gar nicht so schlecht aus. Du solltest Dich einfach etwas mehr damit beschäftigen, als Beispiel die Partitionen ganz oben ohne Fehler mal einsehen um einen Vergleich für die für Dich interessanten Filesystemblöcke weiter unten ein Gefühl zu bekommen. Du musst auf die Zeilen klicken um sie einzusehen und die Daten dann kopieren zu können. Bedenke aber dabei, dass wir hier auch nur User sind, die sich zwar schon mehr und länger mit dem Thema beschäftigen aber keine Profi's für alle Tools auf dem Markt sind.
Fiona ist in die Entwicklung von Testdisk und die Erstellung der Deku zu Testdisk involviert, daher ihre Expertise auf diesem Gebiet. Wenn man so will, machen wir hier in unser Freizeit Support für Testdisk aber nicht für alle Tools die sich da so tummeln. Ich für meinen Teil habe Multiusersysteme unter Unix und Realtime-OSsen bis hin zu Hochverfügbarkeitssystemen 'supported', also beruflich nie etwas mit Windows-PC's zu tun.

Das Du das jetzt mit der Forensic und dem Hex-Editoren nicht verstanden hast, meine ich mit den vielen Problemen auf einmal anzugehen. Zur Forensic an sich: der Vorgang auf dem Computer oder besser der Disk (und wenn Du willst auch CD, DVD oder Flash) Daten wieder zu rekonstruieren nennt sich Forensic. Selbst der Umgang mit einem Hex-Editor ist dann schon Forensic, diese Hex-Editoren oder auch Disk-Editoren sind in der Lage Blöcke von der Disk einzulesen, zu manipulieren und wieder zurück zuschreiben. Um den richtigen Block zu finden, gibt man den Block als LBA (LBA = logical block address) oder die Adresse in CHS (Cylinder, Head, Sector) an oder sucht wie in einem Textdokument nach einem String. Hex-Editoren sind Hex-Workshop, HxD, WinHex usw. (Freeware reicht meistens). Bei Disk's muss man wissen, dass sie eine physikalische Geometry (wird kaum genutzt), eine logische Geometry (CHS) haben oder eben die Blöcke einfach durch gezählt werden (LBA). Testdisk und auch Windows arbeiten i. d. R. mit CHS und hier ist die Geometry mit 255 Heads, 63 Sektoren und der variable Wert (gegeben durch die Größe der Festplatte), die Partitionen werden mit dieser Geometry in die Partitionstabelle eingetragen. Aber auch in SMART-Log's findet man das so wieder. MBR, Bootsektoren und Partition-Start und End haben einen festen Platz und orientieren sich dabei an der Geometry. Mit neuen Betriebssystemen wird dann aber auch immer mal wieder etwas umgeworfen, so ist der Intel-Standard, den man in Testdisk auch einstellt, auf Cylindergrenzen festgelegt, mit Vista hat M$ dann MB (Megabyte) - Grenzen ebenso erlaubt, daher in den neueren Versionen von Testdisk auch zusätzlich diese Abfrage. Das sollte Dir nur mal etwas helfen Dich auf der Disk etwas besser zurecht zu finden.

Textdateien hatte ich Dir jetzt als Beispiel genannt, weil Du an Hand des Inhalts wenigstens etwas 'sehen' kannst, wenn Du auf der Disk nach etwas suchst und sie sind auch nicht so groß, dass die Demo Versionen einiger Datenrettungstools sie wieder herstellen ohne an der Demo-Beschränkung zu scheitern.

Einen kleinen Tipp noch ohne Dich abwimmeln zu wollen, nutze auch mal die Suchfunktion des Forums, wenn es um bestimmte Fragen wie 'ein Tool für .....' geht, viele Themen wurden wurden diverse Male behandelt und die Lösungen stehen bereits zur Verfügung (gerade wenn ich an Flash-Speicher denke). Mir ist klar, dass man unter Druck steht, wenn man ein Problem hat, nur können wir nicht immer ad hoc antworten und die Lösung steht möglicherweise schon im Forum. Wenn Du geschickt die Suchwörter wählst und Dich auf dieses Unterforum - evtl. noch Festplatten oder optische Speicher - beschränkst, geht es auch recht flott.

 

[ExManPC]

Hallo unwissend1, hallo Mueli,
ich war schockiert als ich diesen Beitrag hier gelesn habe.
Ihr werdet mir schwer glauben aber das was hier vogeht ist mir 1zu1 ebenso passiert...
Ich hatte schlaflose Nächte und schweissausbrüche in dem Moment als ich gesehen habe das mein Lebenswerk von über 8 Jahren --> alles weg war.
Bis heute versuche ich alles um die Dateien wieder zurückzubekommen aber nichts funktioniert so richtig.
Das ganze ist mir vor gerade 2 Wochen passiert.

Bevor ich meine ganze Problematik hier schildern möchte wollte ich @unwissend1 fragen
ob sich bei dir bzgl. Datenrettung etwas getan hat?!

Es ist echt zum Heulen!!