Partition verschwunden und teilweise überschrieben

[Tremker]

Servus,

ich bräuchte mal dringend Hilfe.

Und zwar begann es damit als mein Bruder am PC war und auf einmal eine komplette Partition verschwunden ist. Warum das passiert war, keine Ahnung. Ein Virus oder so scheint es nicht gewesen zu sein, den hätte ich finden müssen.

Meine Daten:
WinXP
Platte mit 160 GB und zwei Partitionen. Die erste 10 GB NTFS beinhaltet System- und Programminformationen. Die zweite ca 120 GB mit vielen Daten. Ich vermute FAT als Formatierung NTFS, wäre aber auch möglich. Vermutlich ziemlich fragmentiert.
Ich bin mir nicht sicher wie groß die zweite Partition war. Beim Einbau habe ich einfach den restlichen verfügbaren Platz belegt. Damals hat Win2k große Platten noch nicht unterstützt.

Was habe ich bisher gemacht? Natürlich erstmal in Internet über Datenrettung informiert und diverse Tools runter geladen. Nachdem ich vor Jahren schon mal schlechte Erfahrungen mit der Wiederherstellung von Daten gemacht hatte habe ich sofort mit Testdisk versucht die Partition wieder herzustellen um die Partition als ganzes wieder zu haben.

Mit Testdisk hat dies nur teilweise funktioniert.
Zum einen bekam ich eine Fehlermeldung, dass eventuell die Größe der Platte nicht richtig angezeigt wird. Dies hing vermutlich damit zusammen das mit ein ServicePack fehlte und WinXP nur Platten bis 130gb? unterstützte. Ich habe es aber trotzdem versucht und Testdisk fand auch eine Partition. Nur leider waren auf dieser nur ca. 25 GB Daten und völlig unbrauchbar. Ordner mit Buchstabenketten als Namen und mehreren GB Größe. Also habe ich es weiter versucht und auf gut Glück diverse Partitionen erstellt. Leider ohne Erfolg.
Danach habe ich es mit Datenrettungssoftware von Ontrack und O&O probiert. Die fanden zwar sehr viele Daten. Aber alles was ich herstellte war unbrauchbar. Meine Office-Daten konnten nicht geöffnet werden oder hatten irgendeinen Buchstabensalat als Inhalt. Bilder nicht brauchbar. Musik/Videos teilweise nicht brauchbar und teilweise total verwurschtelt.
Danach habe ich es mit dem Partition Manager versucht und diverse Partitionen erstellt. Das hat schon funktioniert aber diese waren komplett leer.
Dabei habe ich einen Fehler gemacht. Ich habe eine Partition aktiviert und Windows ein ServicePack installieren lassen. Und Windows hat einfach diese Partition für die temporären Dateien benutzt und bis zu 2 GB drauf gepackt. Ich hab das natürlich sofort abgebrochen und die Daten gelöscht und die Partition wieder entfernt.
--> Blöd gelaufen...

Was habe ich jetzt noch für Möglichkeiten?
- Ich könnte die Daten per Recovery wiederherstellen. Das habe ich schon versucht und aufgrund der Fragmentierung sind die Erfolgschancen und die Ausbeute minimal.
- Die einzige Hoffnung die ich habe wäre die Partitions-Informationen wieder herzustellen. Dann hoffe ich wären eventuell die Daten und die alte Ordnerstruktur wieder verfügbar.

Möglich wäre dies eventuell mit Testdisk. Aber ich habe es bisher leider nicht geschafft. Deswegen liegt meine einzige Hoffnung in der folgende Möglichkeiten:
1. Ich mache auch die erste Partition auf der Platte platt und installiere Win2k nochmal genauso wie am Anfang. Also erst 10GB für das System und den Rest als 2.te Partition. Dann müssten ja exakt die gleichen Partitions-Informationen auf der Platte sein. Ich müsste es dann nur irgendwie schaffen die Ordnerstruktur wieder sichtbar zu machen. Ich mein Formatiert ist die Partition ja noch nicht geworden.
2. Ich kaufe mir die gleiche Platte nochmal. Formatiere diese genauso wie damals meine alte Platte und kopiere die Partitions-Informationen auf meine alte Platte.
Wäre es dann möglich, dass meine alte Ordnerstruktur und die Daten wieder verfügbar wären?

Oder hat jemand noch eine andere Idee, wie meine Daten noch zu retten sind? Besteht irgendeine Möglichkeit die alte Ordnerstruktur wieder sichtbar zu machen?

Ich wäre euch sehr zu Dank verpflichtet!

 

[Mueli]

Es ist zunächst mal keine gute Idee auf ein Laufwerk zu schreiben, von dem man Daten wieder herstellen möchte, daher arbeiten alle Datenrettungstools auf dem Quellmedium zunächst mal Read-Only und stellen auf einem weiteren Medium wieder her. Mit verschiedenen Tolls an den Partitionierungsinformationen zu schrauben ist auch keine gute Idee, denn hier wird mitunter nicht immer standardkonform von allen Programmen vorgegangen. Ferner wird bei neuer Partitionierung und der damit verbundenen Formatierung die Fat /MFT (NTFS) gelöscht und bei Neuinstallation möglicherweise überschrieben.
Du solltest wenn schon möglich auf eine andere Disk installieren und die geshredderte nur noch als Quelle der Files verwenden.

Um den Status Quo zu ermitteln, führe mal eine Diagnose mit Testdisk wie folgt aus.
Lade Dir dazu Testdisk 6.11.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

Fiona hat auch den folgenden Artikel Beratung: Datenrettung mit „TestDisk“ verfasst, um den Usern das Programm etwas näher zu bringen.

 

[Tremker]

Servus,

vielen Dank für deine Antwort.

Das es keine gute Idee war auf diese Partition zu schreiben, ist mir schon klar. Aber diese blöde ServicePack hat mich nicht danach gefragt...

Ich habe mal die Bilder der Diagnose angehängt.

Die erste Partition die ich wieder herstellen könnte ist diese die ich zuletzt mit dem PartitionManager erstellt hatte. Die Dateiliste zeigt mir auch noch die Dateien von dem ServicePack. Das bringt also nichts.

Bei den anderen beiden angezeigten Partitionen kommt folgende Meldung:

Can't open filesystem. Filesystem seems damaged.

Was soll ich jetzt tun? Irgendwie komme ich mit Testdisk nicht weiter.

Edit:
Und noch eine Frage.

Nachdem ich ja die Partitionen und Windows 2000 erstellt hatte und damals noch die Beschränkung auf 128 GB hatte und jetzt WinXP mit SP3 habe, frage ich mich ob die Diagnose jetzt überhaupt funktioniert? Ich kann mich zwar erinnern, dass als ich Testdisk mal unter Win2k ausführte sich das Programm beschwerte das es eventuell nicht richtig funktioniert weil die Größe der Patte eventuell nicht korrekt ist. Aber könnte es nicht sein, dass die Diagnose nur mit einer Begrenzung der Festplattengröße funktioniert?

 

[Mueli]

Wenn kein Filesystem mehr erkannt wird, können eigentlich nur noch Datenrettungstools helfen, Du solltest daher mal mit den Demo-Versionen die Disk scannen und überprüfen was an Daten zu Tage gefördert wird.

 

[Tremker]

Servus,

Datenrettungssoftware, s.o., habe ich schon verwendet. Aber das hat nichts gebracht. Nur Office-Dateien die man nicht öffnen konnte oder nur Buchstabensalat beinhalteten kann ich nicht mehr gebrauchen. Ebenso Bilder die nicht mehr angezeigt werden.
Ich tippe mal, dass meine Platte zu fragmentiert war um noch anständige Ergebnisse zu erreichen.

Wo wird eigentlich das Filesystem hinterlegt? Kann es sein, dass ich die alten Partitionsinformationen und das alte Filesystem doch noch irgendwie finden kann?

 

[Mueli]

Das Filesystem ist innerhalb der Partition angelegt und besteht aus Verwaltungsdateien wie der MFT, MFT_mirr, Bitmap und ein paar weitere Metadateien. Die MFT belegt 12.5% (default, eingestellt in der Registry) der Partition und liegt i. d. R. am Anfang der Partition, hierüber werden die Dateien im Filesystem verwaltet. Wird eine Partition z.B. neu formatiert, wird eine neue leere MFT angelegt, die Dateien im vorherigen Filesystem sind nach wie vor vorhanden, nur der Link zu ihnen in der MFT ist verloren gegangen. Datenrettungstools versuchen über verschiedenen Mechanismen die Files wieder herzustellen. Das sich gar keine Dateien wieder herstellen lassen kann ich mir gar nicht vorstellen, schon von der Wahrscheinlichkeit her wie die Dateien im Filesystem gespeichert werden. Wenn man allerdings keine Informationen über den GAU hat, läßt sich schwer vorhersagen was noch zu retten ist. Aufschluss kann nur ein Scan mit verschiedenen Datenrettungsprogrammen bringen, beachten sollte man dabei die Disk zu Scannen und nicht evtl. vorhandene Partitionen.

 

[Tremker]

Ok. Vielen Dank.

Ich werd nochmal die Tools laufen lassen und mit noch mal alles anschauen. Aber bisher war das Ergebnis nicht brauchbar.

Wenn dem mit dem noch vorhandenen MFT so ist, müsste folgendes doch funktionieren.

Ich kaufe mir die gleiche Platte nochmal und installiere darauf Win2k mit genau den gleichen Partitionen wie damals. Dann kopiere ich die Partitionsinformationen auf meine alte Platte und die Verbindung zum alten MFT müsste wieder da sein und ich sollte wieder auf meine Daten zugreifen können.

Funktioniert das? Oder könnte das überhaupt funktionieren?

Wahrscheinlich müsste ich dazu die neue, aber gebrauchte weil's die nur noch bei ebay gibt, Platte komplett in einen "Fabrikneuen" Zustand versetzen. Geht das?

Und noch eine Frage, ich hatte ja versehentlich Daten auf die fragliche Partition gebracht, durch das winxp ServicePack, kann ich diese Partition und alle zu gehörigen Infos, als MFT, mft_mirr, usw komplett löschen, dass testdisk und RecoveryProgramme diese Daten nicht mehr finden.

 

[Mueli]

Nein, das funktioniert nicht, denn im Bootsektor steht der Beginn der MFT und es ist nicht sichergestellt, dass sie immer an der gleichen Stelle beginnt, auch wächst die MFT dynamisch und kann in einem Filesystem fragmentiert sein, in einem anderen dann wieder nicht oder weniger. Datenrettungstools ermitteln die Files auch ohne MFT oder aus Resten der MFT (oder des Mirrors). Solange Cluster nicht durch neue Daten überschrieben werden oder mit einem Tool wie die SeaTools genullt werden sind die Daten immer (auch teilweise) noch vorhanden. Wenn in irgendeiner Form auf eine Partition geschrieben wird, werden alte Informationen ganz oder teilweise überschrieben, so können nach einem Format teilweise auch Daten mit Blöcken der MFT überschrieben werden und umgekehrt. Die einzige Möglichkeit jetzt noch Daten zu retten ist über Datenrettungstools oder der ganz harte Weg über einen Disk-Monitor wie z.B. WinHex. Noch mehr Möglichkeiten hat man mit sogen. Forensik-Tools, da muss man aber eine immense Zeit investieren und es erfordert schon sehr viel Wissen über des Aufbau der MFT und die Datenstrukturen (Verkettung der Blöcke etc.). Durch das Journal wird es noch komplizierten (das sind Bereiche von Datenänderungen die noch nicht ins 'eigentliche' Filesystem geschrieben wurden). Noch komplexer wird es durch den Umstand, dass selbst in der MFT Teile des Filesystems liegen, Daten bis zu einer Größe von etwa 1.5kB werden komplett in der MFT abgelegt.