Partition verschwunden (WD 3TB)

[Thom66289]

Hallo Ernst@at,

vielen Dank für die weiteren Infos. Hier ist die gezippte .txt-Datei:

Anhang anzeigen harddisk2.zip

Vielen Dank.

 

[Ernst@at]

So siehts auf der Platte aus:

Spoiler: MBR/GPT Informationen

[FONT="Lucida Console"][SIZE="3"]Analyzing: \\Pc10\shareddocs\Thom66289 3TB damage\harddisk2.txt

===== MBR INFORMATION ===== at LBA=0
000000001FE D72E             Boot signature='D72E'... INVALID !!!
.                            ... Partition Table entry 1 ... INVALID !!!
.                            ... Partition Table entry 2 ... INVALID !!!
.                            ... Partition Table entry 3 ... INVALID !!!
.                            ... Partition Table entry 4 ... INVALID !!!
.
===== GPT INFORMATION =====   (at LBA= 1) 512 ... no GUID partition
.
===== PE INFORMATION =====   (start LBA= 2) 512 ... no GUID partition
.
===== GPTMirr INFORMATION =====   (at LBA= 5860533167) 512
. Header info
2BAA1475E00 4546492050415254 Signature: 'EFI PART'
2BAA1475E08 00000100         Version: 1.0
2BAA1475E0C 5C000000         Hdrlength: 92
2BAA1475E10 687F763A         Header CRC32: crc verification not yet coded
2BAA1475E14 00000000         (reserved)
2BAA1475E18 AFA3505D01000000 current LBA: 5860533167
2BAA1475E20 0100000000000000 backup  LBA: 1
2BAA1475E28 2200000000000000 firstuse LBA: 34
2BAA1475E30 8EA3505D01000000 lastuse  LBA: 5860533134
2BAA1475E38 4529C8CDB8846B44 . Disk
2BAA1475E40 B50357E2B0F24BE3 .. GUID: CDC82945-84B8-446B-B503-57E2B0F24BE3
2BAA1475E48 8FA3505D01000000 PE start LBA: 5860533135
2BAA1475E50 80000000         Number of PEs: 128
2BAA1475E54 80000000         Size of PE: 128
2BAA1475E58 98227F00         PE CRC32: crc verification not yet coded
2BAA1475E5C 00..             start of reserved area ..
000000003FF     ..BD         .. end of reserved area

===== PEMirr INFORMATION =====   (start LBA= 5860533135) 512
. Partition entry 1
2BAA1471E00 16E3C9E35C0BB84D . partition type
2BAA1471E08 817DF92DF00215AE .. GUID: E3C9E316-0B5C-4DB8-817D-F92DF00215AE
2BAA1471E10 7D7EA290F6F85E41 . unique partition
2BAA1471E18 A4643277C5D8467F .. GUID: 90A27E7D-F8F6-415E-A464-3277C5D8467F
2BAA1471E20 2200000000000000 Part first LBA: 34
2BAA1471E28 2100040000000000 Part last  LBA: 262177    0.13GiB
2BAA1471E30 0000000000000000 Attribute flags:
2BAA1471E38 4D00690063007200 . Partition Name:
2BAA1471E40 6F0073006F006600 ..
2BAA1471E48 7400200072006500 ...
2BAA1471E50 7300650072007600 ....
2BAA1471E58 6500640020007000 .....
2BAA1471E60 6100720074006900 ......
2BAA1471E68 740069006F006E00 .......
2BAA1471E70 0000000000000000 ........
2BAA1471E78 0000000000000000 .........'Microsoft reserved partition........'
. Partition entry 2
2BAA1471E80 A2A0D0EBE5B93344 . partition type
2BAA1471E88 87C068B6B72699C7 .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
2BAA1471E90 AF44F3D3226E7C47 . unique partition
2BAA1471E98 8262D059E8D8664B .. GUID: D3F344AF-6E22-477C-8262-D059E8D8664B
2BAA1471EA0 0008040000000000 Part first LBA: 264192
2BAA1471EA8 FF9F505D01000000 Part last  LBA: 5860532223 2794.39GiB
2BAA1471EB0 0000000000000000 Attribute flags:
2BAA1471EB8 4200610073006900 . Partition Name:
2BAA1471EC0 6300200064006100 ..
2BAA1471EC8 7400610020007000 ...
2BAA1471ED0 6100720074006900 ....
2BAA1471ED8 740069006F006E00 .....
2BAA1471EE0 0000000000000000 ......
2BAA1471EE8 0000000000000000 .......
2BAA1471EF0 0000000000000000 ........
2BAA1471EF8 0000000000000000 .........'Basic data partition................'
. Partition entry 3-128  *** unused ***  [/SIZE][/FONT]

sichtlich war sie GPT-initialisiert, Der Plattenbeginn ist mit Daten unbekannter Art überschrieben.

Sehen wir mal nach, wie es der Partition geht:

Spoiler: Extrahieren Partitiondaten

Aufruf HxD als Administrator
- Menü: Extras/open disk/physical disk/hard disk 2 (Häkchen bei "open as readonly" NICHT entfernen)

============ Extrahieren $Boot
- im Sektoreingabefeld in der Menüzeile mit copy&paste den Wert 264192 übertragen und Enter, um dorthin zu positionieren
- Edit/Select Block Start: (Inhalt belassen) Length: 200 , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK

============ Extrahieren $MFT ?
- auf den Reiter "hard disk 2" klicken
- im Sektoreingabefeld in der Menüzeile mit copy&paste den Wert 6555648 übertragen und Enter, um dorthin zu positionieren
- Edit/Select Block Start: (Inhalt belassen) Length: 200 , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Auf den Reiter "untitled1" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK

============ Extrahieren $BootMirr
- auf den Reiter "hard disk 2" klicken
- im Sektoreingabefeld in der Menüzeile mit copy&paste den Wert 5860532223 übertragen und Enter, um dorthin zu positionieren
- Edit/Select Block Start: (Inhalt belassen) Length: 200 , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Auf den Reiter "untitled1" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK

Menü: File/Save as... einen Ordner auswählen und als Dateinamen "3TBP2.txt" /speichern
-HxD beenden
Datei gepackt in den Anhang

 

[MTechlerin]

Sollte die 3TB HDD noch im CN Memory gehäuse sein, ist es der Typische Firmware Controller fehler der bereits bekannt ist.

Firmware-Update für 3TB Spaceloop USB 3.0: Firmware v084

Aufgrund eines Problems in der Firmware der 3TB Spaceloop USB3.0 Festplatte empfehlen wir dringend,
das aktuelle Firmware-Update einzuspielen.

Bitte speichern Sie Ihre Daten vorher auf einen anderen Datenträger,
da es während des Updates zu Datenverlusten kommen kann.



Wann das gehäuse gekauft?

Wenn du nun das gleiche hast,
wäre die frage welchen Controller Chip dein Gehäuse hat,
um vielleicht ein Update zu finden.

ASMedia 1051 bekamm im Oktober 2011 ein Update für 3TB HDD's

 

[Ernst@at]

Der TE hat die Platte nach eigener Angabe nie initialisiert/partitioniert, aus dem externen Gehäuse ausgebaut in einen Rechner, dessen Treiberdefizit keine Platten >2TiB richtig bearbeitet, verwendet.
Somit ist ein Bedarf an Firmwareupdate nicht gegeben
- weil die Platte im externen Gehäuse korrekt GPT initialisiert war (so einen Bock werden die nicht schießen, die Platte vorher initialisieren und dann einbauen, dass passiert beim Endtest)
- die 3TB Platte gar nicht mehr im Gehäuse steckt.

Trotzdem Dank für diese Information, die kann bei anderen Fällen hilfreich sein.

Ergänzung (16. April 2012)

@Thom66289: Ich hab die Anweisungen "Extrahieren Partitiondaten" im Post#22 ergänzt

 

[Thom66289]

Hallo Ernst@at,

hier nach den Anweisungen die neue .zip-Datei. Bin gespannt. Vielen Dank und

Gruß
Thomas

Anhang anzeigen 3TBP2.zip

 

[Ernst@at]

Großes Glück, das Inhaltsverzeichnis(MFT) wurde noch nicht überschrieben.
Installier Dir mal GetDataBack for NTFS, die kostenlose Trial-Version.
Wähle Art der Zerstörung: Weiss nicht, Weiter
im Schritt 1 selektiere unter physische Laufwerke das mit den 3TB, Weiter
im Schritt 2
- im Menü Datei/Datenrettung speichern/wähle einen Ordner/als Name "3TB.st2",Save
- selektiere die angezeigte Partition mit NTFS bei Sektor 264192, Clustersize 8, 2794GB, Weiter
im Schritt 3 Datei/Datenrettung speichern/wähle einen Ordner/als Name "3TB.st3",Save

Im Rootverzeichnis "NTFS"
- In die Spaltenüberschrift "Name klicken", damit die Dateien deren Namen mit $ beginnen, oben angelistet werden, Screenshot(Fenster ggf. soweit vergrößern, dass alle $-Namen und alle Spalten sichtbar sind - ev. Datum-Spaltenbreiten vermindern, und die Breite der Spalte "Cluster" so breit, dass die Werte komplett sichtbar sind )
- suche alle Dateien(nicht Ordner) die mit $ beginnen und in der letzten Spalte "Sektoren" einen Wert stehen haben(die mit Eintrag "keine" kannst Du auslassen, $MFT, $MFTMirr und $Boot ebenfalls)
- bei jeder dieser Zeilen links in der Spalte "Name" per Rechtsklick "Zeige Info" das erscheinende Fenster mit Alt+Druck in die Zwischenablage, diese Screenshots mit dem entsprechenden Dateinamen abspeichern.

Alle Screenshots gepackt in den Anhang.

Unter idealen Bedingungen lässt sich der Schaden vielleicht komplett auf der Platte selbst beheben, ansonsten müssten die Daten durch Kopieren mit testdisk bzw Rescue-Tool auf einen anderen Datenträger ausgelesen werden. Kommt darauf an, wieviel des Partitionbeginns überschrieben wurde.

 

[Thom66289]

Hallo Ernst@at,

danke für die weitere Hilfe. Hier nun die div. Sshots:

Anhang anzeigen Sshot4.zip

Die Platte war relativ voll mit TV-Serien. Die Dateien, die da jetzt in den Verzeichnissen sichtbar sind, sind allerdings die, die ich zuletzt draufgeschrieben habe, bevor die Platte gewissermaßen "überlief." Vielleicht hilft die Info.

Besten Dank
Thomas

 

[Ernst@at]

Falls Du GetDataBack beendet hast, kannst Du einfach wieder im Menü mit Datei/Datenrettung laden... den .st3 File öffnen um in die gepostete 1.Anzeige zu kommen.
Wenn ich richtig liege, waren die zuletzt kopierten Dateien in den drei Ordnern der ersten Zeilen.
Kannst Du diese Ordner öffnen und von den darin bedindlichen zuletzt kopierten Dateien genauso einen Screenshot des Fensters rechtsklick/Zeige Info machen und posten?

So wie es jetzt in der 1. Anzeige aussieht, verspricht das gar nichts Gutes. Da waren ja wohl noch mehr Ordner als diese 3?
Ist in den beiden [...] Ordnern auch noch was von Deinen Serien zu finden?

 

[Thom66289]

So, erstmal der Screen der zeitlich zuletzt kopierten Datei:



In den [...]-Ordnern finde ich nichts mehr von meinen Serien. Alles, was vor der letzten Dateitransfer-Aktion draufgespielt wurde, ist hier nicht mehr zu sehen.

Es müßte eigentlich noch einen Ordner "Serien" mit einer Vielzahl von Unterordnern geben...

 

[Ernst@at]

Die $MFT(Master File Table), welche sämtliche Informationen über Position und Grösse aller Dateien enthält, begann auf der Platte auf Sektor 6.555.648 und war bis Sektor 6.583.296 belegt.
Die letzte geschriebene Datei sollte von Sektor 4.378.817.632 bis 4.380.049.163 geschrieben werden, wurde aber wegen des 2TiB Bugs um 4.294.967.296 zu tief adressiert und landete daher auf Sektor 83.850.336 bis 85.081.867. Da die zuvor kopierten Dateien vor diesem Bereich abgelegt wurden, ist die $MFT mit allen darin gespeicherten Daten vernichtet worden (bis auf jene, welche sich im Speicher befanden und auf die ursprünglichen Positionen zurückgeschrieben wurden - die Einträge der neu kopierten Dateien).
Es ist daher unmöglich, die ursprünglich bereits abgespeicherten Dateien zu lokalisieren.

Möglicherweise bieten Tools wie Recuva, welche nach siginifikanten Beginnblöcken suchen, noch die Möglickeit, Dateien bestimmter Typen wiederzufinden. Das ist aber davon abhängig, ob diese Dateien unfragmentiert waren. Die ursprünglichen Namen können damit nicht zugewiesen werden, da diese Information nicht mehr existiert.

 

[Thom66289]

Ok, trotzdem vielen Dank für Eure Bemühungen. Einige (auch ältere) Serienfolgen finde ich (wenngleich ohne Dateinamen) mit photorec wieder. Vielleicht können andere Programme noch andere Folgen finden, eigentlich sollten die alle unfragmentiert sein, da mehr oder minder hintereinanderweg auf die Platte kopiert.

 

[Ernst@at]

Wenn Dir der Aufwand nicht zu groß erscheint, kann ich Dir noch eine etwas mühsame Methode zur Auffindung aller Dateien (soferne sich deren Beginnsektor anhand signifikanter Inhalte finden lässt) die nicht überschrieben wurden, erläutern (per HxD oder Disk Explorer).
Die Recuva-ähnlichen Tools findest Du auch in der Liste eines ähnlich Geschädigten:

 

[DvP]

Hi Leute,

Ich habe leider das gleiche Problem :-( Hatte meine neue 3TB Platte in einem Docking Back drinnen und hab ca. 2TB Daten draufgespielt. Partition war GPT/NTFS. Doch als ich die HDD jetzt in den neuen PC eingebaut habe, war die Platte erst nicht initialisiert und als ich sie intitialisiert habe, wurde sie als unpartitioniert dargestellt.

Was mach ich jetzt am besten? -> Testdisk? Die Daten sind aber sicher noch da, oder?

FG und danke,
DvP

 

[davidbaumann]

Mit Glück kannst du mit Testdisk die Partiotionstabelle zurückholen.
Mach aber am besten vorher ein Image mit dd.

 

[Simpson474]

Was mach ich jetzt am besten? -> Testdisk? Die Daten sind aber sicher noch da, oder?

Eher genau das Gegenteil - die Daten sind mit großer Sicherheit weg. Du kannst TestDisk ja mal probieren, aber am ehesten hast du noch mit GetDataBack bzw. R-Studio eine Chance - doch auch dort gilt, wenn du beim Überlauf größere Datenmengen geschrieben hast, so ist die MFT weg und eine Datenwiederherstellung bis auf unfragmentierte Dateien durch Tools wie Photorec unmöglich.

 

[DvP]

Sorry, aber warum sollen die Daten denn weg sein? Die wurden ja "ordnungsgemäß" auf die Platte geschrieben und seitdem hab ich nix gemacht. Also da müssten sie noch sein....is nur die Frage wie ich dran komme.

...auch dort gilt, wenn du beim Überlauf größere Datenmengen geschrieben hast, so ist die MFT weg und eine Datenwiederherstellung bis auf unfragmentierte Dateien durch Tools wie Photorec unmöglich.

Bei welchem Überlauf? Die Daten müssten alle vollkommen unfragmentiert sein, da die HDD neu war und ich sie in einem Zug mit 2TB bespielt hab.

Wie kann das eigentlich passieren oder wie ist das passiert? Soll ich so eine HDD lieber splitten und weiterhin MBR nehmen!?

 

[Simpson474]

Meist liegt es daran, dass der USB/SATA-Brückenchip bzw. der SATA-Controller nur mit 32-Bit Sektoradressen umgehen kann, was bei 512 Byte pro Sektor 2TB entspricht. Schreibt man anschließend weiter, so landen die Daten statt an Adresse > 2TB an Adresse > 0, wodurch die zuvor geschriebenen Daten überschrieben werden: leider liegt die MFT von NTFS auch im Anfangsbereich der HDD und dadurch wird diese bei dieser Aktion meist vollständig zerstört.

Wie hast du die HDD genau mit dem Rechner verbunden? Lade dir auch mal die Testversion von HDSentinel herunter, diese erkennt so viel ich weiß die Adressierungsfehler zuverlässig. Sollte die HDD an einem SATA-Port des Mainboards hängen, so kann ein Update des AHCI-Treibers bzw. ein BIOS Update helfen. Bei USB/SATA-Brückenchips hilft hingegen nur ein neuer Brückenchip.

 

[DvP]

Hi,

Danke für die informative Antwort. Die HDD war vorher in einem HDD Bay wo ich sie befüllt hab. Ich denke es waren auch weniger als 2TB die ich aufgespielt hab. Jetzt ist die HDD in einem neuen System verbaut und hängt somit direkt am Sata-Port.

Ich guck mir gleich mal HDSentinel an.

Edit:
Was soll ich denn mit HDSentinel machen? Sieht aus als würde sich das Programm nur um die Hardware kümmern :-/

Edit2:
Also GetDataBack zeigt mir alles richtig an und ich könnte die Ordner auch kopieren. Würde sie aber lieber wiederherstellen. Wie kann ich das Dateisystem wieder "aktivieren"?

 

[Simpson474]

Was soll ich denn mit HDSentinel machen? Sieht aus als würde sich das Programm nur um die Hardware kümmern :-/

HDSentinel sollte beim Zustand der HDD eine Warnung anzeigen, falls ein Adressierungsproblem mit dem SATA-Treiber besteht.

Also GetDataBack zeigt mir alles richtig an und ich könnte die Ordner auch kopieren. Würde sie aber lieber wiederherstellen. Wie kann ich das Dateisystem wieder "aktivieren"?

Das ist schon mal gut, denn dann war es wohl kein Überlauf an der 2TB Grenze. In diesem Fall kannst du wirklich mal schauen, ob du mit TestDisk die Partition wiederherstellen kannst.

 

[DvP]

Hmm, ich weiß nur nicht ganz was ich in TestDisk machen muss. Bei der Analyse wird in jedem Fall ein Fehler gefunden.

Bei 74% wird die Analyse jetzt plötzlich extrem langsam :-/ Mal gucken wie lange des dauert.