Supergau: Wie rette ich meine Daten?

[Ploxo]

Hallo liebe Forengemeinde,

mich hat es nun auch erwischt. Folgende Ausgangssituation: meine zweite interne Festplatte (Western Digital WD20EARS 2TB) hat sich gestern verabschiedet samt aller Daten. Restliche Systeminfos: Windows 7 Pro 64 bit, 4 Gb DDR 2, WD6400AAKS Systemplatte (läuft noch), Phenom II X4 840. Bis auf 5 GB freier Speicher war die Platte auch voll mit Daten Auf der Platte sind viele Filmdateien, mp3's, Fotos und sowas.

Vor ein paar Tagen fing es damit an, dass einige Bilder auf der Platte nicht mehr als Thumbnails angezeigt wurden und wenn ich diese versucht habe zu öffnen, sich der explorer aufgehängt hat, so dass ich diesen nur noch mit taskmanager beenden konnte. Es lief sonst eigentlich alles noch normal nur halt bei einigen Bildern trat dieses Phänomen auf. Nachdem das ein paar mal vorgekommen war, hatte ich, nachdem die Platte wieder hing beim öffnen eines Bildes, den PC heruntergefahren (im System also kein hard-reset) während es hing. Seitdem kann ich überhaupt nicht mehr auf die Platte zugreifen, d.h. wenn ich im Explorer draufklicke passiert nix bzw. der PC hängt, ich kriege keinerlei Daten mehr angezeigt da steht nur Lokaler Datenträger. Sie wird zwar sowohl im Bios als auch im Gerätemanager + Verwaltung angezeigt. Zunächst stand in der Verwaltung noch Kapazität 1863,01GB und 100% frei (was ja nicht stimmt sind ja unzählige Daten drauf! oder sind die schon alle weg oder wie?), bei Dateisystem stand nix.

Dann startete ich chkdsk d: /f ; als Dateisystem wurde mit NTSC angezeigt in chdsk. Dieses fing dann ab ab 141880 von 180992 Datensätzen an immer auszugeben "Datensatzsegment 141880 der Datei kann nicht gelesen werden". Dies ging so weiter bis 141897. Da chdsk arschlangsam lief, d.h. nur 1 Datensatzsegment pro Minute ca. analysiert wurde, habe ich es mit dem X oben beendet. Seitdem folgender (jetzt aktueller) Status:
-> Festplatte wird Bios + Gerätemanager erkannt. Verwaltung zeigt jetzt aber an: Kapazität 0 Bytes Freier Speicher 0 Bytes an und Dateisystem RAW. Wieso ist nach dem Abbruch von chdsk das Dateisystem zerschossen?
-> zusätzlich habe ich in der Verwaltung unter Ereignissen nachgeschaut. Dort stehen viele Fehler in den letzten 2 Tagen, die mit den Zugriffsversuchen übereinstimmen auf die nicht zu öffnenden Bilder auf der Platte, bei allen steht: Fehler Quelle: atapi , "Der Treiber hat einen Controllerfehler auf \Device\Ide\IdePort2 gefunden." Was das genau heißt weiß ich nicht.

Frage: Was nun? Die Platte habe ich jetzt erstmal abgesteckt um jegliche weitere mechanische Belastung zu vermeiden. Ich habe natürlich schon ausgiebig gegoogelt und hier im Forum gelesen. Es geht mir zu 100% um die Daten, diese möchte ich um jeden Preis sichern, ob die Platte danach über den Jordan geht ist mir egal. Meine Vorgehensweise wäre nun die folgende:
1. Linux (http://grml.org/ ) runterladen, auf nem usb stick entpacken
2. externe 3GB Festplatte (ist bestellt sollte morgen oder DI ankommen) dranmachen und dann mit bestimmten commands (habe einen Kumpel der mir da helfen möchte, ich kenne mich mit Linux leider 0 aus) ddrescue durchführen um ein Image anfertigen zu lassen.
3. Wenn das Image fertig ist, mit dem Image auf der "intakten" externen Festplatte testdisk durchführen (was muss ich da genau machen?)
4. Dann checkdisk laufen lassen
5. Wenn testdisk und checkdisk das Image nicht mehr reparieren können ein Tool wie R-Studio, File Svavenger oder getdataback versuchen, um zu schauen, ob diese aus dem Image noch was rauslesen können
6. Falls das alles nicht funktioniert, weil ein mechanischer Defekt vorliegt (aber dann müsste die Platte doch im Bios und Gerätemanager auch schon tot sein oder nicht???) irgendwie schauen ob es einen Anbieter mit noch humanen Preisen gibt, der eine mechanische Datenrettung vornehmen kann im Labor (oder bringt das dann auch nichts mehr?)

Was meint ihr zu diesem Vorgehen? Klingt das so vernünftig oder habe ich was vergessen oder falsch durchdacht oder kann man es irgendwie besser machen? Wie meint ihr stehen bei dem beschriebenen Problembild überhaupt meine Chancen, an einen Großteil der Daten noch ranzukommen? Das Tragische ist ja eigentlich, dass ich zwecks der hohen Festplattenpreise der letzten 1,5 Jahre von der Platte keine Doppelsicherung hatte, die ich genau diese Woche jetzt vornehmen wollte, und GENAU dann geht die kaputt

Ich bin für jede Hilfe dankbar!!! Die Daten sind mir sehr wichtig!

 

[MichiSauer]

klingt von meiner seite her recht vernünftig. kann man so versuchen.

 

[Rassnahr]

Ein verwandter von mir hat seine Externe verloren ...er hat sie dann einfach neu formatiert und mittels diesem Programm ( Windof)
http://www.chip.de/downloads/Recuva_23935261.html die Daten wiederhergestellt vielleicht funktioniert das bei dir auch immerhin wird sie ja noch im Bios und Gerätemanager angezeigt

Aber keine Ahnung ob das bei dir funktioniert daher auf eigenes Risiko!

Ich glaube @Mojo1987 hat recht ..... Professionelle Datenrettung wird teuer ....:/

 

[makenick]

Ich würde einen mechanischen Defekt erstmal nicht vermuten. Die eine Festplatte in meiner PC-Zeit hatte einen Headcrash und da war nur ein Teil der Festplatte defekt, nicht die ganze HDD. Vermuten würde ich eher einen Defekt in der Steuerelektronik. Zusätzlich solltest du die HDD über Linux probeweise in einem anderen PC auslesen lassen um einen Defekt des SATA-Ports oder des Controllers auszuschließen. In jedem Fall viel Glück bei der Sache.

PS: als Punkt 7. würde ich die Anschaffung einer NAS empfehlen, mir sind meine Daten (der letzten 20 Jahre) wesentlich wichtiger als meine gesamte nicht unerhebliche Hardware (Lehrgeld durfte ich auch schon zahlen).

 

[Mojo1987]

Für mich riecht das nach Defekten Sektoren. Das würde auch erklären warum Chkdsk ne Minute pro Segment gebraucht hat, das kommt damit nämlich net klar. Der Plan oben klingt net schlecht.

 

[Ploxo]

Danke für die Antworten. Wie dürften denn meine Chancen stehen dass ein Großteil der Daten zu retten ist? Bei einem mechanischem Effekt (Steuerelektronik?) wären die eher schlecht oder?

 

[Mojo1987]

Ich denk die Daten welche in den Defekten Sektoren lagen sind futsch. Das werden aber im Idealfall net viele sein.
Das nun kein Dateisystem und co mehr da ist, liegt vermutlich daran das du ChkDsk im Reperaturvorgang abgebrochen hast.

Mit deiner Methode müsstest die Daten wieder kriegen, soviel zumindest zur Theorie.

 

[Chattermark()]

ob es einen Anbieter mit noch humanen Preisen gibt, der eine mechanische Datenrettung vornehmen kann im Labor

Wenn du dich da vorher schlau machst und dir die Daten tatsächlich so viel wert sind, dass du einen Spezialisten in Betracht ziehst, ist die Chance, dass der noch was retten kann desto größer, je weniger du mit der Platte noch machst. In wiefern der noch andere Methoden hat oder "nur" viel Erfahrung in derlei Angelegenheiten weiß ich nicht.


()

 

[Ploxo]

Hi,

@ Chattermark: wie gesagt, die Platte ist abgeklemmt. D.h. ich würde sie "nur" noch 1x anklemmen um mit ddrescue ein image der defekten Platte auf eine externe Festplatte zu erstellen. Dann die defekte Platte wieder abklemmen und alle "Rettungsversuche" mit dem Image auf der intakten externen Platte probieren. Falls das alles fehlschlägt dann eben die defekte Platte eventuell an einen Spezialisten abgeben, der mechanisch dann noch was machen könnte.

Ist das testdisk tutorial hier eigentlich noch aktuell oder gibt es irgendwo einen Beitrag mit aktualisierter Vorgehensweise?

 

[Chattermark()]

Stimmt schon, der Gedanke ist natürlich richtig. Ich wollte eher sagen, dass vielleicht der Spezialist mehr machen kann als 1x kopieren, und wenn, dann klappt das eher, wenn du nicht mehr versuchst, an die Daten ranzukommen, da war ich oben unklar.
Davon abgesehen, ist dein Vorgehen so gut wie eben möglich


()

 

[Ploxo]

Hoffentlich kann ich die Daten retten

Ergänzung (22. April 2013)

Noch eine Ergänzung: Kann es auch sein, dass das Mainboard defekt ist? Ich gehe gerade nochmal in der Computerverwaltung die Ereignisanzeige durch und da stehen folgende Sachen:
-> Der Treiber hat einen Controllerfehler auf \Device\Ide\IdePort2 gefunden. ; Quelle: atapi; Ereignis-ID: 11
-> Der Treiber hat einen Controllerfehler auf \Device\Harddisk2\DR2 gefunden. ; Quelle: Disk; Ergeignis-ID: 11
Aber auch:
-> Bei einem Auslagerungsvorgang wurde ein Fehler festgestellt. Betroffen ist Gerät \Device\CdRom0. ; Quelle: cdrom , Ereignis-ID: 51
Länger zurückliegend sind aber auch teilweise Fehler auf anderen IDE Porten:
-> Der Treiber hat einen Controllerfehler auf \Device\Ide\IdePort1 gefunden. ; Quelle: atapi

Achja, SATA-Kabel hatte ich 1x ausgetauscht, und anderen Port versucht, das hatte aber nichts gebracht.

 

[HawkEy3]

Naja deine Systemplatte läuft ja noch. Kannst du die "defekte" HDD mal an einem anderen PC testen? Bzw. mach jetzt lieber erst mal das image.
Da kann ich dir von den Machern von Testdisk PhotoRec empfehlen.
Das benutzte ich gerade um Daten von einem *.dd image einer externen Festplatte wiederherzustellen.

Spoiler: Anleitung

Die Anleitung die ich verlinkt habe, ist leider nicht ganz ausführlich. Solltest du PhotoRec unter windows zum auslesen der image Datei benutzten wollen, empfehle ich den PhotoRec ordner auf deiner neuen externen Festplatte zu entpacken auf der auch das image liegt, dann die Eingabeaufforderung als Administrator ausführen und zu diesem Verzeichnis navigieren. Und dort dann PhotoRec mit

photorec_win.exe imagename.dd

zu starten. Das ist nötig, denn wenn man die PhotoRec_win.exe startest, habe ich keine Option gefunden eine image Datei zu untersuchen, sondern nur physische Laufwerke. Hoffe das war hilfreich.

Danke für deinen Tipp mit File Scavanger im OP, das hat auch funktioniert und hat die verlorenen Daten angezeigt, nur leider kann man mit der Demo Version die Daten nicht wiederherstellen und die Vollversion kostet 40€. Hast du die Vollversion? Oder gibt es eine ältere Version die für den privat Gebraucht kostenlos ist?

 

[Ploxo]

Hallo,

ein Kumpel von mir hat getdata und R-Studio, aber kein File Scavenger. Ist deine Platte auch kaputt? Ist PhotoRec eine ähnliche Software, nur als Freeware? Oder was?

Kann mir noch wer Rückmeldung geben, ob es vielleicht Sinn macht, das Mainboard auszutauschen? Es geht um diese Controllerfehler (siehe mein voriger Post), weiß jemand genau was die bedeuten?

 

[HawkEy3]

Sorry, bei diesen Controllerfehlern kenne ich mich nicht aus. Aber wäre es nicht sinnvoller die Festplatte mal an einem anderen Mainboard zu testen?

GetDataBack hat auf meinem image nichts gefunden, *.dd ist wohl ein unterstütztes Format. R-Studio hab ich nicht ausprobiert und File Scavanger könnte Daten finden, aber eben in der Demoversion nur 64kb an Daten wiederherstellen.
Die Platte ist nicht kaputt, sie wurde aus versehen neu partitioniert. Mit Testdisk habe ich dann versucht die alte Partition wiederherzustellen aber windows hat die Platte nicht mehr erkannt und wollte sie neu formatieren. Dann unter Linux ein image der Platte gemacht und wie beschrieben von PhotoRec durchsuchen lassen.

PhotoRec ist nicht wie GetData oder File Scavanger, es hat keine grafische Oberfläche sondern läuft in der Konsole, ist aber die einzige kostenlose Option die mir weiterhelfen konnte.

Edit: Und Ploxo, warst du erfolgreich?

 

[Ploxo]

Ich brauche dringend eure Hilfe

Bis heute morgen ist ddrescue durchgelaufen (4 Tage lang!!!), d.h. ich habe von der "defekten" 2TB internen Platte eine Kopie auf eine externe 3TB Platte gemacht...ich war sehr guter Dinge: rescued: 2000GB, errors:51, errsizr: 441kB

Stand jetzt mit der externen Platte:
-> Windows will Datenträger formatieren wenn ich es dranhänge
-> Es wird als RAW-Laufwerk angezeigt, chdsk gibt Meldung aus es läuft nicht bei RAW-Laufwerken
-> Mein Kumpel hat dann noch irgendwas mit testdisk und Linuxbefehlen probiert, wobei ich nicht genau wiedergeben kann was das jetzt alles war. Es war eine Partition da nach ddrescue. Aber das NTFS ist anscheinend kaputt und kann nicht gemountet werden. Was ich auch nicht verstehe ist, dass die Partition den TYP NTFS hat, Windows diese aber nur als RAW anzeigt!? Sonst könnte chkdsk das vllt. reparieren. testdisk wollte jedenfalls auch keine Partition schreiben, immer nur: "write error"
-> zudem wiederholte sich ständig die Fehlermeldung (weiß nicht mehr ob in Linux oder testdisk): Note: sector size is 4096 (not 512). Anscheinend war die defekte Platte in NTFS 512 ; und die externe 3TB Platte in NTFS 4096, und jetzt passt das nicht zusammen oder was?
-> Dann habe ich die Platte mal mit R-Studio gestartet. Das zeigt mir eine NTFS Partition an, wenn ich draufgehe auch die richtigen Ordner und Dateien, allerdings hat die Partition nur eine Größe von 746,52 GB, d.h. über die Hälfte der Daten wären weg. Darüber hinaus zeigt es noch eine 2,73 TB Partition an (wohl die leere Ursprungspartition).

Habe jetzt einen R-Studio-Scan laufen und hoffe dass das mir eine 2000GB NTFS Partition ausspuckt und damit alle meine Daten.

Ich bin für jeden Hinweis dankbar! Mich würde v.A. interessen was da schief gelaufen ist! Wenn ddrescue nahezu komplett alles rescued, warum kriegt testdisk keine Partition hin und warum zeigt R-Studio mir eine 746 GB kleine nur an? Mein Kumpel meint es könnte am USB Controller liegen der 4096/4096 anzeigt.

Bin auch so langsam am Ende mit meinem Latein (und meinen Nerven)

 

[Simpson474]

Die externe HDD war keine gute Idee - die 3 TB Modelle verwenden sehr häufig echte 4KB Sektoren. Einen normalen Zugriff auf die HDD über Tools wie TestDisk wirst du durch die inkompatiblen Sektorgrößen nicht bekommen, ich weiß nicht, ob Tools wie GetDataBack und R-Studio damit umgehen können. Wenn nicht, so solltest du die HDD noch einmal spiegeln - von der externen 3 TB HDD auf eine andere externe HDD (mit maximal 2 TB) oder auf eine interne HDD.

 

[Ploxo]

Hm ... hätte man mal vorher gewusst dass es diese Sektorgrößen-Probleme geben kann. ddrescue lief zumindest ja ziemlich gut durch von der "defekten" Platte (bzw. wenn das einwandfrei durchläuft ist mechanisch ja nix kaputt eigentlich). Vllt. will Windows ja beim Anstecken der Platte formatieren und zeigt das Dateisystem nur als RAW an, weil es einen Widerspruch zwischen einer 512-er 2TB-Partition (die Spiegelung) auf einer 4096-er 3TB-Festplatte sieht???

Linux zeigt halt (über USB verbunden) an:
Sector size (logical/physical): 4096 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 4096 bytes

D.h. ich bin nicht auf dem Holzweg damit anzunehmen, dass eine Kopie von der "defekten" internen 2TB Platte auf eine andere interne 2TB Platte die Probleme lösen könnte und ich so wieder eine funktionierende NTFS-Partition hinkriege? Sollte ich dann nicht, anstatt von der externen 3TB Platte, von der "defekten" internen 2TB Platte auf eine zweite interne 2TB Platte nochmal eine Spiegelung mit ddrescue machen?

R-Studio-Scan läuft noch. Vorm Scan zeigte es wie gesagt eine 746,52 GB NTFS Partition an, d.h. über die Hälfte der Daten wären weg. Jetzt scanned es, vielleicht taucht ja die komplette NTFS Partition noch auf. Es ist für mich aber nicht wirklich erklärbar, warum R-Studio beide Partitionen anzeigt, also die 3TB Partition und die "kopierte" NTFS-Partition, jedoch die NTFS-Partition in viel zu kleiner Größe (746,52 anstatt 1863TB oder was das genau war). Verstehe ich nicht. ddrescue hat doch 2000GB recovered mit nur 50 errors und errorsize nur 481kB, wieso kommt da nur ne 746,52GB Partition bei raus? (wie gesagt, der eigentliche Scan läuft noch, das war das was R-Studio ohne Scan angezeigt hat)

 

[Simpson474]

Vllt. will Windows ja beim Anstecken der Platte formatieren und zeigt das Dateisystem nur als RAW an, weil es einen Widerspruch zwischen einer 512-er 2TB-Partition (die Spiegelung) auf einer 4096-er 3TB-Festplatte sieht???

Es reicht bereits aus, die externe HDD intern einzubauen und du wirst nicht mehr auf das Dateisystem zugreifen können. Das wäre allerdings auch noch eine Option - die HDD hat ohne das Gehäuse ganz normale 512 Byte Sektoren und der Datenzugriff sollte möglich sein, wenn du die HDD intern verbaust.

Sollte ich dann nicht, anstatt von der externen 3TB Platte, von der "defekten" internen 2TB Platte auf eine zweite interne 2TB Platte nochmal eine Spiegelung mit ddrescue machen?

Ist eigentlich egal - wenn du von der 3 TB HDD kopierst, so schonst du die beschädigte HDD.

Verstehe ich nicht. ddrescue hat doch 2000GB recovered mit nur 50 errors und errorsize nur 481kB, wieso kommt da nur ne 746,52GB Partition bei raus?

Wieso 746,52GB rauskommen, kann ich mir im Moment auch nicht ganz erklären. Eigentlich hast du eine Partition mit einer Länge von ca. 3907029168 Sektoren (das ist die Angabe, die im MBR steht) geklont. Bei 512 Byte pro Sektor entspricht das ca. 2TB, bei 4096 Byte pro Sektor eigentlich ca. 16TB. Auf 2 TB kann Windows damit eigentlich gar nicht kommen - wieso gerade auf 746,52GB kann ich mir jetzt aber auch nicht erklären.

 

[Ploxo]

Hm, ja ich weiß auch nicht genau. Also R-Studio zeigt folgendes an auf der 3TB-Platte bei der gefundenen NTFS-Partition:
-> Partitionsgröße: 746,52 GB (1565563824 Sectors)
-> Partitionstyp: NTFS/HPFS
NTFS-Information:
-> Cluster Größe: 4 KB (8 Sectors)
-> MFT-Datensatzgröße: 1 KB
-> MFT-Position: 3 GB
-> MFT-Mirror-Position: 8 KB (16 Sectors)
-> Index-Blockgröße: 4 KB
-> Sektorgröße: 512 Bytes
-> Volume-Größe: 1,82 TB (3907016703 Sectors)

Volumen-Größe ist die Größe der gespiegelten Platte...Partition ist aber zu klein :/ Kann ich mir nicht erklären

Ergänzung (28. April 2013)

Update:
-> Ich musste den Scan mit R-Studio jetzt erstmal abbrechen, weil das wieder auf die 50 Stunden zuging und ich Anfang nächster Woche weg bin.
-> Ich habe mir dann aber nochmal die 746,52 GB Partition angeguckt die der ja direkt ausspuckt ohne Scan. Da sollen ja eigentlich 1,82 TB an Daten drauf sein (die war nahezu voll beschrieben die defekte Platte). Die Ordnerstruktur der Dateien die R-Studio für die 746,52 GB Partition mir anzeigt passt aber gar nicht zu der Größe: Wenn tatsächlich das alles drauf ist, was da angezeigt wird, müssten das weit mehr als 746,52 GB sein, ich habe nicht mal gesehen das irgendwas fehlt (wobei ich das nicht ganz genau sagen kann). Kann es vielleicht sein, dass R-Studio mir eine falsche Partitionsgröße anzeigt (746,52 TB), aber trotzdem alle Daten drauf sind (1,82TB) ? Alleine die Anzahl der Filmdateien (sofern sie nicht leer sind) die R-Studio mir auf der 746,52GB Partition anzeigt, sollte auf eine Größe von 1000 GB kommen ...

 

[Simpson474]

Es kommt ganz drauf an, wie R-Studio mit den unterschiedlichen Sektorgrößen umgehen kann - wenn alles da ist, so scheint das Programm damit klarzukommen: wenn nicht, dann musst du den Ansatz mit dem Klonen auf 512 Byte Sektoren noch durchführen.