Testdisk "NTFS found using backup sector" bei Partitionenauswahl

[David8161]

Hallo zusammen,
ich habe eine Festplatte (1 TB LBA 1 953 525 168) aus einem anderen Computer (Dell) angeschlossen da die Partitionen nicht mehr erkannt wurden.
Mit Testdisk habe ich nun mehrere Partitionen gefunden.

Die Frage ist nun welche ich wiederherstellen soll.
Die 2 MS Data Partitionen, die auf D Delete stehen haben ein Problem (Can't open filesystem. Filesystem seems damaged.)
Die MS Data Partition die auf dem Bild markiert ist funktioniert auch. Also ich kann sie öffnen mit p und die Dateien werden angezeigt. Bei der Partition oben drüber die bisschen kleiner ist sind die selben Ordner enthalten aber es steht nicht NTFS found using backup sector dabei. Wenn ich die größere mit "found using backup sector" auswähle muss ich logischerweise die bisschen kleinere Partition, die beim selben Sektor startet abwählen und die unteren zwei Partitionen, die auf P stehen ebenfalls abwählen. Die letzten 2 lassen sich auch öffnen.
Meine Frage ist nun welche große Partition soll ich wählen? die mit found using backup sector also dass ich diese Partitionen wiederherstellen würde

oder so, wie es im ersten Bild ausgewählt ist. Also mit den unteren 2 Partitionen?
Könntet Ihr mir dann vielleicht erklären was diese Aussage found using backup sector bedeutet?

Ich würde mich sehr über eine Antwort freuen.
Danke im voraus!

Ergänzung (9. September 2016)

So hat sich geklärt habe die erklärung "found using backup sector" in der riesen Anleitung gefunden. https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/
Auszug aus dem Faq:
"NTFS found using backup sector! , 10001 MB
Das bedeutet, dass der Bootsektor überschrieben wurde, die Partition aber durch einen Backup-Sektor am Ende des Volumens erkannt wurde.
Der Bootsektor kann über das Menü [Advanced] / [Boot] in dem Fall mit [Backup BS] wiederhergestellt werden."
Habe dann mein 1. Bild also ohne "found using backup sector" verwendet. Hat auch ohne Probleme geklappt. Die Partitionen waren nach dem Neustart im Explorer ohne Probleme verfügbar.

 

[Oldi-40]

Hallo David8161,

poste doch das Log von TestDisk.

Mit TestDisk würde ich nicht so auf die Platte schreiben.

Wenn man keine Ahnung oder keinen Klon der Platte hat, sind die Daten im Nirwana.

Es gibt ja Gründe warum Dattenrettung mehr als 100€ kostet.

Tschau

 

[David8161]

Ist das das Log File? (In Anhang wills komischerweise nicht...)


Fri Sep 09 20:57:41 2016
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 8 (9200)
Compiler: GCC 4.9, MinGW 3.11
Compilation date: Apr 18 2015 13:02:07
ext2fs lib: none, ntfs lib: 10:0:0, reiserfs lib: none, ewf lib: 20120504, curses lib: pdcurses build 3401
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=500107862016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000204886016
filewin32_getfilesize(\\.\PhysicalDrive2) GetFileSize err Unzulässige Funktion.


filewin32_setfilepointer(\\.\PhysicalDrive2) SetFilePointer err Unzulässige Funktion.


Warning: can't get size for \\.\PhysicalDrive2
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C=499514343424
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D=524288000
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\E=41943040
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\F=2147483648
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\G=987268907008
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\H=471859200
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\I=9614090240
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\J=0
Warning: can't get size for \\.\J:
Hard disk list
Disk \\.\PhysicalDrive0 - 500 GB / 465 GiB - CHS 60801 255 63, sector size=512
Disk \\.\PhysicalDrive1 - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512
Drive C: - 499 GB / 465 GiB - CHS 60729 255 63, sector size=512
Drive D: - 524 MB / 500 MiB - CHS 63 255 63, sector size=512
Drive E: - 41 MB / 40 MiB - CHS 5 255 63, sector size=512
Drive F: - 2147 MB / 2048 MiB - CHS 261 255 63, sector size=512
Drive G: - 987 GB / 919 GiB - CHS 120028 255 63, sector size=512
Drive H: - 471 MB / 450 MiB - CHS 57 255 63, sector size=512
Drive I: - 9614 MB / 9168 MiB - CHS 1168 255 63, sector size=512


TestDisk exited normally.

Ich habe schlussendlich die kleinere OS Partition genommen, da sie einerseits nicht aus dem Backup Sector erstellt wurde und ich sonst die beiden unteren Partitionen, die ich auch öffnen konnte (also mit p) nicht wiederherstellen konnte. Ich hoffe du verstehst was ich meine...
Was kann ich wichtiges aus dem Log herauslesen, was mir bei der Entscheidung hilft, welche Partitionen ich wiederherstellen hätte sollen?
Mir wurde auch noch bei der Analyse eine Fehlermeldung angezeigt, dass er eine Partition nicht finden kann. Der End LBA war größer wie auf der Platte überhaupt verfügbar sind. Deshalb habe ich diese Fehlermeldung einfach ignoriert, auch wenn man das eigentlich nicht machen sollte.
Ich bin mir auch nicht sicher ob der PC wo die Platte ursprünglich drin war die Partitionstabelle zerschossen hat oder ob das passiert ist, als bei den Datenträgerverwaltung gefragt wurde ob es einen neue MFT oder GPT erstellen werden soll. (Eigentümer hat aus Unwissenheit neuen MFT erstellt, weil nach dem Anschließen über den USB Adapter die Partitionen nicht angezeigt wurden. Laptop war bereit an beim anschließen der Festplatte) Was muss man machen dass die Partitionen dann angezeigt werden? Neustarten?

 

[Holt]

Bei der Datenrettung kopiert man immer die gefundenen Dateien auf eine andere Platte und macht kein In-Place-Repair, also nichts was auf die Platte schreibt von der die Daten gerettet werden sollen. Denn wenn das schief geht hat man mehr Probleme und meist keine zweite Chance.

 

[David8161]

meinst du mit einem Datenrettungstool so wie es bei testdisk dabei ist? Das hätte bei der Platte über 130h gedauert. Oder wie meinst du?

 

[Oldi-40]

Hallo David8161,

Ist das das Log File?

Ja, dieses Logfile meinte ich. Den Quicksearch solte man aber schon ausführen.

-> http://www.cgsecurity.org/wiki/Unterstützung

... wähle Analyse, Quick Search und Deeper Search,

... meinst du mit einem Datenrettungstool so wie es bei testdisk dabei ist? Das hätte bei der Platte über 130h gedauert. Oder wie meinst du?

Ich bin nicht Holt, antworte aber doch.

Man braucht 2 neue Festplatten zur Datenrettung.

- Eine Platte für den Klon.
- Eine Platte für die geretteten Daten.

Ohne Klon sind bei einem Fehler die Daten futsch. Die geretteten Daten solten auf einer anderen Platte gespeichert werden.

Tschau

 

[David8161]

Den Quicksearch habe ich auf jeden fall gemacht. Deeper search bin ich mir nicht sicher. Sind die daten sicher futsch? Es ist doch dann nur die flasche Partitionstabelle da oder? Die daten an sich liegen ja trotzdem noch auf der Platte...

 

[Holt]

Den Klon kann man sich sparen wenn:
1.) man nichts macht was auf die Platte schreibt, unter Linux empfiehlt es sich also sie Read Only zu mounten
und
2.) der Zustand der Platte gut ist, es also keine schwebenden Sektoren oder andere Hinweise auf Probleme gibt, denn so eine Rettung kann dauern und ist Stress für die Platte, sie einmal fürs Klonen seq. zu lesen ist vergleichsweise harmlos und beansprucht eine Platte weit weniger. Hat die Platte einen Sturz oder Schlag erlitten, ist sofortiges Klonen immer zu empfehlen.

Wenn es 130 Stunden dauern soll, dann ist entweder die Angabe noch sehr ungenau oder der Zustand der Platte nicht gut, womit gemäß Punkt 2. ein Klonen zu empfehlen ist. Punkt 1. setzt eine Kenntnis der Tools voraus die man nutzt, aber andererseits ist ein Klonen auch nicht ohne Risiko wenn man keine Ahnung hat, denn es besteht immer die Gefahr die leere Platte auf die zu rettende zu Klonen statt umgekehrt und dann muss man auch noch darauf achten, dass die Zielplatte gleichgroß ist oder der Rest genullt wurde.

 

[Oldi-40]

Den Quicksearch habe ich auf jeden fall gemacht. Deeper search bin ich mir nicht sicher. Sind die daten sicher futsch? Es ist doch dann nur die flasche Partitionstabelle da oder? Die daten an sich liegen ja trotzdem noch auf der Platte...

Poste doch einfach das komplette Logfile nach "Quick Search und Deeper Search".
Falls das Log zu groß ist, erstelle ein neues Logfile.

Tschau