Truecrypt Festplatte formatiert

[der2878]

Hallo,

ich weiß, dass es hier schon ein paar Themen zu dieser Fragestellung gibt, jedoch wird dort nicht genau das gleich Problem behandelt...


Ich hatte vor einigen Tagen eine Austauschfestplatte bei WD bestellt. Nachdem ich die dann an meinen PC angeschlossen hatte, wollte ich sie natürlich NTFS formatieren. Leider gab es in Windows anscheinend bei meinen insgesamt 3 externen Festplatten (USB (die ich jetzt versuche wiederherzustellen), E-SATA (Controller kaputt) und E-SATA (austauschfestplatte) einen Signaturkonflikt, und statt der neuen Austauschfestplatte wurde meine USB externe Festplatte, die mit Truecrypt verschlüsselt war, formatiert.
Ich habe dann erstmal versucht, den Header wiederherzustellen (aus der im Volume integrierten Header Sicherung). Was auch soweit funktioniert hat. Einbinden konnte ich das Laufwerk somit wieder. Zugreifen aber nicht, da ja anscheinend auch das Dateisystem beschädigt war. Ich habe dann erstmal das in Truecrypt integrierte CHDSK ausprobiert, welches sich jedoch mit der Meldung, dass es für RAW Dateisysteme ungeeignet sei wieder schloss.

Daraufhin habe ich das ganze mit GetDataBack for NTFS probiert und habe den PC 2 Nächte darauf verwenden lassen das Physikalische (also verschlüsselte) Laufwerk nach Daten absuchen zu lassen.

Da dabei logischerweise nichts herauskam, hatte ich mich dazu entschlossen, einen Trick aus dem Forum zu verwenden. Dort wurde geraten, einfach eine partition zu erstellen, diese jedoch nicht zu formatieren. Also, erstmal nochmal den Header gesichert, dann das NTFS Volume gelöscht, ein neues Basis Volume erstellt und nicht formatiert. Daraufhin wollte ihc den Header wiederherstellen (aus der integrierten Header sicherung), jedoch kommt immer die Fehlermeldung, Falsches Passwort oder kein Truecrypt Volume. Deshalb habe ich dann die 2 minuten vorher gesicherte header Sicherung eingespielt und das Volume eingebunden.

Dann ist mir dank irgendeinem Post aufgefallen, dass GetDataBack ja eigentlich ein Logische Laufwerk absuchen müsste, welches ja duch Truecrypt entschlüsselt ist. Und nicht das Physikalische, welches ja weiterhin verschlüsselt war (auch wenn es in Truecrypt eingebunden war).

Damit ist der Computer auch grade eben fertig geworden. Leider wird mir in Schritt 2, also der Dateisystem auswahl, überhaupt nichts angezeigt.

Insofern frage ich mich jetzt, was habe ich da jetzt falsch gemacht (wahrscheinlich das löschen des Volumes und das neue nicht formatierte Volume???). Und habe ich noch eine chance an die Daten ranzukommen?
Bzw. warum kann ich die in den Volume eingebette Header Sicherung nich mehr verwenden?

Danke schonmal!!!

der2878

 

[Nikolaus117]

au hört sich böse an.
ich denke die daten sind weg.
bedenke die verschlüsselung ist auch irgendwo da mit drauf. wenn du pech hast wurde ein wichtiger teil
üüberschreiben bzw beschädigt. Ich glaube wohl kaum das du da noch etwas bekommen wirst

hab schon so manche Festplatte usb stick etc wieder hergestellt aber bei verschlüsselten sachen hab ich mich nicht mal dran versucht. Heißt einfachd as nächtemal besser aufpassen und backups machen.

 

[Simpson474]

Grundsätzlich hast du gleich mehrmals gegen den Grundsatz verstoßen, auf dem zu rettenden Medium keine weiteren Schreibzugriffe durchzuführen. Bei TrueCrypt wird bereits beim Aufruf von chkdsk gewarnt, dass damit die Chance zur Wiederherstellung noch weiter sinken kann. Welches NTFS-Volume hast du gelöscht - das logische TrueCrypt-Volume oder die physikalische Partition. Ich befürchte fast, du hast die physikalische Partition gelöscht - das würde nämlich erklären, wieso du das Volume danach auch mit dem integrierten Backup-Header nicht mehr öffnen konntest. Du hast die neue Partition wahrscheinlich nicht mehr mit exakt den gleichen CHS-Grenzen erstellt, sondern minimal größer bzw. kleiner. Das kann z.B. davon kommen, dass neuere Windows-Versionen (Vista, 7) eine Partition an anderen Grenzen ausrichten als ältere Versionen (XP). Eigentlich müsstest du jetzt zunächst deine neue Partition wieder löschen und versuchen, diese wieder mit der Originalgröße zu bekommen - wie, frag mich nicht. Ohne ältere Sicherung der Partitionstabelle kann man höchstens noch das Betriebssystem benutzen, welches beim ersten Erstellen der TrueCrypt-Partition verwendet wurde.

 

[Nero Atreides]

Ich fürchte für dich sieht es übel aus. Sehr übel. Nur soviel: ich hatte mal ein ähnliches Problem und habe die Platte dann an ein professionelles Desaster-Recovery-Unternehmen geschickt. BEVOR ich gottweißwas damit rumgespielt hatte!

Die Platte kam zurück mit dem Hinweis, dass man da absolut nichts mehr machen könne, da auch die ganzen Märchen bzgl. "Überschriebene Daten wiederherstellen" eben nur Märchen sind, wenn die Daten *physisch* einmal überschrieben wurden. (Ob einmal oder hundertmal ist dabei völlig egal).

Ich hoffe du hast ein Backup?!

 

[Simpson474]

Du hast vielleicht doch noch eine Chance - da du ja das TrueCrypt-Volume zunächst mit NTFS formatiert hast, sollte die Partition jetzt von Testdisk gefunden werden. Lass mal Testdisk laufen und mach ein paar Screenshots nach der normalen Analyse und nach dem Deep Scan.

 

[der2878]

Ok, dann ist ja jetzt schonmal klar, wo der Fehler lag... Die Verschlüsselte Partition hatte ich ca. im 2 Quartal 2009 erstellt. Damals unter Windows XP. Momentan nutze ich Windows 7... Also scheint es an diesem Größenunterschied zu liegen.

Ist es möglich, diese Größe aus dem Header auszulesen?
Werde jetzt dann wohl gleich erstmal probieren, die Platte unter Windows XP neu zu Partitionieren.

Bei der Testdisk Analyse, soll ich da das Physikalsche oder das logische Laufwerk überprüfen lassen? Weil das logische wird mir in Testdisk gar nicht aufgelistet (die anderen eingebunden Truecrypt Volums jedoch schon)...

Thx für die Antworten!

PS: Backup habe ich leider nicht, aber zum GLück sind auch nicht so wichtige Daten auf der Platte... Wäre jedoch natürlich nicht schön, die zu verlieren...

 

[Simpson474]

Mach vorerst keinen weiteren Schreibzugriff - auch wenn das Partitionieren unter Windows XP relativ sicher ist (es werden nur Daten im MBR geschrieben), so würde ich das vorerst lassen. Die Suche von Testdisk machst du am physikalischen Laufwerk - das logische kannst du erst wieder brauchbar einbinden, nachdem die Partitionsgröße stimmt.

 

[der2878]

Sry, dein Tipp kommt zu spät... Hab die Festplatte schon neu partitioniert... Scheint aber nichts kaputt gemacht zu haben, sondern eher positive Auswirkungen gehabt haben, denn Truecrypt nutzt jetzt nach 3 Versuchen das Volum einzubinden automatisch die integrierte Header Sicherung. Und beim wiederherstellen des Headers kommt auch nicht erstmal 10 - 20 Sekunden, die "Windows 7 Sanduhr (also dieser Kreis, der bei XP noch eine Sanduhr war)", sondern ich kann sofort auswählen, dass aus dem integriertem Header wiederhergestellt werden soll...

der2878

So, GetDataBack hat jetzt im schnelltest auch ein Dateisystem gefunden. (Auf dem logischen Laufwerk). Momentan hängt es jedoch, nachdem ich das Dateisystem ausgewählt hatte, bei "Retrieving MFT..."
Werde, falls jetzt bei dem schnelltest nichts rauskommt, nochmal den vollständigen (12 stündigen) Test durchlaufen lassen... Vlt bekomm ich ja meine Daten wieder

THX!!!



Ok, hab jetzt einfach den Prozess beendet und den schnell Scan nochmal durchlaufen lassen, er hat, so wie es aussieht alle Daten wiedergefunden!!!

Riesenthx an alle und besonders an Simpson474, der mit dem entscheidenen Tipp, das sich die Partitionen bei Win7 und XP unterscheiden, das ganze überhaupt möglich gemacht hat!!!

Ihr könnt gar nicht glauben, wie froh ich bin!!!

PS: Was mir grad noch eifnällt, ist es möglich, die Daten direkt auf die Festplatte schreiben zu lassen? oder brauche ich eine andere, auf die die dann kopiert werden könnten... Das würde nämlich wahrscheinlich nochmal seine Zeit dauern, bei 700 GB...

 

[Simpson474]

Du darfst die Daten auf keinen Fall direkt auf die gleiche Partition schreiben lassen. Es muss auf jeden Fall eine eigene Partition bzw. Festplatte verwendet werden.

 

[der2878]

Gut, hab ich auch nicht gemacht, aber bevor ich da die kompletten 700 GB verschoben habe, doch lieber nochmal nachfragen, obs wirklich keine andere Möglichkeit gibt

Also, THX nochmal!!!

der2878

PS: Der Beitrag kann dann eigentlich geschlossen werden...