Truecrypt mounten funktioniert, zeigt aber keine Dateien in Partition

[yxcv]

Hallo

• Partition sector doesn't have the endmark 0xAA55
• Drive Z: - 1000 GB / 931 GiB - CHS 1953503425 1 1
• check_FAT: can't read FAT boot sector

Wer das versteht, nicht ehrfürchtig abgeschreckt zurück zuckt und womöglich eine Reparaturmöglichkeit kennt,
denjenige(n) bitte ich vielmals um Hilfe.
---
Ausgangssituation
Ich habe zwei 1TB-Festplatten jeweils mit "TrueCrypt 7.0a" vollverschlüsselt:
Harddisk1\Partition1 (100MB = Win7 Bootpartition)
Harddisk1\Partition2 (100GB = C:\ = Win7+Programme)
Harddisk1\Partition3 (830GB = E:\ = Backup1)

Harddisk0\Partition1 (930GB = F:\ = Backup2)
---
Was passiert ist
Weil Windows nicht mehr booten wollte (beim Laden der classpnp.sys hängengeblieben),
kein auch keine der "Windowsreparaturmöglichkeiten
- Abgesicherter Start
- sfc /scannow
- Systemwiederherstellung
- Update-Installation
funktionierte, bliebt nur Windows neu zu installieren.

Bei dieser Gelegenheit hab ich die Harddisk1\Partition2 um 30GB vergrößert und Harddisk1\Partition3 entsprechend verkleinert.
---
Aktueller Stand mit (Truecrypt und) Windows
Die gute Nachricht ist, dass Windows wieder läuft.
Die Schlechte, dass die Harddisk0\Partition1 (Laufwerk "F") zwar ohne Fehlermeldung gemountet wird,
aber keine einzige Datei im gemounteten Laufwerk (Laufwerk "Z") angezeigt wird.

Windows schlägt vor diese Partition aufgrund des unbekannten Dateiformats zu formatieren (was ich selbstverständlich nicht gemacht habe).

Aktueller Stand mit (Truecrypt und) Testdisk 6.12
Ich bin TestDisk- Laie, aber nach dem bisher gelesenen sieht die Geometry für Laufwerk Z: schon beim TestDisk-Start nicht besonders gesund aus, oder?
- Cylindergröße extrem groß
- Header=1 (müsste 63 sein?) und
- Sectors = 1 (müsste 255 sein?)

Die Meldung in Advance: "No partion available" erhöht die Hoffnung auch nicht unbedingt.

Gänzliches Chaos gibt's im Menüpunkt Analyse:
- The harddisk ...seems too small
- The following partions can't be recovered:
--> die ersten beiden Einträge machen noch Sinn und passen von der Größe
--> die Dateisystem FAT12/FAT16 sind völlig abwegig und garantiert nie verwendet worden.

Dateien werden in keiner dieser Partionen gefunden (P: list files).
Stattdessen gibt's die Meldung "No file found, filesystem may be damaged"


Die Truecrypt-Funktion: Tools -> "Restore Volumne Header" -> "Restore the volumne header from backup embedded in the volume",
sagt zwar das "The volume header has been succesfully restored",
tatsächlich funktioniert aber nichts besser als zuvor.

Mit "photorec" konnten zwar sehr viele Dateien gerettet werden,
allerdings fehlt sehr oft der originale Dateiname. Diese wiederherzustellen würde Monate dauern.


Weiß jemand von euch weiter?

Folgende Beträge habe ich u.a. bereits gelesen (haben mir aber nicht weitergeholfen):

• Probleme mit Testdisk
• Partition sector doesn't have the endmark 0xAA55 - keine einzige Partition mehr
• Advanced FAT Repair
• TestDisk Step By Step

-----------
Missionsende am 12.11.2011
Mit GetDataBack konnten nun doch noch alle Dateien wiederhergestellt werden.
Ich hatte das Untermenü "logische Laufwerke" übersehen...

 

[Simpson474]

Da du ständig von Harddisk1/Partition3 sprichst aber zugleich von 2x 1TB redest, gehe ich zunächst mal davon aus, dass dein Laufwerk "F" in Wahrheit Partition 1 einer weiteren HDD ist, oder? Dir geht es auch nur um die Daten der zweiten HDD - auf der du bereits ruminstalliert hast willst du nichts mehr retten, oder? Ich fürchte fast, mit TestDisk wirst du hier nicht weiterkommen. In dem Fall helfen meist nur Kaufversionen wie GetDataBack oder R-Studio - du kannst zunächst auch mal andere kostenlose Programme wie Recuva oder PC Inspector File Recovery probieren, allerdings bin ich mir bei diesen Programmen nicht mal sicher, ob du das in TrueCrypt eingebundene Laufwerk "Z" überhaupt auswählen kannst.

 

[Atlan3000]

So einiges verstehe ich auch nicht und kann nur vermuten. Also ich denke Win7 war nicht systemverschlüsselt (das geht auch dann muss direkt nach dem Einschalten schon das Passwort eingegeben werden) und die 2. Festplatte ist nicht betroffen und kann deswegen hier ignoriert werden. Was ist passiert?! Hmm ich denke der Vergrößerns/Verkleinerungsvorgang geschah im nicht gemounteten Zustand also konnte Windows gar nicht den Typ der Partitionen richtig erkennen und somit korrekt arbeiten. Wahrscheinlich wurden die TC Partitionen sogar als unformatiert behandelt was bedeutet das Windows annahm sie ohne irgend eine Vorarbeit (Verschieben von Daten) einfach umpartitionieren zu können. Mein Tipp ist auch wenns wirklich wichtig ist GetDataback einzusetzen. Hab das schon mal an anderer Stelle hier empfohlen: https://www.computerbase.de/forum/threads/masterdateitabelle-von-truecrypt-volumen-im-eimer.963246/

 

[StuffedLion]

Irgendwas stimmt da mit deiner Beschreibung nicht und irgendwie bist du mit den Festplatten durcheinander gekommen.

also wenn ich das richtig verstehe, hast du deine verschlüsselte Partition (HDD1/P3) nachträglich verkleinert, ohne auf die verschlüsselten Daten Rücksicht zu nehmen? Dann gibt es leider höchstwahrscheinlich keine Möglichkeit mehr an die Daten zu kommen.

Die zweite Festplatte dürfe von deienr Windows Aktion aber nicht betroffen sein.

Ebenso ist es kein Wunder, dass die Windows Reperaturkonsole nichts an deinem verschlüsselten Windows reparieren kann. Kann ja schließlich ohne truecrypt Treiber nicht darauf zugreifen.

 

[yxcv]

Jo, oben war ein kleiner Fehler der Festplattennummer.
So ist es richtig: Harddisk0\Partition3 (Laufwerk "F")
Wäre aber auch anhand der weiteren Beschreibung und Screenshots nachvollziehbar gewesen.

Also Harddisk1\Partition3 (830GB = E:\ = Backup1)
und Harddisk0\Partition3 (930GB = F:\ = Backup2)
enthalten (enthielten...) die gleichen Daten (gegenseitiges Backup).

Weil dem so war wollte ich die Harddisk1 pattmachen, Größe ändern und Windows neu installieren.
Ein Backup war ja wie gesagt schon auf Harddisk0\Partition3. Dumm nur das hier nun der Bootsektor defekt ist.

 

[Atlan3000]

Also ganz so schwarz würde ich nicht sehen. Im Grunde sind noch Daten da nur die Partitionsgrenzen wurden verschoben und damit z.B. Directory Einträge/MFT etc. überschrieben. Solange man die Daten mit TC noch mounten kann können Tools noch helfen die für solche Fälle gedacht sind. Im gemounteten Zustand unterscheidet sich dieser Fall nicht wirklich von dem auf Platten ohne Truecrypt.

 

[yxcv]

Guten Abend

Hier die Ergebnisse der getestet Dateiwiederherstellungsprogramme.

• Die gemountete Partition wurde gar nicht gefunden von:
  - Recuva
  - PC Inspector File Recovery
  - GetDataBack
  
• Die gemountete Partition wurde gefunden, aber keine Datei gezeigt:
  - FreeUndelete
  
• Hat gemountete Partionen gefunden und viele Dateien (ohne original Namen) angezeigt, jedoch fast alles als defekt bemängelt
  - R-Studio
  
• Hat gemountete Partionen gefunden und die meisten Dateien (oft ohne original Namen) fehlerfrei wiederhergestellt.
  - photorec_win (kostenlos von TestDisk)
  mit "PhotoRec_Sorter" wurde anschließend alles automatisch nach Dateityp sortiert

Am erfolgversprechendsten scheint nun die Festplatteneinstellungen zu ändern, oder?
Hat jemand Expertenwissen und weiß, welche Einstellungen in TestDisk unter "Geometry"
für einen Rettungsversuch vorgenommen werden können?
Fiona, du vielleicht?

yxcv

 

[Ernst@at]

Ich hab den ganzen Fallverlauf noch nicht so richtig einsickern lassen, aber...

Ich versteh ja das dahinterliegende Motiv, es ist aber das Dümmste, was man anstellen kann, im Falle von Umbauten das Backup aufzugeben (auch wenns Backup1 und Backup2 genannt wurde, machst Du eines platt, ist das zweite kein Backup mehr, sondern ungesicherte Daten). Die Strafe folgte hier sogleich

Fragen:
Harddisk0/Partition 3 ?? wo sind die beiden anderen? wenn nur eine drauf ist?
wieso ist da kein Bootrec mehr drauf? war die bei der Win-Neuinstallation angeschlossen?
ist das Volume oder die Partition verschlüsselt gewesen?

Harddisk1/partition3: Wurde die bei der Neuinstallation auch neu formatiert oder drübergeknallt als Reparaturinstallation?
Mit welchem Tool hast Du die Verschiebung um 30GB veranstaltet?

Gedanken:
Mit dem Rettungsversuch von Harddisk1/Partition3 stehen alle Programme auf dem Schlauch, weil die ja verkleinert wurde und somit die Partition um 30GB hinter dem eigentlichen Beginn im entschlüsselten Format präsentiert wird. und zusätzlich der Header vom Backup-Header rekonstruiert an falscher Stelle draufgeknallt wurde.

Mit Getdataback oder anderen Tools kann man in diesem Fall nicht am physischen Laufwerk arbeiten, weil das so mit den verschlüsselten Partitionsdaten nichts anfangen kann, also muss die Rescue-Aktion auf Partitionsebene, die entschlüsselt werden kann, ablaufen.

Als Profi würde ich so rangehen:
- Ein neues System auf eine neue Platte installieren(bei abgeklemmten anderen Platten), da das in Betrieb befindliche auf Partition2 laufend weiter Daten in den 30GB der Erweiterung zerstört.
Ich hab's jetzt nicht ausgerechnet, aber rein schätzomativ wird sich die $MFT, der Index der Partition3 über die Dateien, im Überlappungsbereich befinden; wenn die überschrieben ist, wird es düster.
- versuchen, die Partition auf Harddisk0 wiederzubeleben- da sollten ja eigentlich Deiner Beschreibung nach alle Daten der Partition3 drauf sein, wenn ich das richtig verstanden habe; falls das nicht geht

- Feststellen sämtlicher absoluten Sektornummern, die in den letzten 30GB der Partition2 durch Vergrößerung/Neuinstallation angelegt wurden. Wenn die Systempartition nicht vor dem Install neu formatiert wurde, können das sehr viele(denn die alte Partition war ja randvoll), andernfalls nur einige wenige sein.
- Feststellen der alten Partitiongrenzen
- Rückstellen der Partitiongrenzen auf die alten Werte
- Header aus BackupHeader rekonstruieren und die Partition mounten.
Erst damit können die Rettungsprogramme auf dem Laufwerk was sinnvolles anfangen, weil dort alle Positionsinformationen(Cluster#'s) relativ zum Partitionbeginn gespeichert sind;
Nach dem Retten aussortieren jener Dateien, welche die überschriebenen Sektoren verwendet haben.

 

[yxcv]

Hallo Ernst@at,


bzgl. "Harddisk0/Partition 3", das war ein Copy&Paste-Fehler.
Korrekt ist Harddisk0\Partition1 (930GB = F:\ = Backup2),
so wie es im Screenshot von Truecrypt zu sehen war/ist.
Hat sich die überhaupt jemand angeschaut?

Die Harddisk1 wurde per Windows-Installationsoption geändert.
Also alle Partitionen gelöscht, neu angelegt und formatiert.
Wie gesagt möchte ich die Daten auch nicht von dieser Harddisk retten,
was ungleich schwieriger ist, weil etliche Schreibvorgänge vorgenommen wurden.

Auf Harddisk0 gab es hingegeben meinerseits nicht einen Schreib/Formatierungszugriff.
Es ist "nur" das kaputt, was die Windowsinstallation ungefragt/ohne jeglichen Hinweis verursacht hat.
Wahrscheinlich defekter Bootsekttor/MFT.

 

[Ernst@at]

Also, wenn die Neupartitionierung mit einem Quick-Format(sowohl P2 als auch P3) auf Harddisk1 erfolgt ist, dann ist der Schaden begenzt auf ein paar MB in der P3, ein paar tausend Sektoren, was noch nicht weiter schlimm wäre. Das hört sich ja jetzt schon ganz anders an als "um 30GB vergrössert"

Wenn Win auf der HD0 gewütet hat, dann sicher mehr als nur den MBR.
Mach doch mal einenn Screenshot der Datenträgerverwaltung, jede Aufforderung zu initialisieren/partitionieren ablehnen.

Unbeantwortet: HD0/P1 ist das Volume oder die Partition verschlüsselt gewesen? HD1/P1 wars die Partition
Im Truecryp Screenshot ist HD0 mit den 3 Partitions, HD1 mit der einen, und nicht umgekehrt, wie Du dauernd schreibst.

Ergänzung (12. November 2011)

Schön langsam vermute ich, dass auch die 931GB Partition irrtümlich formatiert wurde.
Warum jeder immer die anderen Platten dranhängen lässt, wenn er installiert...
Mach mal nach dem Mounten mit GetdataBack einen Scan über die Partition, wenn der da nur als Dateien bei Auswahl einer der Möglichkeiten von Step2 nach Step3 etwa 13 rote, die mit $ beginnen listet und sonst nichts, ist das ein eindeutiges Indiz

 

[yxcv]

Screenshot der Windows-Datenträgerverwaltung ist im Anhang.
Das gemountete Laufwerk Z: von Laufwerk F: wird nicht angezeigt.


Unbeantwortet: HD0/P1 ist das Volume oder die Partition verschlüsselt gewesen?
Die Partition. Aber nicht versteckt.
Was macht das denn für einen Unterschied?
In diesem Fall hat die eine Partition ja die gesamte Größe der Festplatte.

Schön langsam vermute ich, dass auch die 931GB Partition irrtümlich formatiert wurde.

Zum Glück bleibt es nur eine Vermutung.
Denn ich bin mir absolut sicher das die Harddisk0 nicht formatiert wurde.
Schon deshalb weil Harddisk0 und Harddisk1 unterschiedlich viele Partitionen enthalten
und der Windows-Partitionierer es übersichtlich und unverwechselbar darstellt.

Mach mal nach dem Mounten mit GetdataBack einen Scan über die Partition, wenn der da nur als Dateien nach Step3 etwa 13 rote, die mit $ beginnen listet und sonst nichts, ist das ein eindeutiges Indiz

Wie geschrieben, findet GetdataBack das gemountete Laufwerk Z: gar nicht.

 

[Ernst@at]

ein List von z: bringt im Explorer was? Fehler oder keine Dateien?
Mach auch mal einen Screenshot vom Getdataback im Step1 nach "weiss nicht", wo die Harddisks/Partitions angezeigt werden, und eine zum Scan ausgewählt wird

 

[yxcv]

Ein List von z: bringt im Explorer was? Fehler oder keine Dateien?

Wie im ersten Kommentar zu lesen:

Aktueller Stand mit (Truecrypt und) Windows
Die gute Nachricht ist, dass Windows wieder läuft.
Die Schlechte, dass die Harddisk0\Partition1 (Laufwerk "F") zwar ohne Fehlermeldung gemountet wird,
aber keine einzige Datei im gemounteten Laufwerk (Laufwerk "Z") angezeigt wird.

Windows schlägt vor diese Partition aufgrund des unbekannten Dateiformats zu formatieren (was ich selbstverständlich nicht gemacht habe).

Mach auch mal einen Screenshot vom Getdataback im Step1 nach "weiss nicht", wo die Harddisks/Partitions angezeigt werden, und eine zum Scan ausgewählt wird

 

[Ernst@at]

Pardon, das hab ich schon wieder vergessen

Sehr sinnvoller Bildausschnitt. klapp doch mal den darunterliegenden Abschnitt "Logische Laufwerke" auf und zeige, was dort zu sehen ist. Vielleicht dämmert's dann.

 

[yxcv]

Oh, dass kann man nun als Bedienungsfehler oder optimierungsfähige GUI bewerten.
Bei Scann des Laufwerks Z: werden nun die original Ordner und Datei werden angezeigt...
Das Öffnen funktionierte auch.

Falls niemand mehr eine kostenlose Möglichkeit kennt, werde ich mir wohl GetDataBack kaufen.

 

[Ernst@at]

Es könnte aber auch sein, dass der GUI-verwöhnte Benutzer nicht mal in das Manual blicken, wo die Bedienungsanleitung versteckt ist. Nennt man Degeneration durch Automatismus.
Begib dich mal auf die Suche in diesem Unterforum, da hab ich mal eine EASEUS-Version von computer-bild oder so ausgegraben

Ergänzung (12. November 2011)

gefunden: post#48

 

[yxcv]

Hallo Ernst@at,
danke für den Link. Die EASEUS-Software hatte ich auch ausprobiert, konnte aber ebenfalls nicht das gemountete Laufwerk Z: finden.
Die Computerbild-Version wurde mittlerweile aktualisiert und enthält jetzt das 1GB-Limit.

Hab mir nun GetDataBack for NTFS gekauft. Per Paypal bezahlt wurde der Key innerhalb von Sekunden geschickt.
Hinweis zum Preis. Auf der Homepage kostet diese Version 94.01 EUR
aber als Dollar rund 40% weniger, nämlich lediglich 79 USD (aktueller PayPal-Kurs sind 59,21EUR).

Möge der Kampf in die Endphase gehen...

 

[Ernst@at]

Die ursprüngliche Version hätte ich noch im Bauchladen gehabt. Danke für den Hinweis
Jetzt hast Du ja schon gekauft. Da fällt mir ein, ich muss den Kerlen dort noch einen Fehler melden ...

 

[yxcv]

Einen Fehler melden? Welchen denn?

Die Wiederherstellung ist nun abgeschlossen.
Hab mehrere hundert Dateien der unterschiedlichsten Typen getestet,
es funktioniert jede Einzelne fehlerfrei und hat den original Datei-Ordner/Namen

Wünsche allen ein schönes Wochenende.
yxcv

 

[bio7iC]

Hallo, habe ähnliches Problem, also poste ich es mal in dieses Thema.

Und zwar hab ich ein Problem mit meiner vollständig mit Truecrypt verschlüsselten Systemplatte. Ich verwende Windows XP SP3 und TrueCrypt in der Version 6.0.

Eines Tages lies sich meine Platte nicht mehr starten. Es kam im DOS zwar die Aufforderung mein TC-Passwort einzugeben aber weiter als zum "Boot-Bildschirm" - wo man das Windows Logo sieht - kam ich nicht, sondern es wurde immer restartet und das Spiel begann von neuem. Mit ESC konnte ich auch nicht starten, da keine andere bootfähige Partition vorhanden war.
Ich probierte dann über die Reparaturkonsole mit chkdsk und scandisk dem Fehler auf die Schliche zu kommen, was aber natürlich wegen TrueCrypt nicht funktionierte. Schließlich kam mir die wahrscheinlich blöde Idee einen neuen Bootsektor zu schreiben. Gesagt getan. Jetzt lässt sich zwar mit ESC fortfahren, aber lediglich bis zur Meldung NTLDR Lader fehlt und mittels Passworteingabe komme ich nichtmal mehr zum oben genannten "Boot-Bildschirm".

Jetzt hab ich die Platte ausgebaut und sie mittels SATA auf USB Adapter auf einem anderen Rechner angeschlossen. Wenn ich mounten will kommt:

WARNING: The host file/device is already in use!

Ignoring this can cause undesired results including system instability. All applications that might be using the host file/device should be closed before mounting the volumne.

Continue with mounting?

Was ja eigentlich egal ist, also weiter.

Dann kommt jedoch folgende Fehlermeldung:

Ende der Datei (EOF) erreicht.

Wenn unter den Mount Optionen jedoch "Mount partition system encryption without pre-boot authentication" auswähle, dann mountet er (zwar auch mit der Warnung, aber die ist ja vernachlässigbar). Jedoch verhält es sich dann mit der Platte gleich, wie yxcv es beschrieben hat: Windows schlägt vor die Platte zu formatierten. Hab ich natürlich nicht gemacht, aber wie soll ich nun weitervorgehen?

Mein Ziel ist prinzipiell an die Daten zu kommen, die Platte wieder "ganz normal" zu verwenden habe ich nicht vor. Wenn die Daten gesichert sind formatiere ich.