Hallo,
erst einmal sorry, dass ich diesen Thread nach so langer Zeit wieder ausgrabe, aber da ich nach längerem Einarbeiten in die Materie mit der Hilfe einiger User aus dem True Crypt-Forum (einen besonderen Dank hierbei an Dan) mein Problem lösen und wieder auf meine Dateien zugreifen konnte, wollte ich meine Erkenntnisse an dieser Stelle kurz zusammenfassen um damit vielleicht anderen Usern (insbesonders denen ohne Englischkenntnisse) mit einem ähnlichen Problem helfen zu können.
Ausgangssituation für meinen Lösungsansatz:
- True Crypt-Partition wurde mit True Crypt 5 erstellt
- (externe) Festplatte mit einer einzelnen oder mehreren True Crypt-Partitionen (keine True Crypt-Container!)
- True Crypt-Partition wurde (mit Windows-Datenträgerverwaltung) gelöscht
- Festplatte wurde
nicht formatiert
- auf die Festplatte wurden keine weiteren Dateien geschrieben
Kann ich meine Daten retten?
Unter Umständen ja. Am wichtigsten hierbei ist es vor irgendwelchen Reparaturversuchen ein
Sektor-für-Sektor Image (z.B. mit einer True Image Boot-CD) zu erstellen oder die Festplatte auf ein identisches Modell zu klonen, da jeder Fehler sonst den endgültigen Verlust aller Daten bedeuten kann. Handelt es sich um unersetzbare private oder berufliche Dateien sollte man von eigenen Reparaturversuchen ganz absehen und sich statt dessen direkt an ein professionelles Datenrettungsunternehmen wenden.
Mit welchem Programm wurde die Partition gelöscht?
Die Windows-Datenträgerverwaltung überschreibt / aktualisiert wenn man eine Partition löscht nur die Partitionstabelle. Das ist der Idealfall (wie bei mir), da weder der Header der True Crypt-Partition noch die übrigen Daten auf der Festplatte dabei irgendwie verändert werden. Wie es sich bei anderen Partitionsmanagern verhält kann ich nicht sagen.
Wie finde ich heraus ob der True Image-Header überschrieben wurde?
Eine detailiertere Schilderung hierzu findet sich in diesem Thread in den Postings von Dan:
http://forums.truecrypt.org/viewtopic.php?t=19974
Dieses Vorgehen setzt allerdings Kenntnisse im Umgang mit einem Hexeditor voraus. Hierbei muss man die Festplatte im Hexeditor auswählen und die ersten 20K ab offset 32256 / 7E00 hex in einer separaten Datei abspeichern. Lässt sich diese mit True Crypt unter Verwendung von Passwort / Keyfile mounten ist der True Crypt-Header noch intakt und nur die Partitionstabelle muss neu erstellt / repariert werden.
Es existiert kein True Crypt-Header Backup, die True Crypt-Partition wurde mit True Crypt 5 erstellt und der True Crypt-Header auf der Festplatte ist überschrieben worden - kann ich den Header trotzdem noch irgendwie raparieren und meine Daten retten?
Nach allem was ich bisher gelesen habe und der Aussagen von Dan leider nein. Der Header einer jeden True Crypt-Partition ist einzigartig und kann nur durch ein Backup oder indirekt über den Backup-Header am Ende einer jeden mit True Crypt 6 erstellten Partition "wiederhergestellt" werden.
Ich habe im True Crypt-Forum diesen Thread gefunden:
http://forums.truecrypt.org/viewtopic.php?t=13480
Kann ich damit nicht meinen True Crypt-Header reparieren?
Dazu ein Zitat von Dan: "Die "/mountoption recovery" Option hat nur einen sehr begrenzten Nutzen. Ihre Funktion ist, dass sie die CRC Überprüfung überspringt, die normalerweise ein Teil der Mountsequenz ist. Das Überspringen der Überprüfung mag in einigen wenigen Fällen nützlich sein, kann aber nich bei einem allgemeinen Headerschaden helfen.
Der Header meiner True Crypt-Partition ist intakt und die Festplatte wurde nicht formatiert / beschrieben - wie kann ich die Partitionstabelle wiederherstellen?
Die sicherste Methode ist mit der GParted Boot-CD (
http://www.chip.de/downloads/GParted-Live-ISO-Image_26460627.html ) eine neue primäre (in meinem Fall die ganze Festplatte umfassende) Partition zu erstellen. Ganz wichtig hierbei ist es bei der Option "Dateisystem" die Einstellung "nicht formatiert" auszuwählen, da sonst nicht nur die Informationen zur Anordnung der Partitionen in die Partitionstabelle geschrieben sondern die neue Partition auch formatiert würde, woduch alle Dateien zerstört wären. Von der Verwendung von der Autoreparaturfunktion von Testdisk oder anderer Partitionsmanager (wie Acronis Disk Director usw.) sollte abgesehen werden, da sie nicht auf verschlüsselte Partitionen ausgelegt sind und diese beschädigen würden. Ebenfalls sollten keine Partitionsmanager installiert werden solange die betreffende verschlüsselte Festplatte eingebaut bzw. am PC angeschlossen ist, da die Verschlüsselung dadurch ebenfalls zerstört werden würde. Die GParted Boot-CD ist hierbei die beste Lösung, da sie kostenlos ist, das Programm die Möglichkeit bietet Partitionen neu zu erstellen ohne diese automatisch / zwingend zu formatieren (eine Funktion die einigen kommerziellen Programmen fehlt) und Gparted zudem nicht installiert werden muss sondern direkt von der Boot-CD startet.
Die Windows-Datenträgerverwaltung bietet zwar die Option Partitionen ohne Formatierung zu erstellen, allerdings konnte ich diese in meinem Fall nicht mounten.
Könnte dieses Vorgehen auch bei mehreren True Crypt-Partitionen / verschlüsselten und unverschlüsselten Partitionen auf meiner Festplatte funktionieren?
Obwohl sich meine Erfahrungen auf die Reparatur einer Festplatte mit einer einzelnen den ganzen Speicherplatz umfassenden Partition beschränken scheint dies durchaus möglich zu sein. Hierbei sei auf den folgenden Blog verwiesen, den ich bei meinen Recherchen im Internet gefunden habe:
http://quarkmitsauce.wordpress.com/2008/10/10/truecrypt-volumes-wiederherstellen-2/
Gibt es alternative Lösungsansätze für das beschriebene Problem?
Ja, vergleiche hierzu der Thread von yti2010 im True Crypt-Forum:
http://forums.truecrypt.org/viewtopic.php?t=19910
Ich weiß, dass die Beschreibungen zum Vorgehen insbesonders in der Benutzung des Hexeditors und GParted nur sehr rudimentär sind. Da ich momentan allerdings nur sehr wenig Zeit habe, würde ich eine detailierte Schritt-für-Schritt Anleitung auch nur dann erstellen wenn wirklich Interesse daran bestünde.
Gruß
celer
