W2K: Boot-chkdsk ohne EnableBigLBA löscht 250 GB-Platte

[Flummi100]

Ich wünsche erstmal noch ein Gutes Neues Jahr!

Kurzfassung meines Problems:

Windows 2000, SP2 oder 3, mit 250 GB-Platte IDE, darauf eine 250-GB-Partition NTFS. EnableBigLBA gesetzt.

Registry kaputt ("zu klein", wohl logisch korrupt). Extern (USB-IDE, XP-Laptop) Uralt-Registry *ohne* EnableBigLBA zurückgespielt. Zurückgebaut, gebootet, "Platte wurde nicht ordnungsgemäß..."-chkdsk *übersprungen*. Bluescreen mit Reset.
Start in "letzter funktionierender Konfiguration", hängt, ausgeschaltet.
Start im "abgesicherten Modus", hängt, ausgeschaltet.

Platte wieder an XP-Laptop, Schreck: Leeres Verzeichnis bis auf eine einzige Datei, Explorer sagt "180 GB belegt, 70 GB frei" (das war davor korrekt).

Vermutliche Ursache: das "hängt beim Booten" war jeweils mit Plattengerödel. In den beiden Modi wurde offenbar "heimlich" der chkdsk /f (oder was genau beim Booten gemacht wird) ausgeführt. Die Windows-Version ohne EnableBigLBA sah aber nur 160 GB, der chkdsk hat vermutlich alles als Müll angesehen und gelöscht (ich war ganz am Anfang bei noch intakter Platte von Boot-CD W2K SP2 auf der Kommandozeile, also auch ohne EnableBigLBA, da brachte ein DIR C:\ kaum 30 Dateien und dann eine Fehlermeldung.) Chkdsk lief garantiert nicht durch die ganze Platte, sondern nur jeweils ca. 10 Minuten. Mit etwas Glück hat es sich in einem großen Verzeichnis mit 100000 5KB-JPG verrrannt.

(Doch lang geworden die Kurzfassung).

Vermuteter Status:

Platte mit intakten Partitionsdaten. NTFS-Partition mit gelöschtem Verzeichnisbaum und zerstörten Belegungen/Verlinkungen. Daten selbst liegen verwaist in den Blöcken. Platte seither ausgebaut und abgeschaltet.

Nun meine Fragen und Bitte um Hilfe:

1. Kann ich von dieser Platte ein exaktes Image ziehen, von dem ich dann die Rettungsversuche unternehmen kann? Mit Acronis Trueimage z.B.? Welche Rettungstools können von so einem Image arbeiten? Ich will absolut sicher vermeiden, daß bei der Rettung noch ein Byte auf diese Platte geschrieben wird, da ich selbstverständlich fast keine Sicherungen habe (ich bin Dipl.-Inf. *kopfandiewandhau* - das ist wie ein rauchender und saufender Arzt). Falls Image nicht geht, wie schließe ich die Platte am besten an (ich würde gefühlsmäßig extern per USB statt intern bevorzugen)? Windows schreibt ja *immer* etwas auch auf externe Platten, mindestens dieses Shutdown-Bit.

2. Welche der hier allgemein empfohlenen Tools sollte ich bei dieser Konstellation als Erste probieren? Testdisk ist wohl unnötig, da Partitionsdaten etc. intakt. Ich würde mit PC Inspector und Ontrack Prof. beginnen. Aber vielleicht gibt es ja Tools, die für dieses Problem besonders geeignet sind. Kennt jemand "Smart NTFS Recovery"? Unter welchem Betriebssystem mache ich die Rettung, ginge ein auf eine Altplatte installiertes W2K mit EnableBigLBA, oder brauchen die Tools was moderneres? Natürlich muß ich mir 1-2 große Platten kaufen, die Image und Rettungsdaten aufnehmen können.

3. Mit welchem Rettungserfolg kann ich rechnen? Können z.B. noch Unterverzeichnisse gefunden werden, wo dann Dateinamen etc. stimmen? Oder muß ich (wie es schonmal bei einem gelöschten Verzeichnis bzw. SD-Karte mit Jpegs nötig war) blockweise nach Dateianfängen suchen lassen und hoffen, daß daraus wieder ein Bild oder .txt etc. wird? Hauptsächlich vermisse ich Bilder, Text (auch gezippt) und ein 4 GB-Truecrypt-Volume.


Vielen Dank schonmal im Voraus und für die Tips, die ich hier bereits finden konnte.

 

[Fiona]

Unter W2k brauchst du zumindest Servicepack 3 und den Enable Big LBA-Check.
Daher bräuchtest du zumindest ein funktionierendes W2k oder höher mit richtiger Unterstützung.
Starte mal mit scavenger, da der bei NTFS zumeist bessere Ergebnisse hat, speziell bei Unexpected MFT Record, wenn andere Software es bereits nicht mehr schafft.
Auch werden oft Dateinamen und Ordnerstruktur noch angezeigt, obwohl der im Verhätnis günstiger ist.

Mache damit mal einen langen scan.

Lass es mal mit Image ziehen, das regulär nur gebraucht wird, wenn die Festplatte bad sectors oder einen anderen Verdacht auf einen physikalischen Schaden hat oder beim Zugriff mit Datenrettungssoftware hängt.
Datenrettungssoftware arbeitet nur lesend und du mußt deshalb die Daten auf einen intakten Datenträger kopieren.
Ist völlig ausreichend um schneller zum Ziel zu kommen.
Wenn du ein Image oder Klone scannst, wird das Ergebnis nicht besser.
Nur wenn scavenger oder andere Datenrettungssofware Probleme beim scannen macht, kann es in Betracht gezogen werden.

Viele Grüße

Fiona

 

[Flummi100]

Hallo Fiona,

vielen Dank für den Tip, File Scavenger funktioniert genial!
Schon mit dem simplen Scan hat er augenscheinlich praktisch alles gefunden, und das auch noch rasend schnell. Die wichtigsten Sachen habe ich schon erfolgreich wiederhergestellt, inkl. richtiger Filename und -datum.

Habe mir die Version 3.0 besorgt, die hat gerade mal 580 KB als direkt ausführbare exe, das hat mich völlig überrascht unter den ganzen Megabyte-Monstern sonstiger Rettungstools, die man erst aufwendig installieren muß.

Ich werde mich jetzt mal in die Restaurierung reinknien (mußte mir erst Platten besorgen, Rechner neu installieren etc.) und melde mich dann nochmal.

Gruß,

Wolfgang

 

[Flummi100]

So, ich habe nun auch mal den langen Scan von Filescavenger laufen lassen. Gegenüber dem kurzen brachte er nur ein paar 1000 unknown-Dateien, die wohl aus den unbenutzten Bereichen der Platte rekonstruiert wurden, aber keine zerstörten Daten beinhalten.

So wie es aussieht, hat bereits der einfache Scan alle Dateien wiederhergestellt. Ich vermisse zumindest nichts. Wie sicher kann ich mir sein, daß die Dateien auch intakt sind? Es kann ja mittendrin mal ein falscher Block reingerutscht sein. Der Scavenger hat bei allen Dateien Status "good" angezeigt. Alle Texte und Bilder die ich angeschaut habe, waren korrekt.

Ich würde gerne ein wiederhergestelltes Verzeichnis mit einer Sicherung vergleichen, was für ein Programm ist denn dafür empfehlenswert (also z.B. 2 augenscheinlich gleiche Verzeichnisse mit 1000 Bildern datei- und byteweise vergleichen)?

Gruß,

Wolfgang