Clean All Abgebrochen, Daten retten

Hallo,

ich habe 2 2TB Platten. Die eine ist meine interne Multimedia Platte, die andere meine externe Sicherungsplatte davon. Da die interne Platte mal eine BS Platte war, waren noch Windows Reste im MBR drauf. Daher wollte ich sie mit Diskpart --> CleanAll löschen. Dies habe ich getan, aber es kam kein Fortschrittsbalken. Also habe ich nochmal Diskpart aufgemacht und wollte nochmal CleanAll ausführen, um zu sehen, ob es dort einen Fortschrittsbalken o.Ä. gibt. Leider habe ich dort die externe Sicherungsplatte ausgewählt. Nach ca. 5 Sekunden habe ich es gemerkt und ihr sofort den Saft abgedreht. Ebenso habe ich den PC sofort neu gestartet, um alle Clean Prozesse endgültig zu beenden.
Also zusammengefasst: Intern: Ca. 45 Min. Clean All, Extern: Ca. 5 Sekunden Clean All.
Leider wurden die Festplatten dabei schon zu weit gelöscht. Bei der internen Platte zeigte mir Testdisk die Partition an, ich konnte aber nicht auf die Daten zugreifen. Ich habe dann mit Advanced --> Boot --> Rebuild BS den Bootsektor wiederhergestellt und den PC neu gestartet. Jetzt ist die Festplatte im RAW Format. Allerdings kann ich immer noch nicht auf die Daten zugreifen, Testdisk meldet "Can't open filesystem. Filesystem seems damaged."

Bei der externen Platte hat Testdisk 3 Mögliche Partitionen gefunden, ich habe zunächst die falsche ausgewählt und musste es nochmal drüber laufen lassen. Das Ergebnis der zweiten Suche lieferte

Disk /dev/sde - 2000 GB / 1863 GiB - CHS 243201 255 63
The harddisk (2000 GB / 1863 GiB) seems too small! (< 4297 GB / 4002 GiB)
Check the harddisk size: HD jumpers settings, BIOS detection...
The following partitions can't be recovered:
Partition Start End Size in sectors
FAT16 <32M 200361 225 14 466667 108 26 4278198532
FAT32 378677 253 36 522429 249 12 2309375605
HPFS - NTFS 378719 54 2 464795 115 21 1382814803

Unter HPFS - NTFS konnte ich dann auch meine große 1,863TB Partition auswählen. Allerdings kommt auch hier die Meldung "Can't open filesystem. Filesystem seems damaged." Zumindest bei dieser Platte, die nur rd. 5 Sekunden mit Nullen beschrieben wurde, sollten die Daten doch zu retten sein? Immerhin dürften höchstens 2GB wirklich "weg" sein. Wie soll ich nun weiter vorgehen?

Gruß
Oliver

 

Du kannst anstatt der Partitionssuche nach der Mft-Sicherungskopie suchen lassen. Du musst dazu im Hauptmenü von Testdisk einzwei Punkte runterscrollen und erst den Expert mode anschalten. Dann auf Advanced und das durchschauen bis dir Read oder Write Mft vors Auge kommt.

 

Kann ich denn dadurch noch was kaputt machen? Was genau ist der MFT? Ich habe hier Repair MFT zur Auswahl.

 

Du hast keine andere Wahl. Repair Mft ist richtig. Ich drücke die Dauen, dass die nicht auch schon beschädigt wurde. Testdisk kann die Mft-Kopie dann an die relevante Stelle, wiederherstellen. Dann sollten viele der Daten wieder auftauchen.
https://whereismydata.wordpress.com/2009/06/05/forensics-what-is-the-mft/

 

Wenn das Ganze fehlschlägt, kann ich dann immer noch mit z.B. Knoll Ontrack die Daten retten?

 

Das kommt auf unheimlich viele Faktoren an. Aber du hast den richtigen Riecher, ja, dann geht es nur noch mit Forensik. Und die wird dir nicht alles wiederherstellen. Das ist absolut klar. Der Kroll muss dann im Trüben fischen und rausklamüsern, was noch zu finden ist.
Also versuchs mit der Mft jetzt.

 

Ich muss nochmal nachfragen leider. Bei der internen Platte (RAW) findet Recuva die Dateien, wenn auch ohne Pfad. Ich habe einen schnellen Test gemacht. Die mp3 sind noch richtig getagged und auch das Aufnahmedatum der Bilder stimmt. Über die Metadaten könnte ich die Dateien also relativ leicht sortieren.
Kann ein fehlgeschlagener Mft Versuch etwas daran ändern, eher nicht oder? Noch "durcheinanderer" können die Daten ja nicht mehr auf der Platte liegen.
Bei der externen läuft nochmal Testdisk, ich werde dann damit mal versuchen, die Partition wiederherzustellen. Dort müssten ja noch so gut wie alle Daten vorhanden sein. Wenn das auch nichts wird bzw. keine Daten gelesen werden können, dann dort auch Mft versuchen?

Edit: Außerdem ist mir aufgefallen, dass einige Dateinamen nur aus Nummern bestehen oder bei Bildern z.B. nur der Titel, aber nicht der ursprüngliche Dateiname angegeben werden. Hilft diese Info irgendwie?

 

In diesem Fall hier ist deine Mft kaputt. Die Dateinamen lauten nur noch 7A5C34F8 und ähnlich.
Die ID3-Tags und die Metadaten von Jpegs bleiben alle erhalten. Der Dateiname geht verloren. Bei MP3s verschwinden die Start- und Endmarkierungen. Das Resultiert in gut anhörbarer, aber korrupter Musik, wenn die Ursprungsmusik auf einmal 10 Statt 5 Minuten läuft und ein zweiter Song einfach hintendran gehängt wird.
Das ist alles Glückssache.
Ob Recuva das nun so, mit oder ohne korrupter Mft recovert, ist egal. Das Ergebnis wird dasselbe werden. Denn das Ergebnis hast du schon aufm Tisch.

 

Also.
Fazit.
Wenn du die Mft reparieren kannst, dann repariere sie!

 

Die meisten Dateinamen sind zum Glück noch richtig! Daher müssten auch die mp3 Start und Endpunkte stimmen. Ich werde dann mal versuchen, die MFT zu reparieren, auch wenn das wohl dauern wird, bis das Backup gefunden wird.

Edit: "MFT and MFT mirror matches perfectly."

Bleibt also nur ein Hoffen auf die zweite Platte, die nur kurz formatiert wurde. Welches Programm würdest du zur Recovery der "Holzhammermethode" empfehlen?

 

Jup, das kann dauern. Aber das ist die Chance.

 

"MFT and MFT mirror matches perfectly."

Bleibt also nur ein Hoffen auf die zweite Platte, die nur kurz formatiert wurde. Welches Programm würdest du zur Recovery der "Holzhammermethode" empfehlen?

 

Tja. Einen gewissen Teilerfolg möchte ich GetDataBack bescheinigen. Insgesamt muss ich es aber doch als Fehlschlag der Hoffnung abhaken.

Versuche es ruhig mit deinem Kroll Ontrack! Gut, dass deine Mfts wenigstens perfekt übereinstimmen.

So hast du eine Platte und darfst diese auf eine Platte recovern. Bei mir warens praktisch gesehen zwei Mfts, beide korrupt. Ich habs auf ne mehr als doppelt so große Festplatte recovern dürfen in den Ordner !MFT1 und !MFT2. Logisch, oder? Naja.
http://www.screencourier.com/image/tzrrpisu3qdhpx823l2mwsyqp4
Die Music und die Filme kann ich hören und sehen. Die Spiele sind verloren, Saves auch. Textdateien... Bilder... korrupt.

 

Na Jackpot. Ich muss noch ne große Platte organisieren, dann läuft das auch. Es wird aber ne spaßige Arbeit, das zu sortieren...

Ich setze immer noch Hoffnung in die zweite Platte, dass da die Struktur zu retten ist. Auf jeden Fall sind da mehr Daten erhalten, denke ich, die wurde ja nur kurz "anformatiert".

 

Insidertipp... wenn du den Datenmüll recovert hast, lass einen File Duplicator Killer drüberlaufen. Ganz ganz viel doppelt verfünfelter Datenmüll wird damit schon vorvernichtet, bevor du überhaupt die erste Bildersichtung startest.

 

Okay, danke, werde ich!
Was soll ich da bei Knoll auswählen?

 

Der Forscher in mir macht erst ne Diagnose und lässt Kroll die Platte "kennenlernen". Danach würde ich Volumen durchsuchen und danach von mir aus.. den formatierten Datenträger. Viel Glück.

 

Vielen Dank. Soll ich die Partition oder die gesamte Festplatte auswählen?
Als Nächstes bei der anderen externen Platte: Wenn Test disk durchgelaufen ist, ist das hier das Ergebnis:


Disk /dev/sde - 2000 GB / 1863 GiB - CHS 243201 255 63
The harddisk (2000 GB / 1863 GiB) seems too small! (< 4297 GB / 4002 GiB)

Check the harddisk size: HD jumpers settings, BIOS detection...

The following partitions can't be recovered:
Partition Start End Size in sectors
FAT16 <32M 200361 225 14 466667 108 26 4278198532
FAT32 378677 253 36 522429 249 12 2309375605
HPFS - NTFS 378719 54 2 464795 115 21 1382814803


Ich würde dann das Letzte, also NTFS auswählen.
Tatsächlich ist dort auch die 1,86 TB große Partition vorhanden, aber die Fehlermeldung ist wieder, dass die Daten nicht angezeigt werden können. Was soll ich dort tun?

 

Du musst die Partitionstabelle natürlich erstmal schreiben. Ja die NTFS scheint die korrekte Partition zu sein, die Größe irritiert gerade ein bisschen... Beginn bei 378719 54 2? Kannst du noch die Atribute dazuschreiben bitte? * Hidden, Active, Deleted?
Ist das eine EFI-Partition?

 

EFI sagt mir, was aber keine Ahnung, hat mich nie interessiert. Mehr wird da nicht angezeigt... Wenn ich auf NTFS gehe, werden noch mehr Partitionen angezeigt, alle mit D. Unter anderem auch eine in voller Größe. Diese wurde ich dann mit P schreiben. Der Rest sind wohl Überreste früherer Partitionen, so auch die 629 GB des oberen Bildes. Diese Partition hat tatsächlich mal existiert, ist aber schon lange überschrieben.