Datenrettung bei fehlendem MFT

[Benglord]

N'abend zusammen,

mir hat es meine externe Festplatte zerschossen (Freecom Quattro 3 TB ) und ich hab keinen Zugriff mehr darauf.
Meine bisherigen Recherchen haben mich zu der Vermutung (!!) gebracht, dass sowohl MFT als auch das Backup-MFT nicht mehr erreichbar sind.

(Leider) hab ich am Anfang der Misere bereits die windowseigene Datenüberprüfung und chdsk drüber laufen lassen. Ich hab hinterher gelesen, dass danach kein Stein mehr auf dem anderen liegen soll und tatsächlich wurds danach auch erst richtig eklig.

Windows (7 und Vista) möchte die Platte formatieren und erkennt Sie als "Raw". (Chkdsk bleibt immer bei 74 % stehen. Phase 2 von 3, Überprüfung der Indizes)
Linux (über Knoppix Live CD) kann auch nicht darauf zugreifen: Error mounting mount exited with exit code 1 (NTFS inconsistet or hardware fault)
Diverse andere Live- und Boot-CDs (Hiren, Trinity, Ultimate) haben die Platte mal mehr, mal weniger erkannt konnten mir aber auch noch nicht wirklich weiterhelfen.
Manchmal hab ich auch die Vermutung, dass die Verbindung zur Platte zwischendurch getrennt wird. Frisch nach dem Hochfahren wird Sie im Arbeitsplatz erkannt (mit Laufwerkbuchstabe, aber ohne Anzeige des Speicherplatzes) und mittendrin verschwindet Sie wieder. Auch bei manchen Recovery-Tools erkenn ich anfänglich den Zugriff (durch Flackern der LED-Leuchte), dieser hört aber dann irgendwann auf. Vermutlich durch die Trennung der Festplatte.
Das alles passiert, egal ob ich die Platte per USB oder Esata anschließe. (Die Festplatte ist noch in ihrem Gehäuse und das Esata-Kabel ist ca 1 Meter lang. Momentan ist auch ein Ventilator auf die passiv gekühlte Platte gerichtet, da Sie sich teilweise sehr warm angefühlt hat und mir Chrystaldisk Temperaturen von knapp 50° angezeigt hat. Mit Ventilator sind die Temperaturen bei 30-40° und somit schließe ich eine Trennung wegen Überhitzung aus.)

Bevor ich mich nun an Testdisk und dd_rescue ranwage wollte ich mir eine "Bit-für-Bit-Kopie" erstellen, da ich auf der betroffen Platte nicht rumpfuschen/irgendwas verändern möchte. Clonezilla und Gparted brechen hier aber ab. Hdd Raw Copy und Active Partition Recover erkennen die Platte gar nicht erst.
Aktuell läuft R-Studio. Der Scan hat hier zwar schon etliche Lesefehler geliefert, aber er erstellt ein Image. Zweifel kommen nur anhand weiterer Lesefehler auf und das die Image-Datei bisher (nach 2 Tagen mit Restzeit 16 Stunden) nur ca 10. GB groß ist. Bei ca 2,5 TB Originaldaten.

Nach meinem Sermon nun zur Frage: Ich suche Software: Entweder für die 1:1-Kopie oder um Daten zu retten oder um das MFT wieder herzustellen.
(Alternative lass ich mich auch gern belehren, dass der Befehl write von Testdisk tatsächlich gar nichts auf die Festplatte schreibt und das völlig harmlos ist.)

Zum Abschluss evtl noch ne allgemeine Warnung: Teilweise erwähnte ich mich schon an Ende meiner Reise und der Stein der Weisen ist: kostenpflichtige Tools!
Aber zu früh gefreut. Oftmals konnte ich zwar mit den Demoversionen die defekte Platte auslesen. Ordnerstruktur, Dateien, alles wie meiner Erinnerung. Aber als es ans wiederherstellen ging, kam die Info, dass es eine beschränkte Demo-Version ist. Entweder konnte nur eine begrenzte Anzahl an Dateien oder GB wiederhergestellt werden oder sonstige Reglementierungen.
Wer hier allerdings die Kreditkarte zücken will um die Vollversion zu kaufen: Die Vollversion konnte bei mir einen alten Scheißdreck wiederherstellen. Teilweise wurden von der Demoversion gefunden Dateien wieder nicht mehr gefunden, teilweise waren die wiederhergestellten Dateien nur 64 KB groß (alle nur 64 KB), uswusf. Also lieber vorher mal im erweiteren Freundeskreis nachfragen, ob jemand ne Vollversion rumliegen hat, bevor man sinnlos Geld verschleudert ;-)

Vielen Dank im Voraus und sry, dass es etwas wirr geschrieben ist. Ich häng nur da schon seit mehreren Wochen dran. Und bin es langsam irgendwie echt leid. Zumal jeder einzelne, oft sinnlose Scan- und Kopiervorgang mehrere Tage in Anspruch nimmt ohne hinterher mit einem halbwegs sinnvollen Ergebnis aufzuwarten.

 

[Matte]

https://ngb.to/threads/6980-Howto-Datenrettung-mit-grml-Linux-Live-CD

Vielleicht hilft's.

Gruß Matte

 

[thom53281]

Das alles passiert, egal ob ich die Platte per USB oder Esata anschließe.

Bitte hier unbedingt beachten: Der Kopiervorgang muss nach Möglichkeit in dem USB-Gehäuse geschehen, in dem die Festplatte ursprünglich war. Moderne USB-Gehäuse sprechen bei so großer HDD-Kapazität aus Kompatibilitätsgründen die HDD anders an, als es ein interner PC-Controller (bzw. eSATA) tut. Zudem gibt es leider auch zwischen den Gehäusen teilweise Unterschiede.

Ansonsten das, was Matte sagt.

 

[Benglord]

Schon mal danke für die Antworten.

@thom: Die Festplatte ist noch in ihrem originalem Gehäuse. Rausbauen ist ne Maßnahme die ich mir für ganz zum Schluss aufheben wollte. Wenn überhaupt.

Ich hab nun auch nen Versuch mit der Anleitung gestartet. Aber das Problem ist vermutlich das gleiche wie bei den Anläufen mit anderen Tools. Irgendwas hat die Verbindung (USB) beim laufenden Prozess getrennt.
"ddrescue: Input file disappeard: No such file or directory"

Werd gleich mal nachschauen, ob ich aus dem Log schlau werde. Und dann nen zweiten Versuch starten, ob es da auch an der gleichen Stelle scheitert.

Ideen?

Edit: Bei erneutem fdisk -l Befehl findet er die defekte Platte auch nicht mehr

Edit2: Trennt evtl SMART die Verbindung?
Wenn ich die Platte über esata angeschlossen hatte, bekam ich die Meldung SMART Status Bad.
Problem ist nur, dass ich die Einstellung in Bios (American Megatrends) nicht finde.
Ich kann zwar beiden internen das Smart Monitoring deaktivieren, aber finde die Option der problematischen externen nicht, da die über USB angeschlossen ist.
Sinnvoll in der Richtung weiterzumachen?
Also die Platte mal über Esata anschließen, Smart deaktivieren und nochmal mit ddrescue ran?


Edit 3: Hängt jetzt über Esata dran mit deaktiviertem Smart und ddrescue läuft.
Über den Punkt, wo er beim ersten Versuch getrennt hat, ist er auch schon hinaus.
Daumendrücken

 

[Benglord]

Morgen zusammen,

ddrescue läuft noch und läuft nach aktuellen Hochrechnungen auch noch weitere 8 Tage...
Die Dauer wäre jetzt auch nicht weiter schlimm, wenn die Wahrscheinlichkeit stimmt, dass was sinnvolles bei rumkommt.

1) in der Anleitung steht, dass bei vielen Fehlern eine Rettung der einzelnen Dateien besser geeignet ist. Wie viel sind "viele" Fehler?
Akutell hab ich:
Rescued: ~ 545 GB
Ipos/Opos: 665 GB
Errors: 5365
Errsize: 351 MB

Kann man Prognosen treffen wie sich der Fehler auswirkt? Eher ein Pixelfehler in einem Bild oder ein Ruckler bei Video/mp3? Oder ist bei einem Fehler die ganze Datei über den Jordan?
(Ist übrigens eine reine Daten-, keine Systemfestplatte)

2) Bin mir nicht sicher, wie groß der geschossene Bock, als ich mich nicht buchstabengetreu an die Anleitung gehalten hab.
Ich hab nicht die komplette sda sondern sda2 angegeben zum Retten. sda1 ist "128M Microsoft reserved"
Liegt in diesem Microsoft-Bereich genau das MFT/MBR/GPT/wieauchimmer und ich kopier gerade nur nutzlosen Datensalat?
(Hintergrund: Keine Ahnung was mich geritten hat, als ich vorm Regal stand und gedacht hab: Du willst ne 3 TB Platte retten, also kaufst du dir auch eine 3 TB Platte und keine 4 TB.
Zum einen war es ein Haidenaufwand alles richtig zu identifizieren, was bei original 3 TB und neu 4 TB um einiges einfacher gewesen wäre.
Zum anderen hat er, glaub ich, auch gesagt, dass er bei der neuen nicht auf den Microsoft reserved Bereich schreiben kann.
Da es nun aber bei beiden Platten identisch aussah (sd*1 128 M Microsoft und sd*2 2.7T Microsoft basic data) hab ich mir gedacht, dass ich dann von sda2 nach sdb2 kopiere)
Ich hab auch bei beiden Platten die Fehlermeldung: Partition 2 does not start on physical sector boundary.
Einerseits logisch, weil Partition 2 ja nicht am Anfang startet, sondern erst nach Partition 1. Aber macht das was?

3) Wir spulen mal eine Woche vorwärts: Wie sehen dann eigentlich die dann mehr oder minder vollständig geretten Daten aus? Kann ich damit direkt was in Windows anfangen? Oder muss ich das dann, wie in der Anleitung beschieben nochmal mit ddresue (und nochmal 10 Tagen Zeitaufwand) auf eine nochmal neue, dritte Platte zurückspiegeln?
Kann ich auch die .Img-Datei, welche ddrescue schreiben wird unter Windows auf die dritte Platte ziehen? (Ist das überhaupt schneller?)
Als Ergebnis hätte ich gerne 3 Platten. 1 mit Originaldaten (die defekte) eine mit nem Backup von Originaldaten (um für ggf. weiteren Versuchen die defekte Platte zu schonen) und eine mit abermals gleichen Daten, wo ich mich so richtig austoben und rumpfuschen, sofern dies überhaupt weiterhin nötig sein sollte.

Danke vorab.

 

[vVegas]

Naja ich wäre in deinem Fall anders vorgegangen. Erstmal Platte aus dem externen Gehäuse da sich der Fehler stark nach Controllerproblem anhört. Danach per testdisk repariert. Ne Kopie wäre nach testdisk auch noch problemlos möglich gewesen.

 

[thom53281]

@vVegas:
Spätestens dann hast Du in dem Fall Datenmüll. Das funktioniert nur bei kleineren, älteren HDDs, wenn man die HDD intern anschließen will. Selbst USB-Gehäuse unterscheiden sich teilweise untereinander. Außerdem gilt immer: Erst kopieren, dann basteln!

Kann man Prognosen treffen wie sich der Fehler auswirkt? Eher ein Pixelfehler in einem Bild oder ein Ruckler bei Video/mp3? Oder ist bei einem Fehler die ganze Datei über den Jordan?

Kann man nicht sagen. Kommt darauf an, ob es sich bei den verlorernen 350MB um größere zusammenhängende Fehler oder viele kleine Lesefehler handelt. Wird sich zeigen.

2) Bin mir nicht sicher, wie groß der geschossene Bock, als ich mich nicht buchstabengetreu an die Anleitung gehalten hab.
Ich hab nicht die komplette sda sondern sda2 angegeben zum Retten. sda1 ist "128M Microsoft reserved"

Wie lautet denn der genaue Befehl? Ich persönlich hätte auf jeden Fall die komplette HDD inkl. allem kopiert. Je nachdem, wie Du nun kopiert hast, sollte man die HDD unter Linux irgendwie mounten können. Windows kann das aber sehr wahrscheinlich nicht.

 

[Benglord]

Der genaue Befehl lautet: ddrescue -r0 -v - d -n /dev/sda2 /media/disk/ddrescue.img /media/disk/ddrescue.log

(vorher entsprechend der Anleitung sdb als Backup mit gemountet: mount /dev/sdb2 /media/disk)


Bzgl. kompletter Kopie: Denke ich hol mir dann noch ne neue Platte mit 4 TB dann kann ich das entspannt nochmal machen.
Und so oft wie ich mit der defekten Platte schon nach dem Schaden rumprobiert habe, macht ein erneuter Kopiervorgang mit ddrescue den Kohl dann auch nicht mehr fett.

 

[thom53281]

/dev/sdb2 in der Form als Image zu kopieren, ist ebenfalls völlig in Ordnung (hörte sich erst nach was anderem an). Die Voraussetzung dafür ist allerdings, dass die Partitionstabelle in der aktuellen Form auch korrekt war (wenn die aktuellen Grenzen falsch gesetzt sind, schneidest Du damit möglicherweise vorne und hinten Daten ab).

Unter Windows kannst Du das Image möglicherweise mit dieser Software mounten (aber nie probiert, da ich sowas unter Windows nicht mache). Unter Linux geht es mit Onboard-Tools. Dazu nimmst Du dann aber am besten eine andere Linuxdistribution, die auch eine GUI hat, da man die Daten damit besser durchsuchen kann.

Das Image solltest Du dann wie folgt mounten können (als root):

mkdir /media/disk1
mkdir /media/disk2
mount /dev/sdXX /media/disk1 (die externe HDD, wird unter vielen GUI-Distributionen automatisch eingehängt)
mount /media/disk1/ddrescue.img /media/disk2 -o loop,ro

Solltest Du das Image nicht mounten können, lasse es mit Photorec durchsuchen.

 

[Benglord]

Da die Partitionen bei zwei verschiedenen Platten gleich waren ohne das ich da bewusst was eingestellt habe, vermute ich, dass das ne Standarteinstellung ist und das dann passen müsste...

Ich hoffe einfach mal, dass ich mit dem guten alten Knoppix dann schon was reißen kann. So wies momentan aussieht, kann ich aber vor Sonntag Abend ohnehin nicht aktiv werden.

Schlachtplan steht , auf jeden Fall schon mal vielen Dank hierfür. Wenn ich schlauer bin, werd ich berichten.

 

[Benglord]

Kurzes Update:

Momentan läuft der Zweite Durchlauf: "Pass 2 (backwards).

War etwas überrascht, als er diesen automatisch gestartet hat. Dauert auch viel länger. Average rate ist bei 2641 kb/s, anstatt wie beim ersten Durchlauf bei ca. 3.000.
Auch die Zeiten zwischen den successful read sind weit höher. Alt: 3 oder max 4 Minuten, jetzt regelmäßig über 10 Min.
Auch hör ab und zu ein Klacken von der Festplatten (wie wenn der Lese/Schreibkop iwo anschlagen würde. Ich hoffe mal, ich produzier damit jetzt keinen Headcrash
Würde den jetzt auch mal noch die hochgerechneten 14 Tage weiterlaufen lassen.
Ist er dann eigentlich fertig oder folgt darauf nochmal n dritter Durchgang oder noch was weiteres?

 

[Benglord]

Ok, nach über nem Monat (run time 32.13 days) siehts wie folgt aus:
Immernoch Pass 2 (backwards)
Rescued: 2346 (von 3000) errsize 3112 MB und 44254 errorrs
Problem: Ipos/Opos steht noch 2778 (von 3000 rückwärts laufend) current rate ist immer so um die 3200 B(!)/s und average ist bei 845 kB/S mit fallender Tendenz.

Wenn ich das jetzt hochrechne dauert das ganze noch 40 weitere Tage :-/ In anbetracht der fallenden Durchschnittsgeschwindigkeit ist er vermutlich iwann Weihnachten fertig.

Mich verunsichert nur, dass ich akutell nicht einschätzen kann, ob ich mit dem kopierten Ergebnis was anfangen kann.
Die 2346 geretteten GB sind auf jeden Fall schon mal super (sofern was lesbares bei rumkommt).

Deshalb wollte ich den Vorgang jetzt am WE mal abbrechen und nachschauen.

1: mit strg+c ddrescue unterbrechen/abbrechen
2: entsprechend der Anleitung beide Platten unmounten
3: grml beenden
4: mit Knoppix neustarten
5: mit dem Image spielen

Hab ich was vergessen?

 

[dexter]

Mich verunsichert nur, dass ich akutell nicht einschätzen kann, ob ich mit dem kopierten Ergebnis was anfangen kann.

Wenn ich "kopiert" richtig verstehe, kannste ja nix falsch machen ... oder haste nur einen Rechner?
ddrescue kann ja (auf anderem Rechner) weiterlaufen, während Du am Image rumpfriemelst. Mounten und unmounten und dergleichen musst Du da auch nicht, "einfach" das "kopierte" kopierte Image in Testdisk reinkippen und nach Dateien (P) schauen.