Gelöschte True Crypt Partition wiederherstellen ?

[Lawliet]

Hi Leute,

hab lang nix mehr Geschireben hier.

Muss mich, jetzt mal wieder an Euch wenden, bei einem Problem, das mir schon seit länger auf den Füßen drückt und bei dem ich allein einfach nicht mehr weiter komme und hoffe Ihr könnt mir dabei wieder helfen.

Folgendes vor ca. mehr als einem Jahr, wo ich gerade bei der Erstinbetriebnahme von einem neuen Laptop war, ist mir nämlich dummerweise ein ganz dummer Fehler passiert.

Als ich gerade dabei war, mit der Erstinbetriebnahme fertig zu werde und alles so eingestellt habe, dass es so weit gepasst hat, wollte das Betriebssystem
(Windows 8) von mir nämlich noch ein Back-up vom System machen, das ich bitte sicherheitshalber auf einen externen Datenträger speichern sollt und genau da habe ich diesen Fehler begangen.

Da ich zu der Zeit nur eine Festplatte hatte, bei der noch freier Speicher war (um genau zu sein 500 GB) und ich mir damals dachte das, es nicht verkehrt sein könnte auf Nummer sicher zu gehen, habe ich, dann ohne groß darüber nach zu denken das Back-up auf dieser Platte gespeichert.

Doch ohne zu ahnen, dass bei 500 GB freien Speicher etwas passieren könnte, hat Windows da ganz andere Pläne gehabt und hat kurzerhand die komplette Platte mit allen Partitionen gelöscht und eine Partition mit dem Back-up erstellt.

Dumm war jetzt nur, dass neben der 500 GB freien Speicher Partition, auch noch eine versteckt True Crypt Partition (mit 500 GB) war, auf der sehr wichtiger Dateien gespeichert waren, die Windows da gleich mit gelöscht hat.

Über, das Internet habe ich mich, dann später erkundigt, wie ich die Daten noch retten könnte, aber außer Tesdisk und TestCrypt habe ich da leider nie was Brauchbares finden können, womit ich mich da getraute hätte, da was alleine zu machen.

Zudem haben die Programme damals auch nix finden können, deswegen hat sich das auch nicht gelohnt.

Aber bis auf die 2 Scans habe ich sonst nichts mehr weiter mit der Festplatte gemacht und stelle deshalb jetzt meine bitten an Euch, kann mir vielleicht zufällig jemand von Euch noch Helfen ein Weg zu finden, womit ich die Partition mit den Daten noch retten könnte.

Ich wäre nicht böse, wen es am doch nicht klappt und Hopfen und Malz verloren ist für die Dateien, aber ich würde gerne noch alles Mögliche versuchen, was geht und ich würde mich echt freuen, wen Ihr mir dabei helfen könnt.

LG Lawliet

 

[Trolling Stone]

Wie soll ein Programm zu Datenrettung verschlüsselte Dateien erkennen? Theoretisch müsste das Datenrettungsprogramm auch das Passwort zur Entschlüsselung kennen.
Die einzige mögliche Hoffnung wäre, dass du eine 500GB große Truecrypt-Datei angelegt hast statt einer Partition. Diese Datei könnte man dann versuchen zu retten.

http://windows.microsoft.com/de-de/windows/recover-encrypted-files-folders#1TC=windows-7
Hier gibt es eine Anleitung zur Wiederherstellung verschlüsselter Daten. Ob dies auf durch Truecrypt verschlüsselte Daten anwendbar ist, weiß ich allerdings nicht.

 

[Kugelfisch]

Wie soll ein Programm zu Datenrettung verschlüsselte Dateien erkennen? Theoretisch müsste das Datenrettungsprogramm auch das Passwort zur Entschlüsselung kennen.

Das reicht leider nicht, denn aus dem Passwort wird lediglich ein Key abgeleitet, mit welchem der TrueCrypt-Header verschlüsselt wird, der die eigentlichen (XTS-)Keys enthält, vgl. http://andryou.com/truecrypt/docs/encryption-scheme.php (Mirror der offiziellen Dokumentation). Deshalb ist eine Datenrettung nur möglich, wenn das Passwort und sämtliche Keyfiles vorhanden und mindestens ein Header des TrueCrypt-Volumes (Header am Anfang des Volumes, Header-Kopie auf einer Recovery-CE oder Backup-Header am Ende des Volumes, so vorhanden) noch intakt ist. Ohne Header lassen sich die zur Verschlüsselung der eigentlichen Nutzdaten verwendeten Schlüssel selbst bei bekanntem Passwort nicht ableiten. Wenn dieser Bereich der Festplatte bereits überschrieben wurde, wären die verschlüsselten Daten demnach wertlos.

TestCrypt ist grundsätzlich das richtige Tool für diesen Anwendungsfall, allerdings solltest du deine Rettungsversuche unbedingt an einem Image der Festplatte und nicht an der Festplatte selbst vornehmen, um keinen weiteren Datenverlust zu riskieren.

 

[sukkka]

Aber ist es nicht so dass True Crypt die Verschlüsselte Partition als Datei abspeichert?
Diese Datei sollte man doch wiederherstellen können, oder sehe ich das falsch..?!

 

[mathmos]

Mit TrueCrypt kann man verschlüsselte Dateien (Container) erstellen. Diese liegen dann auf einer unverschlüsselten Partition. Oder man verschlüsselt die Partition an sich.

 

[sukkka]

Ah, und ich nehme an der Lawliet hat die zweite Option gewählt...
Joa ich denke da kann man nicht viel machen...

 

[Kugelfisch]

Bei einem Container gilt hinsichtlich des Headers übrigens dasselbe wie bei einer verschlüsselten Partition: Liegt der Anfang der Datei (wo sich der TC-Header befindet) in einem Bereich der Festplatte, der bereits überschrieben wurde und existiert kein Header-Backup, ist auch der Rest der Datei wertlos. Ist der Header jedoch vorhanden, sind Datenverluste im restlichen Container lokal beschränkt.

 

[Lawliet]

O. k.,

gut dann werde ich mich mal jetzt zu Wort melden.

Aber, vorher noch mal, wieder ein herzlichen Dankeschön von mir für Eure antworten.

Gut so, wie ich das jetzt Herauslesen konnte, ist also meine einzige Chance die *verschlüsselte Partition* noch irgendwie zu retten, also einen intakten Header zu finden.

Stimmt, soweit ich mich erinnere, ginge es ja damals als ich mich mit TestCrypt auseinander Gesetz habe bei dem Scan, ja nur darum.

Aber zu dem Zeitpunkt wie ich es schon geschrieben, habe konnte TestCrypt ja leider nix finden.

Ich würde aber gern trotzdem bei dem Punkt jetzt weiter machen, weil ich denk, das könnte noch der einzige Punkt sein, der mich vielleicht noch weiter bringt.

Also um einen Header zu finden was gäbe es da alles für Möglichkeiten, ohne jetzt viel Schaden anzurichten.

Ich weiß, bei einem Image von meiner Festplatte wäre der bei null, nur logistisch gesehen ist das bei 1TB nix, was ich da zurzeit bei mir irgendwie umsetzen könnte.

Ich würde, aber gerne, soweit ich gerad zurzeit noch dabei bin, noch ein paar Sachen noch ausprobieren und wär weiß vielleicht habe ich ja Glück und ich kann meine Daten damit retten, ohne dass ich später ein aufwendiges Image machen muss und das auseinandernehmen muss.

LG Lawliet