Testdisk - kann Daten von verschwundener Partition lesen, aber Partition nicht wieder herstellen

[ahoellrigl]

Moin, vielleicht kann mir jemand ein bisschen bei der Bedienung von Testdisk helfen?

Ich hatte zuletzt eine Sandisk-SSD mit 512 GB in einem Inateck-Gehäuse gewissermaßen als übergroßen USB-Stick verwendet. Also täglich bis alle paar Tage Dateien dort hinaufkopiert, um sie auf andere Rechner bringen zu können. Nun hat diese SSD innerhalb weniger Wochen zum zweiten Mal hintereinander anscheinend ihre Partitionierungsinformationen (GPT) verloren. Sie wird als USB-Gerät erkannt, aber in der Windows-Datenträgerverwaltung nur als Laufwerk ohne Partition.

Ich habe dann Testdisk gestartet um zu sehen, ob sich das Ganze irgendwie reparieren lässt. Das lief jeweils wie folgt (siehe auch die Screnshots).

1. Die SSD wird von Testdisk als Disk /dev/sdc - 512 GiB - Inateck erkannt.
   
   
2. Die Analyse-Funktion von Testdisk findet auf der SSD eine EFI GPT partition map.
   
   
3. In dieser Partitionierungstabelle entdeckt Testdisk zweimal eine primäre Partition MS Reserved (jeweils Block 34-32767) und einmal eine primäre Partition MS Data (Block 32768-1000212479).
   
   
4. Nach der Auswahl von Quick Search kommt dann die Meldung The following partitions can't be recovered. Und zwar für zwei Partitionen MS Data, einmal von Block 1000210431-2000418807 und einmal von Block 1000212479-2000392190. Zusammen mit der Meldung, dass die Platte anscheinend zu klein sei. Klar - wenn die Partitionierungsinformationen anscheinend (fälschlich) besagen, dass angeblich zwei über 500 GB große Partitionen existieren, passen die natürlich nicht auf eine 512 GB-SSD.
   
   
5. Wähle ich dann Continue, werden auf einmal drei Partitionen MS Data angezeigt. Von Block 2048-1000210424, Block 2048-1000208377 und Block 32768-1000212497.
   
   
6. Mit P für list files kommt dann aber bei allen drei (vermeintlichen) Partitionen nur die Fehlermeldung, dass das Dateisystem nicht geöffnet werden könne, anscheinend beschädigt sei. Dabei verliert Testdisk anscheinend alle Informationen zur SSD. Man kann sich zwar zum Anfang mit der Auswahl eines Laufwerks zurückhangeln und die SSD im Inateck-Gehäuse auswählen, aber dann werden dort keine Partitionierungsinformationen mehr gefunden.
   
   
7. Startet man Testdisk neu (ggf. nach Abkoppeln und erneutem Verbinden der externen SSD), findet Testdisk dann doch wieder dort Partitionierungsdaten. Und wenn man dann direkt die Filesystem Utils auswählt, erkennen diese eine korrekt erscheinende Partitionsstruktur, nämlich eine primäre Partition MS Reserved (Block 34-32767) und eine primäre Partition MS Data (Block 32768-1000212479).
   
   
8. Bei Auswahl der Datenpartition kann man sich dann auch mit der Funktion List die Verzeichnis- und Dateistruktur anzeigen lassen. Kann Ordner und Dateien selektieren und kopieren.

Nach dem ersten Ausfall hatte ich so tatsächlich die auf der SSD gespeicherten Daten wieder herstellen können. Und hatte dann (in Ermangelung einer Alternative) die SSD erst noch einmal in der Windows-Datenträgerverwaltung neu partitioniert und die Daten dort wieder zurückgespielt. Weil auch ein Check mit Crystal Disk Info keine Hinweise auf eine Beschädigung erbracht hatte (siehe Screenshot). Bevor ich allerdings das Wiederherstellen jetzt das zweite Mal starte, würde ich gerne noch einmal die Schwarmintelligenz befragen.

Erste Frage: Hat jemand eine Idee, was da auf der SSD passiert sein könnte? Und wie man ggf. mit Testdisk dort eine korrekte Partitionstabelle erstellen kann (wie sie die Funktion List ja anscheinend erkannt hat)?

Zweite Frage: Würde es vielleicht helfen, die Partitionierung mit einem anderen Tool neu vorzunehmen, falls beim Weg über die Windows-Datenträgerverwaltung womöglich noch Rückstände der alten Tabelle auf der SSD verblieben waren? Oder solte ich die SSD lieber aussortieren, trotz der komplett unauffälligen SMART-Daten?​

Danke schon mal jetzt für jedweden Input.

​

 

[albert66]

Hast Du mal DFSEE https://www.dfsee.com/download/index.php getested ?? Ich nutze das Tool in der Prof-Version (lizenziert) seit Urzeiten (DOS, OS/2 und Windows), kann aber jetzt bei SSD und EFI-GPT nicht mitreden. Du müßtest mit dem Tool alle Controlblock-Infos ändern können oder auch direkt Daten auslesen können. Damit habe ich einigen Freunden Daten retten können und im übrigen auch in "forensic mode" meine Win7-HDs gecloned (dauert 1:1 bit-weise ewig ) und dann den Clone upgraded (USB-Stick Version).

Das Tool ist super, aber auch ziemlich anspruchsvoll. Am Anfang mit Read-only mode mal testen. Tools ist inzwischen "gebühren-frei". Bisher konnte ich damit an alle Bits ran, die auch lesbar waren. Man kann also auch einiges kaputt machen.

Gruß Peter

 

[ahoellrigl]

DFSee kannte ich noch nicht, habe es mir mal heruntergeladen und gestartet. Und festgestellt, dass es mich leider einigermaßen überfordert. Ich hatte dort dann versucht, sowohl die beiden Partitionen einzeln als auch die gesamte SSD zu öffnen. Bei der Datenpartition hatte ich folgende Meldung mit Angebot einer Reparatur erhalten.



Der FIXBPR-Befehl bzw. die Auswahl von Fix HiddenSectors/Geo value im Menü konnten den (vermeintlichen) Fehler aber leider nicht beseitigen.

Und bei der Auswahl der gesamten SSD kam dann diese Meldung.



Leider blieb aber auch hier der Ansatz erfolglos, über das Experten-Menü evtl. noch existierende MBR-Partitionen zu entfernen.

Bin also leider weiterhin ohne Lösung und etwas ratlos. Zumindest sind die Daten noch anderswo gesichert. Ich könnte die SSD also ggf. auch komplett zurücksetzen, würde dann aber gerne sicherstellen, dass dabei keine verqueren Partitionierungsinformationen irgendwo stehenbleiben.

 

[Mornsgrans]

Man sollte erst einmal z.B. mit dem Linux-Befehl "dd" eine 1:1 Kopie des gesamten Laufwerks auf ein zweites erstellen und anschließend auf der Kopie weiterarbeiten. Alles andere ist Russisch Roulette.

Wenn Du schon mit dem Original arbeiten "musst" dann keine Schreibvorgänge vornehmen, sondern die gefundenen Dateien auf ein anderes Laufwerk kopieren - das ist die Hauptfunktion von Testdisk/Photorec.

 

[albert66]

Kann ich mich nur anschließen, erst Clonen, geht mit dem Tool auch, wenn kein anderes funktioniert DFSEE via Stick. Zu DFSEE: Du kannst praktisch jedes physische Bit umschießen mit den entsprechenden Folgen. D.h. das Tool kann extrem viel, aber auch viel kaputt machen.

Falls weiter damit gearbeitet wird: mit Adminrechten ausführen, auf der oberen Leiste (links) bei "Edit" vom Basic mode in den Expert mode. Am Anfang würde ich empfehlen: unter "Set" (obere Leiste rechts) den Read-only mode ein zu schalten.

Von den Bildern her vermute ich einen defekten MBR oder wie immer das entsprechende Basis-Teil bei SSD+GPT heißt. Ohne Admin-Rechte hat DFSEE eventuell den PBR nicht geändert, was vermutlich auch gut so ist ..... Erst muß das gesamte "Konstrukt" stimmen, zweites Bild. Bei MBR & Co bin ich einigermaßen fit, aber .... SSD/GPT mußte ich noch nicht. Da gibt es hier sicher bessere Ratgeber.

 

[ahoellrigl]

Das Russisch Roulette spiele ich hier sozusagen mit Platzpatronen, die Daten auf der SSD gibt es alle woanders noch einmal (habe bei der Gelegenheit auch noch ein zweites Backup auf einer klassischen HDD erstellt bzw. aktualisiert). Soll heißen, es geht mir hier mehr darum zu verstehen, was da falsch gelaufen sein könnte und wie man das mit Tools wie Testdisk oder auch DFSee möglicherweise wieder reparieren kann. Falls es nicht funktioniert oder schiefgeht, verliere ich zum Glück nichts Unwiederbringliches, außer der Zeit zum Ausprobieren. Alles gut insofern...

Falls weiter damit gearbeitet wird: mit Adminrechten ausführen, auf der oberen Leiste (links) bei "Edit" vom Basic mode in den Expert mode. Am Anfang würde ich empfehlen: unter "Set" (obere Leiste rechts) den Read-only mode ein zu schalten.

Das Tool hatte ich bereits mit Admin-Rechten gestartet. Macht man das nicht, meckert es gleich nach dem Start, dass es die Daten nicht richtig einlesen kann. Aber aus dem Grund war ich danach auch sehr zurückhaltend und hatte nur die beiden oben angesprochenen vom Tool angebotenen Korrekturen ausführen lassen.

Testdisk fordert sowieso von sich aus beim Start Admin-Rechte an. Deshalb habe ich damit bislang auch noch keine schreibenden Aktionen getätigt.

 

[Ambrosius]

Da ich grad den gleichen Fall aufm Schreibtisch liegen habe, hätte ich da mal ne Frage die allerdings nur peripher das Thema tangiert, aber dennoch für Diagnosezwecke dieser Art nützlich ist. Und zwar wollte ich fragen ob jmd eine gute Live CD/Distro kennt die testdisk/photorec/und Co zur Verfügung stellt, so dass man nur eine Iso braucht und nicht zehn verschiedene. Ich kenn noch von damals Ultimate Boot Disk aber ich glaub die wird nicht mehr gepflegt, gibt es inzwischen im Jahr 2023 auch Alternativen oder gleichwertige??

 

[diwo]

Ist -glaube ich- bei KALI dabei

 

[think_pad]

Soll heißen, es geht mir hier mehr darum zu verstehen, was da falsch gelaufen sein könnte und wie man das mit Tools wie Testdisk oder auch DFSee möglicherweise wieder reparieren kann. Falls es nicht funktioniert oder schiefgeht, verliere ich zum Glück nichts Unwiederbringliches, außer der Zeit zum Ausprobieren. Alles gut insofern...

Ich kenne das eher so, dass man alle wichtigen Dateien und Ordner mit testdisk auf eine externe Festplatte zieht/kopiert, und dann "das defekte Original" grundsätzlich neu formatiert, und zwar komplett ohne Schnellformatierung. Alles andere ist, wie schon gesagt, Russisches Roulette...

 

[Dr_Schmoker]

Um mehrere Tools zur Datenrettung, Klonen usw, auf einen Stick zu bekommen, kann ich nur Ventoy empfehlen, siehe hier → https://www.ventoy.net/en/index.html

Kann man nicht oft genug erwähnen: Versuche nur mit der Kopie, niemals mit dem Original.

 

[Mornsgrans]

Zur Ursachensuche:
Fange mal bei der SSD-Firmware an... - derartige Daten- und Dateisystemverluste gab es vor ca. 10 Jahren, als die SSD-Hersteller begannen, den Markt zu überschwemmen, die Firmware aber nicht ausgereift war..

 

[ahoellrigl]

Hm, mir scheint, ich sollte meine Anfrage modifizieren. Die Optionen zur automatischen Reparatur von Testdisk und DFSee haben leider nicht funktioniert. Um jedoch händisch irgendwelche Einträge in Partitionierungstabellen modifizieren zu können, fehlt mir leider die Expertise (d.h. ich bräuchte jemanden, der mir exakt vorgibt, was ich da zu tun hätte). Die Daten auf der SSD sind aber, wie gesagt, nicht das Problem. Sondern es fokussiert sich jetzt auf die Frage, ob ich erstens die SSD noch weiter verwenden kann/sollte und was ich zweitens ggf. tun sollte, um sie sicher weiterverwenden zu können.

Fange mal bei der SSD-Firmware an... - derartige Daten- und Dateisystemverluste gab es vor ca. 10 Jahren, als die SSD-Hersteller begannen, den Markt zu überschwemmen, die Firmware aber nicht ausgereift war..

Ich habe mir mal bei WD das Dashboard heruntergeladen, installiert und ausgeführt. Das sagt mir, die Firmware auf der SSD wäre aktuell. Und zeigt auch ansonsten lauter grüne Haken an.



Ich schätze mal, ich sollte die SSD so weit wie es geht zurücksetzen und dann schauen, was ich noch damit anfangen kann. Wie würdet ihr da vorgehen? In der Datenträgerverwaltung von Windows initialisieren? Oder in einem CMD-Fenster diskpart starten? Oder mit einem anderen Tool an die Sache herangehen?

 

[Mornsgrans]

Ich schätze mal, ich sollte die SSD so weit wie es geht zurücksetzen und dann schauen, was ich noch damit anfangen kann. Wie würdet ihr da vorgehen?

Das hier

Nun hat diese SSD innerhalb weniger Wochen zum zweiten Mal hintereinander anscheinend ihre Partitionierungsinformationen (GPT) verloren.

würde mich eher zur Entsorgung motivieren. Es sei denn, bei beiden Ereignissen lag ein im nachhinein nachvollziehbarer Handhabungsfehler (z.B. abziehen während Schreibvorgängen etc.) vor.

 

[albert66]

Ich muß zur Ehrenrettung von DFSee anmerken: Es ist kein klassisches Rettungs- und Wiederherstellungstool, sondern eher ein "sehr scharfes OP-Messer". Man kann alles lesen und modifizieren. Es haben sich im Laufe der Jahre einzelne aufrufbare Standard-Scripts herausgebildet, für gängige "Operationen", aber ...... da muß dann der Fehler dazu passen. Ich habe bisher von den Fix-Standards nur den Standard-MBR-Fix genutzt (bei Freundschaftshilfen), mehrfach bei HDs, die als Floppy (quick-)formatiert wurden oder bei verunglückten Installationen. Ansonsten mit DFSEE-Stick den absoluten 1:1 clone, der auch forensisch verwertbar ist - da haben wegen Multiboot mit unterschiedlicher Geometrie innerhalb der HD andere Clone-Tools gestreikt bzw. das Ergebnis war nicht bootfähig.

Alles andere war Knochenarbeit, bzw. Bit-Fiselei in den Blöcken. Sobald die Daten lesbar waren, habe ich es mit den üblichen Wiederherstellungstools versucht. Ausnahme DFSEE hat mir einwandfreie Dateien beim scan von "deleted" angeboten, aber .... waren meistens Glücksfälle = selber frisch deleted beim Aufräumen - mein eigener Klassiker - und gleich gemerkt, d.h. nicht mehr überschrieben. Bei mir ist immer erst ordentlich aufgeräumt, wenn die erste App nachinstalliert werden muß .

Gruß Peter

PS: es wäre m.E. wichtig, ob diese (GPT) Basis-Daten überschrieben wurden oder echt verloren wurden (x'00 oder factory muster/firmware??). Bei echt verloren --> ab in die Tonne, siehe wie vor @Mornsgrans. Das sollte man mit DFSEE lesen können.

 

[Schwartz]

Entweder hat die SSD selbst 'ne Macke oder die USB-SATA-Bridge hat eine. Es kann tatsächlich beides sein, denn diese externen Gehäuse bringen auch ihre eigenen Probleme mit sich.

Am Windows-Partitionstool ist nichts verkehrt, es ist halt einfach gestrickt. Um alles im Detail zu sehen und zu manipulieren kann diskpart mehr.

Ich würde die SSD aus dem Gehäuse holen und sie direkt per SATA als Scratch-Disk für nicht essenzielle Daten verwenden und dann mal sehen, ob sie immernoch zickt. So gehst du keine Risiken ein und es kann zumindest zwischen den 2 Problemen (SSD defekt, oder USB Bridge) unterschieden werden.

 

[ahoellrigl]

Entweder hat die SSD selbst 'ne Macke oder die USB-SATA-Bridge hat eine. Es kann tatsächlich beides sein, denn diese externen Gehäuse bringen auch ihre eigenen Probleme mit sich.

In dem Inateck-Gehäuse hatte ich zuvor schon andere Festplatten, diese und andere SSDs betrieben, ohne Auffälligkeiten. Falls es tatsächlich ein Hardwarefehler sein sollte, würde ich den eher bei der SSD verorten als beim Gehäuse.

Am Windows-Partitionstool ist nichts verkehrt, es ist halt einfach gestrickt. Um alles im Detail zu sehen und zu manipulieren kann diskpart mehr.

Hintergrund der Frage war, dass man die Meldungen von DFSee so verstehen könnte, dass da noch irgendwelche Reste von MBR-Partitionstabellen auf der SSD existieren würden. Ich hatte die ja auch zuerst als MBR-Datenträger eingerichtet gehabt (in einem T410 mit Win7) bevor ich dann für die Verwendung im T450 auf GPT gewechselt bin. Falls solche Überreste etwas bei einer Initialisierung/Partitionierung mit z.B. diskpart sicher gelöscht würden (automatisch oder per Option), würde ich das ggf. versuchen wollen.

Ich würde die SSD aus dem Gehäuse holen und sie direkt per SATA als Scratch-Disk für nicht essenzielle Daten verwenden und dann mal sehen, ob sie immernoch zickt.

Klingt gut, geht nur am T450 leider nicht...

PS: es wäre m.E. wichtig, ob diese (GPT) Basis-Daten überschrieben wurden oder echt verloren wurden (x'00 oder factory muster/firmware??). Bei echt verloren --> ab in die Tonne, siehe wie vor @Mornsgrans. Das sollte man mit DFSEE lesen können.

Bin gerade ein paar Tage wegen Bauarbeiten nicht in der Wohnung, das schaue ich mir danach noch mal an. Wenn ich nach den Meldungen von DFSee gehe, scheinen es aber eher inkonsistente Daten in den Tabellen zu sein, kein Totalverlust derselben.

würde mich eher zur Entsorgung motivieren. Es sei denn, bei beiden Ereignissen lag ein im nachhinein nachvollziehbarer Handhabungsfehler (z.B. abziehen während Schreibvorgängen etc.) vor.

Leider kann ich nicht ausschließen, dass ich da jeweils spätabends im Tran einen Fehler gemacht hatte. Den Ausfall bekommt man dann ja leider erst am nächsten Tag mit, wenn man das System hochfährt, auf die SSD zugreifen will und sie dann nicht als Laufwerk da ist. Ich denke, einen Versuch werde ich der SSD und mir in dieser Konstellation noch geben.

Danke für alle Tipps und Denkanstöße.

 

[TheGrey]

Falls die SSD noch einen Versuch bekommen soll, würde ich das Secure Erase Tool des Herstellers bemühen um alle Daten zu löschen, dann sehen ob es ein Firmware Update für das Modell gibt und erst danach wieder einrichten. Vorzugsweise intern ohne oder mit einem anderen Gehäuse.