Versehentlich externe 2TB-HDD formatiert - Daten noch zu retten?

[Rampage 2]

Guten Abend,

Vor 2 Wochen wollte ich mit Rufus einen bootfähigen Windows-Stick erstellen. Leider war zu dem Zeitpunkt nicht nur das anvisierte USB-Stick, sondern auch meine externe USB-HDD (extern USB 3.0, intern SATA-6G, 2.5", 2TB) mit ihren vielen hundert GB Daten an den Rechner angeschlossen!

Als ich dann in Rufus bei der Option "USB-Festplatten anzeigen" einen Haken gesetzt hatte, muss wohl Rufus den aktuell ausgewählten Datenträger eigenmächtig geändert haben, so dass nicht mehr das USB-Stick, sondern meine ebenfalls angeschlossene externe USB-HDD für die Formatierung gesetzt wurde - ich merkte das aber nicht, da ja ursprünglich (vor dem Setzen des Hakens) korrekterweise mein USB-Stick ausgewählt war, also ließ ich ahnungslos das gewählte Laufwerk formatieren! (es war eine Schnellformatierung - der Haken bei "Schnellformatierung" war gesetzt!)

Als ich dann in die Liste der angeschlossenen Laufwerke schaute, bekam ich einen eisigen Schreck: Meine 2TB-HDD, welche kurz zuvor noch fast zur Hälfte belegt war, war jetzt fast vollständig leer! (die paar Gigabyte für das "gebrannte" Windows-Image sind nichtmal ein Fliegenschiss für die 1.81 TiB große HDD...)

Was kann ich jetzt tun, um alle Daten zu retten? Sind sie überhaupt noch zu retten?

Sofort nach diesem Vorfall, habe ich Testdisk (7.1 stable) angeschmissen, um die gelöschte Partition wiederherzustellen - zuerst einfache Analysen, dann "Deeper Scan", welches jedes Einzelne der paar hunderttausend Zylinder analysierte. Da wir hier von einer 2TB-Platte reden, dauerte alleine dieser Vorgang ~ 1 Woche! (musste den Rechner eine ganze Woche ununterbrochen anlassen...)

Am Ende hat Testdisk anscheinend die gelöschten Partitionen gefunden, aber gemeldet, dass sie nicht wiederhergestellt werden können! ("The following partitions could not be recovered")

:frown:

Jetzt beleiben mir noch folgende Tools übrig:

- PhotoRec (ist mit Testdisk gebundelt...)
- Recuva
- MiniTool Power Data Recovery 9.0 Free
- EaseUS Data Recovery Wizard Free
- DiskDrill Free
- SoftPerfect File Recovery Free
- FreeUndelete

Plz help...

R2

[JFZ]

Schnellformatierung ist dafür ja schon recht positiv. Das löscht ja eigentlich nur die Partitionstabelle.

Leider kann ich dir nichts zu den Tools sagen. ich habe erst einmal Daten wiederherstellen müssen und das ist ewig her :( Ic h glaube das was damals mit einem Tool von Acronis (Müsste dann ein Vorläufer von Acronis Disk Director gewesen sein)

Helfen tut aber bestimmt noch die Angabe, welches Dateisystem du vorher auf der Platte hattest.

[Rampage 2]

Schnellformatierung ist dafür ja schon recht positiv. Das löscht ja eigentlich nur die Partitionstabelle.


Sehe ich auch so:) Aber ich will nicht nur die Dateien, sondern auch Dateinamen und Ordnerstruktur wiederherstellen - sonst dauert es ewig, viele hundert GB mit zigtausenden Dateien zu sortieren und zu ordnen...


Helfen tut aber bestimmt noch die Angabe, welches Dateisystem du vorher auf der Platte hattest.


IIRC war das Dateisystem NTFS - so wurde das Gerät IIRC auch im Werkszustand ausgeliefert.

Können Recuva und PhotoRec eigentlich anzeigen, welche wiederhergestellten Dateien beschädigt sind?

R2

[user77]

Das

https://recoverit.wondershare.de/

Hat schon vielen meiner Kunden geholfen die kein Backup hatten

[Corny]

Mach auf jeden Fall ein vollständiges Image der Festplatte und arbeite mit dem Image! Die Gefahr bei der Wiederherstellung weitere Daten kaputt zu machen ist sehr sehr hoch!
Am besten unter Linux read only mounten und dann mit dd ein Image ziehen.

Die Ordnerstruktur ist nach dem überschreiben der Positionstabelle wohl eh weg, aber ein Großteil deiner Daten sollte noch das sein.

[Rampage 2]

Mach auf jeden Fall ein vollständiges Image der Festplatte und arbeite mit dem Image! Die Gefahr bei der Wiederherstellung weitere Daten kaputt zu machen ist sehr sehr hoch!
Am besten unter Linux read only mounten und dann mit dd ein Image ziehen.


Wozu das? Ich hatte doch schon geschrieben, dass TestDisk die gelöschte Partition nicht wiederherstellen kann (TD hat sie gefunden, aber kann sie nicht wiederherstellen) - wozu dann noch ein Image machen? :confused:


Die Ordnerstruktur ist nach dem überschreiben der Positionstabelle wohl eh weg, aber ein Großteil deiner Daten sollte noch das sein.


Und die Ordnernamen und -inhalte? (also wie der Ordner heisst, wieviele und welche Dateien in einem Ordner enthalten sind, etc.)

Was ist mit den Dateinamen? Werden die angezeigt? Und lassen sie sich dem jeweiligen Ordner zuordnen?

Das

https://recoverit.wondershare.de/

Hat schon vielen meiner Kunden geholfen die kein Backup hatten


Ist das noch besser als Recuva oder PhotoRec? :)

R2

[Gast]

Wozu das? Ich hatte doch schon geschrieben, dass TestDisk die gelöschte Partition nicht wiederherstellen kann (TD hat sie gefunden, aber kann sie nicht wiederherstellen) - wozu dann noch ein Image machen? :confused:


Weil z.B. Windows, insbesondere auf NTFS Partitionen gerne mal im Idle Dateien auf der Platte hin- und herschiebt. Dadurch können Daten die vorher noch komplett in Ordnung waren, aus heiterem Himmel überschrieben werden. Potentiell reicht also schon das reine am-Rechner-hängenlassen einer nicht schreibgeschützten Platte aus, um alle noch vorhandenen Daten durch solche Rumschiebeaktionen des Betriebssystems zu verlieren.


Ist das noch besser als Recuva oder PhotoRec? :)


Diese Tools kochen alle nur mit Wasser, in dem Fall mit Heuristiken wie man aus dem Meer an unstrukturierten 0en und 1en Dateien herausfischt. Diese Heuristiken haben alle unterschiedliche Vor- und Nachteile, ein "klar besser" ist hier aber schwer zu definieren.

In jedem Fall ist die Wahrscheinlichkeit einer automatisierten Wiederherstellung in so einem Szenario sehr gering. Je nach Wert der verlorenen Daten würde ich dringend dazu raten, eine professionelle Dattenrettungsfirma zu beauftragen.

[Corny]

Hallo R2,

deine formatierte Festplatte ist der einzige Platz auf dem deine Daten derzeit noch liegen, willst du tatsächlich damit arbeiten und deine (ersten?) Datenrettungsversuche machen? Ich denke nicht. Also zieh dir ein Image und / oder klone die Festplatte auf eine andere und mache dort deine Datenrettungsversuche. Dann ist es auch nicht schlimm wenn bei den Rettungsversuchen etwas schief gehen.
Dazu kommt, dass gerade Windows immer auch schreibend auf deine Daten zugreift und in deiner Situation praktisch bei jeder Verwendung weitere Daten zerstört. Gast hatte das oben erwähnt.

Mit Linux kannst du read-only mounten, dabei ist das Risiko geringer, aber nicht ausgeschlossen.

Mit einem vollständigen Image der gesamten Festplatte (nicht der Partition!), welches dann auch 1,8TB groß wird, werden auch deine nicht sichtbaren Daten gesichert.


Da die Verzeichnisstruktur, Dateinamen usw. in der Partitionstabelle bzw. MFT gespeichert werden, die höchstwahrscheinlich überschrieben wurde, wirst du "nur" deine Daten aber nicht deren Namen und Ordner zurück bekommen.

[PatkIllA]

mit diskpart kann man auch unter Windows readonly mounten.

[schleiftier]

Und ein Tipp aus der Praxis: Wenn du dann das Image der Platte gezogen hast, kauf dir eine entsprechend große SSD und leg es für die Recovery-Tools darauf ab. Ansonsten dauert die Wiederherstellung ewig.

[Rampage 2]

Also zieh dir ein Image und / oder klone die Festplatte auf eine andere und mache dort deine Datenrettungsversuche. Dann ist es auch nicht schlimm wenn bei den Rettungsversuchen etwas schief gehen.


Mit Linux kannst du read-only mounten, dabei ist das Risiko geringer, aber nicht ausgeschlossen.


Sorry, falls es bescheuert rüberkommt, aber manches von dem was in diesen beiden Zitaten steht, hört sich für mich kryptisch an - ich verstehe z.T. nicht ganz;)

Meine Interpretation: Ich soll über Linux mit dd (oder ddrescue) eine Image-Kopie der gesamten externen Festplatte auf eine andere Festplatte machen, also Klonen. *ODER* ich soll die externe HDD nur über Linux ins System einbinden, weil Linux-Betriebssysteme Laufwerke schreibgeschützt einhängen.

Korrekt?

Mit einem vollständigen Image der gesamten Festplatte (nicht der Partition!), welches dann auch 1,8TB groß wird, werden auch deine nicht sichtbaren Daten gesichert.


Reicht es wirklich nicht, nur die Partition zu klonen? (siehe Antwort auf Zitat w.u.) - Ich habe eine 8TB-Festplatte, von der exakt 7 TiB NTFS-partitioniert sind, als Datengrab und Sekundärplatte für Spiele. Die restlichen paar hundert GiB sind derzeit für Windows 10 reserviert (auf die SSD kommt W7 drauf). Die Daten auf der 8TB-Platte will ich auf keinen Fall verlieren ("dd" ist ja bekannt dafür, Sachen zu überschreiben, wenn man nicht aufpasst) ! Kann ich die 7 TiB-Partition temporär auf 5TiB schrumpfen und dann eine weitere Partition mit 2TiB erstellen? - auf die wird dann mit dd/ddrescue das Image der externen HDD geklont...

Und ein Tipp aus der Praxis: Wenn du dann das Image der Platte gezogen hast, kauf dir eine entsprechend große SSD und leg es für die Recovery-Tools darauf ab. Ansonsten dauert die Wiederherstellung ewig.


Meine SSD ist im Moment eh völlig leer, weil Win7 nicht drauf installiert ist. Es ist eine 1TB NVMe-SSD (effektiv nutzbar sind 931GB). Der Gedanke, die Daten von der externen HDD auf meine leere SSD zu kopieren ist mir auch schon gekommen - aber Corny schreibt, dass man nicht nur die Partition (ich nehme an, gemeint ist damit nur der belegte Bereich der ext. HDD), sondern die komplette HDD kopieren, also spiegeln sollte. Belegt mit Daten sind mWn 600-900 GiB der 1,81 TiB großen Platte - wenn ich also nur die Daten spiegle, dann passt das locker in meine 1TB-SSD, aber wenn ich die komplette HDD spiegeln soll (wie Corny empfiehlt), dann wird das mit der 1TB-SSD natürlich nicht gehen...

R2

[Air Force One]

Hab Mal meine 8TB HDD formatiert....
Könnte zwar sogut wie alles wiederherstellen aber das war ein Massaker. Sämtliche Ordnerstrukturen und Dateinamen waren generisch. Aber halt vorhanden.

[Corny]

R2, du hast keine Partitionen mehr, zumindest nicht mehr die die du hattest, also welche Partition willst du sichern? Du musst von der kompletten Festplatte ein Image ziehen. Da vorher eh nur eine Partition drauf war, macht das effektiv sowiesoo keinen Unterschied.
Beim Image / klonen wird auch bewusst nicht der belegte Speicher kopiert, das wären nämlich nur die Daten die Rufus geschrieben hat.
Da du ohnehin eine 8TB Platte mit reichlich freiem Speicher hast, kannst du ja das Image dorthin ablegen. Eine freie Festplatte mit >2TB zum Klonen wäre natürlich besser, da nicht jedes Datenrettungsprogramm mit Images umgehen kann.
Auch wenn du und deine Betriebssysteme die Daten nicht sehen, liegen diese noch größtenteils auf der formatierten Festplatte.

Kurzum:
Mach eine 1:1 Kopie bzw. ein Image deiner formatierten Platte und arbeite damit. Einfach aus Sicherheitsgründen.

Noch lieber wäre es mir, wenn du die Festplatte jemanden wiederherstellen lässt, der Erfahrung damit hat.

[taddy]

Das Erinnert mich an meine Erfahrungen kurz vor Weihnachten.

Ich habe meine Spielefestplatte mit dem Media Creation Tool geplättet. Da die Table von NTFS auf FAT32 geändert wurde, war eine Wiederherstellung aussichtslos.

Schade um die Spielstände (die nicht Bestandteil meiner Backups sind) UND meine 20Jahre alte MP3 Sammlung (Das ist wirklich ein Verlust)

[Corny]

Ich habe meine Spielefestplatte mit dem Media Creation Tool geplättet. Da die Table von NTFS auf FAT32 geändert wurde, war eine Wiederherstellung aussichtslos.



bei einer Schnellformatierung ist auch das kein Problem.

[taddy]

bei einer Schnellformatierung ist auch das kein Problem.
Ist die Frage, wie das Media creation tool die Formatierung vornimmt, anyway, ich habe keine Daten wiederherstellen können

[Gouvernator]

Ich habe damals mit einer kaputten Festplatte erst unter Linux geschafft ziemlich alle Daten von der Festplatte zu retten. Es war aber kein Image. Es hat einfach alle vorhandenen Daten ca. 1.8Tb auf eine neue externe 8TB rüber kopiert. Hat 3 Tage gedauert. Deswegen auch Linux, weil nach 8 Stunden in Windows war immer irgendwas "ausgestiegen".

[Poekel]

Schade um die Spielstände (die nicht Bestandteil meiner Backups sind) UND meine 20Jahre alte MP3 Sammlung (Das ist wirklich ein Verlust)Bei mir war es vor ca 10 Jahren so, dass ich die MP3s fast durch die Bank weg wiederherstellen konnte. Ein Problem war, dass ein guter Prozentsatz einen Recovery-Namen erhalten hat, aber für MP3s gab es ein Programm, dass die Dateien mit einer Inet Datenbank abgeglichen hat und sie wieder umbenennen konnte und auch eine sehr hohe Trefferrate hatte.

[Corny]

Ich habe damals mit einer kaputten Festplatte erst unter Linux geschafft ziemlich alle Daten von der Festplatte zu retten. Es war aber kein Image. Es hat einfach alle vorhandenen Daten ca. 1.8Tb auf eine neue externe 8TB rüber kopiert. Hat 3 Tage gedauert. Deswegen auch Linux, weil nach 8 Stunden in Windows war immer irgendwas "ausgestiegen".


Es muss ja kein Image sein. Ich lege nur Wert darauf die formatierte Platte vorher zu sichern, falls etwas schief geht. Gerade als Anfhänger kann es schnell passieren, dass man bei Datenrettungsversuchen noch mehr Daten kaputt macht.

[Rooter]

Ich habe damals mit einer kaputten Festplatte erst unter Linux geschafft ziemlich alle Daten von der Festplatte zu retten. Es war aber kein Image. Es hat einfach alle vorhandenen Daten ca. 1.8Tb auf eine neue externe 8TB rüber kopiert. Hat 3 Tage gedauert. Deswegen auch Linux, weil nach 8 Stunden in Windows war immer irgendwas "ausgestiegen".Seine Platte ist aber nicht defekt sondern wurde formatiert. D.h. Linux würde da auch keine Dateien mehr sehen.

MfG
Rooter

[Corny]

Warum nicht? Bei einer Schnellformatierung werden die Daten ja nicht überschrieben, also sind sie noch da. Mit Ausnahme der Bereiche die Rufus überschrieben hat.

[Rooter]

Trotzdem sieht Linux die Dateien nicht. Ob es ein Undelete Tool für NTFS@Linux gibt weiß ich jetzt gar nicht.
EDIT: Okay, TestDisk gibt es auch für Linux.

MfG
Rooter

[krypton]

Da die Verzeichnisstruktur, Dateinamen usw. in der Partitionstabelle bzw. MFT gespeichert werden, die höchstwahrscheinlich überschrieben wurde, wirst du "nur" deine Daten aber nicht deren Namen und Ordner zurück bekommen.

Es wäre sehr vorteilhaft, wenn die MFT noch vorhanden wäre. Da sich die MFT nicht am Anfang der Partition befindet, besteht zumindest noch die Hoffnung, dass sie nicht überschrieben wurde oder zumindest Fragmente weiter hinten auf der Platte liegen.
Du könntest noch einen Scan mit GetDataBack (https://www.runtime.org/data-recovery-products.htm) machen. Damit werden auch alte MFT-Einträge gefunden und so können, falls nicht überschrieben, auch Ordnerstruktur und Dateinamen wiederhergestellt werden.

[Rampage 2]

Da du ohnehin eine 8TB Platte mit reichlich freiem Speicher hast, kannst du ja das Image dorthin ablegen. Eine freie Festplatte mit >2TB zum Klonen wäre natürlich besser, da nicht jedes Datenrettungsprogramm mit Images umgehen kann.

Kurzum:
Mach eine 1:1 Kopie bzw. ein Image deiner formatierten Platte und arbeite damit. Einfach aus Sicherheitsgründen.


Ich habe gerade die 7TiB-Partition auf meiner 8TB-HDD um 2 TiB geshrinkt und so 2 TiB freien Platz geschaffen - daraus will ich eine 2TB-Partition (NTFS muss es sein, nehme ich mal an) erstellen. Anschließend will ich mit dd von einer Linux Live-CD aus die gesamte externe Festplatte auf die 2TiB-Partition (NICHT die gesamte Festplatte) meiner 8TB-HDD spiegeln, nachdem ich die externe HDD read-only gemountet habe. Ich will also auf keinen Fall die restlichen Partitionen (mein Spiele- und Datengrab, meine gegenwärtige W10-Installation) versehentlich löschen. Diesen Befehl will ich anwenden:

dd if=/dev/sda of=/dev/sdb# bs=256M conv=notrunc [das # steht für die Nummer/Bezeichnung der 2TiB-Partition]

Also:

sda = Festplatte [externe 2TB-HDD]
sdb# = Partition [die 2TiB-Partition auf meiner 8TB-HDD]

Ist das so korrekt oder würden auch in diesem Fall die restlichen Partitionen bzw. die gesamte HDD überschrieben/gelöscht? Das will ich unter keinen Umständen riskieren...

Bevor oder während ich diesen Thread erstellt hatte, habe ich die externe HDD mit Recuva gescannt - Recuva konnte alle (oder fast alle?) Dateien inkl. Dateinamen finden (aber Ordner und Ordnerstruktur scheint futsch zu sein...) und fast alle/die meisten Dateien sind lt. Recuva in exzellentem Zustand und können wiederhergestellt werden. Die Zahl der beschädigten oder irreversibel nicht wiederherstellbaren Dateien ist sehr gering verglichen mit der Zahl der intakten Dateien:)

Wollte das nur anmerken, falls es für diesen Topic von Nutzen ist;)

R2

[Corny]

Na wenn Recuva eh das meiste findet, kannst du ja Recuva die Daten direkt wiederherstellen lassen.

Wenn du eh schon mit div. Software auf der gelöschten Festplatte herum gespielt hast, kannst du dir das Image inzwischen eigentlich auch sparen. (Dein dd Befehl wäre korrekt, nur solltest du von deiner 8TB Festplatte natürlich auch ein Backup haben. Man vertippt sich schneller als man denkt und dann bist du alle Daten los!)

Warum ich das Image empfohlen habe, hatte ich weiter oben ja mehrfach erwähnt.

[Rampage 2]

Du könntest noch einen Scan mit GetDataBack (https://www.runtime.org/data-recovery-products.htm) machen. Damit werden auch alte MFT-Einträge gefunden und so können, falls nicht überschrieben, auch Ordnerstruktur und Dateinamen wiederhergestellt werden.


Ich habe GDB gestern ausprobiert und es hält tatsächlich, was es verspricht - ein ausgezeichnetes Programm! Es konnte nicht nur die Dateinamen, sondern auch die Ordner und Ordnerstrukturen finden - also praktisch meine Partition genau in der Form, wie sie es vor dem "Unfall" gewesen ist!

Leider ist mir ein Preis von 80$ zuviel! (das Programm verdient diesen Preis definitiv, aber im Moment bin ich wieder mal sehr eingeengt in meinem Budget:frown:)

Welche anderen Programme (Alternativen) können noch wenigstens die Dateinamen und, falls möglich, noch Ordner und Ordnerstruktur wiederherstellen? Recuva konnte zwar alle intakten und beschädigten Dateien finden, aber bei den meisten Dateien war der Name nur generisch und Ordner/-strukturen konnte es gar keine finden...

R2

[Corny]

TestDisk und PhotoRec unter Linux.

[Misda]

Ich habe GDB gestern ausprobiert und es hält tatsächlich, was es verspricht - ein ausgezeichnetes Programm! Es konnte nicht nur die Dateinamen, sondern auch die Ordner und Ordnerstrukturen finden - also praktisch meine Partition genau in der Form, wie sie es vor dem "Unfall" gewesen ist!

Leider ist mir ein Preis von 80$ zuviel! (das Programm verdient diesen Preis definitiv, aber im Moment bin ich wieder mal sehr eingeengt in meinem Budget:frown:)

Welche anderen Programme (Alternativen) können noch wenigstens die Dateinamen und, falls möglich, noch Ordner und Ordnerstruktur wiederherstellen? Recuva konnte zwar alle intakten und beschädigten Dateien finden, aber bei den meisten Dateien war der Name nur generisch und Ordner/-strukturen konnte es gar keine finden...

R2

Es hat schon seinen Grund, warum die Software 80$ kostet. Vielleicht solltest du zukünftig über ein Backup nachdenken, dann brauchst du das nicht mehr :wink:

Ich an deiner Stelle würde in den "sauren Apfel" beißen.