Datenverlust (2.Runde...)

Internet Internet Sicherheit
1

Zunächst mal herzlichen Dank für die Tipps, die ich auf meine gestrige Anfrage (s.u.) bekommen habe.

Dass ich an meiner Hardware etwas ändern muss, ist mir klar. Allerdings ist mir im Augenblick die Datenrettung das vordringliche Problem - und außerdem sind meine finanziellen Mittel im Moment ziemlich beschränkt (mein Arbeitgeber hat Insolvenz angemeldet und ich habe seit Juni kein Gehalt mehr bekommen…).

Also zur Sache:
Ich konnte mit der Software „TestDisk“ die Partitionen wieder herstellen. Habe dies aber vorsichtshalber erst mal nur für die erste der beiden EIDE-Platten gemacht.

Ergebnis: alle Partitionen sind wieder da. Allerdings enthält die eigentliche Datenpartition F: keine nutzbaren Daten (Näheres siehe unten). Alle übrigen Partitionen scheinen unversehrt zu sein.

Habe auch eine vermutliche Ursache zumindest für die Zerstörung der Partitionsinformationen gefunden: Windows 2000 benötigt für Laufwerke über (ca.)130 GB einen Registry-Patch (oder eben eine manuelle Korrektur in der Registry) EnableBigLBA. Den hatte ich leider bei meiner Neuinstallation vor zwei Wochen nicht eingesetzt, so dass die aktuellen Partitionsprobleme wohl daher kamen. (Mit dem ersten Total-Crash dürfte dies allerdings Nichts zu tun haben, da bis zu dem Crash dieser Patch installiert war (ich hatte ihn vor drei Jahren installiert, hatte aber bei der Neuinstallation leider nicht mehr daran gedacht).

Ich hatte ja schon beschrieben, dass bereits vor dem Neustart des Computers vorgestern (nach welchem dann die Partitionen verschwunden waren) die Partition F: (und auch ihr Mirror, die Partition S:smile: nur noch Dateien/Verzeichnisse enthielt, deren Namen aus allen möglichen Sonderzeichen bestanden (Quadrate, Striche usw).

Ich habe, wie gesagt, zunächst nur die Partitionsinformationen der ersten Platte mit „TestDisk“ wiederhergestellt.

Nach dem Neustart - beim Hochfahren - teilte mir Windows mit, dass es das Laufwerk F: überprüfen müsse. Ich ließ dies zu (nicht zuletzt auch, weil ich ja noch den Mirror S: auf der zweiten, noch nicht behandelten Platte „in Reserve“ habe).

Wie ich jetzt weiß, war das wohl ein Fehler: Windows war ca.15 Stunden damit beschäftigt, verlorene Ketten usw wiederherzustellen, und die Partition F: enthält nun genau 10.000 durchnummerierte Dateien namens „file0000“ bis „file9999“, jeweils 16kb groß, in einem Verzeichnis namens „found.000“.
Zwar lasse ich gerade die Windows-Suche drüberlaufen, ob bestimmte Zeichenketten (z.B. mein Name) enthalten sind, aber die einheitliche Dateigröße von 16kb läßt mir wenig Hoffnung, dass diese Dateifragmente noch für irgendwas zu gebrauchen sind (dazu kommt, dass 10.000 x 16 kb nur 160 MB ergeben, das LW F: aber 4,5 GB Daten enthalten hatte)

===
Zur Erinnerung: der letzte „Stand“ vor dem Neustart, nach dem die Partitionen verschwunden waren, war dieser: Partition F: und S: (meine Datenpartition und ihr Mirror) enthielten Dateien/Verzeichnissen mit Namen, die aus verschiedensten Sonderzeichen bestanden - und die auch beim Anklicken eine Fehlermeldung ergaben, alle übrigen Partitionen funktionierten einwandfrei.
Von Bedeutung ist vielleicht auch noch die Tatsache, dass eine „Spiegelung“ mit xcopy in den zwei Stunden zwischen dem Zustand „F: und S: noch in Ordnung“ und dem Zustand „F: und S: enthalten nur noch Datensalat“ DEFINITIV NICHT stattfand. Die Daten in den beiden Partitionen wurden also voneinander unabhängig beschädigt, die korrupten Daten au S: stellen also NICHT den Mirror der korrpten Daten auf F: dar.

Bevor ich also nun die Partitionen der zweiten Festplatte mit „TestDisk“ wiederherstelle (und damit dann möglicherweise auch die zweite und letzte Partition, die meine Daten vielleicht noch enthält - LW S: - zerstöre), möchte ich fragen:

  1. Die Überprüfung (und „Reparatur“) des Laufwerks S: durch Windows beim Hochfahren kann ich ja verhindern. Gibt es eine Software, die in der Lage ist, den Datensalat auf LW S: (verlorene Ketten etc.) zu „lesen“ und eventuell wieder in sinnvolle Dateien umzuwandeln?

  2. Gibt es noch andere Möglichkeiten/Ideen, wie unter den beschriebenen Umständen meine Daten gerettet werden könnten?

Vielen Dank

Ulrich

2

Hallo,

  1. Gibt es noch andere Möglichkeiten/Ideen, wie unter den
    beschriebenen Umständen meine Daten gerettet werden könnten?

Es wurde glaube ich bereits weiter unten auf die Möglichkeit hingewiesen, eine Linux Live-CD zu booten und von dort aus auf die Festplatte zuzugreifen, um die Daten zu sichern.

Ein Knoppix z.B. kann mit an Sicherheit grenzender Wahrscheinlichkeit die Partition lesen. Da das standardmäßig lediglich im Lesemodus „read only“ passiert, ist die Gefahr der versehentlichen Manipulation bzw. weiteren „Zerstörung“ der Daten sehr gering.

Generell aber auch von mir nochmal der Tip, die Festplatten schnellstmöglich auszutauschen. Du schreibst unten etwas von „crash“. Festplatten können – je nach Intensität der Nutzung – durchaus nach drei Jahren auch mechanische Defekte aufweisen. Wenn die Festplatten aus der gleichen Produktion stammen (Chargennummer?), dann ist die Wahrscheinlichkeit, dass diese zwei Platten nahezu gleichzeitig den Geist aufgeben, noch einmal höher. Darum kauft man für RAID Systeme auch gezielt Platten aus unterschiedlichen Chargen.

Generell kannst Du – falls alle eigenen Versuche scheitern – die Platten auch, je nach Bedeutung der Daten, einem professionellen Datenrettungsunternehmen schicken. Die Begutachtung nebst Kostenvoranschlag ist meist gratis bzw. sehr günstig. Dann kannst Du entscheiden, ob Dir die Daten das Geld wert sind.

Gruß

Fritze

3

Hallo Fritze,

Generell aber auch von mir nochmal der Tip, die Festplatten
schnellstmöglich auszutauschen. Du schreibst unten etwas von
„crash“. Festplatten können – je nach Intensität der Nutzung
– durchaus nach drei Jahren auch mechanische Defekte
aufweisen. Wenn die Festplatten aus der gleichen Produktion
stammen (Chargennummer?), dann ist die Wahrscheinlichkeit,
dass diese zwei Platten nahezu gleichzeitig den Geist
aufgeben, noch einmal höher.

Das halte ich in diesem Fall für eher unwahrscheinlich.
Die zweite Platte musste ja nur einmal am Tag arbeiten, wenn die Backups gemacht wurden.
Somit haben eigentlich nur die Spindelantriebe die selben Betriebsstunden auf dem Buckel, nicht aber die Kopdantriebe.
Ein Fehler im Spindelantrieb, würden aber ein Lesen von Daten verunmöglichen.

Da beide Laufwerke zur selben Zeit ausgefallen sind, ist die Wahrscheinlichkeit grösser, dass der Fehler in einem gemeinsamen Teil liegt, also IDE-Controller, die Verkabelung oder die Laufwerk-Elektronik des Bus-Interfaces.
Falls der Fehler in der Vekabelung oder beim Controller liegt, löst ein Austauschen der Laufwerke das Problem nicht.

Grundsätzlich sollte man die Festplatten einzeln in einen anderen PC einbauen um die Daten nicht restlos zu versauen, falls der Controller oder die Verkabelung das Problem erzeugt.

Ein defekter Controller kann auch Daten schreiben, wenn er gar nicht durch den Treiber zum Schreiben aufgefordert wird.

MfG Peter(TOO)

4

Hallo Ulrich,

Habe auch eine vermutliche Ursache zumindest für die
Zerstörung der Partitionsinformationen gefunden: Windows 2000
benötigt für Laufwerke über (ca.)130 GB einen Registry-Patch
(oder eben eine manuelle Korrektur in der Registry)
EnableBigLBA. Den hatte ich leider bei meiner Neuinstallation
vor zwei Wochen nicht eingesetzt, so dass die aktuellen
Partitionsprobleme wohl daher kamen.

Dann liegen diejenigen Partitionen welche Probleme machten, zumindest Teilweise, hinter dieser 130MB-Grenze.

(Mit dem ersten
Total-Crash dürfte dies allerdings Nichts zu tun haben, da bis
zu dem Crash dieser Patch installiert war (ich hatte ihn vor
drei Jahren installiert, hatte aber bei der Neuinstallation
leider nicht mehr daran gedacht).

Es ist aber nicht auszuscjliessen, dass Win ein Problem mit der Registry hatte und damit der Eintrag ausser Kraft gesetzt wurde.

Ich hatte ja schon beschrieben, dass bereits vor dem Neustart
des Computers vorgestern (nach welchem dann die Partitionen
verschwunden waren) die Partition F: (und auch ihr Mirror, die
Partition S:smile: nur noch Dateien/Verzeichnisse enthielt, deren
Namen aus allen möglichen Sonderzeichen bestanden (Quadrate,
Striche usw).

Das bedeutet, dass das Verzeichnis zerstört ist.

Ich habe, wie gesagt, zunächst nur die Partitionsinformationen
der ersten Platte mit „TestDisk“ wiederhergestellt.

Damit wird nur die Tabelle im MBR (die ersten beiden Sektoren auf der Platte) restauriert wurde. In dieser Tabelle sind eigentlich nur der Anfang und das Ende einer Partition abgelegt (Platte, Spur und Sektor).

Wie ich jetzt weiß, war das wohl ein Fehler: Windows war ca.15
Stunden damit beschäftigt, verlorene Ketten usw
wiederherzustellen, und die Partition F: enthält nun genau
10.000 durchnummerierte Dateien namens „file0000“ bis
„file9999“, jeweils 16kb groß, in einem Verzeichnis namens
„found.000“.

Das laässt darauf schliessen, dass dein Laufwerk mit FAT formattiert wurde und die Clustergrösse 16KB ist.

Damit FAT überhaupt in der Lage ist, grössere Laufwerke zu verwalten, hat man die Cluster eingeführt.
Da die Sektoren immer 512 Byte gross sind, könnte man mit FAT-16 maximal 65’536 Blöcke mit je 512 Byte, also maximal 32MB verwalten.
Fast man aber, z.B. 32 Sektoren zu eine CLuster zusammen, können 65’536 Blöcke/Cluster mit je 16KB, entsprechend 1GB, verwaltet werden.
Dies hat aber den Nachteil, dass auch eine Datei mit nur 1 Byte Inhalt schon 16KB auf der Platte belegt.

Die Rechnung mit 65’536 Blöcken stimmt nicht ganz, da noch Platz für die Verwaltung davon abgeht. Mittlerweile gibt es auch FAT-32.

In deinem Fall bedeutet dies, dass das Inhaltsverzeichnis der Partition restlos zerstört ist. Scandisk konnte dadurch nur noch die belegten Cluster erkennen und hat die in Dateien umgewandelt. Allerdings bricht Scandisk in diesem Fall einfach nach „file9999“, ab, da sonst der Dateiname länger als 8 Zeichen würde.

Zwar lasse ich gerade die Windows-Suche drüberlaufen, ob
bestimmte Zeichenketten (z.B. mein Name) enthalten sind, aber
die einheitliche Dateigröße von 16kb läßt mir wenig Hoffnung,
dass diese Dateifragmente noch für irgendwas zu gebrauchen
sind (dazu kommt, dass 10.000 x 16 kb nur 160 MB ergeben, das
LW F: aber 4,5 GB Daten enthalten hatte)

Du müsstest die Dateien „filexxxx“ umbenennen oder in eine Unterverzeichnis kopieren und Scandisk wieder starten.

Danach hast du ein hübsches Puzzle für die kommenden Winterabende …

Von Bedeutung ist vielleicht auch noch die Tatsache, dass eine
„Spiegelung“ mit xcopy in den zwei Stunden zwischen dem
Zustand „F: und S: noch in Ordnung“ und dem Zustand „F: und S:
enthalten nur noch Datensalat“ DEFINITIV NICHT stattfand. Die
Daten in den beiden Partitionen wurden also voneinander
unabhängig beschädigt, die korrupten Daten au S: stellen also
NICHT den Mirror der korrpten Daten auf F: dar.

Das ist soweit auch logisch, da XCOPY einzelne Dateien kopiert. XCOPY versagt schon bei einer Datei mit ungültigen Zeichen im Dateinamen.

Somit besteht nach wir vor, die Gefahr eines Hardwaredefekts in der Ansteuerung der Laufwerke.
Eine weitere Möglichkeit wäre ein RAM-Fehler. Dadurch wurden entweder Puffer falsch Markiert (falsches Laufwerk, falsche Sektoren) oder irgendein Bit innerhalb des Treiber-Codes ist umgefallen, wodurch sich der Treiber unvorhersehbar verhält.

MfG Peter(TOO)

5

NAchtrag (2.Runde…)
Hallo Ulrich,

Wie ich in meines anderen Antwort an Fritze schrieb, solltest du die Laufwerke einzeln in einen anderen Computer einbauen.

Der Fehler kann auch im IDE-Interface der einen Platte liegen und somit den Datenverkehr der anderen Platte stören.

Weiterhin kann der Fehler auch im IDE-Controller oder deinem RAM stecken. Möglich wäre auch noch ein Fehler in der DMA. Auf jeden Fall sind das alles Komponenten auf dem Mainboard.

MfG Peter(TOO)

6

Hallo.

Erstmal Danke (auch an Fritze) für die Hinweise und Kommentare.

Ich habe jetzt - auch wenn es aufgrund meiner beruflichen Situation aus finanzieller Sicht der denkbar schlechteste Zeitpunkt ist - beschlossen, mir einen neuen PC (für 700 Euro) zu kaufen. Hab es immer vor mir hergeschoben, aber jetzt muss es sein.
Heute abend hole ich ihn ab. In den werde ich dann die zweite, noch nicht in irgendeiner Weise „reparierte“ Festplatte einbauen, mit TestDisk die Partitionstabelle wieder herstellen und dann…

…ja, was tue ich dann eigentlich am Besten? Ganz sicher werde ich nicht nochmal Windows erlauben, irgendwelche verlorene Ketten zu reparieren (und 10.000 nutzlose Dateien zu erzeugen). Aber wie kann ich am ehesten aus den vermutlich wohl immer noch (teilweise oder ganz) korrupten Dateien auf LW S: noch was retten? Gibt es da eine besonders empfehlenswerte Software, die Dateien auch liest, wenn die Verzeichnisstruktur korrupt ist? Bin für jeden Tipp dankbar.

Die Partition S: (wie auch F: auf dem ersten Laufwerk) befindet sich übrigens NICHT jenseits der 130 GB Grenze. S: ist physisch die 2. Partition auf dem Laufwerk und hat 30 GB; davor befindet sich nur die Partition R: (E: auf dem 1. LW) mit 10 GB.

Was ich nach wie vor nicht verstehe: wieso ist auf beiden Festplatten ausgerechnet - und nur - die Verzeichnisstruktur der Partition mit meinen wichtigen und nicht ersetzbaren Daten beschädigt? Alle anderen Partitionen sind unbeschädigt (ok, auf der zweiten Platte habe ich es noch nicht überprüft, aber als ich die Probleme auf S: vorgestern feststellte, schienen alle anderen Partitionen ok zu sein).

Und noch eine Anmerkung zu den beiden Platten: die eine war ein Garantieumtausch, die andere habe ich ein paar Wochen später bei einem Händler gekauft. Sind also so gut wie sicher aus verschiedenen Chargen.
Bis dahin hatte ich meine Backups 14-täglich übers Netzwerk auf den PC meiner Frau gemacht. Problem war, dass meine Frau den PC nachts häufig abschaltete, wodurch die Backups manchmal bis zu 3 Monate alt waren. Nach dem Ausfall der Platte, die dann garantieausgetauscht wurde, habe ich dann statt dessen auf tägliche Spiegelung umgestellt und zu diesem Zweck eine zweite, typ-identische Platte angeschafft.

Gruß

Ulrich

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

7

Hallo Ulrich,

Was ich nach wie vor nicht verstehe: wieso ist auf beiden
Festplatten ausgerechnet - und nur - die Verzeichnisstruktur
der Partition mit meinen wichtigen und nicht ersetzbaren Daten
beschädigt?

http://de.wikipedia.org/wiki/Murphys_Gesetz

Regel 1, 2, 4, 10 und 14 !!

http://userpage.chemie.fu-berlin.de/diverse/murphy/m…

MfG Peter(TOO)