USB-Stick mit SSD-Festplatte "verschmolzen" - Daten weg

[Supes]

Hallo zusammen!

Habe gerade ein großes Problem: Ich habe gestern neue Hardware verbaut (Mainboard, CPU, RAM) und so weit lief gestern abend auch wieder alles. Heute habe ich für den RAM das XMP Profil eingestellt und wollte Screenshots im UEFI machen, um hier zu fragen, ob das so nun alles passt. Im UEFI meines Tomahawk Max kann man mit F12 (glaube ich) Screenshots machen, die auf einen Stick gespeichert werden. Und hierbei muss es passiert sein: Ich habe einen USB Stick eingesteckt, diesen als Speichermedium ausgewählt und UEFI hat sich dann leider aufgehängt. Konnte nichts mehr machen, habe ein paar Minuten gewartet, aber alles half nichts, also per Power-Button neugestartet.

Wieder in Windows angekommen habe ich auf den USB Stick schauen wollen, ob der Screenshot wenigstens da ist. War er aber nicht. Und viel schlimmer: Statt meiner Daten-SSD (Evo 860 1 TB) sah ich nur noch den leeren USB Stick als Laufwerk E und die SSD, auf der Windows installiert ist (Laufwerk C). Ok, USB Stick abgezogen, er wird aber weiterhin als Laufwerk E angezeigt. Dann einen Blick in die Datenträgerverwaltung geworfen. Hier sieht es nun so aus, dass ich unter Datenträger 1 ein Mal den USB Stick habe (ESD-USB, 32GB, Primäre Partition) und daneben die SSD "Nicht zugeordnet" mit 899,51 GB. Insgesamt also 931, 51 GB; das hatte die SSD glaube ich, als sie neu eingebaut wurde.

Ich habe jetzt weiter noch nichts probiert, weil ich, sollten die Daten auf der SSD wirklich gelöscht worden sein, wenigstens noch eine Chance haben will, diese (teilweise...) wiederherzustellen. Aktuell kann ich gar nicht auf sie zugreifen, im Explorer werden nur die 32 GB vom Stick angezeigt.

Wären die weg, wäre das wirklich der absolute GAU. Ich habe gestern Abend, bevor ich Windows neu aufgesetzt habe, alles wichtige auf dieser SSD gesichert. Bilder, Musik, Dokumente, Studium, etc.

Vor der Panne im UEFI wurde die SSD ganz normal erkannt, irgendwas muss da also gewaltig schief gegangen sein.

Was mache ich jetzt? Ich kann die SSD zu "neues einfaches Volume" machen, dafür wird sie aber formatiert. Nach den angezeigten GB fürchte ich, dass sie eh schon platt ist, will es aber nicht noch schlimmer machen...

Vielen Dank schon mal.

 

[Supes]

Neuigkeiten: Ich habe das "Rettungs-Tool" EaseUS Data Recovery durchlaufen lassen, das knappe 200GB an Daten auf einer verlorenen Partition gefunden hat. Von drei getesteten Programmen war dieses das einzige, das die verlorene Partition überhaupt entdeckt hat bzw. durchsuchen konnte. Ein anderes hat zwar gemerkt, dass da ein "unbekanntes" Laufwerk ist, konnte damit aber nichts anfangen. Nun würde es mich 70€ kosten, die ganzen gefunden Daten wiederherzustellen. Wäre es mir grundsätzlich wert.

Allerdings bin ich auch auf das Programm Testdisk gestoßen, mit dem man Partitionen auch wiederherstellen kann. Da ich glaube, dass mein einziges Problem ist, dass die SSD irgendwie aus der "Verwaltung" gekickt wurde, ich deshalb nicht mehr darauf zugreifen kann, eigentlich aber noch alles da ist, tendiere ich gerade dazu, es mit Testdisk zu versuchen. Laut Anleitung kann das "verlorene" Partionen auch wieder herstellen, in dem es sie wieder zu einem Laufwerk umwandelt. Das ist wohl genau, was ich brauche...

Blöd wäre es nur, wenn es schief geht und EaseUS dann auch nichts mehr findet.

Ich lade Testdisk jetzt mal herunter und schaue, was das überhaupt findet.

 

[DKK007]

Deshalb erst mal ein Image mit dd oder ddrecue auf eine andere Platte ziehen. Da kannst du dann gefahrlos probieren.

 

[Supes]

Ja, hätte alles auf noch auf meine alte HDD schieben sollen. Habe die 860 auch heute morgen erst wieder angeschlossen, weil ich so etwas eigentlich verhindern wollte. Da Windows auf der 850 liegt, dachte ich aber, dass es mir wenn dann die zerschießt, und nicht die 860. Aber was zur Hölle ist da schief gegangen, dass der USB Stick als Laufwerk E angezeigt wird, selbst wenn ich ihn abziehe, weil die 32 GB, die er an Speicher hat, irgendwie mit der SSD verklebt wurden!? Und der Rest der SSD nun einfach rausgeschmissen wurde und angeblich nicht partitioniert ist.

Immerhin scheint an Daten noch alles vorhanden zu sein. Es gibt keine einfache Möglichkeit, auf die SSD wieder zugreifen zu können, ohne ein Volume daraus zu machen, oder? Irgendein Trick mit chkdsk? Vermutlich nicht, weil ja kein Laufwerk.

TestDisk ist jetzt erst bei 11%, das dauert noch hundert Jahre. Liegt wohl daran, dass dich die SSD unbedingt als GPT formatieren musste, weil das ja neuer ist, MBR total veraltet, blabla. Bin schon fast geneigt, die 70€ auszugeben, meine Daten wiederherzustellen und den ganzen anderen Käse dann zu löschen/formatieren. Ich hoffe mal, dass ich die SSD überhaupt wieder zu einer Partition machen kann, nicht dass jetzt für immer dieser bescheuerte Pseudo-USB-Stick bleibt.


Alles nur wegen einem Screenshot.

 

[NatokWa]

Dein "Einziges" Problem ist das dein UEFI es irgendwie geschafft hat das Dateisystem des Sticks auf die SSD zu schreiben . Das eigendliche Dateisystem enthält die Daten Wie groß das Laufwerk ist (und WO auf dem Datenträger) und dann sämtliche "Zuornungen" Welcher Speicherplatz welche Daten enthalten . Wird das Dateisytem gelöscht ohne das das Laufwerk an Sich Formatiert wird sind die Dtaen NORMALERWEISE noch vollständig da , aber "Ungeordnet" d.h. alles "Wild durcheinander" . Normalerweise liegen mehrere KOpien der Zuordnungstabellen auf dem Laufwerk , solange diese existieren kann 99% der Daten trotzdem gerettet werden ODER sogar das Laufwerk damit wiederhergestellt werden ..... bei HDD's hat das immer recht gut funktioniert . Wie das bei SSD's wegen dem immer wieder benötigten Daten-Refresh und umverteilen ist ...... naja .. nach einem Tag sollten eig. alle Daten noch da sein wo sie waren *g*
Was du allerdings AUCH mal probieren kannst : Im Windoof Explorer nen REchtsklick auf die SSD , da hats (normalerweise) die Option "Ältere Version wiederherstellen" oder so ähnlich ... (sehe gerade nur die Englishe Version auf dem Arbeitslappy hier) ... evtl reicht das ja schon aus *g*

 

[Supes]

Normalerweise liegen mehrere KOpien der Zuordnungstabellen auf dem Laufwerk , solange diese existieren kann 99% der Daten trotzdem gerettet werden ODER sogar das Laufwerk damit wiederhergestellt werden ..... bei HDD's hat das immer recht gut funktioniert . Wie das bei SSD's wegen dem immer wieder benötigten Daten-Refresh und umverteilen ist ...... naja .. nach einem Tag sollten eig. alle Daten noch da sein wo sie waren *g*

Da das Rettungs-Tool knappe 200GB an Daten gefunden hat, gehe ich auch davon aus, dass der absolute Großteil noch da ist. Viel mehr dürfte da nicht gewesen sein. Vielleicht sind die 32GB, auf denen sich der Pseudo-USB-Stick breit gemacht hat weg, aber ich würde einfach mal hoffen, dass das nicht gerade die wichtigsten Dokumente betrifft. Und falls doch, lassen sich die vielleicht auch wiederherstellen; bisher habe ich nur die knapp 900GB nach verlorenen Daten abgesucht, nicht die 32GB...

Da du sagst, früher hat das gut geklappt: Wie hast du das denn angestellt, das alles wieder hinzubekommen?

Was du allerdings AUCH mal probieren kannst : Im Windoof Explorer nen REchtsklick auf die SSD , da hats (normalerweise) die Option "Ältere Version wiederherstellen" oder so ähnlich ... (sehe gerade nur die Englishe Version auf dem Arbeitslappy hier) ... evtl reicht das ja schon aus *g*

Die eigentliche SSD sehe ich da ja gar nicht mehr. Dort wird nur noch ESD-USB angezeigt, mit eben jenen 32GB Größe. Wenn ich da einen Rechtsklick drauf mache, kann ich "Vorgängerversionen wiederherstellen" anklicken, um dann gesagt zu bekommen, dass es keine solche gibt.

Übrigens, weil es mich schon die ganze Zeit irritiert: ESD-USB als Name spricht dafür, dass der Stick mal Bootfähig gemacht wurde; vielleicht habe ich den vor Jahren mal dazu verwendet, Windows neu zu installieren. Der Stick war mittlerweile zwar leer, aber vielleicht trotzdem noch komisch formatiert o.ä., was beim Versuch, den Screenshot darauf zu speichern, dann das ganze Problem verursacht haben könnte.

 

[DKK007]

Die 32 GiB sollten nur ganz weg sein, wenn der Stick voll war.
Ansonsten wird nur das überschrieben, was von Daten und Metadaten (MFT usw.) auf dem Stick belegt war.

Hängt aber auch davon ab, welche Dateisysteme auf SSD und Stick waren?

Im Studium hatten wir so einen Fall auch mal als Praktikumsaufgabe. Allerdings mit deutlich kleineren Datenträgern.
Anhang anzeigen Übung zu Försterfall klein 111111.pdf

Wie gesagt mach mal das Image, da kann man dann besser experimentieren, ohne Daten zu gefährden.
Das kannst du dann auch mal mit dem Hexeditor aufmachen (z.B. HxD) und dann mal manuell schauen, wie es da aussieht.
Bei einem Screenshot kann ich dir dann bei der Interpretation helfen.

 

[Supes]

Irgendwo (Datenträgerverwaltung oder in einem Tool) habe ich vorhin gelesen, dass gut 8 MB auf dem Stick belegt waren/sind. Der Stick ist in FAT32 formatiert, der Teil, der SSD, der noch da ist auch, ursprünglich wird die SSD wohl NTFS gewesen sein. Immerhin beginne ich langsam zu verstehen, was da überhaupt passiert ist.

 

[DKK007]

FAT ist ganz gut. Da wird alles hintereinander geschrieben, während NTFS seine Daten verteilt.

 

[Supes]

Okay. Also würde ich dann mal ein Image erstellen. Womit mache ich das am besten?

Nur noch mal zur Klarheit: Die "beschädigte" SSD ist 1 TB groß; ein komplettes Image (falls das überhaupt so funktioniert...) kann ich davon nicht anfertigen, weil ich nicht ausreichend Speicher habe (Win10 SSD: 500GB, davon gut 400 frei; alte Backup HDD: 500GB, davon um die 300 frei, da will ich gerade nicht ran, weil wenigstens ein Teil der Sachen, die auf der SSD waren, dort noch sicher liegen).

HxD habe ich schon mal installiert.

 

[DKK007]

Kannst du dir irgendwo eine 2 TB Platte besorgen?

 

[Supes]

Kannst du dir irgendwo eine 2 TB Platte besorgen?

Puh, nein, ich wüsste leider nicht woher. Ohne Image mit HxD nur mal "reinschauen" ist auch schon zu gefährlich?

Mensch, ich müsste doch nur irgendwie wieder Zugriff auf diese blöde "nicht zugeordnete" Partition bekommen. Mit EaseUS konnte ich vorhin ja die Vorschau von den ganzen Daten sehen; das waren tausende Bilder, hunderte Word-Excel-PDF Dokumente, etc. Alles noch da...

Wenn alles andere zu riskant ist, warte ich, bis TestDisk übermorgen irgendwann mal fertig ist. Wenn da alles funktioniert, müsste das die alte Partition "erkennen" und mit einem neuen Laufwerksbuchstaben wieder herstellen können. Aber keine Ahnung, ob das auch dann klappt, wenn ein Teil der Partition noch da, und ein anderer weg ist.

 

[DKK007]

Puh, nein, ich wüsste leider nicht woher. Ohne Image mit HxD nur mal "reinschauen" ist auch schon zu gefährlich?

Du solltest den Haken bei "Schreibgeschützt öffnen" auf jeden Fall drin lassen. Forensisch sicher würde natürlich nur mit Hardware-Schreibschutz (WriteBlocker) gehen.

Wenn du HxD als Admin startest, solltest du die SSD über Extras->Datenträger öffnen->Physische Datenträger anzeigen können.
Der Leihe wird da halt nicht all zu viel sehen.

Einzelne Dateien könntest du über die Header finden. jpg fangen immer mit FFD8 (Header) an und hören mit FFD9 (Footer) auf.

Die extrahierten Daten könntest du zumindest darauf prüfen, ob überhaupt ein Inhalt drin ist. Ich hab da vor einiger Zeit ein Tool geschrieben, weil ich einen ähnlichen Datenausfall nach einem Windowsupdate hatte.
Das prüft die Dateien auf gültige Header. File-Upload.net - CheckFileHeader.7z (nicht die aktuellste Version)
Die csv Datei ist entsprechend erweiterbar, bzw. könntest du dich daran für die manuelle Suche orientieren. Im Programm die gewünschten Dateitypen per Checkbox auswählen.

Edit: Ich habe hier mal noch einen alternativen Link zum Tool. Da wird dann auch demnächst die aktuelle Version zu finden sein: http://forensic-tools.bplaced.net/tools/CheckFileHeader.html

 

[Supes]

Der Leihe wird da halt nicht all zu viel sehen. .

Nett formuliert!

Ich hoffe mal, dass es sich aber eh erledigt hat. Bei dem Programm TestDisk war noch ein anderes Programm dabei (photorec), das mir bereits knapp 30.000 Dateien wiederhergestellt hat. Was ich bisher so gesehen habe, sieht ganz gut aus. Leider waren auf der SSD ca. 100GB Musik, die jetzt natürlich auch alle wiederhergestellt werden, obwohl die bspw. auf der alten HDD auch liegen. Aber ich will mich jetzt mal nicht beklagen und warte hoffnungsvoll darauf, was am Ende alles wieder da ist. Melde mich dann noch mal...

 

[DKK007]

Du kannst dir ja mal das Tool von mir runterladen, wenn du die Dateien anschließend prüfen willst. Ich weiß nicht, wie lange der Link geht.
Damit kann man zwar nicht jeden Datenfehler finden, aber wenn man von der Hypothese aus geht, dass die Datei entweder ganz kaputt ist (inkl. Header) oder gar nicht, funktioniert es sehr gut.
Damit hättest du zumindest etwas Sicherheit und nicht in ein paar Wochen Überraschungen, wenn du mal eine Datei aufmachst und die nicht geht.

Allerdings kann es auch Fehlalarme geben, wenn die Endung falsch ist. Also z.B. jpg Endung statt png.

 

[Supes]

Habe es vorhin schon runtergeladen.

Es gibt leider ein Problem. Meine 500GB SSD läuft voll, auch wenn keine neuen Daten gefunden werden. Die Suche alleine scheint Speicher zu füllen. Die Suche wird dann unterbrochen und im gleichen Augenblick werden wieder 350GB Speicher frei, kann die Suche dann auch fortsetzen, aber wenn der Speicher erneut voll wird, wird die Suche leider wieder dort fortgesetzt, wo es nach der ersten Unterbrechung weiter ging. So kann also nie die ganze 860 abgesucht werden.

Sieht zwar so aus, als wäre das wichtigste an Dokumenten unter den knapp 180GB, die bisher aufgetaucht sind, aber schön wäre es schon, wenn alles wieder da wäre.

Aaach man. So nah und doch so fern. Habe ich eigentlich irgendeine Chance, dass Testdisk (läuft immer noch, 28%) die Partition so wieder herstellen kann, dass meine Ordner etc. alle noch so sind, wie vorher? Oder wird da aller Voraussicht nach auch alles kreuz und quer durch die Gegend fliegen?

 

[DKK007]

Hängt sehr davon ab was kaputt ist.

Kann auch sein, dass nur die Rohdaten hergestellt werden können. Ohne Ordnerstrukturen oder Metadaten wie Name, Zeitstempel usw.

Ich würde dann wirklich raten das Geld für eine externe 2 TB Platte zu investieren.
Western Digital WD My Passport Portable Storage schwarz 2TB, USB 3.0 Micro-B (WDBS4B0020BBK) ab €'*'67,00 (2019) | Preisvergleich Geizhals Deutschland

Da kannst du dann auch ein komplettes Image drauf ziehen. Damit man einfach zu viele Versuche auf dem originalen Medium vermeiden kann.

Auf dem Image könntest du dann mit Autopsy nach Daten suchen lassen. Verwendet bloß leider JAVA und ist daher recht träge.
Es gibt habe leider keine direkte Übersicht gefunden, welche Datenrettungsprogramme sonst so auf Images funktionieren.
Die kommerziellen Forensik-Tools mit vierstelligen Jahresgebühren fallen schließlich hier weg.

Das könntest du auf dem Image mal testen:
Recovery Explorer Standard - Universelle Software-Loesung fuer schnelle DIY-Datenrettung
Edit:
Die Demo der Professional-Version kann bis 786kB extrahieren, dort lassen sich auch E01/EWF-Images einlesen: Recovery Explorer Professional - Fortschrittliche Software-Loesung fuer Datenwiederherstellungsprofis

Image kann über "Öffnen->Abbilddatei oder Virtuelle Festplatte" hinzugefügt werden. Eventuell muss im Dateidialog alle Formate gewählt werden.
Anschließend Image (nicht nur die Partition) links in der Liste auswählen. Scan Starten. Mehrfach weiter klicken.
Mit anschauen siehst du mindestens eine Hex-Ansicht der Datei, bei intakten Dateien auch eine Vorschau.

Exportieren lassen sich in der Demo-Version allerdings nur Dateien bis 512kB (Standard) oder 786kB (Professional). Allerdings würdest könntest du dann schon sehen, ob es sich lohnt die 40€ 47,54€ (Preis wird erst ohne MwSt angezeigt) für die Standardversion zu investieren.
Ich werde mir wohl mal die Professionalversion privat zulegen. Der Test hatte mich jetzt überzeugt.

 

[LastManStanding]

Mach doch mal ein weiteres schlichtes Abbilld von der SSD und untersuche die Image selbst es gibt ja Programme wie... Mensch Namen vergessen.... naja es gibt einige, die Abbilder einzusehen und Daten Kopierbar machen. Eventuell ist es im Abbild selbst möglich die Daten einzusehen/Bearbeiten. Oder schon Probiert

 

[Supes]

Mit anschauen siehst du mindestens eine Hex-Ansicht der Datei, bei intakten Dateien auch eine Vorschau.

Exportieren lassen sich in der Demo-Version allerdings nur Dateien bis 512kB (Standard) oder 786kB (Professional). Allerdings würdest könntest du dann schon sehen, ob es sich lohnt die 40€ für die Standardversion zu investieren.
Ich werde mir wohl mal die Professionalversion privat zulegen. Der Test hatte mich jetzt überzeugt.

So ist das gerade bei EaseUS Data Recovery auch. Ich kann eine Vorschau von allem sehen, was gefunden wurde. Sehe alle Bilder, Videos, Dokumente werden i. d. R. alle mit dem letzten Bearbeitungsdatum (denke ich) versehen. Das bekommt also schon auch einige Meta-Info noch verarbeitet. Und mit über 33.000 Dateien findet es auch mehr, als das kostenlose, das bei gut 50% allerdings aufgrund fehlendem Speichers abgebrochen hat.

Will ich EaseUS nun in der App kaufen, soll ich allerdings knapp 80€ zahlen, während es auf der Homepage gerade für 50€ im Angebot ist. Grundsätzlich klar - Testversion runterwerfen, Vollversion kaufen, installieren und los. Aber wenn die Vollversion dann aus irgendwelchen Gründen weniger findet, als die Testversion vorher...

Testdisk ist jetzt bei 65%, ich warte auf jeden Fall noch, bis das durchgelaufen ist. Im Idealfall kann ich die Partition damit wiederherstellen und alles ist gut, wenn nicht gebe ich die 50€ für EaseUS aus und stelle damit wieder her, was geht.

Mach doch mal ein weiteres schlichtes Abbilld von der SSD und untersuche die Image selbst es gibt ja Programme wie... Mensch Namen vergessen.... naja es gibt einige, die Abbilder einzusehen und Daten Kopierbar machen. Eventuell ist es im Abbild selbst möglich die Daten einzusehen/Bearbeiten. Oder schon Probiert

Zum Image hat mir DKK007 auch mehrfach geraten; ich habe nur leider nirgendwo genug Speicherplatz, um ein Image von der 1 TB Platte zu machen.

 

[DKK007]

Bei dem Recovery Explorer scheint die installierte Exe Portabel zu sein. Zumindest wurde jetzt bei beiden Editionen nur die Exe in den Zielordner installiert. Aktivierung würde einfach durch Eingabe der Lizenzinformationen erfolgen.

Das ist halt auch der Vorteil beim Image. Man kann es beliebig oft wiederholen und bei gleichen Suchparametern werden die gleichen Dateien gefunden.

Achtung:
Das EaseUS DATA-Recovery scheint nicht mit Images zu funktionieren. Das könntest du dann also immer nur auf dem originalen Datenträger anwenden, was Risikobehaftet ist.
Zumindest werden nirgendwo in der Beschreibung Images erwähnt. Ich werde aber mal beim Support nachfragen, kann aber etwas dauern.

Da wäre also der R-Explorer die bessere Wahl.

Edit:
Antwort von EaseUS:

Thank you for contacting us.

We are sorry that currently our product is not able to scan a disk image.