Windows 7 chkdsk zerstört NTFS ...

[daim]

hallo

ich habe folgendes szenario:
- eine festplatte (2 tb, gespiegelt) mit nur einer primären parition, erstellt unter windos xp (professional) mit ntfs.
- die partition ist komplett mit truecrypt verschlüsselt

ich habe sie eine lange zeit mit windows xp und ubuntu parallel verwendet und nie probleme gehabt.
vor kurzem hatte ich dann nach langem zögern doch nun auch windows 7 (ultimate) gekauft und wollte
damit ebenfalls auf die partition zugreifen. mounten mit truecrypt ohne probleme, anschließend meldete
windows 7 probleme im filesystem auf der platte und bot an, diese mit chkdsk zu reparieren. wider besseren
wissens stimmte ich zu, da er auch auf einige verzeichnisse nicht zugreifen konnte (angeblich keine berechtigung)
und das setzen von neuen zugriffsrechten schlug fehl. (war eigentlich schon zeichen genug, nicht weiter zu machen).

nun ja - ein erneutes mounten unter ubuntu zeigte dann das ergebnis - alle dateien, die mit linux auf die platte
geschrieben worden waren, waren weg. schöner mist. eine recherche im netz hat mich auf testdisk gebracht.

da eine sicherung mit dd leider nur mit 4,5 mb/s gearbeitet hat, habe ich den mirror aufgelöst und nur eine der platten mit truecrypt als read-only gemountet, um keine daten zu verlieren und zur not noch die gespiegelte platte zu haben.

soweit, sogut. einfach gelöscht sind die dateien nicht - testdisk hat viele noch von 2006 gefunden, aber nicht die, die ich brauche. also nächster schritt - analyse der partition: die normale hat er gefunden, eine erweiterte suche bringt mit geschätzte 30 weitere ...

nun meine frage: wie kann ich mir den inhalt der partitionen, die er angeblich noch gefunden hat auf eine extra platte retten bzw. anschauen? mit "p" kann ich nur die erste partition anschauen, aber da fehlen wie gesagt die daten, die ich mit ubuntu geschrieben hatte ... wähle ich eine aus der liste (siehe bild) und bestätige mit "enter", so kann ich nicht mehr zur liste zurück und muss die erweiterte suche neu starten ... das dauert zu lange ...

vielen dank für eine antwort und jeden hinweis

mfg
daim

[Fiona]

Auf welches Dateisystem hast du mit Ubuntu geschrieben.
Du hattest mitgeteilt, das Testdisk noch ca. 30 weitere Partitionen findet.
Was passiert wenn du diese öffnest?
Teile mal mit, was in Testdisk bei Disk steht.
Auch nach Analyse und Quick Search.

Viele Grüße

Fiona

[daim]

hi - danke für die schnelle antwort. ich hatte gehofft, der dateianhang würde mit angezeigt werden ...

auf die ntfs partition (mittels truecrypt verschlüsselt und damals unter windows xp erstellt) habe ich mit
1) windows xp (problemlos)
2) ubuntu (problemlos)
wahlweise zugegriffen (lesen/schreiben), ohne konflikte oder probleme.
erst der zugriff auf die gemischt beschriebene partition mit windows 7 und die im anschluß von windows 7 vorgeschlagene reparatur hat das chaos angerichtet.
(laut recherche sind die linux ntfs treiber offenbar etwas anders implementiert, ist halt dummerweise kein offener standard )

kann man eigentlich irgendwie das ergebnis der erweiterten suche speichern, damit man notfalls da weiter machen kann und nicht wieder alle 3.907.028.608 sektoren durchsuchen muss (dauert etwa 24h!!) ? ich hab in der zwischenzeit ja nichts verändert, nur komme ich manchmal mit q nicht den schritt zurück, sondern einfach nur wieder ins hauptmenue =( das würde die analyse erheblich beschleunigen.

ich hab ein paar screenshots gemacht:


das, worauf ich mich im ersten post bezog ist diese liste:
http://www.screenshots.cc/original/57816/keyf9

[Fiona]

Gegenwärtig arbeitest du unter Apple.
Apple hat eine andere Partitionstabelle.
Ältere PowerPC hatten Apple partition map, neuere Intel Mac EFI GPT.
Könntest du die Diagnose unter Windows mit Partitionstabellentyp Intel machen?
Grund;

auf die ntfs partition (mittels truecrypt verschlüsselt und damals unter windows xp erstellt) habe

Wenn es ein MAC sein muß, versuche es bitte mit Partitionstabellentyp (partition table type) Intel.

[daim]

das stimmt leider nicht. ich arbeite mit einem ubuntu 12.04 auf einem intel core 2 duo und nicht mit mac osx auf einem powerpc. der partitionstabellen typ ist "intel" gewesen (bei einer der listen im screenshot album habe ich diesen auf "none" gesetzt gehabt). woher die hfs+ kommen hab ich keine ahnung ... vielleicht von der linux implementation von ntfs?
was macht denn den unterschied, wenn ich testdisk von windows bzw. von linux aus starte?

[Fiona]

was macht denn den unterschied, wenn ich testdisk von windows bzw. von linux aus starte?

Das macht keinen Unterschied!

None hat dieselbe Geometrie wie Apple, daher auch die Werte.
Kann irreführend sein.

Unter Partitionstabellentyp None kann keine Partition geschrieben werden, da du ja None oder keine ausgewählt hast.

Könntest du eine Diagnose mit Partitionstabellentyp Intel machen?

[daim]

das freut mich erstmal zu hören ... windows 7 hat probleme, die platte zu erkennen und truecrypt sieht sie ebenfalls nicht, obwohl der nvidia raid treiber sie hat .. nervig. aber ein anderes problem.

ich werde die analyse nochmals anwerfen und alles schritt für schritt dokumentieren ... auf jedenfall vielen dank für ihre geduld!

[daim]

so, in diesem album

habe ich jeden schritt als screenshot dokumentiert. das letzte bild zeigt einen zwischenstand der erweiterten suche.
ich bin mir nicht sicher, ob ich in den vorherigen listen eine bestimmte partition hätte auswählen können/müssen ...

[Fiona]

Die erste Partition NTFS auf diesen Screen, könnte deiner vorigen entsprechen;
http://www.screenshots.cc/original/57816/keyf9
Hattest du diese markiert und p gedrückt?
Teile es mal mit.
Hatte auch die anderen Partitionen nach Deeper Search überprüft, diese haben aber eine andere Größe.
Hatte deine NTFS-Partition deine ganze Platte belegt?

Viele Grüße

Fiona

[daim]

die erste partition ist die, die ich im moment noch sehe und benutzen kann. aber wie erwähnt fehlen da genau die daten, die ich mit ubuntu auf die partition geschrieben hatte. das windows 7 chkdsk hat diese offenbar irgendwie nicht gemocht.
(aber wie erwähnt, sie sind nicht einfach nur "gelöscht" ...)

ich hatte diese auch mit "p" anzeigen lassen und die (mir) wichtigsten daten fehlen dort ...

Hatte deine NTFS-Partition deine ganze Platte belegt?

ja genau. eine einzige partition mit ntfs über die gesammte platte. da war auch nie etwas anderes drauf (keine andere partitionierung oder andere filesysteme).