Knifflige Daten Recovery Aufgabe

[visar]

Hallo

Ich bin in einer etwas verzwickten Lage.
Habe einen Notebook vor mir, der unter Windows 7 seit 1-2 Wochen unglaublich langsam wurde und fast nicht mehr zu bedienen ist. Starte ich in den abgesicherten Modus, so läuft alles rund und schnell. Scheint also weniger ein HW-Problem zu sein, als eher eine beschädigte Windows-Installation.
Habe dann mal mit F8 ins "Windows reparieren" gestartet und sah dort in einer Auswahlliste ein Dell Recovery Manager (oder so ähnlich). Dachte, dort käme ein Programm mit evtl. weiteren Optionen, also habe ich diesen Eintrag ausgewählt. Zu meinem grossen Schock hat mir diese Funktion OHNE SICHERHEITSABFRAGE ein Factory Image zurückgespielt, sodass sich der Laptop nun wieder im Lieferzustand befindet. Ein kurzes "Anbooten" (nur bis zum Login) zeigte mir, dass es wirklich einer Erstinstallation entspricht.

Ich habe schon öfters irrtümlich gelöschte Daten oder gar Partitionen zurückgeholt, aber eine Partition, welche mit einem Image überschrieben wurden, das ist auch für mich Neuland. Und natürlich habe ich keine grosse Hoffnung, da hier vermutlich Sektoren überschrieben wurden. Gut, das Factory Image ist sicher viel kleiner als meine vorherige, schon aufgeblähte Windows Installation und somit könnte es sein, dass nur System-Daten überschrieben wurden, aber meine Nutzerdaten evtl. noch verschont sind.

Nur, mit welchem Tool sollte man sowas versuchen, zu retten? Habe schon OnTrack EasyRecovery versucht, der findet natürlich sehr viele RAW-Daten, aber diese scheinen sehr alt zu sein (von wirklichen Löschvorgängen). Meine zu rettenden Daten sind jedoch gar nicht gelöscht, sondern entweder überschrieben oder "irgendwie vorhanden".

Jetzt gehts aber noch weiter. Natürlich sagt jetzt jeder: "Selber schuld. Backup ist das Zauberwort." Tja, genau...deshalb habe ich auch eine externe HD via USB angeschlossen mit unregelmässigen Datensicherungen. Die Platte ist eine WD 400 GB.

Wie es so ist...ein Unglück kommt selten alleine...jetzt kann ich diese HD nicht mehr richtig ansprechen. Habe sie aus dem Gehäuse ausgebaut und direkt an meinen PC angehängt (um den Case-Controller zu umgehen). Die HD läuft hoch, macht typische Geräusche und wird sogar im Windows für ein paar Sekunden mit Laufwerksbuchstaben und Namen angezeigt. Dann kommt aber bald ein wiederkehrendes Geräusch (nicht laut oder aggressiv, also kein Klacken, sondern eher wie eine Art Hochfahren, dann stop...dann wieder hochfahren...). Und ab diesen Zeitpunkt verschwindet das Laufwerk im Windows komplett.

Ich habe also jetzt die Wahl zwischen:

2.5" Notebook Festplatte (250 GB), welche vermutlich keinen Hardware-Defekt aufweist, die aktuellsten Daten enthielt, aber mit einem Factory Image überschrieben wurde

und einer

3.5" Festplatte (400 GB), welche ein (vermutlich 1-2 Monate altes) Backup enthält, aber offensichtlich einen HW-Defekt aufweist und nicht mehr normal angesprochen werden kann.

Welche dieser beiden Platten besitzt ein grösseres Rettungspotenzial? Und mit welchen Tools würdet ihr sowas angehen? Für die externe Platte würde ich es vermutlich mal mit Ubuntu Rescue Remix probieren (z.B. ddrescue). Kenne es zwar nicht und bin auch kein Linux-Spezi, aber dies wäre vermutlich ein klassischer Rettungsversuch ohne weiteren Schaden anzurichten.

Bei der Notebook-Festplatte habe ich keine Ahnung, welche Tools (falls überhaupt) mir hier noch helfen könnten.

Bin um jeden Tipp dankbar!

 

[errjulee]

hmm grundstäzlich falls du noch hoffnung auf die notebookdaten hast das notebook nicht verwenden - sonst gehen noch die letzen daten kaputt.
Leider kenn ich mich mit recovery programmen nicht so aus - hab mal erfolgreich o&O defrag verwendet vor jahren - allerdings klappts nach vollem neuen image aufspielen eher selten.

für die usb platte, wird sie noch in computerverwaltung - datenträgerverwaltung gelisted? was wird da angezeigt?

mfg

 

[Tekkno_Frank]

Also eh jetzt noch mehr defekt geht:

keinerlei Boot oder ähnliches direkt von den LW mehr! Keine Schreibvorgänge! Die kommen beim Boot immer vor.

1) Entweder mit LiveCD booten oder eine weitere HDD besorgen und von der booten
2) Testdisk oder Getdataback sind sehr gute PRogramme mit denen ich schon sehr viel retten konnte was andere Programme nicht schafften. Testdisk ist sehr gut allerdings nciht so kombortabel wie getdataback.
3) Eines der Programme laufen lassen und versuchen was geht. Das mit der externen HDD klingt für mich nach defekten Sektoren oder einem Headcrash, auf jeden Fall kommt der Lesekopf nicht vorwärts und meldet dann die HDD ab. Win wirft die dann als defekt raus, was "normal" ist, deine Lage allerdings nicht bessert.

 

[TCM]

Dass das Recovery-Image klein ist, heißt nur, dass es wahrscheinlich komprimiert ist.

Wie lange hat denn der Vorgang gedauert? Wenn es rechnerisch mit der Imagegröße hinkommt, kann es sein, dass er das Image mit "Lücken" geschrieben hat. Kommt es eher mit der Plattengröße hin, hat er wohl die ganze Platte überschrieben. Dann bist du mit Software am Ende und kannst die Daten gleich vom Backup wieder einspielen.

 

[visar]

Die Notebook Platte habe ich sofort nach dem Imagen ausgebaut. (Abgesehen von einem einzigen Testboot bis zum Loginscreen)
Es ist mir klar, dass ich auf dieser Platte nichts mehr SCHREIBEN darf. (Und somit auch kein Boot)
Es handelt sich um eine 250 GB Platte, welche (aus dem Kopf) in eine versteckte Dell Recovery Partition ( ca. 20 GB) und eine normale System-Partition ( C: mit ca. 230 GB unterteilt ist. Vor dem Imagen war das C: nicht komplett gefüllt. Schätze mal zur Hälfte voll (oder weniger).
Das Imagen hat ca. 2-3 Min. gedauert (ist ein i5 Prozessor). Deshalb meine Hoffnung, dass die Partition beim Kauf < 20 GB voll war und von dort weg die eigentlichen Benutzerdaten auf die HD geschrieben wurden. Wenn nichts defragmentiert gewesen wäre, müssten meine Daten so ab 20 GB aufwärts auf der Platte liegen. Und Rest wäre leer.
Die Frage ist jetzt, wo schreibt sich ein Image hin, wenn man es auf die gleiche Partition anwendet? Von Beginn weg...also dann auch wieder bis ca. 20 GB. Dann müssten ja meine Benutzerdaten mehr oder weniger nicht überschrieben worden sein.
Oder schreibt sich ein Image sogar in den leeren Bereich (was vermutlich für das ganze Image gereicht hätte)?
Aber selbst wenn meine Daten noch nicht vom Image überschrieben wurden, wie kann ein Rescue-Tool diese wieder anzeigen lassen? Sie haben ja nicht einen Gelöscht-Status oder so ähnlich.

(Die oben genannten Grössen sind geschätzt)

Vorteil ist evtl., dass ich nicht wahnsinnig viele Daten retten müsste. Primär gehts mir um ein Outlook PST-File (vermutlich ca. 100-300 MB gross), den Bilder-Folder (paar GB Daten) und möglicherweise noch um dutzende kleinere Word/Excel-Dateien. Alles würde im Documents-Ordner liegen.
Die Chance, dass bei der Grösse der Festplatte ausgerechnet diese Daten überschrieben wurden, ist vielleicht gar nicht so gross. Falls aber wirklich das Image auf meine Daten kopiert wurde, dann sind vermutlich alle weg (weil sowenig).

Die externe Platte wird im Festplattenmanager auch nicht mehr angezeigt, sobald das System sie verliert. Also nicht nur der Laufwerksbuchstabe...

Hat jemand schon mal Erfahrungen mit dem Ontrack Rescue Service gemacht? Die machen ja glaub zuerst einen Kostenvoranschlag. Ich denke, bei der Notebook-Platte würde der Aufwand geringer ausfallen, als bei der (defekten) externen Platte. Aber wenns in die Tausender gehen würde, dann sprengt es meinen finanziellen Rahmen.

 

[TCM]

Was ein "Image" ist, ist leider mit Win7 etwas verschwommen. Da ist ein dateibasiertes Archiv auch ein "Image". Traditionell ist ein Image sektorbasiert.

3 Minuten deckt sich mit 20GB und ca. 115MB/s. Es kann also sein, dass das Image sektorbasiert war, aber nur die belegten Blöcke des Dateisystems erfasst wurden. Dann liegen die "neuen" Systemdateien an genau der gleichen Stelle wie vorher und du hast gute Chancen, dass deine Nutzdaten noch physikalisch auf der Platte liegen. Bei dateibasierter Wiederherstellung hättest du ansonsten keine 115MB/s gehabt.

Lass ein Recovery-Tool drüberlaufen, was Sektor für Sektor abgrast und dabei Filesystem-Strukturen erkennt. Was man da allerdings konkret nimmt, muss dir jmd. anderes sagen.

Edit: wenn du Pech hast, sind die Namen der Dateien verloren, aber die Inhalte noch da. So genau kenne ich NTFS nicht.