Partitionstabelle beschädigt bei FileVault verschlüsselter HD

SpacedDevil

Mitglied
Thread Starter
Dabei seit
16.06.2014
Beiträge
21
Reaktionspunkte
0
Hallo zusammen,
ich habe die letzten Tage in diesem aber auch in vielen anderen Foren, Blogs und sonstigen Site gesucht, konnte jedoch nichts finden, was mich der Lösung meines Problems näher gebracht hätte.
Aus diesem Grund erstelle ich jetzt hierzu selbst ein Thema.

Ich wollte auf der FileVault verschlüsselten SSD meines MacBook Pro per Bootcamp Win7 installieren und habe dafür eine Windows-Partition erstellen lassen.
Mittem im Vorgang sagte Bootcamp, dass die Festplatte aufgrund eines Fehlers nicht partitioniert werden konnte und brach den Vorgang ab.
Mein Betriebssystem (Mavericks) war zu diesem Zeitpunkt noch problemlos nutzbar.

Als ich jedoch im Festplattendiesnprogramm die Festplatte anschaute, wurde mir mitgeteilt, dass die Partitionierungstabelle defekt sei, und ich 'reparieren' wählen solle. Leider wurde jeder Reperaturversuch mit wieder der gleichen Meldung abgebrochen.

Ich wollte daher direkt Ins Festplattendienstprogramm booten und so die Reperatur versuchen, jedoch trat hier das gleiche Problem auf.

Als ich dann wieder OSX starten wollte, wurde beim Booten meine Festplatte nicht mehr gefunden.

Ich bootete daher erneut ins Dienstprogramm und las die Partitionen mittels pdisk aus und habe daher von der vermissten Partition die entsprechenden Sektorinformationen.

Da ich von meinem MacBook aus nicht mehr tun konnte, baute ich die SSD aus, packte sie in ein externes Gehäuse und schloss sie an ein anderes MacBook an.

Zunächst wurde hier nichts erkannt. Als ich jedoch testdisk startete erkanne das MacBook auf einmal die Platte und ich konnte die Sogar entschlüsseln und auf die Daten zugreifen. Leider war ich jetzt so optimistisch, dass ich keine der Daten sicherte und direkt anfing, zu versuchen die Partition per testdisk zu reparieren. Leider machte ich hier unwissenderweise einen Fehler und schrieb falsche Werte in die Partitionstabelle.

Seitdem ist es mir nicht mehr möglich, die verlorene Partition lesbar zu machen, da testdisk scheinbar ein Problem damit hat, die per FileVault verschlüsselte Partition bei der Analyse ausfindig zu machen.

Da ich von dieser Partition jedoch Startsektor, Endsektor und Größe weiß, müsste ich sie doch eigentlich auch einfach selbst wieder in die Partitionstabelle schreiben können, oder?

Leider weiß ich nicht wie und auch nicht, welchen Partitionstyp ich hier angeben sollte, damit die Partition als verschlüsselte Partition erkannt wird.

Ich wär daher jedem hier extrem dankbar, der mir weiterhelfen könnte.

Da die Daten ja eigentlich noch vorhanden sind, nur die Partitionsinformationen zerstört wurden, muss eine Wiederherstellung doch möglich sein, oder?

Vielen Dank schonmal!

Grüße

SpaceDevil
 
pdisk ist bei einer MBR/GUID platte an sich das falsche tool, da es für APM ist…
da besteht gefahr, dass die APM (Apple Partition Map) die falschen blöcke überschreibt…
 
Hallo und danke für die Antworten.
Ich würde es ja mit Testdisk versuchen, aber welchen Partitionstyp hat denn eine normale mit FileVault verschlüsselte OSX-Systemplatte?
Das Problem ist auch, dass Testdisk je nach gewähltem Laufwerk so unglaublich viele gefundene Partitionen nach einer Analyse anzeigt, von denen jedoch keine die größe der verlorenen Partition aufweist.
Ich weiß auch nicht genau, ob ich hier zu Beginn /dev/rdisk2/ oder /dev/disk2/ oder etwas anderes auswählen soll.
Ich habe gerade die Analyse mit /dev/rdsik2/ durchführen lassen und folgendes Ergebnis bekommen:

TestDisk 6.14, Data Recovery Utility, July 2013
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 256 GB / 238 GiB - 500118192 sectors
Partition Start End Size in sectors
>P DOS_FAT_32 40 409639 409600 [EFI]
P HFS 453664592 455196271 1531680
P HFS 498586472 498848615 262144


Mit diesen drei Partitionen kann ich allerdings gar nichts anfangen.
Das Problem ist, dass die von mir vermisste Partition ca. 230 GB hat und hier nicht aufgeführt wird.
Vor der Analyse wird sie jedoch mit den korrekten Start- und Endblöcken angezeigt.

Gibt es evtl. noch ein ähnliches Tool, welches evtl ein wenig klarer zu bedienen ist?
 
das müssten core storage partitonen sein mit hex code af05 …
wenn der die am anfang korrekt anzeigt, dann müsste die partitionstabelle doch ok sein?
hast mal geguckt, ob der MBR rein protectetive ist oder dort was anderes als im GPT steht?
kannst mit gptfdisk nachgucken.
 
also testdisk zeigt mir folgendes an, wenn ich als partition table type 'Mac' wähle:

TestDisk 6.14, Data Recovery Utility, July 2013
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 256 GB / 238 GiB - 500118192 sectors
Current partition structure:
Partition Start End Size in sectors

1 P partition_map 1 63 63
2 P Free 64 409639 409576
3 P HFS 409640 498586471 498176832
3 P HFS 409640 498586471 498176832
4 P Free 498586472 500118191 1531720


Das was hier zweimal als '3' aufgeführt wird, scheint die vermisste Partition zu haben, bzw hat diese genau diese Werte.
Lasse ich anschließend die Analyse durchlaufen, gibt er mir aber leider nur noch diese aus:

isk /dev/rdisk2 - 256 GB / 238 GiB - 500118192 sectors
Partition Start End Size in sectors
>P DOS_FAT_32 40 409639 409600 [EFI]
P HFS 453664592 455196271 1531680
P HFS 498586472 498848615 262144

Hier steige ich jetzt leider aus und weiß nicht mehr weiter...

Wo sehe ich denn den Hexcode der Partitionen?

Gdisk sagt mir:

gdisk /dev/rdisk2
Password:
GPT fdisk (gdisk) version 0.8.10

Caution: invalid main GPT header, but valid backup; regenerating main header
from backup!

Caution! After loading partitions, the CRC doesn't check out!
Warning! Main partition table CRC mismatch! Loaded backup partition table
instead of main partition table!

Warning! One or more CRCs don't match. You should repair the disk!

Partition table scan:
MBR: not present
BSD: not present
APM: present
GPT: damaged


*******************************************************************
This disk appears to contain an Apple-format (APM) partition table!
It will be destroyed if you continue!
*******************************************************************

Found invalid MBR and corrupt GPT. What do you want to do? (Using the
GPT MAY permit recovery of GPT data.)
1 - Use current GPT
2 - Create blank GPT


Was könnte ich hier mit gdisk tun?

Vielen Dank!
 
du scheinst da ja schon mit pdisk dran rum gefuscht zu haben…
zum glück ist der backup GPT ja noch vorhanden, also versuch es mal über den.
option 1 scheint hier die wahl zu sein, damit der das backup nimmt…
 
Zuletzt bearbeitet:
ja stimmt :/ habe leider schon viel zu viel rumgepfuscht...
Also 'Create blank GPT'? und dann bei 'Command' einfach 'w' für write?
Sorry das ich so blöd frage, aber ich will jetzt jeden Schritt absichern, damit es nicht noch aussichtsloser wird.
Danke!
 
sorry, meinte option 1.
use current GPT
der soll ja den backup GPT nehmen, damit der originale wiederhergestellt wird.
danach musst dann nur noch den MBR korrigieren…
 
Ok, danke, hab ich jetzt gemacht:

gdisk /dev/rdisk2
GPT fdisk (gdisk) version 0.8.10

Partition table scan:
MBR: protective
BSD: not present
APM: not present
GPT: present

Found valid GPT with protective MBR; using GPT.

Command (? for help): i
Partition number (1-3): 1
Partition GUID code: C12A7328-F81F-11D2-BA4B-00A0C93EC93B (EFI System)
Partition unique GUID: 608330B3-1459-7444-81F9-633931C709C0
First sector: 40 (at 20.0 KiB)
Last sector: 409639 (at 200.0 MiB)
Partition size: 409600 sectors (200.0 MiB)
Attribute flags: 0000000000000000
Partition name: ''

Command (? for help): i
Partition number (1-3): 2
Partition GUID code: 48465300-0000-11AA-AA11-00306543ECAC (Apple HFS/HFS+)
Partition unique GUID: 892649BB-1523-764B-8BFA-9347EBB50B7E
First sector: 409640 (at 200.0 MiB)
Last sector: 498586471 (at 237.7 GiB)
Partition size: 498176832 sectors (237.5 GiB)
Attribute flags: 0000000000000000
Partition name: ''

Command (? for help): i
Partition number (1-3): 3
Partition GUID code: 48465300-0000-11AA-AA11-00306543ECAC (Apple HFS/HFS+)
Partition unique GUID: 7487E614-F108-CD4C-BD22-EB6FB9898D5F
First sector: 498586472 (at 237.7 GiB)
Last sector: 498848615 (at 237.9 GiB)
Partition size: 262144 sectors (128.0 MiB)
Attribute flags: 0000000000000000
Partition name: ''

Command (? for help):

Die zweite Partition sollte also die verlorene Systempartition sein.


Wie korrigiere ich denn jetzt den MBR?

Vielen Dank nochmal für die tolle Hilfe!
 
der MBR ist eh nur protective (also nur zum schutz bei alten OS, die nur MBR kennen, damit der GPT nicht überschrieben wird), da musst du nichts mehr korrigieren.

taucht denn jetzt die platte wieder auf?
sonst musst du eventuell mal den partitionstyp korrigieren.
die zweite müsste af05 und die letzte wohl ab00
 
Yeah!!!! Die platte wird erkannt, kannt entschlüsselt werden und alle Daten sind da!!!!! VIELEN VIELEN DANK!!!!

Nur booten tut mein MacBook von der Platte noch nicht.
Wie kann ich die Partition jetzt als bootable definieren?

DANKE DANKE DANKE DANKE!!!!
 
hast du die letzte partition als ab00 also apple boot gesetzt?
das ist ja diese mini recovery, die dann die core storage partition entschlüsselt usw…
 
genau, wie du sagtest - die zweite af05 und die letzte ab00.
Mein MacBook erkennt aber keinen bootfähigen Datenträger.
Im Festplattendienstprogramm läuft die Überprüfung fehlerfrei durch.

Das war glaube ich auch das Ursprungsproblem, dass Bootcamp meiner Partition die Bootfähigkeit genommen hat.
 
in den systemeinstellungen unter startvolume kannst das ding nicht auswählen?
oder taucht es nicht bei alt gedrückt auf beim start?
 
Kann ich mal

sudo bless --mount "/Volumes/VOLUMENAME" --setBoot

versuchen, ohne was kaputt zu machen?
 
das würde nicht helfen, das stellt nur den aktuellen boot um.

du willst ja erst einmal richtig "blessen".
 
oh, hab deine erste Antwort nicht gesehen...
Halte ich alt beim Booten gedrückt, wird es leider ncht angezeigt.
 
Zurück
Oben Unten