[10.13 High Sierra] Alle Partitionen bis auf Windows verschwunden - Ursache Eingriff in SIP?

[prinzdavid]

Ich habe mit Disk Drill versucht, gelöschte Dateien wiederherzustellen. Um dies zu ermöglichen, habe ich nach Anleitung im Terminal csrutil enable –without fs eingegeben. Dann habe ich Disk Drill gestartet und über Nacht laufen lassen. Leider habe ich das Netzteil nicht richtig eingesteckt, so dass mein Akku leer lief.

Nach der Akku-Wiederbelebung steht mir jetzt nur noch meine Windows- und nicht mehr die Mac- und Rettungspartition zur Verfügung. Internet Recovery ist möglich und Time Machine Backups stehen mir zur Verfügung.

Ist es möglich die verlorenen Partitionen ohne Einspielen der Backups wiederherzustellen UND meine ungesicherte Windows Partition zu erhalten? Habe ich SIP per csrutil clear zurückzusetzen? Disk Drill kommt mir nicht mehr auf meinen Mac.

Das Terminal steht mir über die Internet Recovery zur Verfügung. Allerdings kann ich csrutil nicht ausführen. Mein erster Versuch über das Festplattendienstprogramm der Internet Recovery Partitionen zu reparieren, ist auch fehlgeschlagen.

Wer von euch kennt sich aus und ist so lieb mir zu helfen?

Vielen Dank.

 

[Macbeatnik]

Hast du schon mal aus der Recovery heraus geschaut, ob es dort möglich ist die Macintosh HD zu reparieren oder zu aktivieren, falls Sie deaktiviert ist?
DiskDrill hat/hatte Probleme, das eine stetig wachsende temporäre Datei angelegt wurde, die teilweise dann die Platte bis zur unbenutzbarerer gefüllt hat, Symptome waren dann vermutlich aber anders.
Ein Backup liegt nicht vor? Falls nein, backupstrategie überlegen für die Zukunft und jetzt könnte jeder weitere Versuch zu weiteren Datenverlusten führen, es wäre dann anzuraten zumindest einen Klon der Macintosh HD sofern das noch geht anzulegen.

 

[prinzdavid]

Ich habe Backups und mounten funzt nicht.

Also komme ich ums Backup einspielen nicht rum und bleibt dann meine Windows Partition lebendig?

 

[Marcel Bresink]

Ich habe Backups und mounten funzt nicht.

Warum nicht? Erhältst Du eine Fehlermeldung oder hat OS X im Hintergrund bereits eine automatische Reparatur gestartet, die abgewartet werden muss?

Im unteren Bild sieht man übrigens, dass Du versuchst, die falsche Partition zu reparieren.

 

[prinzdavid]

Die betroffenen Partitionen sind disk0s2 und disk0s4. Wenn ich auf den Button Mount klicke, passiert nichts. Daher ist eine Überprüfung oder Reparatur der Partition nicht möglich.

Kann ich über Terminal Befehle mounten?

 

[Marcel Bresink]

Die betroffenen Partitionen sind disk0s2 und disk0s4. Wenn ich auf den Button Mount klicke, passiert nichts.

Das kann heißen, dass im Hintergrund bereits eine automatische Reparatur durch OS X läuft. Das muss aber nicht so sein, es kann auch sein, dass das Volume bereits so beschädigt ist, dass das Dateisystem nicht mehr erkannt wird.

Daher ist eine Überprüfung oder Reparatur der Partition nicht möglich.

Ein Volume muss nicht gemountet sein, um es überprüfen zu können. Das System muss allerdings das Format noch erkennen können.

Du kannst mit

ps aux | grep fsck

prüfen, ob im Hintergrund eine automatische Reparatur läuft (wenn nein, wird nur 1 Zeile als Antwort ausgegeben, wenn ja, zwei oder mehr Zeilen).

Mit

diskutil list

kannst Du prüfen, ob das System die Partitionstypen noch korrekt erkennt. Dass im Bildschirmfoto der Partitionstyp der ersten Partition nicht mehr als Text, sondern als UUID angezeigt wird, lässt allerdings Schlimmes befürchten.

Falls die Systempartition noch als Typ "Apple_HFS" erkannt wird, kannst Du über den letzten Befehl deren Bezeichner ablesen (Spalte "IDENTIFIER", zum Beispiel disk0s2) und dann eine Reparatur aufrufen mit

fsck_hfs -f -n /dev/IDENTIFIER

wobei IDENTIFIER durch den Bezeichner der Partition ersetzt werden muss.

 

[prinzdavid]

Danke, Marcel. Sieht nach Supergau aus oder? Also Time Machine Backup einspielen? Bleibt dann meine funktionierende Windows Partition in Takt?

 

[prinzdavid]

Oder läuft noch die Reparatur, da dein erster Befehl einen Einzeiler ausgibt? Den bzw. die Partitionstabellenfehler können wir nicht korrigieren? Was hat denn Disk Drill bzw. der Terminalbefehl in Kombination mit dem leeren Akku angestellt?

 

[Marcel Bresink]

Oder läuft noch die Reparatur, da dein erster Befehl einen Einzeiler ausgibt?

Nein, wie gesagt bedeutet 1 Zeile, dass nichts läuft.

Was hat denn Disk Drill bzw. der Terminalbefehl in Kombination mit dem leeren Akku angestellt?

Anhand der genauen Daten sehe ich jetzt, was passiert sein muss:

Du hast versucht, ein Datenrettungsprogramm auf einer APFS-Partition laufen zu lassen. Das geht nicht, weil es im Moment noch keine funktionierenden Plattendienstprogramme von fremden Anbietern für APFS geben kann.

Apple hält im Moment noch alle tiefergehenden Details von APFS unter Verschluss. Es kann also niemand eine funktionierende Software entwickeln.

Ein zweites Problem ist, dass Du ein Recovery-System verwendest, das zu alt ist, um mit APFS umzugehen. Das ist die Ursache dafür, dass das System-Volume weder gemountet noch korrekt erkannt wird. Der nächste Schritt wäre also, erst einmal eine modernere Recovery zu verwenden, um damit zu prüfen, wie es auf der Platte aussieht. Zur Not muss eine Recovery per Internet über cmd+alt+R gestartet werden.

 

[prinzdavid]

Hi Marcel, ich verstehe dich nicht genau. Was ich gemacht habe, ist oben beschrieben: Disk Drill, Terminalbefehl, Absturz und dann deine Terminalbefehle.

Jetzt möchte ich mein System wieder zum Laufen bringen und frage euch, ob es auch ohne Einspielen meines Backups geht. Meine ungesicherte Windowspartition würde dann ja auch flöten gehen, da ich neu partionieren darf.

 

[Marcel Bresink]

Es gibt zwei Probleme:

1) Du verwendest eine Version des Recovery-Betriebssystems, die zu alt ist. Du musst eine Recovery von macOS High Sierra verwenden. Wenn Du keine hast, musst Du sie per cmd+alt+R übers Internet starten.

2) Du hast ein fremdes Plattendienstprogramm auf einer APFS-Partition laufen lassen. Auch dieses Programm war zu alt und konnte mit dem APFS-Dateisystem nicht umgehen. Es gibt aber auch keine neueren Programme, weil Apple das für andere Hersteller im Moment noch nicht zulässt. Möglicherweise ist dabei das Volume beschädigt worden, vielleicht aber auch nicht. Das werden wir erst herausfinden, wenn Du Problem (1) gelöst hast.

Jetzt möchte ich mein System wieder zum Laufen bringen und frage euch, ob es auch ohne Einspielen meines Backups geht.

Das ist noch nicht klar.

Meine ungesicherte Windowspartition würde dann ja auch flöten gehen, da ich neu partionieren darf.

Beim Zurückspielen eines Backups muss nichts partitioniert werden. Das würde ja keinen Sinn ergeben. Aber ohne das richtige Recovery-System kannst Du auch nichts zurückspielen.

 

[prinzdavid]

Hi Marcel,

die Recovery musste ich übers Internet starten, da doch auch diese Partition nicht mehr funzte.

Mit dem Festplattenprogramm aus der Internet Recovery konnte ich nicht mounten und auch nicht die betroffenen Partitionen entfernen. Daher habe ich neu partitioniert, auch die funktionierende Windows Partition. Dann habe ich mein Backup eingespielt und Windows neu aufgesetzt. Jetzt läuft wieder alles.

Eine abschließende Frage: Für Disk Drill hatte ich den Terminalbefehl csrutil enable –without fs ausgeführt, der vermutlich den Crash auslöste. Ist der noch aktiv und habe habe ich mein SIP per csrutil clear zurückzusetzen?

Danke

David

 

[Marcel Bresink]

Für Disk Drill hatte ich den Terminalbefehl csrutil enable –without fs ausgeführt, der vermutlich den Crash auslöste.

Nein, der Befehl hatte mit der ganzen Sache überhaupt nichts zu tun.

Der Fehler war (mehrfach), zu alte Software für Wartungsaufgaben auf einer APFS-Partition zu verwenden.

Ist der noch aktiv

Ja, das ist eine Hardware-Einstellung des Macs.

habe ich mein SIP per csrutil clear zurückzusetzen?

Das ist zu empfehlen.

 

[prinzdavid]

Hi Marcel, es wird immer skurriler: Ich habe beim Neustart CMR + R gehalten, um ins Terminal zu gelangen damit ich mein SIP zurücksetzen kann. Dann startet er sofort die Internet Recovery und nicht die lokale Recovery, da sie nicht mehr vorhanden ist (auch laut Festplattendienstprogramm und beim Neustart mit ALT fehlt die Partition). Über das Terminal der Internet Recovery kann ich csrutil clear nicht ausführen.

Habe ich erst meine lokale Recovery wiederherzustellen, um csrutil clear ausführen zu können? Mit dieser Anleitung (https://www.techrepublic.com/article/how-to-restore-the-recovery-partition-in-macos-sierra/)?

Ein Aufruf an alle: Nutzt keine Datenretter wie Disk Drill unter High Sierra!

Danke

David

 

[prinzdavid]

Meinen SIP Status kann ich abfragen, nur nicht zurücksetzen:

csrutil status

System Integrity Protection status: enabled (Custom Configuration).


Configuration:

Apple Internal: disabled

Kext Signing: enabled

Filesystem Protections: disabled

Debugging Restrictions: enabled

DTrace Restrictions: enabled

NVRAM Protections: enabled

BaseSystem Verification: enabled


This is an unsupported configuration, likely to break in the future and leave your machine in an unknown state.

csrutil clear

csrutil: failed to clear system integrity configuration. This tool needs to be run as root.

 

[prinzdavid]

Als root Benutzer (https://support.apple.com/de-de/HT204012) konnte ich csrutil clear ausführen. Jetzt fehlt nur noch die lokale Recovery Partition.

 

[prinzdavid]

Soll ich diese Anleitung befolgen oder lieber nicht?
https://www.techrepublic.com/article/how-to-restore-the-recovery-partition-in-macos-sierra/

 

[prinzdavid]

Herrlich! Jetzt habe ich mir mit csrutil clear meine Parallels Windows Umgebung zerschossen. Ich erhalte die Meldung: Error: PRL_ERR_DISK_FILE_OPEN_ERROR (0x80021014).

Laut Parallels Support soll ich wie folgt vorgehen:
http://kb.parallels.com/en/123131

Was mache ich mir damit dann kaputt?

 

[Marcel Bresink]

Dann startet er sofort die Internet Recovery und nicht die lokale Recovery, da sie nicht mehr vorhanden ist (auch laut Festplattendienstprogramm und beim Neustart mit ALT fehlt die Partition).

Da Du ein APFS-Dateisystem verwendest, liegt das Recovery-Betriebssystem auf einem Volume, nicht auf einer Partition. Es ist völlig normal, dass es mit alt nicht angezeigt wird.

Über das Terminal der Internet Recovery kann ich csrutil clear nicht ausführen.

Warum nicht?

Habe ich erst meine lokale Recovery wiederherzustellen, um csrutil clear ausführen zu können?

Nein, das geht mit jeder Recovery ab OS X 10.11, egal von wo geladen.

Nutzt keine Datenretter wie Disk Drill unter High Sierra!

Das ist Unsinn. Man darf nur keine Datenretter auf einem APFS-Volume einsetzen.

Als root Benutzer (https://support.apple.com/de-de/HT204012) konnte ich csrutil clear ausführen.

Nein, das sieht nur so aus. Wenn Du das vom normalen Betriebssystem aus machst, hat der Befehl überhaupt keine Wirkung. Es ist außerdem gefährlich, den root-Benutzer aktiviert zu lassen.

Soll ich diese Anleitung befolgen oder lieber nicht?

Nein, auf gar keinen Fall. Außerdem glaube ich nicht, dass Du kein Recovery-Volume hast.

Jetzt habe ich mir mit csrutil clear meine Parallels Windows Umgebung zerschossen.

Auch da gibt es technisch keinen Zusammenhang.

 

[prinzdavid]

Hi Marcel,

zu "Über das Terminal der Internet Recovery kann ich csrutil clear nicht ausführen." Es erscheint command not found so wie bei diesem User (https://discussions.apple.com/thread/8086141?start=0&tstart=0).

Kannst du mir verraten, wie ich auf die lokale Recovery zugreifen kann bzw. wie ich sie wiederherstellen kann? Neustart CMD + R öffnet die Internet Recovery.

Disk Drill soll übrigens APFS supporten (https://www.cleverfiles.com/help/disk-drill-33.html). Ich habe ein 12er MacBook mit SSD und daher APFS.

Den root Benutzer habe ich nach Ausführung von csrutil clear sofort wieder deaktiviert.

Parallels lief bis ich über den root Benutzer csrutil clear ausgeführt habe. Daher vermute ich einen Zusammenhang. Ich werde die Parallels Korrektur mit dieser Anleitung versuchen: http://kb.parallels.com/en/123131

Never change a running system!

David