Deskmodder.de

@ziggy

Hmm, interessantes Szenario. Zunächst mal grundsätzlich: dieses Volume H, was ist das genau? Sicherungsplatte oder fest im System verbaut?

Vorbereitungen:

1) Eingabeaufforderung (mit Admin-Rechten) starten und auf den Pfad h: wechseln
2) cacls "h:\System Volume Information" /E /G Benutzername:F (User entsprechend anpassen) eingeben + Enter

Nun sollte es auf deinem Rechner möglich sein den Inhalt des Ordners "System Volume Information" - zumindest teilweise auf seine Bestandteile hin zu untersuchen. Dieser enthält u. a. Schattenkopien, Computersicherungen und Systemwiederherstellungsdateien, sehr wahrscheinlich auch Logs von Chkdsk.

Für mich persönlich nicht uninteressant: die von dir erwähnten "Zahnrad-Ordner". Um wirklich vollständigen Einblick zu erhalten, bitte das Tool "Shadow Explorer" unter

https://www.shadowexplorer.com/downloads.html

besorgen und mit Admin-Rechten starten. Was gibt es da zu sehen? Diese Ordner mit dem "Zahnrad" -was enthalten diese?

Warte auf dein Feedback, dann gehts weiter..

h:\ ist eine Partition meiner HDD (1 TB). System & Programme sind auf der kleinen SSD (120 GB).
Konnte nur 'ShadowExplorerPortable-0.9' runterladen, bei der .exe hat MBAM dazwischen gefunkt. Das Tool ist in englisch und meine Kenntnisse sind da schwach. Was muss ich da einstellen? Kann da nur die LW wählen mehr nicht und passieren tut nichts - alles leer.
Und mit: 'cacls "h:\System Volume Information" /E /G Benutzername:F' (User entsprechend anpassen)
komme ich auch nicht klar. ' Benutzername:F': Was soll ich da denn anpassen?

Die Ordner, welche WizTree mit einem Zahnrad versieht, sind nur Systemordner, so wie 'System Volume Information', '$RECYCLE.BIN' usw. Auch Junctions werden mit dem Zahnrad markiert. Das ist so normal bei dem Tool.

In 'System Volume Information' sind wohl nur lt. WizTree nur ein paar Byte enthalten. Das Tool hat vollständigen Zugriff auf den Ordner auch ohne Anpassung der Rechte.

Schattenkopien gibt es auch keine, das wurde auch schon überprüft. Daher zeigt ShadowExplorer auch nichts an.

Der Ordner $Extend ist da auch unauffällig.

chkdsk scheint ja auch keine Fehler gefunden zu haben.

Bleibt eigentlich nur noch das USN übrig, sofern da nicht irgendwo anders sich Müll abgelagert hat.
Aber das ist jetzt nur noch so ein Schuss ins Blaue.

@DK2000: Vielen Dank, dass Du mir jetzt schon seid heute Mittag so präzise hilfst.
Beim 1ten Befehl wird gemeldet: 'Fehler: Das Datenträgeränderungsjournal ist nicht aktiviert.'
Beim 2ten Befehl passiert gar nichts. Bleibt auf: 'C:\WINDOWS\system32>'

Achso, dann war das Datenträgeränderungsjournal bei Dir gar nicht aktiviert für D:.

Gut, jetzt hast Du es aktiviert und da es vorher nicht aktiviert war, kannst Du es theoretisch auch wieder mit dem 1. Befehl deaktivieren. Bei mir in Windows 10 ist das generell aktiviert, warum auch immer. Warum das bei Dir jetzt nicht der Fall ist, keine Ahnung.

Aber gut, wenn das USN deaktiviert war, dann kann es daran auch nicht gelegen haben.

So langsam gehen mir die Einfälle aus.

In $RECYCLE.BIN ist auch nichts liegen geblieben, was eigentlich gelöscht hätte werden sollen?

Trotzdem noch einmal mit WizTree in den Ordner 'System Volume Information' reinschauen und mal genau suchen, ob da nicht doch etwas auffälliges ist. Aber glaube ich da nicht. Der Zeigt das eigentlich zuverlässig an, bei mir jedenfalls.

An den Ordnern selber erkennst Du auch nicht, wo da zu viel drin sein könnte? Nicht dass Steam, Origin & Co. da irgend ein Backup oder so angelegt haben. Oder ein Download, der noch verarbeitet werden muss.

Gute Frage.

In $RECYCLE.BIN sind 387 Bytes drin, verteilt in 3 Ordner (S-1-5.....), dadrin sind 3 'desktop.ini' mit jeweils 129 Bytes wobei wir bei den 387 Bytes sind.
Steam & Origin habe ich jeweils mal geöffnet; Steam hatte ein Client-Updates, Origin nichts, Spieleupdates sind augenscheinlich auch nicht liegen geblieben. Der Steam-Ordner hat zwar fast 20 GB aber wenn ich mir dann die Grösse der einzelnen Spiele anschaue ist das auch ok. Origin-Ordner ist wesentlich kleiner (360 MB). Dann noch ein Spiel mit 4,3 GB und letzendlich mein Ordner mit privaten Daten, gut 30 GB, (Bilder, Videos, Musik, E-Mails, Word, Excel, pdf usw.) - auch nichts auffälliges.
Irgendwie ziemlich blöd ... Deine Anweisungen, die ganzen cmd-Befehle ... die intensive Suche und trotzdem Übeltäter/Fehler (noch) nicht gefunden.
So, jetzt muss erst mal der Hund raus, passt: mir raucht ziemlich der Kopf.

Habe mir das mal da bei mir mit WizTree 64bit mal bei mir angeschaut. Das Tool zeigt eigentlich alles sehr gut an, auch die Metadateien vom NTFS und eigentlich alles, was irgendwie einen Namen hat. Konnte damit gerade auch noch etwas Speicher bei mir auf D: frei machen, da sich da irgendwie Reste vom WimMounter versteckt hatten, von denen ich gar nichts wusste. Interessant, was man damit so alles findet.

In der Anzeige von WizTree, stimmen da die Werte oben unter 'Speicher Belegt' mit der Spalte für 'H:\ Belegt' und passt dieser Wert mit der Ansicht im Explorer unter Belegter 'Speicher' ungefähr überein?

Im Baum gibt es da den Zewig '[xx Datein in H:\]. Dort werden di auch die NTFS Metadateien angezeigt. Fällt da eine aus der Reihe, z.B. $MFT, $LogFile oder $BadClus?

Ansonsten wüsste ich im Moment auch nicht weiter.

@ziggy

Viele gut durchdachte Ansätze bis jetzt, das Problem ist leider noch nicht beseitigt .

Bevor ich nun auf den nicht ganz so eleganten Weg einer "Brute Force Attacke" zu sprechen komme:

a) Nö, einstellen braucht du da nix.

b) Damit ich mir einen Eindruck von ggf. weiteren Partitionen auf deiner HDD machen kann, bitte mal an der Kommandozeile den von GwenDragon bereits erwähnten Befehl -diesmal in Form von " vssadmin list shadowstorage" eingeben. Bildchen anfertigen oder schneller -den Output als Text kopieren und uns hier verfügbar machen.

c) "23 Dateien von 22 GB bis 64,0 KB alle mit {Kleinbuchstaben-/Zahlenkombinationen}" Genau, etwa so: {3a0c5543-e0fe-11e8-bec6-b05216aaa316}{3808876b-c176-4e48-b7ae-04046e6cc752}?

Gestern Abend tauchten beim Lesen deines beschriebenen Problems vor allem 2 Szenarien vor mir auf:

1) Unter Windows (Server) gibt es die (durchaus sinnvolle) Möglichkeit dem OS mitzuteilen die Volume Shadow Kopien nicht auf dem SysVol sondern auf einem anderen Volume abzulegen. Bis unter Windows 8/Server 2012 gelang dies unter Verwendung von "Vssadmin". Leider haben die Redmonder mit der Veröffentlichung von Windows 10 die entsprechende Windows Class"beschnitten" -mittels PowerShell oder dem WMI-Instrumentarium lässt sich aber entsprechendes bewerkstelligen. Erfordert u. U. einiges Detailwissen, ich bin mal so frech und schließe das Ganze im vorliegenden Fall aus.

2) Die unter Punkt c) erwähnten 23 Dateien stellen für mich den "Kern des Pudels" dar. Vielleicht kannst du die mal zusammenrechnen und mit dem Datenvolumen von 123 GB gleich setzen. Interessant dabei wäre auch zu wissen über welchen Zeitstempel diese Dateien verfügen.
Wie die da jetzt reingekommen sind und ob diese überhaupt eine Existenzberechtigung haben kann ich im Augenblick noch nicht beurteilen. Erst mal schauen was Vssadmin alles ausspuckt.

Ein Windows-Nutzer der im Vertrauen auf das beste Windows aller Zeiten -Windows 7/8.1 ebenso- unter "Computerschutz >Löschen" befriedigt annimmt, damit alle Wiederherstellungspunkte von der Platte gefegt zu haben kann sich im Einzelfall täuschen. Dieser Mechanismus scheint in der Praxis nicht immer 100% zu funktionieren und welcher Endanwender inspiziert "System Volume Info"? Erst wenn Windows die weiße Fahne schwenkt bemerkt dieser den Irrtum

So, meine Mittagspause geht dem Ende zu -heute Abend geht’s dann weiter…

Gruß

IT-Nerd

@DK2000:
Du meinst die Spalten 'Größe' & 'Belegt'?
Yeep, das ist in Ordnung, geringfügige Abweichungen: max. 0,1 GB.
Einzig der Ordner $Extend' hat marginale Abweichungen, siehe Post #9(?) vom 05.11.2018, 13:24.

"Im Baum gibt es da den Zewig '[xx Datein in H:\]. Dort werden di auch die NTFS Metadateien angezeigt. Fällt da eine aus der Reihe, z.B. $MFT, $LogFile oder $BadClus?"
Nein, von genannten nicht hier sind 'Größe & Belegt' entweder identisch oder nur wenige KB.
'MediaID(2).bin fällt doch ein wenig auf: Größe: 528 Bytes & Belegt: 0
'debug.log': Größe: 5,9 KB & Belegt: 8 KB
'$BadClus': alles auf 0
'$AttDref': Größe: 2,5 KB & Belegt: 4 KB

@IT-Nerd:
Wie bekomme ich den Output von 'vssadmin list shadowstorag' aus dem cmd/DOS-Fenster kopiert? Gibt es da einen Trick? Linke/Rechte Maustaste nützen da nichts/funktionslos.

"2) Die unter Punkt c) erwähnten 23 Dateien stellen für mich den "Kern des Pudels" dar. Vielleicht kannst du die mal zusammenrechnen und mit dem Datenvolumen von 123 GB gleich setzen. Interessant dabei wäre auch zu wissen über welchen Zeitstempel diese Dateien verfügen."
Also bei WizTree & Eigenschaften von:\h als auch wenn ich mir die Dateien auf LW nur über den Explorer anschaue ist das identisch, nichts auffälliges. Und wenn ich die einzeln alle so aufaddiere komme ich genau auf die überall angezeigten 122,5 GB.
Zeitstempel: 07.11.2017 bis 04.11.2018

vssadmin list shadowstorage>h:\vssadmin.txt

Das Speichert die Ausgabe des Tools in die Datei H:\vssadmin.txt. Kann man mit jedem Texteditor öffnen und betrachten.

Das mit den 23 Dateien von 22 GB bis 64,0 KB alle mit {Kleinbuchstaben-/Zahlenkombinationen} habe ich da tatsächlich überlesen. War da mehr so auf das "Verwendeter Schattenkopie-Speicherbereich: 0 Bytes (0%)" fixiert und habe das nicht so wahrgenommen.

Aber gut, hatte ja extra noch einmal gefragt, ob da in dem Ordner nicht doch etwas auffälliges ist. Und das wäre auffällig.

Ist natürlich die Frage, was das ist (große Wiederherstellungspunkte?) und ob man das einfach so mal löschen darf.

Schattenkopie-Speicherassoziation
Fr Volume: (D:)\\?\Volume{1c9a29f0-69f8-42fa-9932-565eb05765ad}\
Schattenkopie-Speichervolume: (D:)\\?\Volume{1c9a29f0-69f8-42fa-9932-565eb05765ad}\
Verwendeter Schattenkopie-Speicherbereich: 0 Bytes (0%)
Zugewiesener Schattenkopie-Speicherbereich: 0 Bytes (0%)
Max. Schattenkopie-Speicherbereich: 10,9 GB (4%)

Schattenkopie-Speicherassoziation
Fr Volume: (H:)\\?\Volume{e93a8c30-efc3-4e28-95fa-80302c4c36f1}\
Schattenkopie-Speichervolume: (H:)\\?\Volume{e93a8c30-efc3-4e28-95fa-80302c4c36f1}\
Verwendeter Schattenkopie-Speicherbereich: 0 Bytes (0%)
Zugewiesener Schattenkopie-Speicherbereich: 0 Bytes (0%)
Max. Schattenkopie-Speicherbereich: 2,00 GB (1%)

Schattenkopie-Speicherassoziation
Fr Volume: (I:)\\?\Volume{92d0b96f-4027-4aad-93ea-e5d31e466809}\
Schattenkopie-Speichervolume: (I:)\\?\Volume{92d0b96f-4027-4aad-93ea-e5d31e466809}\
Verwendeter Schattenkopie-Speicherbereich: 0 Bytes (0%)
Zugewiesener Schattenkopie-Speicherbereich: 0 Bytes (0%)
Max. Schattenkopie-Speicherbereich: 8,00 GB (4%)

Schattenkopie-Speicherassoziation
Fr Volume: (J:)\\?\Volume{395e42b8-24fd-45d3-bd6e-fc814d2ff14f}\
Schattenkopie-Speichervolume: (H:)\\?\Volume{e93a8c30-efc3-4e28-95fa-80302c4c36f1}\
Verwendeter Schattenkopie-Speicherbereich: 116 GB (57%)
Zugewiesener Schattenkopie-Speicherbereich: 122 GB (61%)
Max. Schattenkopie-Speicherbereich: UNBOUNDED (100%)

Schattenkopie-Speicherassoziation
Fr Volume: (E:)\\?\Volume{4b27bd56-ce6e-4449-8d64-6ffdd2e9555e}\
Schattenkopie-Speichervolume: (E:)\\?\Volume{4b27bd56-ce6e-4449-8d64-6ffdd2e9555e}\
Verwendeter Schattenkopie-Speicherbereich: 0 Bytes (0%)
Zugewiesener Schattenkopie-Speicherbereich: 0 Bytes (0%)
Max. Schattenkopie-Speicherbereich: 6,60 GB (11%)

Schattenkopie-Speicherassoziation
Fr Volume: (C:)\\?\Volume{542045f3-6019-4a4e-baaa-0fefa7750b36}\
Schattenkopie-Speichervolume: (C:)\\?\Volume{542045f3-6019-4a4e-baaa-0fefa7750b36}\
Verwendeter Schattenkopie-Speicherbereich: 2,43 GB (2%)
Zugewiesener Schattenkopie-Speicherbereich: 2,88 GB (2%)
Max. Schattenkopie-Speicherbereich: 10,6 GB (9%)

Aufgrund der Angaben zu j:\ habe ich dort alle WHSP gelöscht und auf Max. Belegung 1%, 2GB runtergeregelt, weniger ging nicht. Es kam zwar ne' 'bedrohliche' Meldung habe aber trotzdem fortsetztengeklickt. Der Schutz für dieses LW war aus, ich habe dann mal Computerschutz aktivieren aktiviert (ohne übernehmen oder ok) und dann wieder zurück auf deaktivieren und jetzt erst auf übernehmen & ok.
Auf j:\ hat sich nichts getan aber auf h:\ sind wieder 144,7 GB frei. SystemVolumeInformation belegt jetzt nur noch 53,1/56 KB.

Ich denke wir haben es .
Ganz, ganz großen Dank an alle Beteiligten HelferInnen. Ihr seid Spitze! Auch Danke für's durchhalten & nichtaufgeben (war selber kurz vor'm formatieren).
Werde mich jetzt mal richtig hier anmelden.

@ziggy

Hallo,

Freut mich persönlich sehr, dass wir dich bei der Lösung deines Problems unterstützen konnten. Die Blumen teile ich ohne Frage gerne mit "DK2000" - in meinen Augen ein echter "Hochkaräter", jemand der sich mit der Funktionsweise eines Windows Systems entsprechend gut auseinander gesetzt hat. Die von ihm abgegebenen Statements -nicht nur zur vorliegenden Sache - zeugen von fundiertem fachlichen Wissen wie auch Verstand.

Auch wir Pros sind letztendlich nur Menschen -egal, viele Augen "sehen" eben einfach mehr. Obwohl ich beruflich vorzugsweise in der LINUX-Welt unterwegs bin.

Eine "richtige" Registrierung bei Deskmodder halte ich für eine richtig gute Idee -ich persönlich bin ja auch noch nicht so furchtbar lange dabei. Hier findest du auf jeden Fall nicht allein topaktuelle News/Infos aus der Windows-Welt, sondern auch fundierte Tipps, Hinweise und Hilfestellungen zu allen erdenklichen Problemen mit Windows. Und im Forum finden sich nicht nur Anfragen von Einsteigern, auch Professionelle in der Klemme richten ihre Anfragen an Deskmodder..

Gruß

IT-Nerd

PS: Wer tagt das Ganze nun als [Gelöst]? Jürgen?

PS: Wer tagt das Ganze nun als [Gelöst]? Jürgen?

Hab ich mal gemacht.

@ziggy

Hallo,

Hab's fast vergessen -auch wenn Ordner wie "System Volume Information" oder der Ascheimer "$Recycle.Bin" praktisch"unkaputtbar" sind (was nicht unbedingt für deren Inhalte gilt) - ich denke, wir sollten Windows nicht ins Handwerk "pfuschen" sondern es einfach das tun lassen was es in den meisten Fällen macht: nämlich einen guten Job.

Im aktuellen, entsperrten Zustand von "System Volume Information" ist bereits die versehentliche Eingabe einer simplen Befehlskette ausreichend um diesen seiner ganzen Inhalte zu berauben. Zwar werden Ordnerstruktur und die VolumeGUID beim nächsten Windows-Start wieder aufgebaut -deine ganzen Sicherungen jedoch sind futsch.

Von daher halte ich es für ratsam, dass du die NTFS-Permissions für diesen Systemordner wieder auf den Standardwert setzt.

Dazu bitte nochmal den CMD (Admin) bemühen und wie folgt verfahren:

C:\>icacls "c:\System Volume Information" /deny Administrator:(f)
Bearbeitete Datei: c:\System Volume Information
1 Dateien erfolgreich verarbeitet, bei 0 Dateien ist ein Verarbeitungsfehler aufgetreten.
C:\>

Klar, die Angaben für >Laufwerk< und >Benutzer< wie gehabt anpassen. Jetzt wandelt dein "System Volume Information" wieder mit "Tarnkappe". Alles gut.

Gruß

IT-Nerd