Hallo Leute
Ich habe einige einfach fragen zu Veracrypt aber leider finde ich nicht die richtigen Deutschsprachigen Seiten wo meine fragen beantwortet werden.

#1 Wie kann ich unter Veracrypt bestehende Platten ohne Datenverlust verschlüsseln?

Unter Win8 und Truecrypt7.1a war es mir möglich die komplette (sogar die Laufende OS-) HDD zu verschlüsseln ohne das ich meine bestehende Daten löschen musste.
Diesmal handelt es sich um 3TB non-OS HDDs (je x1 Partition mit EXT4) das unter Debian x64 mit Veracrypt verschlüsselt werden soll.
Zwei Optionen stehen mir unter "Creat Volume" Container oder Partition/drive, beim letzteren spricht man von "Formats"
(Mann kann sich denken welche Arbeit das ist wen man mehrere 3TB HDDs verschlüsseln muss und diese Fast voll sind)

#2 Würde ein File-Container eine Geschwindigkeit o. Sicherheit Einbuße sein?
Ich denke nicht das so sein wird aber wozu besteht dann der Punkt "Partition/drive" wen man einfach ein "File-Container" erstellen kann?

#3 Kann ich mit "File-Container" die komplette HDD Größe nehmen?

#4 Wieso wird EXT3 vor EXT4 bei der Formatierung von Veracrypt angezeigt? (bevorzugt?)

#5 Cross-Platform Support: "mount only on Linux" heißt das nur unter "Linux" (zb Fremde Systeme) oder Nur unter meinem bestehenden Linux System (Hard- / Software ID?)

#6 lassen sich nach erstellen der Verschlüsselung die PW, PW-Keys und die Größe des Containers ändern?

Sry wenn ich solche einfachen Fragen stelle aber hier geht es um ein großen Zeitaufwand und sensible Daten.
Danke für eure Hilfe und euer Geduld

1. Laut Veracrypt und Anleitung geht das. Aber: ohne vorherige Sicherheitskopie würde ich das nie ausprobieren. In Englisch nennt sich das wohl "in place Verschlüsselung". Allzuvoll dürfen die Laufwerke nicht sein, verschlüsselung kostet immer Speicherplatz! Da ich nie eine Systempartition verschlüsselt habe kann ich dir nicht sagen wie das geht, musst du selbst ausprobieren. Vorher Daten sichern.

2. Container sind das was ich nutze. Von der Geschwindigkeit her keine Sicherheitseinbuße. Von der Datensicherheit theoretisch: Wenn Unbefugte Zugang zu deinem Rechner erhalten und die Platte nicht verschlüsselt ist könnten diese dir einen Keylogger installieren und mit diesem das Passwort für deine Veracrypt Container herausfinden. Wenn du also Rechner in exponierten Bereichen unbeaufsichtigt lassen musst ist die Systemverschlüsselung sinnvoll (wird bei fast allen Firmenrechnern heute so gehandhabt- wenn auch meist mit anderen kommerziellen Produkten als Verschlüsselungssoftware)

3. Klar. Keine Größenbeschränkung wenn die HDD mit NTFS oder einem Linux-Dateisystem formatiert ist. Wenn die HDD mit FAT32 formatiert ist ist die maximale Dateigröße (und somit die maximale Größe des containers) 4 GB.

4. Keine Ahnung, wahrscheinlich alphabetisch sortiert. Ich würde kein EXT3 mehr nehmen.

5. "Mount only on Linux": du hast dem Container ein Linux Dateisystem verpasst, das lässt sich unter Windows nicht lesen, aber du kannst diesen Container auf jedem aktuellen Linuxsystem mounten.

6. Passwort lässt sich ändern, secret key und Größe nicht. Solltest du die ändern wollen müsstest du ein neues Volume erstellen und die Daten vom Alten auf das Neue kopieren.


Details: wenn du ein Veracrypt Volume auf einem Dateisystem mountest bei dem du nicht Administrator bist kann dieser theoretisch den secret key des Volumes auslesen. Dann nützt auch eine Passwortänderung nichts, er kommt dran. Also nie auf Internet-Cafe Rechnern oder anderen suspekten Rechnern öffnen.


Bei Volumes bei denen mich die Einschränkungen die FAT32 mit sich bringt nicht stören wähle ich oft dieses Dateisystem weil man diese volumes dann unter Windows und Linux mounten kann.

Zitat von W_Dackel

1. Laut Veracrypt und Anleitung geht das. ... In Englisch nennt sich das wohl "in place Verschlüsselung"

Ich nutze Veracrypt1.16 unter Debian(Linux) und die Platte ist eine 3TB ext4 ohne OS.

Zur auswahl unter "Creat Volum"...
#1 Container (Schreibt ein neuen Container)
#2 Partition/drive ("WARNING: Note that the partion/drive will be formatted and all data currently stored on it will be lost")

Damn! ich sehe den unterschied zu Veracrypt-Windows.
Unter Windows ist sowohl "system partition" als auch "Encrypt partition in place" möglich aber dies Optionen gibt es bei mir unter Debian nicht.
Das ist echt mies und aufwendig platten in der Größe zu sichern bzw Daten kurzzeitig abschöpfen nur damit diese verschlüsselt werden.

Zitat von W_Dackel

6. Passwort lässt sich ändern, secret key und Größe nicht.

Ich denke Key ändern ist möglich, weil...
"Add/Remove Keyfiles to/from Volume" Option Windows & Linux

Systemverschlüsselung macht man unter Linux nicht mit sowas wie TrueCrypt oder VeraCrypt.
Bereits bei der Installation bietet Debian die Möglichkeit an, verschlüsseltes LVM einzurichten.

Zitat von cosinus

Systemverschlüsselung macht man unter Linux nicht mit sowas wie TrueCrypt oder VeraCrypt.
Bereits bei der Installation bietet Debian die Möglichkeit an, verschlüsseltes LVM einzurichten.

"Systemverschlüsselung" hab ich schon bei der Installation auf der OS-HDD durchgeführt.
Wie gesagt bin ich Grade dabei eine HDD ohne OS/System zu verschlüsseln.

Aber wen du mir die Namen der Linux Tools kennst die mit GUI oder zumindest mit in-place Verschlüsselung kommen, wäre ich dir auch dankbar

Gerade gesehen dass Veracrypt unter Linux die Systemverschlüsselung aus laufendem System wirklich nicht anbietet.

Egal, so etwas sollte man sowieso nur nach Datensicherung machen, d.h. deine externe Platte erst sichern, dann verschlüsseln, dann prüfen, dann erst die andere Platte verschlüsseln. Dann hast du zwei verschlüsselte externe Platten so dass deine Daten immer sicher sind.

Laut Anleitung kannst du Keyfiles aus dem Header extrahieren, aber bei einem bestehenden Volume keinen neuen private key erzeugen.

Das heißt in der Praxis wenn du das Volume je unter einem Rechner gemountet hattest der sich im Nachhinein als nicht vertrauenswürdig herausstellte reicht es nicht einfach das Passwort zu ändern (das nur den secret key schützt, nicht die Platte) sondern du musst ein neues Volume mit neuem Secret key erstellen, die Daten dort hin kopieren und das alte dann löschen.

Es lohnt sich die Abschnitte über Sicherheit durchzulesen weil dort beschrieben ist was die Tools so leisten, und was sie nicht leisten können. Auch ab wann ein Container als kompromittiert gelten sollte.

Zitat von Caleb.C

Aber wen du mir die Namen der Linux Tools kennst die mit GUI oder zumindest mit in-place Verschlüsselung kommen, wäre ich dir auch dankbar

Achso sry hab ich vergessen. Ich hab ja erwähnt, dass Debian das bereits bei der Installation anbietet. Das nennt sich dann LUKS mit cryptsetup und dm-crypt. Ganz ausführlich bei Ubuntu beschrieben => https://wiki.ubuntuusers.de/LUKS/

Aber keine Angst, im Debian- oder Ubuntu-setup ist das nicht soo schwierig. Ich erstell unter Debian immer eine unverschlüsselte bootpartition (natürlich für /boot - das MUSS unverschlüsselt sein, sonst kann das Systen den Kernel nicht booten) und dann eine große Partition mit der ID 'crypto' - auf dieser wird wiederrum ein LVM draufgelegt in dem man dann beliebig viele LVs (logical volumes) erstellen kann zB für /var, /home usw. (Screenshot aus dem Debian-textmode-Setup ganu unten)

Falls dir das zu viel ist, kannst du dir auch erstmal Ubuntu installieren. Da hast du im grafischen Installaer die Möglichkeit einen Haken zu setzen um die Benutzerdaten zu verschlüssen, dann wird zumindest dein Home verschlüsselt. => https://wiki.ubuntuusers.de/ecryptfs/Einrichten/

© 2006-2016 Microsoft

"Brat mir einer ne Storch" warum musste nochmal TrueCrypt sterben ? Da muss man kein M$ Hater sein um zu verstehen. VeraCrypt für Linux -LOL- überflüssig wie Fußpilz.

Aber wen du mir die Namen der Linux Tools kennst die mit GUI oder zumindest mit in-place Verschlüsselung kommen, wäre ich dir auch dankbar

Eine GUI für cryptsetup ist vollkommen unnötig da die deutsche Hilfe an "DAU" Informationen überquillt.
Durch die Option --veracrypt oder --tcrypt-* plus mehrere (externen) Keyfiles sogar Flexibler.
Verwende selbst seit gefühlten Ewigkeiten crypto_LUKS ohne nennenswerten Overheat bei der Datenverarbeitung.

BTW:
"Sicherheit" erreicht man eben nicht mit ein paar Klicks und da gibt es keine Kompromisse beruhend auf faule Ausreden. In Prinzip ist es ein ständiger Prozess der bei ein selbst Anfängt und auf mehreren Informationsquellen beruht.

TrueCrypt wurde doch schon 2014 eingestellt, wie kommste denn da auf 2016?