Laufwerk TrueCrypt verschlüsselt, dann WinXP Neuinstallation, Datenzugriff möglich?

[chris-22]

Hallo,

ich möchte ein Laufwerk mit 3 primären Partitionen komplett mit TrueCrypt verschlüsseln. Auf C: ist natürlich Windows mit Programmen, auf den anderen Partitionen dahinter sind Daten. Wenn nun das Betriebssystem zerschossen ist (Viren, Mainboardwechsel usw.), wie komme ich dann noch an die Daten?

1. Ist mit dem zerschossenen WinXP auch der TrueCrypt Bootlader zerschossen?

2. Oder erscheint beim Start immer noch der TrueCrypt Bootlader, ich gebe das TC Passwort ein und dann erscheint halt Window`s NTLDR fehlt?


Wie komme ich nun an die Daten auf den dahinter liegenden Partitionen?

3. Ich baue diese Festplatte aus dem PC aus und schließe sie an einem anderen PC an, dort wird von dem anderen (unverschlüsselten) Betriebssystem gestartet, auf diesem PC ist TrueCrypt als Programm installiert. Kann ich mit diesem Zweit-PC die Festplatte aus dem ersten PC mittels TC Passwort mounten und auf die Daten zugreifen?

4. Wenn ich WinXP auf der verschlüsselten Festplatte im Erst-PC neu installieren will, muss ich ja von CD booten und damit wird doch der TrueCrypt Bootlader umgangen? WinXP formatiert dann Partition C: und installiert sich darauf neu, dann müsste doch der TrueCrypt Bootlader komplett gelöscht sein?
Das neue WinXP funktioniert dann zwar, aber ich komme nicht mehr an die verschlüsselten Daten auf den dahinter liegenden Partitionen heran. Was mache ich dann?

MfG
Chris

 

[Bartonius]

Zu 4: Bevor du neuinstallierst entschlüsselst du die Platte einfach wieder komplett. Danach setzt du Windows neu auf und danach kannst du wieder komplett verschlüsseln.

 

[chris-22]

Von wo aus entschlüssel ich die Platte? Mit dem Zweit-PC?
Also funktioniert auch 3. Ich kann mit diesem Zweit-PC die Festplatte aus dem ersten PC mittels TC Passwort mounten und auf die Daten zugreifen?
mfg
chris

 

[faschohunter]

der sicherste weg wär, wenn du den rechner so wie er ist, mit der truecrypt-rescue-disk startest die du hoffentlich angelegt hast, und die verschlüsselung aufhebst. dann die windows wiederherstellungskonsole startest, den master boot record wiederherstellst, befehle dürften ja bekannt sein fixmbr fixboot chkdsk - danach müsste dein windows wieder laufen, und du kannst es neuverschlüsseln.

 

[Simpson474]

1. Ist mit dem zerschossenen WinXP auch der TrueCrypt Bootlader zerschossen?

2. Oder erscheint beim Start immer noch der TrueCrypt Bootlader, ich gebe das TC Passwort ein und dann erscheint halt Window`s NTLDR fehlt?

Kommt ganz drauf an - die Systemverschlüsselung verwendet einen unverschlüsselten MBR und speichert an fester Position vor der ersten Partition den TrueCrypt-Header. Wird dieser TrueCrypt-Header zerstört, so kannst du auf keine der verschlüsselten Partitionen mehr zugreifen - ich bin mir nicht ganz sicher, ob der TrueCrypt Header auf der Rescue-Disc gespeichert wird und somit problemlos wiederherstellbar ist. Wird der MBR zerschossen, so ist der TrueCrypt-Bootloader und die Partitionierung weg, diese ist jedoch wiederherstellbar (wenn auch nicht ganz so einfach).

3. Ich baue diese Festplatte aus dem PC aus und schließe sie an einem anderen PC an, dort wird von dem anderen (unverschlüsselten) Betriebssystem gestartet, auf diesem PC ist TrueCrypt als Programm installiert. Kann ich mit diesem Zweit-PC die Festplatte aus dem ersten PC mittels TC Passwort mounten und auf die Daten zugreifen?

Funktioniert, allerdings wird für die Systemverschlüsselung ein verkürzter Key-Derivation Algorithmus benutzt: daher musst du in TrueCrypt die Option "Mount with Pre-Boot-Authentication" setzen.

4. Wenn ich WinXP auf der verschlüsselten Festplatte im Erst-PC neu installieren will, muss ich ja von CD booten und damit wird doch der TrueCrypt Bootlader umgangen? WinXP formatiert dann Partition C: und installiert sich darauf neu, dann müsste doch der TrueCrypt Bootlader komplett gelöscht sein?
Das neue WinXP funktioniert dann zwar, aber ich komme nicht mehr an die verschlüsselten Daten auf den dahinter liegenden Partitionen heran. Was mache ich dann?

Es wäre ziemlich genau so. Allerdings sollte die unverschlüsselte Partitionierung und der TrueCrypt-Header erhalten bleiben - in einem zweiten PC solltest du daher an die Daten der hinteren Partitionen rankommen.

 

[ronny0123]

Hallo Chris

Ich konstatiere:
Es ist noch gar nichts kaputt und Du stellst Dir das Szenario vor, dass wenn Deine Platte komplett verschlüsslet ist und Du das BS austauschen willst, was dabei zu beachten ist.

Mein Tipp:
Verschlüssel alle drei Partitionen für sich.
Dann kannst Du bei dem o.g. Szenario einfach die erste Partition löschen, ein BS neu installieren und wieder verschlüsseln.
Mit den anderen beiden Partitionen hast Du dabei gar nichts am Hut.

Hauptkreterium:
Und falls doch einmal irgend etwas schief gehen sollte, wie bei mir hier ... hast Du nur Datenverlust von einer Partition und nicht gleich von den kompletten 20 Terabyte. *oder doch 50?* Ich würde so etwas niemals riskieren!
Ausserdem dauert die Ver- und Entschlüsselung nicht so lange.

Zudem kannst Du jeder Zeit von jedem Rechner -auf welchen Truecrypt installiert ist- auf Deine Festplattenpartitionen zugreifen. Im Idealfall hast Du vielleicht sogar nen Portable TrueCrypt in der Tasche, wenn Du mit Deiner Festplatte auf Reisen gehst.


Mit freundlichen Grüssen


Ronny0123

Ergänzung (22. Januar 2012)

Hallo Chris …


Irgendwie liess mir Deine Frage keine Ruhe, denn da war etwas unrund und ... ich bin zu dem Entschluss gekommen, dass so, wie Du sie gestellt hast, dieses Szenario überhaupt gar nicht umsetzbar ist.

Du kannst zwar eine Festplatte in mehrere Teile (Partitionen) aufteilen, jedoch diese dann aber nicht alle mit einem Mal verschlüsseln. Das geht nicht!

Du kannst mit TrueCrypt entweder Container erstellen, oder einzelne Laufwerke (Partitionen) und diese dann jeweils individuell verschlüsseln -versteckte Container und Systeme natürlich auch-. Mehr geht nicht!


Mein Tipp:
Wie oben schon gesagt, erstelle Dir eine Systempartition und verschlüssle diese und erstelle danach die anderen und verschlüssle diese auch.



**************************

Bei einer Externen Festplatte kann man das auch so machen, dass man sich eine erste Partition erstellte die maximal 1GB gross ist und dann die jeweils Erwünschten individuell.

Auf der ersten (1GB grossen) wird dann oben genanntes 'TrueCrypt Portable' installiert und die anderen Partitionen kannst Du dann verschlüsseln. (kannst sie natürlich auch mit einem anderen TrueCrypt verschlüsseln)

Der Vorteil bei diesem Szenario:
Du kannst Deine externe Festplatte überall mit hinschleppen und sie von jedem Rechner aus starten, ohne(!) das auf diesem Rechner TrueCrypt installiert werden muss. Natürlich gilt das nicht für jedes Betriebssystem.



Mit freundlichen Grüssen



Ronny0123




Falls ich mit meinem Wissensstand daneben liege, bitte ich hiermit um Korrektur!

 

[Simpson474]

Irgendwie liess mir Deine Frage keine Ruhe, denn da war etwas unrund und ... ich bin zu dem Entschluss gekommen, dass so, wie Du sie gestellt hast, dieses Szenario überhaupt gar nicht umsetzbar ist.

Du kannst zwar eine Festplatte in mehrere Teile (Partitionen) aufteilen, jedoch diese dann aber nicht alle mit einem Mal verschlüsseln. Das geht nicht!

Es geht in einem einzigen Fall - beim Verschlüsseln der System-HDD, auf welcher das aktuell laufende Windows installiert ist. Genau das ist ja der Fall, der hier mit einem verschlüsselten Windows XP gewünscht ist.

 

[ronny0123]

Es geht in einem einzigen Fall - beim Verschlüsseln der System-HDD, auf welcher das aktuell laufende Windows installiert ist. Genau das ist ja der Fall, der hier mit einem verschlüsselten Windows XP gewünscht ist.

Ich versteh nicht ganz, Simpson474.

Wenn eine Platte schon in 3 Teilen partitioniert wurde und die Systempartition verschlüsselt werden soll, dann wird doch 'ausschliesslich' nur diese verschlüsselt und die restlichen beiden gar nicht angerührt. War bisher bei mir jedenfalls immer so.

Selbst angenommen man würde die ganze Platte mit laufendem System verschlüsseln wollen -was ja kein Problem darstellt- , würde man diese dann ja nicht mehr partitionieren können. Oder vielleicht doch? -hab ich noch nicht versucht-

Vielleicht könntest Du es bitte nochmal genauer erklären.


Nichtsdestotrotz ist es -finde ich- aber nicht ratsam so ein Szenario umzusetzen, denn es würde m.E. nach ein zu grosses Verlustrisiko darstellen. Oder nicht?


Mit freundlichen Grüssen


Ronny0123




edit:

Da war ich dann wohl doch nicht ganz informiert. Wikipedia meint über TrueCrypt ...

Seit Version 5.0 unterstützt TrueCrypt auch die „Full System Encryption“ bzw. „Whole Disk Encryption“ (auch bekannt als Pre-Boot Authentication) genannte vollständige Verschlüsselung von Windows-Systempartitionen oder auch der gesamten Festplatte, auf der sich eine Systempartition befindet.

Na sowas?! Wäre mir persönlich aber trotzdem zu heikel!

 

[chris-22]

Hallo,

also die Partitionen einzeln verschlüsseln will ich erstmal nicht, weil dann habe ich 3 getrennte Verschlüsselungen, 3 Passwörter, 3 Rettungs-Cds und ein höheres Risiko einer Fehlbedienung.

Ich habe mir TC noch mal angeschaut. Man kann eine Festplatte mit mehreren Laufwerken/Partitionen verschlüsseln, sofern die erste Partition eine Systempartition mit OS ist und alle dahinter liegenden Partitionen ausschließlich primäre Partitionen sind. Siehe Anhang.

TC verschlüsselt dann die gesamte Festplatte über alle Partitionen hinweg und generiert einen Hauptschlüssel.



Wenn Windows auf der ersten Systempartition neu installiert wird, sollte der TC Bootlader hinüber sein. Das unverschlüsselte neue Windows läuft zwar, aber auf die dahinter liegenden verschlüsselten Partitionen kommt man nicht so einfach heran.

Nun habe ich ja die Rettungs-CD inkl. Hauptschlüssel und das Passwort, lässt sich vielleicht damit auf die dahinter liegenden verschlüsselten Partitionen zugreifen?

Oder wenn ich das gesamte Laufwerk mit allen Partitionen abermals oder nur das Systemlaufwerk erneut verschlüssle, kann ich mit der Rettungs-CD die alte Verschlüsselung wiederherstellen?

MfG
Chris

 

[ronny0123]

Hallo Chris

Wieso einfach, wenn`s auch umständlich geht(?), oder?

Wenn Du dieses Szenario so umsetzt -wie von Dir geschrieben- , dann hast Du im schlimmsten Falle Deine komplette Festplatte nicht mehr zugänglich und all die Daten wären gehimmelt. Ist es das wert? Nur wegen Faulheit sich drei Passwörter merken zu müssen und der Arbeit, die einzelnen Partitionen zu verschlüsseln?

Gerade das ist für mich das absolute Ausschluskreterium, dies so niemals so umzusetzen!


Im Übrigen würdest Du auch nur eine einzige Rettungs-CD erstellen müssen, nämlich 'nur' die für die SystemPartition. Die anderen Partitionen benötigen keine.

Und Passwörter könnte man ja z.Bsp. wie folgt gestallten:

1. SystemPartition: Dies-ist-mein-Passwort.
2. DatenPartition: Dies-ist-mein-Passwort.+Daten
3. weitere Partition: Dies-ist-mein-Passwort.+Daten-2


Nochmal:
Ich würde mich der Gefahr, all meine Daten wegen irgend ein selbstverschuldeten Fehler oder vielleicht einfach nur Systemchrash`s zu verlieren, niemals aussetzen!


Was Du nun machst, ... ist Deine Sache. Nur hinterher rumheulen bringt dann auch nichts mehr.

Was sagt Ihr Forums-Älteren denn dazu? Sollte man das Risoko wirklich eingehen?



Mit freundlichen und konstruktiven Grüssen


Ronny0123

 

[Simpson474]

Die Rescue-CD sollte im Falle eines nicht startenden Windows in der Lage sein, die vollständige Festplatte zu entschlüsseln. Du solltest in diesem Fall jedoch wirklich sicherstellen, dass du die richtige Rescue-CD hast und sicherheitshalber eine nicht organische Sicherheitskopie von dieser anfertigen (CDs zersetzen sich über die Jahre, je nach Rohling und Brenngeschwindigkeit kann eine CD schon nach wenigen Jahren unlesbar sein).

Bezüglich Datenverlust: eine Festplatte kann jederzeit kaputt gehen und daher sollte man egal ob verschlüsselt oder nicht eine Sicherungskopie besitzen. Für die Rettungschancen ist es relativ egal, ob du nun alle Partitionen auf einmal verschlüsselst oder diese getrennt mit verschiedenen Passworten betreibst.