Intel i3-2100T, Evo 850 250GB, Windows 7 Pro: Welche FDE-Verschlüsselung empfohlen?

[Finki]

Hallo zusammen,

nach langem Vergleichen und Lesen habe ich mir eine Samsung Evo 850 250GB geordert und will damit meine lahme HDD ablösen. Mein System ist ein mittelmäßig alter PC auf Basis MSI H67MAE45 mit Sata III, Intel i3-2100T und 8GB RAM mit Win 7 Pro 64. Bisher hatte ich meine HDD vollständig mittels Truecrypt verschlüsselt.

Was ich zu SSD und Windows 7 las, deutet wohl am ehesten auf Diskcryptor hin. Aber es gibt auch etliche Gegenmeinungen und manche sagen, Bitlocker wäre durchaus eine Alternative. Ich bin ganz ehrlich: Ich blick im Moment kaum mehr durch bei diesen vielen Meinungen, Informationen und weil das Thema erst einige Tage alt ist bei mir. Was würdet Ihr machen, fahr ich mit Diskcryptor wirklich gut? Mir macht es etwas Kopfzerbrechen, dass die SW seit fast 2 Jahren nicht mehr aktualisiert wurde. Vielleicht wäre ja VeraCrypt noch eine Alternative?

Meine Anforderungen sind: Die Verschlüsselung der SSD sollte aufgrund der Stromspar-CPU diese nicht zu sehr strapazieren, sofern möglich, aber meine Daten sollten schon auch sicher auf dem Niveau von Truecrypt sein, da man heute ja leider nicht mehr sicher ist, ob hier mal jemand einsteigt und sich die Kiste unter den Arm klemmt.

Vielen Dank für einen Rat oder eine Empfehlung.

 

[Holt]

So eine CPU mit geringer TDP zu kaufen, spart nur bedingt Strom, denn die arbeiten an länger dauernden Problemen eben auch langsamer und brauchen länger wieder Idle zu werden oder takten bei kurzen Aufgaben eben (fast) genauso hoch wie normale CPUs und brauchen dann auch ähnlich viel Leistung, werden warm und takten dann eben runter ohne aber zu throtteln. Die Dinger kauft man nur wegen der Kühlung, denn nur wenn man nicht mehr Leistung wegkühlen könnte, machen sie Sinn.

Wovor soll die Verschlüsselung denn überhaupt schützen? Dir ist schon bewusst, dass sie vor dem Ausspioniert werden eben gerade nicht schützt, weil dies meist über Schadsoftware passiert und die bekommt die Daten schön von Dir entschlüsselt zu sehen. Verschlüsselung schützt nur davon, dass jemand der physikalisch in den Besitz der Platte kommt, die Daten auslesen kann. Das wäre z.B. bei einem Garantiefall der SSD der Fall, wobei man sich dann fragen muss wie sicher die HW Verschlüsselung (z.B. auch eDrive über Bitlocker) ist und ob der Dienstleister der die Garantiefälle abwickelt diese nicht umgehen kann und die Daten auf verschlüsselten SSDs nicht besonders spannend findet.

 

[Finki]

Danke, Holt. Mein PC ist nur fürs Büro, Webentwicklung und ein wenig Bildbearbeitung, keine Spiele und ein bisschen Videos. Dafür ist die CPU ausreichend und ich spare nachweislich massiv Strom. Die ganze Kiste braucht maximal 30 Watt plus Monitor. Da das Teil den ganzen Tag läuft, war mir das wichtig, denn der Stromverbrauch meines alten Rechners damals war vier oder fünf mal so hoch. Aber das alles ist ja nicht das Thema.

Natürlich ist mir bewusst, zu was Verschlüsselung dient, das hab ich ja beschrieben (insbesondere wegen Diebstahl). Da ich selbstständiger Entwickler bin habe ich auch Kundendaten auf meinem Rechner und ich muss daher das Möglichste tun, diese Daten zu schützen - so gut wie meine eigenen eben.

Kannst Du auch noch was zu meiner eigentlichen Frage sagen? Denn Dich hatte ich hier als kompetent wiederholt gelesen. Danke.

- - - Updated - - -

Die CPU unterstützt keine AES-Verschlüsselung in Hardware. Würde daher wohl auf BitLockers eDrive in Win10 setzen.

Ja, die CPU kann das nicht, aber Truecrypt schaffte sie bisher auch (AES 256). Die Frage ist, ob Bitlocker wirklich soviel mehr Performance bringt im Vergleich zu DC, während man gleichzeitig der "Sicherheit" von MS vertrauen muss - womit ich ganz ehrlich so meine Probleme habe. Ich hatte beruflich mal eng mit MS zu tun und hab da so ein paar seltsame Dinge erlebt.

Ach ja, geht denn Bitlocker erst in Win 10? Ich hab hier Win 7.

 

[heinzl]

Ach ja, geht denn Bitlocker erst in Win 10? Ich hab hier Win 7.

Für BitLocker gelten die folgenden Hardware- und Softwareanforderungen:
Ein Computer unter Windows 7 Enterprise, Windows 7 Ultimate oder Windows Server 2008 R2.

 

[Finki]

Danke. Dann fällt Bitlocker bei mir mit Win 7 Pro endgültig flach. Win 10 will ich nicht.

Bleibt die Frage, ob DC dennoch eine gute Wahl ist. Wie ist denn Eure Erfahrung damit?

Truecrypt wird zwar auch schon lange nicht mehr weiterentwickelt und tut bei mir ja immer noch zuverlässig, aber irgendwie hab ich ein ungutes Gefühl mit DC, schon gleich bei der Neuinstallation auf ein so "altes" Programm zurückzugreifen, wo sich womöglich nichts mehr tut und es bei Problemen womöglich keine Hilfe gibt.

Gibt es überhaupt noch andere Alternativen?

 

[Holt]

Dann ist die CPU die ganze Zeit nur Idle, denn der i3-2100T hat ja selbst schon eine TDP von 35W und im Idle wäre auch jede andere CPU ähnlich sparsam, da geben sich die T gegenüber den anderen CPUs nichts.

 

[Finki]

Dann ist die CPU die ganze Zeit nur Idle, denn der i3-2100T hat ja selbst schon eine TDP von 35W und im Idle wäre auch jede andere CPU ähnlich sparsam, da geben sich die T gegenüber den anderen CPUs nichts.

Das kann schon sein, ich hab ja gesagt, wozu der Rechner dient. Natürlich könnte ich die CPU auch tauschen, vielleicht kennst Du einen der kleinsten i5 mit AES, der auf den Sockel passt und der als Schnäppchen zu haben ist? Damit wäre die Performance-Frage dann natürlich erledigt.

 

[Gelöschtes Mitglied 172838]

Also mehr Performance auf jeden Fall, weil als BitLocker eDrive die SSD die eigene eingebaute Verschlüsselung der SSD benutzt und damit überhaupt keine Systemressourcen mehr verbraucht.

Das funktioniert aber mit dem alten Sandy Board nicht. Aber auch sonst ist Bitlocker nicht schlecht. Mit aktuellen CPUs hat man auch keine Performanceeinbußen mehr, zumindest mit einer CPU, die AES-NI unterstützt.

 

[Finki]

Das funktioniert aber mit dem alten Sandy Board nicht.

Ist mein MSI ein "Sandy"-Board? Bringt mir aber eh nichts, da ich ja nur Win 7 Pro habe und Bitlocker somit ausfällt.

 

[Finki]

Ich weiß, dass ich Win 10 Pro bekommen könnte, aber ich will es wie gesagt nicht, genau deswegen, was Du schreibst: Privacy Desaster.

Daher ja meine ganz zu Beginn beschriebenen Anforderungen. Ich bin nur leider immer noch nicht schlauer bezüglich DC. Nutzt das überhaupt jemand unter Win 7?

 

[Gelöschtes Mitglied 172838]

Scheint niemand zu lesen, was ich hier schreibe... und Sandy hat genau was damit zu tun? Nichts.

Wenn man halt mit Halbwissen um sich wirft... eDrive geht nicht mit Sandy Bridge Boards.

@ TE

Du könntest dir auch einfach Windows 7 Ultimate besorgen. Das bekommt man doch sicher für ein paar Euro hinterher geworfen.
Ansonsten halt Windows 10. Das wäre das einfachste. Oder Windows 8.1 Pro. Aber dann doch eher Windows 7 Ultimate.

Zu DC kann ich dir nichts sagen. Ich nutze seit einigen Jahren halt BitLocker. Und das funktioniert gut.

 

[Finki]

Danke justINcase. Du meinst, ich könnte mit meinem Board und der Evo 850 Bitlocker unter Win 7 Ultimate verwenden und damit die CPU entlasten? Es wäre wegen der Unsicherheit bezüglich DC vielleicht schon eine Idee, aber ich habe bei Bitlocker kein so gutes Gefühl.

Ist das denn insgesamt dann wirklich sicher? Gibt es denn nicht gleich 2 potenzielle Lücken, einmal Microsoft und einmal Samsung, weil ich jeweils deren Sicherheitssystemen vertrauen müsste? Nutzt Du das so?

 

[Finki]

Sorry, ich komm langsam wirklich nicht mehr mit: Könnte ich denn nun mit meinem Board Bitlocker nutzen?

Wäre das die beste Wahl, auch hinsichtlich der Sicherheit, oder ist DC doch eher der Vorzug zu lassen?

Und was bedeutet "überraschend, wie schnell BitLocker ohne ein eDrive zu sein in meinem System unter Win10 war"? Ginge das bei mir mit Win 7 Ultimate?

Vielen Dank.

 

[Finki]

Sagen wir mal so: Mein System ist jetzt durchaus nutzbar, wenn auch der Start immer arg lang dauert und manche Dinge zwischendrin auch. Ich habe über Widgets die CPU- und HDD-Aktivität ständig im Auge und sehe, dass die CPU praktisch nie 100% hat, während meine Platte durchaus immer wieder für Minuten am Anschlag ist, was dann alles blockiert.

Beim Umstieg auf SSD würde sich dieser Flaschenhals mit Sicherheit beseitigen lassen und die CPU könnte vielleicht mal etwas mehr gefordert sein. Aber da ich ja jetzt schon TC nutze und DC schneller ist, sollte ich auf jeden Fall einen deutlichen Gewinn bekommen.

Meine Frage ist hier nur noch: Sollte ich auf DC setzen? Wird das Tool noch weiterentwickelt und wie zuverlässig läuft das? Das ist hier meine größte Sorge.

 

[Finki]

Dann werde ich das wohl so machen, etwas Besseres fand ich bisher nicht.

Falls MS mit Win 11 seine Spitzelei einstellt, denk ich dann vielleicht nochmal über Bitlocker nach. Aber es ist kaum davon auszugehen, dass die bei Bitlocker weniger Bugs und absichtliche Lücken haben als bei allem anderen, was sie so fabrizieren.

Sofern ich meine CPU gegen einen i5 mit AES-NI austausche, müsste doch DC noch mal einen Zahn zulegen, oder? Was könnte ich denn da nehmen passend zu meinem Board? Ich kenn mich da aktuell überhaupt nicht aus.

 

[Finki]

Du meinst in Bezug auf eine AES-CPU? Warum bringt das nichts?

 

[musschrott]

Weil du nicht soviel schreibst, als dass es einen wirklich großen Unterschied macht. Aktuell wird deine Festplatte einfach alles lahm legen, weil der I/O Durchsatz so langsam ist - insbesondere falls sie schon lang im Gebrauch, voll und/oder mit virtuellen Maschinen betrieben wird.

Grundsätzlich würde ich als Bürorechner und zum Stromsparen allerdings immer ein kleines Business-Notebook empfehlen. Das kann man ggf. mal in ein Meeting/zum Kunden mitnehmen und die Geräte sind von den Komponenten her aufeinander und zum Stromsparen abgerichtet. Die Business Varianten haben in der Regel auch eine ausgezeichnete Haltbarkeit was die verwendeten Materialen angeht. Ich finde z.B. das HP 2560P/2570P super, weil man in die 12,5 Zoll Geräte zwei Notebook-Laufwerke (= bis zu 4TB Speicher) und bis zu 16GB Ram unterbringen kann.

Aber das war nicht wirklich deine Frage. Im laufenden Betrieb mit Win7 hatte ich bisher eigentlich keine Probleme mit DC. Probleme ergaben sich allerdings beim Laufwerk Clonen (da gibts dann ein Bluescreen nach dem Booten des gespiegelten Systems).

 

[Finki]

Inzwischen läuft meine SSD soweit und ist auch mit Diskcryptor verschlüsselt. Nun habe ich aber das akute Problem, dass mein Backup Macrium Reflect V5 nicht mehr läuft. Hatte ich noch nie Probleme mit. Aber ein Diskimage bringt diese Meldung und bricht zu Beginn ab:

Error reading volume bitmap - Error code = 1. Please run 'chkdsk /f'

chkdsk bringt aber nichts und im dortigen Forum gibt's keine Lösung. Bevor ich nun ewig daran rummache - ich brauche unbedingt eine Sicherung, sonst schlaf ich nicht mehr gut: Was könnt Ihr mir empfehlen als Backup-Programm, welches mit Diskcryptor und einem SSD-Diskimage funktioniert?

Mit Acronis True Image habe ich extrem schlechte Erfahrungen gemacht, Reflect dagegen lief immer super, schnell und kann alles, was ich brauche (Diskimaging mit Mounten der Sicherung und Einzeldateienzugriff, AES-Verschlüsselung der Sicherung). Solange ich nicht weiß, wie ich das Problem lösen kann und welche Alternative brauchbar ist, will ich aber nichts Kostenpflichtiges, damit ich das erst mal ausprobieren kann. Vielen Dank.

 

[Holt]

Kannst Du mit Macrium Reflect V5 nicht einfach ein 1:1 RAW-Image erstellen? Das Problem dürfte sein, dass die normalen Backupprogramme auch bei Erstellen von Images immer analysieren welche Cluster belegt sind um nur die zu kopieren und genau das steht ja in der Bitmap, die aber wohl wegen der Schlüsselung für das Tool nicht lesbar oder wirklich korrupt ist.

 

[Finki]

Danke. Das könnte vielleicht sein, diese Einstellung habe ich gesehen und so eingestellt, dass nur belegte Sektoren gesichert werden. Das Problem ist halt, dass aufgrund der Vollverschlüsselung des SSD das Backup dann riesig groß wird, da es nicht komprimiert werden kann und ich diese 250 GB über ein WLAN transportieren muss zum NAS. Das würde 6 Stunden dauern statt 1,5 und meine Backupplatte reicht dann nicht mehr für 2 Vollbackups + Inkrementelle.

Mit Truecrypt hatte das allerdings immer tadellos funktioniert. Wie kann das sein?

- - - Updated - - -

chkdsk /f brachte mir vorhin keine Fehler. Da kann die Bitmap doch eigentlich nicht kaputt sein.

- - - Updated - - -

Aber noch ne Frage: Die Bitmap ist doch für Reflect gar nicht verschlüsselt, da ja Diskcryptor quasi der SSD-Treiber ist. Für Windows und alle Programme erscheint die SSD doch gar nicht verschlüsselt, weshalb ja auch Reflect mit Truecrypt immer lief.

Allerdings ist es so, dass mein Backup gestern, als die Platte noch unverschlüsselt war, problemlos lief und heute nach der Verschlüsselung eben nicht mehr. Da besteht offenbar ein Konflikt zwischen Diskcryptor und Reflect im Gegensatz zu Truecrypt.

Wenn das so ist, brauch ich wohl eine andere Backuplösung. Welche nutzt Du denn mit Diskcryptor?

 

[walross]

Vorweg, ich habe absolut keine Erfahrung mit verschlüsselten Systemplatten. Für die Datensicherung meines Systems und der Systeme, welche ich betreue, nutze ich drivesnapsot (Drive Snapshot - Disk Image Backup & Disaster Recovery for Windows NT/2000/XP/2003 Server/X64). Man kann sich eine voll funktionsfähige "Demoversion" herunterladen, welche etwa einen Monat läuft. Nach Ablauf des Testzeitraums ist es nicht mehr möglich, neue Sicherungen zu erstellen. Eine Rücksicherung bzw. Mounten des Images (um einzelne Dateien daraus zu extrahieren) ist nach Ablauf des Testzeitraums möglich. Die Software läuft auch unter der Windows-PE-Umgebung einer Vista...Win10-Installations-DVD und läßt sich neben dem GUI vollständig per Kommandozeile bedienen (eignet sich also perfekt zur Einbindung in selbstgeschriebene Scripte). Sicherungen können im laufenden Betrieb erstellt, Rücksicherungen angeschoben und die Images verschlüsselt werden. Die Software hat ein paar kleinere Einschränkungen gegenüber Acronis TrueImage o.ä. (offensichtlich aufgrund ihrer Größe - die Software besteht lediglich aus einem knapp 400kb großen .exe-file), damit konnte ich aber bisher sehr gut leben.
Wenn du das mal testen möchtest, ich wäre sehr an einer Rückmeldung bezüglich Eignung der Sicherung verschlüsselter Systempartitionen/-laufwerke interessiert.

Gruß, walross

 

[Holt]

Die Bitmap ist doch für Reflect gar nicht verschlüsselt, da ja Diskcryptor quasi der SSD-Treiber ist.

Dann verhindert es offenbar die Low-Level Zugriffen die Reflect vermutlich mach um die Bitmap auszulesen. Damit könnte man die Verschlüsselung vermutlich auch leichter knacken, weil man dann nämlich die verschlüsselten mit den unverschlüsselten Daten direkt vergleichen kann. Das kannst Du mit dem AS-SSD Benchmark mal testen, es reicht die Zugriffzeiten zu ermitteln und wenn meine Vermutung mit dem Verhindern von Low-Level Zugriffen stimmt, dann bekommst Du beim Versuch die Zugriffszeit lesend zu Ermitteln eine Fehlermeldung die was mit dem PhysialDevice zu tun hat, denn nur den Test man auch AS-SSD mit Low-Level Zugriffen.

 

[Finki]

Heute habe ich eine gebrauchte i5-CPU mit AES eingebaut. Mit Diskcryptor hatte ich im Samsung-Programm mit meiner alten i3-CPU nur noch die Hälfte des Durchsatzes, etwa 250 MB/s erreicht, ohne waren es soviel wie Samsung behauptete, gut über 500.

Jetzt mit der AES-CPU bin ich praktisch wieder bei den Werten vor der Verschlüsselung. So ist das genial.


Mit dem Backup bin ich leider noch nicht weiter. Habe 5 oder mehr Programme probiert, alles irgendwie Schrott, mal keine Backup-Verschlüsselung, obwohl es angeblich geht, dann die mit Diskcryptor verschlüsselte SSD nicht lesbar oder sonstwas. Das Einzige, was sofort lief, war Snapshot. Das hat jedoch 2 Nachteile: Es kann nur Images und kein Ordner-Backup und es ist dafür meiner Ansicht nach mit 40 € zu teuer. Ich will nicht lauter verschiedene Programme fürs Backup haben, das gibt nur Chaos.

Es muss doch bei dieser enormen Auswahl ein Backup-Programm geben, was mit Diskcryptor klarkommt, Images und Ordner kann und preislich erschwinglich ist. Ich fand ja Reflect immer super, aber jetzt bin ich enttäuscht.