Full disk encryption - Win10 / Debian auf 2 Samsung EVO 850 - self-encrypting device?

​Hallo!

Ich will mir ein Dual-Boot System mit Windows 10 und Debian erstellen.
Für die Betriebsysteme stehen jeweils eine Samsung EVO 850 mit 500GB zur Verfügung, also insgesammt zwei Stück.

Um zwischen den beiden Betriebsystemen zu wechseln, würde ich gerne einfach im Boot Menu (F12) eine der beiden Festplatten als Boot Device auswählen, also ich brauche keinen Bootloader der beide Betriebssysteme erfasst oder so...

Und ich würde gerne die eingebaute hardware-seitige Verschlüsselung der EVO 850 verwenden.

Jetzt frage ich mich halt wie ich das am besten angehe...
Ich habe mich die letzten paar Stunden zu dem Thema eingelesen aber wurde noch immer nicht ganz schlau, und habe auch teils widersprüchliches gelesen.

Ich glaube (!) mein Mainboard (Gigabyte H97-D3H) unterstützt pre-boot authentication (PBA) nicht, ich kann im BIOS/UEFI kein ATA-Passwort vergeben, nur ein Passwort für das BIOS/UEFI selbst, einmal für den Administrator und einmal für den User (warum das? warum Admin & User? Gibt es vielleicht doch soetwas wie ein ATA-Passwort beim H97-D3H?).
Soweit ich gelesen habe unterstützen die meisten Mainboards für Desktop-PC's diese PBA nicht, meist nur Laptops. Stimmt das?
In Samsung Magician (SSD Programm von Samsung für Windows) gibt es unter Data Security drei Sicherheitsmodi - Class 0, TCG Opal und Encrypted Drive.

Class 0 = ATA Security / ATA-password --> pre-boot authentication
Funktioniert wirklich selbstständig (nur passendes MB das es supportet und SSD sind von nöten), auch der MBR ist verschlüsselt, also wirklich pre-boot authentication, oder?

TCG Opal = Keine Ahnung was das genau ist.
In der Info steht "Der Sicherheitsmodus kann mithilfe von spezieller Software geändert werden, deren Aufgabe der Schutz von Benutzerdaten auf dem Speichergerät ist."
"TCG Opal kann nur unter Verwendung spezieller Sicherheitssoftware aktiviert/deaktiviert werden.

Encrypted Drive = Damit ist bei Samsung Magician einfach die Full Disk Encryption von Bitlocker gemeint?

Ist bei TCG Opal vielleicht gemeint, dass es auch Programme wie Bitlocker oder bspw. VeraCrypt benötigt, also der MBR nicht verschlüsselt ist und vor dem Systemstart halt eben an BitLocker/VeraCrypt weiterleitet, die Verschlüsselung jedoch auf "Hardware-Ebene" passiert?

Und bei Encrypted Drive faktisch alles auf "Software-Ebene" passiert?

Oder wie ist das zu verstehen?

​Und was würdet ihr mir empfehlen, für mein Vorhaben?

Was spricht gegen Veracrypt und LUKS?

Eigentlich nichts, bzw. müsste ich mich genauer damit befassen (zwei kleine Fragen: ist VeraCrypt / LUKs nicht langsamer als die hardware-seitige Verschlüsselung? Oder Arbeiten die Programme mit der hardware-seitigen Verschlüsselung?)
Trotzdem würde ich gerne wissen was es mit Class 0, TCG Opal und Encrypted Drive bei Samsung Magician zu tun hat, und ob ich den Rest den geschrieben habe, auch stimmt, heißt ob ich es richtig verstanden habe...

VeraCrypt / LUKs nutzen die CPU zur Verschlüssleung. Sofern die CPU AES-NI unterstützt und Du AES zur Verschlüsselung verwendest, wirst Du keinen wikrlichen Unterschied in der Geschwindigkeit merken, ob mit CPU verschlüsselt wird oder die SSD das übernimmt.

Es macht eigentlich keinen Sinn ein Self Encrypting Drive nochmal softwareseitig mit Vercrypt zu verschlüsseln, außer man traut der Hardware-Verschlüsselung nicht.

Wichtig ist für dich nur das Encrypted Drive, da dein Mainboard wie viele andere das ATA-Passwort nicht unterstützt. Es ist auch nicht mehr nötig. Wenn du bei Samsung Magican das Encrypted Drive aktivierst, kannst du die Hardwareverschlüsselung der SSD nutzen. Allerdings musst du dann nach dem Aktivieren einen Secure Erase durchführen, das heisst alle Daten auf der SSD werden "gelöscht".

Nach dem Secure Erase installierst du Windows ganz normal neu und aktivierst mit einem Rechtsklick auf die C-Partition Bitlocker.

Genaueres hier: https://www.computerbase.de/forum/t...mit-bitlocker-aber-wie.1497534/#post-18724039