Backup einer mit TrueCrypt verschlüsselten System SSD?

Wie gesagt, Holt, mit Easeus Disk Copy habe ich das erfolgreich gemacht, auch die Rücksicherung. Ich bin so ein Freak, der alle paar Monate sein System zurücksetzt. ;-) Wer sich mit Linux zurechtfindet, schafft das sicher auch mit Deiner Methode, ich für meinen Teil ziehe eine grafische Benutzeroberfläche vor. Mich in GRUB und SYSLINUX für meinen Boot-Stick einzuarbeiten war Aufwand genug, GParted bekomme ich auch noch hin, aber dann erschöpft sich mein Linux-Know-how. Ein CD-Image zu brennen und zu starten ist für Laien einfacher.
 
Hallo zusammen,

ich habe mich nochmals intensiv mit dem Thema beschäftigt und möchte allen Interessierten meine Erfahrungen mitteilen. Zwei grundsätzliche Wege sind möglich, eine TrueCrypt-Systempartition zu sichern:

1. kompletter Klon der verschlüsselten Festplatte

2. Sicherung der Daten der verschlüsselten Systempartition


Zu 1.

Die erste Methode eignet sich, um das System komplett auf eine frische Platte zu spiegeln, also eine Platte, auf der das zu kopierende System bisher noch nicht drauf war. Dabei werden auch der TrueCrypt-Bootloader und und der TrueCrypt-Header der Platte mit gesichert, also ein 1:1-Abbild. TrueCrypt empfiehlt diese Methode nicht für sensible Daten, da die Existenz eines identischen Klons die Angreifbarkeit der Verschlüsselung erhöht. Das ist jedoch die einzige Methode, um sofort ein lauffähiges Abbild zu bekommen. Um dies umzusetzen, habe ich nach kostenlosen Möglichkeiten gesucht.

a) Zuerst habe ich Clonezilla probiert, was bei mir aber in den Standardeinstellungen nicht zum Ziel geführt hat. Der Klon war nicht lauffähig. Clonezilla bietet eine Fülle an Optionen, die in der richtigen Kombination sicherlich eine passende Möglichkeit bieten, da ich mich damit aber zu wenig auskenne, musste ich das verwerfen.

b) Eine zweite Möglichkeit wäre - ebenfalls unter Linux (Live-CD/-Stick) - der dd-Befehl. Auch dieser bietet dem Insider eine Menge Möglichkeiten, den Laien verwirrt er aber nur und birgt erhebliches Gefahrenpotential.

c) Dann bin ich auf Easeus Disk Copy gestoßen, welches ebenfalls auf einer Linux-Live-CD zu basieren scheint, jedoch in wenigen, einfach zu verstehenden Schritten ohne großes Tamtam eine lauffähige Kopie der TrueCrypt-Systemplatte anlegt (Kopie der gesamten Disk). Es arbeitet außerdem deutlich schneller als dd (möglicherweise abhängig von dessen weiteren Optionen).

Zu beachten wäre dabei noch, dass der Zieldatenträger größer sein muss als die Quellpartition, oder genauer gesagt, das Ende der Quellpartition muss an einer Stelle liegen, die auf dem Zieldatenträger noch vorhanden ist. So ist es beispielsweise möglich, eine System-SSD mit 64GB, die eine verschlüsselte Systempartition von 55GiB enthält, auf eine 500GB-Festplatte zu kopieren (deren übriger Platz wäre dann nicht nutzbar!) und auf gleiche Weise auch wieder zurückzuschreiben. Dabei würde Easeus Disk Copy die Warnung ausgeben, dass der Speicherplatz des Ziellaufwerks nicht reicht (500GB>64GB), was man aber ignorieren kann, da ja nur 55GiB davon genutzt sind. Es ist tatsächlich so, dass sich die Nutzdaten ganz brav am Anfang des Datenträgers befinden und dahinter der nicht zugewiesene Bereich, so, wie es in der Grafik des Programms dargestellt wird. So lange auf dem Zieldatenträger hinter der Partition noch freier Platz übrig bleibt, geht alles klar.

Aus eigener Erfahrung muss ich jedoch anfügen, dass es sich lohnt, das Image auf korrekten Start zu überprüfen. Ich hatte bislang einmal den Fall, dass der Klon nicht lief, weil Windows 7 nach dem ordnungsgemäßen Start von TrueCrypt und der Eingabe des richtigen Passworts beim Start fehlende Hardware bemängelte. Die Daten an sich waren jedoch alle einwandfrei auf dem Klon vorhanden, ich konnte sie mit einem geeigneten Live-System und TrueCrypt extrahieren und dadurch ein wieder lauffähiges, jedoch unverschlüsseltes System erstellen, welches ich dann nur erneut verschlüsseln musste/konnte. Eigentlicher Sinn des Ganzen ist ja aber, sofort ein lauffähiges System zu bekommen. Normalerweise klappt das auch, ich konnte nicht nachvollziehen, warum es das eine Mal nicht funktioniert hat.


Zu 2.

Die zweite Möglichkeit sieht vor, die verschlüsselte Systemplatte in einem Live-System (Linux oder Windows PE) zu mounten (Systempartition ohne Pre-Boot-Authentifikation einbinden) und auf Dateiebene ein Image zu erstellen, welches dann wiederum auf einem anderen Datenträger (der idealerweise natürlich auch verschlüsselt sein sollte) abgelegt wird. Diese Methode eignet sich nur dazu, ein Image als Backup zu haben, nicht jedoch für den Umzug auf eine andere Festplatte ohne weitere Arbeiten. Die Wiederherstellung des Images klappt unter Beibehaltung der Verschlüsselung nur auf den Originaldatenträger, da der TrueCrypt-Bootloader und der TrueCrypt-Header der Partition schon vorhanden sein müssen. Fehlen diese, muss man bei der Rücksicherung zunächst eine unverschlüsselte Partition ausreichender Größe erstellen, die Daten dorthin übertragen, dann mit dem Windows-Installations- oder Reparaturdatenträger über die Systemreparatur die Bootfähigkeit wiederherstellen und zuletzt das System wieder neu verschlüsseln. Oft will man sich das nicht antun, aber für den absoluten Notfall ist auch das machbar. Vorteil ist, dass nur der tatsächlich genutzte Speicherplatz - gegebenenfalls sogar weiter reduziert durch Image-Komprimierung - zur Sicherung benötigt wird und man auf dem Backup-Datenträger mehrere Images und weitere Daten unterbringen kann.

a) Früher habe ich ein solches Image-Backup mit DriveImage XML gemacht. Dieses erfordert ein Windows-PE-System, hat eine übersichtliche Oberfläche und legt die Daten transparent archiviert ab, so dass notfalls sogar einzelnde Dateien aus dem Image extrahiert werden können. Es hat jedoch - wie ich feststellen musste - zwei entscheidende Nachteile. Eine Wiederherstellung des Systems auf eine verschlüsselte Partiton ist nicht möglich. DriveImage XML umgeht bei der Wiederherstellung den Explorer und auch den TrueCrypt-Treiber, meldet die Zielpartition aus Windows und TrueCrypt ab, formatiert die Partition neu und schreibt direkt darauf. Man erhält auf diese Weise ein unverschlüsseltes System, welches mit der Windows-Reparatur-CD erst wieder bootfähig gemacht und neu verschlüsselt werden muss (s. o.). Der zweite Nachteil ist, dass die Geschwindigkeit und die Kompression von DriveImage XML nicht allzu gut sind, zumindest lange nicht so gut wie bei der nächsten Variante.

b) Etwas weniger komfortabel, dafür erheblich schneller und besser ist es, das Tool "DISM" zu nutzen, welches Bestandteil von Windows 8 ist. Ich habe mir einen Notfall-Datenträger mit Win8PE SE erstellt und darin auch TrueCrypt eingebunden. Die Windows-8-Basis hat den Vorteil, von Haus aus SATA-AHCI, USB 3.0 und Festplatten mit 3TB+ zu unterstützen. Ansonsten wäre theoretisch ein ähnlicher Weg auch mit einem Windows PE auf XP-, Vista- oder 7-Basis und dem DISM-Vorgänger ImageX möglich, welcher Bestandteil des WAIK ist.

DISM ist ein Kommandozeilentool, als solches sehr mächtig und automatisierbar (Batch), aber auch etwas frickelig in der Handhabung. Die Windows-Umgebung ist mir aber vertrauter als Linux, weshalb ich da weniger Probleme habe. Es gibt für DISM auch mehrere GUIs von Drittanbietern, die jedoch Java und/oder .NET benötigen, welche auf einem PE-System von Haus aus nicht vorhanden sind und das Notfallsystem auch nur unnötig aufblähen würden. Die Befehlsreferenz von DISM ist entweder mit dism /? direkt in der Kommandozeile ersichtlich oder im Microsoft Technet nachzulesen. Ein typisches Beispiel für ein Systembackup sähe so aus:

dism /capture-image /imagefile:E:\Backup.wim /capturedir:C:\ /name:Windows7 /compress:max

Die Wiederherstellung ergäbe sich dann:

dism /apply-image /imagefile:E:\Backup.wim /applydir:C:\

Die Pfade sind natürlich abhängig von den tatsächlichen Gegebenheiten.

Mit der Option Compress kann die Stärke der Datenkompression des Images angegeben werden: none, fast und max. Darin gleicht DISM DriveImage XML. Jetzt jedoch kommt der entscheidende Vorteil von DISM gegenüber DriveImage XML zum Tragen: DISM arbeitet erheblich schneller und komprimiert dabei besser. Das Image meiner 12,4GiB großen Windows-7-Installation (komplettes System inkl. Treibern, Programmen und Auslagerungsdatei, also wirklich allem, was auf C: drauf ist) bleibt ohne Kompression in DI XML genauso groß und wird in 6 Minuten erstellt. Mit schneller Kompression dauert das Ganze 9 Minuten, und es bleiben immer noch knapp 10GiB Imagegröße übrig. Mit maximaler Kompression dauert der Vorgang ganze 23 Minuten (Phenom II X4 3,5GHz), die Imagegröße beträgt 5,7GiB. Mit DISM sieht das dann so aus: 5min/10,3GiB, 8min/5,0GiB, 8min/4,6GiB. DI XML lastet meine 4-Kern-CPU nie voll aus, DISM bei mittlerer Kompression auch nicht. Erst DISM mit maximaler Kompression nutzt alle 4 Kerne zu 100%, was die praktisch gleiche Verarbeitungszeit wie bei mittlerer Kompression erklärt, der Gewinn an Kompression ist aber mit nicht einmal 10% auch recht gering. Wer eine schwächere CPU hat, fährt mit der Standardeinstellung "fast" (die Option compress kann dann ganz weggelassen werden) sicher gut genug, ab 4x 3,5GHz schadet die maximale Kompression aber nicht, bei einer stärkeren CPU könnte sie vermutlich sogar schneller sein. Vermutlich kommen nicht unterschiedliche Kompressionsstufen, sondern komplett verschiedene Verfahren zum Einsatz, und das stärkere nutzt die Hardware besser aus. Weiterer Vorteil von DISM gegenüber DriveImage XML ist, dass die Wiederherstellung des Images innerhalb des gemounteten TrueCrypt-Systemvolumes erfolgen kann. Es kann also eine TrueCrypt-Systempartition ohne eine zeit- und datenträgerraubende Sektorkopie gesichert und auch wiederhergestellt werden. Wie gesagt, das ist nur bei der Wiederherstellung auf den Ursprungsdatenträger möglich, nicht beim Umzug auf einen neuen.

DISM legt die Daten in WIM-Archiven ab, welche mit einem Packprogramm (z. B. 7-Zip) geöffnet werden können. So lassen sich nötigenfalls auch einzelne Dateien daraus extrahieren.

Nachtrag: Weiterer Vorteil von DISM gegenüber DriveImage XML ist, dass das Image auch auf eine Partition wiederhergestellt werden kann, die kleiner ist als die Ursprungspartiton, so lange sie groß genug für die tatsächlich vorhandene Datenmenge ist.

Fazit: Um mit einem TrueCrypt-verschlüsselten System ohne großen Ärger auf eine andere Festplatte umzuziehen, eignet sich Easeus Disk Copy hervorragend. Für ein regelmäßiges Backup und gegebenenfalls eine Wiederherstellung auf den Ursprungsdatenträger hingegen ist die Kombination aus Windows 8 PE mit TrueCrypt und DISM das ideale Werkzeug, und im Notfall kann mit diesem Backup auch auf einen anderen Datenträger umgezogen werden, wobei dann jedoch zusätzlich noch eine Systemreparatur und eine Neuverschlüsselung nötig wären.

Grüße,
Thomas
 
Zuletzt bearbeitet:
Hallo Thommy,

ich habe bisher zum clonen meiner System-Festplatte auch immer Easeus Disk Copy benutzt. Ich habe die interne Desktop Festplatte 1:1 auf eine externe Festplatte geclont. Die externe Festplatte ließ sich immer ohne Probleme booten.

Jetzt habe ich mir eine Samsung SSD gekauft und Windows 7 darauf installiert. Jetzt wollte ich mit dem gleichen Tool von der SSD auf die externe Fesplatte sichern. Das klonen lief auch an, jedoch sehr langsam, teilweise nur 5MB/Minute. Ich habe dann abgebrochen. Welche Transferraten hast du für die Sicherung SSD auf HDD? Habe ich zu früh abgebrochen und die Transferraten normalisieren sich später?

Dann habe ich es mit einem andern Tool von Easeus versucht: Todo Backup Home. Auch dieses Tool läßt sich als Linux Version booten, schafft es aber anscheinend nicht, ein 1:1 Clon herzustellen. Der Windows Bootloader lädt nicht vom Clon.

Ich werde es jetzt noch einmal mit Easeus Disk Copy versuchen, ich habe Version 2.3.1, welche Version hast du benutzt?
 
Ich nutze auch diese Version und hatte bis auf eine einzige, nicht erklär- oder reproduzierbare Ausnahme noch nie Probleme damit. Ich habe bislang verschlüsselte Windowsinstallationen und auch eine Multi-Boot-Installation mit verschlüsseltem Windows und verschlüsseltem Linux zwischen HDDs und SSDs in allen denkbaren Kombinationen geklont, alles problemlos. Letztens habe ich sogar über die Funktion "Partition Copy" nur die verschlüsselte Linux-Partition geklont, auch das ohne Probleme. Die Datentransferraten lagen über die gesamte Kapazität gesehen zwischen 30 und knapp 150 MB/s, also etwa zwischen 1,8 und 9 GB/min. Meist ist es so, dass die Geschwindigkeit ganz am Anfang noch etwas höher liegt und sich dann auf ein niedrigeres, aber stabiles Niveau einpegelt.

In seltenen Fällen hatte ich auch schon ganz langsame Kopiervorgänge, was an einer schon nicht mehr ganz astreinen HDD lag. Wenn da manche Sektoren schon recht schwach sind, kann der Kopiervorgang sich an diesen Stellen arg in die Länge ziehen. Ich würde dir empfehlen, die HDD mal einem Oberflächenscan zu unterziehen. Wenn du die Platte extern angeschlossen hast, können aber auch fehlerhafte Kabel, Steckverbindungen oder ein mieser USB-Controller die Ursache sein. Ich habe in meinem PC mehrere Festplatten-Wechselrahmen, so dass ich die Platten über die native SATA-Anbindung klonen kann. Das macht am wenigsten Probleme.
 
Hallo Thommy,

ich vermute auch, dass es die Festplatte ist. Ich habe es noch einmal versucht, und Disk Copy hat nach ca. 3 Minuten abgebrochen mit der Meldung "Destination Disk not accessable" oder so ähnlich.

Die Festplatte hat auch Probleme im Windowsbetrieb erkannt zu werden, zumindest über esata. Da ich leider auf esata angewiesen bin (da meine USB 3.0 Pcie Erweiterungskarte nicht bootfähig ist) muß ich mich nach einer anderen externen esata Festplatte umsehen. Gar nicht mehr so einfach, die etablierten Herstellter bieten nur noch USB 3.0 an und es bleiben nur Reseller wie Fantec. Die defekte Festplatte ist übrigens auch von Fantec. Naja, ich werde berichten, wie es ausgegangen ist.
 
Irgendwie bringst du da was durcheinander. Warum willst du von der externen Festplatte booten? Und was hindert dich daran, eine USB-3.0-Festplatte an USB 2.0 anzuschließen?
 
ThommyDD schrieb:
Irgendwie bringst du da was durcheinander. Warum willst du von der externen Festplatte booten?

Das booten von der externen Festplatte ist ein Backup-Test. Wenn die SSD mit der Windows Systempartition ausfällt, möchte ich gleich mit dem Backup auf der externen Festplatte weitermachen können.

ThommyDD schrieb:
Und was hindert dich daran, eine USB-3.0-Festplatte an USB 2.0 anzuschließen?
Die Datenrate, USB 2.0 ist schnarchlangsam im Vergleich zu esata oder USB 3.0, und 256GB mit USB 2.0 1:1 zu clonen ist nicht besonders lustig.
Mein Motherboard hat von Haus aus kein USB 3.0 und die USB 3.0 Pci Express Erweiterungskarte funktioniert nur im laufenden Windowsbetrieb kann ich also nicht fürs clonen benutzen
 
wo_dsl schrieb:
Gar nicht mehr so einfach, die etablierten Herstellter bieten nur noch USB 3.0 an und es bleiben nur Reseller wie Fantec.

Ich kann dir dieses Gehäuse hier sehr emfpehlen.

Hat eSATA und USB 3.0, ist sehr hochwertig verarbeitet, sieht gut aus, und kühlt auch angemessen die Platten.
Die Fantecs mit USB 3.0 und eSATA grillen dir die Platten, weil sie innen auf Kunststoff verschraubt sind - bestens wärmeisoliert!
 
highks schrieb:
Ich kann dir dieses Gehäuse hier sehr emfpehlen.

Hat eSATA und USB 3.0, ist sehr hochwertig verarbeitet, sieht gut aus, und kühlt auch angemessen die Platten.
Die Fantecs mit USB 3.0 und eSATA grillen dir die Platten, weil sie innen auf Kunststoff verschraubt sind - bestens wärmeisoliert!

Hallo,
danke für den Tipp, habe schon ein Anker Gehäuse bestellt http://www.amazon.de/Externes-Festplattengehäuse-Enclosure-Werkzeuglose-Installation/dp/B0092Y4FC4 , wenn es das nicht tut, werde ich das Cremax testen. Aber von Fantec bin ich wirklich erst einmal geheilt, bin aber erst später auf die Idee gekommen, das es ja auch ein interne Festplatte + esata Gehäuse tut. Das Anker hat jetzt zusätzlich auch noch USB 3.0 wenn ich später mal einen Rechner mit nativer USB 3.0 Unterstützung habe.
 
ThommyDD schrieb:
Ich würde dir empfehlen, die HDD mal einem Oberflächenscan zu unterziehen. Wenn du die Platte extern angeschlossen hast, können aber auch fehlerhafte Kabel, Steckverbindungen oder ein mieser USB-Controller die Ursache sein. Ich habe in meinem PC mehrere Festplatten-Wechselrahmen, so dass ich die Platten über die native SATA-Anbindung klonen kann. Das macht am wenigsten Probleme.

Es war tatsächlich die Festpallte. Mit der neuen Festplatte klappt das klonen ohne Problem und die externe Festplatte läßt sich ohne Probleme booten. Ich hatte erst die Befürchtung das aufgrund der SSD kein klonen mehr möglich ist, die Befürchtung war zum Glück unbegründet. Zum Glück gibt es Easeus Disk Copy sonst wären Datensicherungen für Truecrpyt vollverschlüsselte Systeme echt ein Krampf.

Die Gesamtdauer für Klonen betrug 80 Minuten bei knapp 240GB, also noch im Rahmen, und deshalb nicht unbedingt eine inkrementielle Datensicherung notwendig, die bei Truecrypt sowieso nur über Umwege möglich ist.
 
Schön, dass es jetzt geklappt hat. Von einer Festplatte kannst du geschwindigkeitsmäßig nicht viel mehr erwarten. Ist eben eine Kostenfrage. Am schnellsten geht natürlich, eine SSD auf SSD zu klonen, aber nur für ein Backup eine SSD zu kaufen lohnt sich nur, wenn man wirklich häufig diese Prozedur macht, und selbst dann muss es eine sehr schreibstarke SSD wie die Samsung 840 Pro sein, die nochmal teurer ist.

Wie schon dargelegt, gibt es diverse Möglichkeiten, auch TrueCrypt-Backups zu machen, aber Easeus Disk Copy ist mit Abstand die einfachste. ISO herunterladen, auf CD brennen (oder mit etwas mehr Aufwand auf einen USB-Stick bringen), booten, ein paar Klicks und fertig. Da braucht man keinerlei Einarbeitung.
 
Zurück
Oben