Bestmögliche und „sichere“ Trennung von zwei Windows 10 Konten / Installationen

[Kiwifloo]

Hallo Zusammen,

ich habe zwar eine Kaufberatung offen, aber dort sind wir in die Richtung abgebogen zunächst mit meiner bestehenden Hardware das umzusetzen, was ich mir vorstelle:

Ich möchte einen Spiele-Rechner auf dem ich überspitzt gesagt quasi jedes noch so zwielichtige Grafikkarten-Hilfsprogramm und jeden Game Launcher installieren (ja, leicht paranoid und für viele wohl gar kein RIsiko, wäre mir aber trotzdem ein Anliegen) kann und einen „sicheren“ privaten Office Rechner für Mails, Onlineshopping, Bank und vielleicht ein bisschen Lightroom.

Kann ich und wenn ja, wie stelle ich die Trennung am Besten dar, ohne mir quasi den kompletten Rechner ein zweites Mal daneben zu stellen oder ein Kabel am Mainboard abzuziehen?

Idee 1: 2 Windows Konten - das für die Games hat keine Admin Rechte
Idee 2: 2 Windows Installationen auf einer oder 2 SSDs
Idee 3: Kann ich für die „sichere“ Seite mit Bitlocker arbeiten, dass die andere Seite das gar nicht sehen kann?

Vielleicht könnt ihr die Ideen beurteilen oder noch eine bessere in den Raum werfen.

Danke und viele Grüße
Flo

 

[Nilson]

Das "sichere" Windows einfach in ne VM packen.

 

[NJay]

Das "sichere" Windows einfach in ne VM packen.

So rum wird das eher nichts. Wenn du dir dann im unsicheren einen keylogger oder screen viewer einfaengst betriffts auch das sichere windows.

Die beste Variante ist hne zweite Installation, verschluesselt. Noch besser als Windows waere hier ein Linux, aber auch ein zweites verschluesseltes Windows erfuellt deine Anforderungen.

 

[Titina]

Nunja wenn man schon so sicher sein will und durchaus etwas paranoid sein will. Dann sollte man gerade Mails und Online Banking/Shopping trennen schliesslich kommen die meisten Viren eher per mal als das ein Game launcher da was ausspioniert.

Daher diese Sachen in eine VM.

 

[BFF]

Wechselrahmen und 2 SSD nutzen.

Dann kann das eine System dem Anderen nix anhaben solange man auch keine weiteren gemeinsamen Datentraeger benutzt.

 

[Tornhoof]

Zwei Festplatten und mechanische Umschaltung, z.b. via Wechselrahmen oder SATA switch (gibts für 5.25" Zoll Schächte)

 

[FranzvonAssisi]

Oder Unraid mit zwei Windows-installationen. Ist auf jeden Fall relativ flexibel und kompfortabel.

Lg

PS: Unraid: https://unraid.net

 

[calippo]

Jupp, Wechselrahmen und zwei SSDs. Die Steckvorgänge von SATA sind zwar limitiert, aber ich habe so ein System seit vielen Jahren im Einsatz, bisher halten die SSDs durch, trotz fast täglicher Nutzung.
Oder man findet einen Rahmen mit Caddy, dann hat man zumindest kein Problem mit der Abnutzung der Kontakte am Datenträger selbst.

 

[Bruzla]

Idee 1: 2 Windows Konten - das für die Games hat keine Admin Rechte

Allgemein sollte man nie ein Adminkonto nutzen sondern nur bei einer UAC Abfrage das Adminkonto verwenden.

Einfach für alles kritische ein Dual-Boot mit Ubuntu? So machen das wohl die meisten.

 

[puri]

Oder das sichere WIndows mit Bitlocker mit der Option über einen externen USB-Stick verschlüsseln. Dann kann man nur auf die "sichere" SSD zugreifen, wenn der USB-Stick steckt.. mit dem internen TPM wird das schwierig, das müsste man ständig ein und ausschalten..

 

[D.M.X]

Ich muss da @Titina recht geben und würde das eher umdrehen. Das "sichere" Windows wäre für mich auch ganz klar das wo ich keine Mails abrufe oder im Netz surfe.

Die anderen Ideen sind auch gut, ich persönlich hätte mir evtl. noch überlegt ob ich das z. B. via Sandboxing lösen kann. Beispielsweise Sandboxie Plus als Programm, alles in eine Sandbox schmeißen was "unsicher" ist, so das es vom Host abgeschottet ist. Vorteile sind auf die schnelle, dass du keine Schalterei hast, jederzeit weitere Sandboxen hinzufügen & löschen sowie diese nach belieben anpassen kannst.

 

[cyberpirate]

Da man am besten überall die 2 Faktor Authentifizierung nutzen sollte muss man da gar nicht so paranoid sein. Es ist wichtiger wie man sich verhält als das man alles auf einem separaten PC macht. Zumindest mache Ich das so. Verschd. Mailkonten zu verschd. Themen. Verschd Banken zu verschd Dingen wie Einkauf oder Kreditkarte.

Und wenn Du sicher sein willst und paranoid bist mach das doch mit einem Live Linux oder Linux auf einem Stick installiert. Aber für Banking reicht ja auch nur ein Live System. So nutzt Du nur einen PC für verschd. Dinge. Wozu da x Windows installieren?

 

[puri]

Diese Überlegungungen hatte ich vor ca. 20 Jahren auch schon (auch wenn es damals weniger technische Möglichkeiten gab, VMWare oder IDE-Wechselrahmen hatte ich damals im Blick). Seit 2003 mache ich es tatsächlich so: Mein "alter" abgelöster PC ist der sichere PC für Banking und Steuer only (und feste Links im Browser, keine anderen Seiten, keine Mails) und mein Neuer/Aktueller PC, ist für alles andere. Hat den Vorteil, dass man auch im Fehlerfall (oder bei Neuinstallation) immer noch einen zweiten PC nebendran stehen hat, um z.B. Dokumente zu erstellen, etc. Allerdings nutze ich den "Sicheren" PC (inzwischen die 4. Generation) kaum noch, weil ich Banking praktisch nur noch übers iPhone (mit TAN-Generator) mache, ist viel praktischer..

 

[Kiwifloo]

Wow. Danke für die vielen und interessanten Antworten.

Ich mache es aktuell ähnlich wie @puri

Meine bisherige Lösung mit dem alten Dell E6230 wurde durch die 2 neuen WQHD Monitore auf meinem Tisch fürs HO torpediert - das Teil kann das nicht...
Gleichzeitig habe ich durch das HO gemerkt wie praktisch diese Bildschirme für manche Sachen sein können...
Aus einer Sicherheitsperspektive heraus ist das iPad da für Mails und Banking sicher der Beste Begleiter - aber halt bei manchen Sachen zu klein.
Gerade steht hier ein M1 Mac mini mit auf dem Tisch - leider macht das im direkten Windows 10 vergleich keinen Spaß was die Schärfe von Schriften angeht.

Deswegen schreibe ich hier.

Rein vom Handling her wäre mir eine verschlüsselte Installation und eine unverschlüsselte am Liebsten.

Die beste Variante ist hne zweite Installation, verschluesselt. Noch besser als Windows waere hier ein Linux, aber auch ein zweites verschluesseltes Windows erfuellt deine Anforderungen.

Wie genau mach ich das?

Einfach für alles kritische ein Dual-Boot mit Ubuntu? So machen das wohl die meisten.

Was genau macht das besser als Win 10?
Für Surfen Mails und KeePass wär es sicher ausreichend.

Ich hab das vorher nicht gesagt - macht bei Verschlüsselung durch iTunes vielleicht auch wenig unterschied, aber eine zusätzliche Anforderung sind iOS Backups verschlüsselt mit iTunes.
Da bin ich mit Ubuntu raus...

Oder das sichere WIndows mit Bitlocker mit der Option über einen externen USB-Stick verschlüsseln. Dann kann man nur auf die "sichere" SSD zugreifen, wenn der USB-Stick steckt

Auch das klingt sehr interessant.
Ähnlich wie oben bräuchte ich dafür aber zumindest ne kleine Anleitung.

Da man am besten überall die 2 Faktor Authentifizierung nutzen sollte muss man da gar nicht so paranoid sein. Es ist wichtiger wie man sich verhält als das man alles auf einem separaten PC macht. Zumindest mache Ich das so. Verschd. Mailkonten zu verschd. Themen. Verschd Banken zu verschd Dingen wie Einkauf oder Kreditkarte.

Hab Ich ja eh schon. Eigentlich kann nix passieren.
Live Linux etc. Fällt bei mir unter zu unpraktisch bzw. nich „notwendig“ genug...

Die Kombi aus ohnehin schon bewusstem Surf/Mail/Banking-Verhalten und ein bisschen Systemseitiger Unterstützung ist natürlich teil der Gewissensberuhigung für mich.
Andere denken sich bei nem Asus oder Nvidia Tool und bissl Epic Games gar nichts ^^

Wenn ich oben Anleitungen geschrieben hab
Ich bin jetzt kein Laie dem man ne Windows installation erklären muss, aber ich mag es vielleicht aufs erste Mal schaffen

Danke!

 

[NJay]

Wie genau mach ich das?

Du installierst dir halt ein weiteres System parallel und aktivierst dabei die Verschluesselung. Die meisten Linux Distributionen bieten dir das direkt beim Install an, bei Windows hab ich keine Ahnung, geht aber auch.

 

[Kiwifloo]

Liege ich richtig mit der Denkweise, dass ich ein TPM modul ja gerade genau nicht will?

Und wenn ich die verschlüsselte Installation nicht als Standard einstelle, dann muss er beim auswählen der verschlüsselten Partition noch einmal neu starten. Muss das so sein? Und wenn nein woran liegt das?

Ergänzung (16. Januar 2021)

Allgemein sollte man nie ein Adminkonto nutzen sondern nur bei einer UAC Abfrage das Adminkonto verwenden.

Zusätzlich würde mich auch noch interessieren wie das gemeint ist bzw. was ich da einstellen soll.

 

[puri]

Anleitung Bitlocker + USBstick z.B hier:

https://www.wintotal.de/tipp/bitlocker-ohne-tpm-verwenden/