Hast du dir mal ueberlegt, auf die Veracrypt Container generell zu verzichten und nur noch fuer grosse Dateien zu verwenden? Alles andere kannst du dann in deinem Filesystem belassen (welches du ja regelmaessig sicherst!) und mit PGP verschluesseln. Kleopatra laesst gruessen. 
Das mit PGP ist im Uebrigen auch sinnvoll, wenn du Dateien ueber eine Cloud hin- und herschubsen musst, um die daemliche Cloud zu einer erbaermlichen Dateiablage zu degradieren, damit man nicht ungewollt Opfer des amerikanischen Datenschutzes wird.
wenn du Dateien ueber eine Cloud hin- und herschubsen musst
Ich benutze keine Clouds.
auf die Veracrypt Container generell zu verzichten
Hm, welchen Vorteil hätte das, außer dass ALLES verschlüsselt wäre?
Letzteres will ich aus Gründen nicht.
Es geht mir darum, dass ich (oder jemand andres) nicht aus versehen die Containerdateien löscht.
Das sind schon so einige Terabyte.
Ich habe leider keine direkte Antwort zu deinem Problem bzw. ich habe es fuer mich anders geloest. Bei PGP verschluesselt du jede einzelne Datei fuer sich, quasi Wegfall aller Container.
Der Schutz der Container vor dem root User ist schwierig, hinzu kommt, dass du halt regelmaessig darauf zugreifst und die Containerdatei sich immer wieder aendert. Du solltest dir ggf. ueberlegen, den kompletten Ansatz in Frage zu stellen.
--
Von den mehreren Terabytes an Daten, auf wie viele Dateien greifst du denn wirklich immer wieder zu und wie viele Dateien davon, haben sich seit Jahren nicht mehr veraendert? Vielleicht solltest du erst mal diese Frage beantworten; danach langjaehrige, unveraenderte Dateien read-only archivieren (ggf. auch verschluesselt als Veracrypt Container) und mit den restlichen Daten so verfahren, wie von mir vorgeschlagen.
Die Erfahrung hat gezeigt, und jetzt einfach nur mal als Beispiel, weil ich letztes Jahr genau vor der gleichen Frage gestanden hatte, allerdings nicht hinsichtlich der Verschluesselung, sondern hinsichtlich der taeglichen Sicherung, die einfach zu gross wurde. Von meinen 4 TB aktiv gesicherten Daten habe ich nach meiner Bestandsaufnahme 3.8 TB archiviert, weil diese Daten sich seit Jahren nicht mehr veraendert hatten und die uebrigen 200 GB habe ich dann neu betrachtet, und damit hatte ich mir die gleiche Frage gestellt wie du auch: was mach ich nun mit meinen Veracrypt Containern?
Die Erkenntnis war: warum nicht genauso damit verfahren sollte, wie im Dienst auch? Schluesselpaar generieren, Dateien testverschluesseln, danach Schluesselpaar loeschen, aus dem Backup wiederherstellen und Entschluesseln testen. Danach die kritischen Daten komplett PGP verschluesseln und jene Dateien, die ich dann benoetige, bei Bedarf entschluesseln, aendern, wieder verschluesseln und den Status-Quo herstellen -- hat den entscheidenden Vorteil, dass mein Backupkonzept auch erheblich vereinfacht wurde und die verschluesselten Dateien jetzt Teil meiner Ordner- und Dateistruktur ist und ich mir nur noch ueber die sichere Verwahrung des Schluesselpaares Gedanken machen musste. Und dank Kleopatra, was sowohl unter Windows als auch unter Linux nativ zur Verfuegung steht, bin ich sogar weiterhin plattformunabhaengig, was mir auch meine Lebensgefaehrtin gedankt hatte.
ggf. ueberlegen, den kompletten Ansatz in Frage zu stellen.
Wenn du einen anderen hast, der meine Bedürfnisse befriedigt, gerne.
Für jede einzelne Datei eine eigene Passphrase zu erstellen und jedesmal einzugeben, wäre wenig praktikabel.
Mit den Einzelnen Containern a 2TB habe ich ja bereits "Häppchen gemacht"...
Es geht eben darum, dass nicht aus Schludrigkeit mal eins oder mehrere dieser Häppchen weg sind...
Es geht eben darum, dass nicht aus Schludrigkeit mal eins oder mehrere dieser Häppchen weg sind...
Sorry, da habe ich leider keine Loesung fuer. Ich habe mir selbst ein paar Mal die Container weggehauen und musste jedes Mal wieder das Backup bemuehen und den Datenverlust hinnehmen.
Für jede einzelne Datei eine eigene Passphrase zu erstellen und jedesmal einzugeben, wäre wenig praktikabel.
Nein, du hast ein Schluesselpaar bestehend aus Public Key und Private Key fuer alle deine Dateien, ist in Kleopatra quasi ein Klick fuer Encrypt / Decrypt. Wichtig ist nur dein Schluesspaar, welches dir nicht abhanden kommen darf und das dazugehoerige Passwort, quasi asymmetrische Verschluesselung. Mit Kleoaptra hast du halt gleich eine GUI die darueber hinaus auch Mailverschluesselung unterstuetzt. Hier mal ein Ueberblick:
https://kevinsguides.com/guides/security/software/pgp-encryption/
fuer alle deine Dateien
Eben.
Hier hab ich eben verschiedene Phrases für verschiedene Container und schalte eben nur die auf, die ich gerade benutze...
Ich werd es dann wohl weiterhin machen wie bisher und darf eben die Containerplatte nicht noch für irgendwas andres benutzen.
Dachte, es gäb vielleicht irgend was tolles neues modernes...
Danke trotzdem für den Link. werd ich mir mal durchsehn, wer weiß wofür ichs haben will...
Wenn die VeraCrypt-Container auf Btrfs oder ZFS liegen könnte man Snapshots des Subvolume nutzen, damit ein versehentliches Löschen nur die letzten x Tage seit dem Snapshot verliert. Das wäre zumindest eine Abschwächung der Folgen.
Snapshots
Hm, stimmt. Ich könnt die Platte an nen Proxmox Rechner hängen und dort Snapshots machen...
Oder ganz banal: die Container liegen auf einer eigenen Partition, die nicht automatisch gemounted wird und du musst die zuerst mounten.
Nur halt beim Backup nicht vergessen.
Nur halt beim Backup nicht vergessen.
Ja, ich glaub ich mach mir unnötig nen Kopp...
Ich denk ich lass es bei dem Immu Flag und sichere die Unverschlüsselten Daten in ein Borg Repo.
Wie wäre es mit Partitionen statt Container-Dateien? GPT unterstützt in der kleinsten Ausbaustufe 128 Partitionen. Vor Root kann man sich by design nicht schützen, aber Partitionen löscht man im normalen Betrieb nicht so leicht. Wenn das zu unflexibel ist, kann LVM den Speicherplatz dynamischer aber immer noch partitionsähnlich zuteilen. Die Logical Volumes sind dann wegen der Namen auch leichter zu finden.
Partitionen statt Container
Auch eine gute Idee.
Ich bin eh am umsortieren und überlege, ob ich nicht auf Tomb umsteige...
