Ich habe leider keine direkte Antwort zu deinem Problem bzw. ich habe es fuer mich anders geloest. Bei PGP verschluesselt du jede einzelne Datei fuer sich, quasi Wegfall aller Container.
Der Schutz der Container vor dem root User ist schwierig, hinzu kommt, dass du halt regelmaessig darauf zugreifst und die Containerdatei sich immer wieder aendert. Du solltest dir ggf. ueberlegen, den kompletten Ansatz in Frage zu stellen.
--
Von den mehreren Terabytes an Daten, auf wie viele Dateien greifst du denn wirklich immer wieder zu und wie viele Dateien davon, haben sich seit Jahren nicht mehr veraendert? Vielleicht solltest du erst mal diese Frage beantworten; danach langjaehrige, unveraenderte Dateien read-only archivieren (ggf. auch verschluesselt als Veracrypt Container) und mit den restlichen Daten so verfahren, wie von mir vorgeschlagen.
Die Erfahrung hat gezeigt, und jetzt einfach nur mal als Beispiel, weil ich letztes Jahr genau vor der gleichen Frage gestanden hatte, allerdings nicht hinsichtlich der Verschluesselung, sondern hinsichtlich der taeglichen Sicherung, die einfach zu gross wurde. Von meinen 4 TB aktiv gesicherten Daten habe ich nach meiner Bestandsaufnahme 3.8 TB archiviert, weil diese Daten sich seit Jahren nicht mehr veraendert hatten und die uebrigen 200 GB habe ich dann neu betrachtet, und damit hatte ich mir die gleiche Frage gestellt wie du auch: was mach ich nun mit meinen Veracrypt Containern?
Die Erkenntnis war: warum nicht genauso damit verfahren sollte, wie im Dienst auch? Schluesselpaar generieren, Dateien testverschluesseln, danach Schluesselpaar loeschen, aus dem Backup wiederherstellen und Entschluesseln testen. Danach die kritischen Daten komplett PGP verschluesseln und jene Dateien, die ich dann benoetige, bei Bedarf entschluesseln, aendern, wieder verschluesseln und den Status-Quo herstellen -- hat den entscheidenden Vorteil, dass mein Backupkonzept auch erheblich vereinfacht wurde und die verschluesselten Dateien jetzt Teil meiner Ordner- und Dateistruktur ist und ich mir nur noch ueber die sichere Verwahrung des Schluesselpaares Gedanken machen musste. Und dank Kleopatra, was sowohl unter Windows als auch unter Linux nativ zur Verfuegung steht, bin ich sogar weiterhin plattformunabhaengig, was mir auch meine Lebensgefaehrtin gedankt hatte.
