Wiederherstellungsanleitung: Verschlüsselte Laufwerke (BitLocker & LUKS)

Dieses Dokument beschreibt, wie StateWarden Volumes sichert und wiederherstellt, die durch Festplattenvollverschlüsselung geschützt sind: Microsoft BitLocker unter Windows und LUKS unter Linux.

1. Wie StateWarden verschlüsselte Volumes behandelt

StateWarden sichert verschlüsselte Volumes als rohe verschlüsselte Container auf Blockebene. Der Agent liest die Partition, die die verschlüsselten Daten enthält (z. B. die BitLocker-geschützte Partition C: oder eine crypto_LUKS-Partition), nicht die entschlüsselte Ansicht, die das Betriebssystem bereitstellt.

Das Dashboard kennzeichnet diese Volumes mit einem Warn-Badge (BitLocker / crypto_LUKS) und dem Hinweis „Verschlüsseltes Volume erkannt".

Konsequenzen für Backups

Rohe verschlüsselte Daten weisen eine hohe Entropie auf, was unmittelbare technische Konsequenzen hat:

• Keine Deduplizierung und minimale Kompression: Verschlüsselte Blöcke enthalten keine erkennbaren Muster, sodass die Deduplizierung sie nicht reduzieren kann.
• Keine inkrementellen Backups (CBT wirkungslos): Das Ändern einer einzelnen Datei schreibt ihren gesamten verschlüsselten Blockbereich auf nicht vorhersagbare Weise neu. Backups verschlüsselter Volumes werden daher als synthetische Vollbackups behandelt: Jeder Lauf liest das vollständige Volume.

Planen Sie Backup-Fenster, Aufbewahrung und Speicherkontingente entsprechend.

Sicherheitseigenschaften

Das im Tresor gespeicherte Backup bleibt durch zwei unabhängige Schichten geschützt:

1. Innere Schicht: Ihre ursprüngliche BitLocker-/LUKS-Volumenverschlüsselung.
2. Äußere Schicht: Die standardmäßige Backup-Verschlüsselung von StateWarden (Zero-Knowledge-Architektur), die auf jedes Backup angewendet wird, unabhängig von der Quelle.

Eine Kopie des Backups ist ohne Ihre ursprüngliche Volumen-Passphrase, die TPM-Schutzvorrichtung oder den Wiederherstellungsschlüssel wertlos.

Hinweis: StateWarden sichert bewusst den verschlüsselten Container und nicht die entschlüsselte Mapper-Ansicht (z. B. /dev/mapper/cryptroot). Ein Backup aus der entschlüsselten Ansicht würde als unverschlüsseltes Volume wiederhergestellt und würde Ihre Festplattenvollverschlüsselung stillschweigend entfernen. Dies ist nicht das unterstützte Verfahren.

2. Regeln für die Wiederherstellung

Da Backups den rohen verschlüsselten Container enthalten, sind Wiederherstellungen Block-für-Block-Kopien. Es gibt keinen Entschlüsselungs-/Neuverschlüsselungskonflikt während des Schreibvorgangs:

• Das wiederhergestellte Volume kehrt exakt so zurück, wie es zum Zeitpunkt des Backups war: weiterhin verschlüsselt, mit intaktem ursprünglichem LUKS-Header oder intakten BitLocker-Metadaten.
• Es ist keine besondere Vorbereitung des Verschlüsselungsstatus der Zielfestplatte erforderlich. Insbesondere müssen Sie die Verschlüsselung auf dem Ziel vor der Wiederherstellung nicht deaktivieren oder entfernen; die Wiederherstellung überschreibt das Ziel mit den ursprünglichen verschlüsselten Blöcken.
• Entsperren Sie das Volume nach der Wiederherstellung mit seinen ursprünglichen Anmeldedaten: der LUKS-Passphrase oder der BitLocker-Schutzvorrichtung (TPM, Kennwort oder Wiederherstellungsschlüssel), die zum Zeitpunkt des Backups aktiv war.

Hardware-Wechsel und TPM-gebundenes BitLocker

Wenn Sie auf abweichende Hardware wiederherstellen (ein Ersatzmainboard oder eine neue Maschine), wird ein TPM-gebundenes BitLocker-Volume nicht automatisch entsiegelt, da das neue TPM die ursprünglichen Schlüssel nicht enthält. Halten Sie den BitLocker-Wiederherstellungsschlüssel für das Volume bereit; Windows fragt ihn beim ersten Bootvorgang ab. LUKS-Volumes sind von Hardware-Wechseln nicht betroffen, da sie ausschließlich per Passphrase oder Schlüsseldatei entsperrt werden.

3. Schritt-für-Schritt-Verfahren

1. Bereiten Sie das Ziel vor: Booten Sie für eine Bare Metal Recovery die leere Maschine von der Recovery-ISO (siehe Bare Metal Recovery: Schritt-für-Schritt-Anleitung). Stellen Sie bei einer In-place-Wiederherstellung sicher, dass die Zielfestplatte oder -partition mindestens so groß ist wie die Quelle. Änderungen an der Verschlüsselungskonfiguration des Ziels sind nicht erforderlich.
2. Starten Sie die Wiederherstellung: Öffnen Sie Daten wiederherstellen (/restore) im Dashboard, suchen Sie das Backup des verschlüsselten Volumes und starten Sie die Wiederherstellung wie bei jedem anderen Backup. Generieren Sie für BMR ein BMR-Token und authentifizieren Sie die Recovery-ISO damit.
3. Warten Sie den Abschluss ab: Der Agent schreibt die rohen Blöcke zurück (und überspringt dabei nach Möglichkeit nicht zugewiesenen Speicherplatz).
4. Entsperren und verifizieren: Starten Sie bei Bedarf neu und entsperren Sie das Volume mit seinen ursprünglichen Anmeldedaten. Verwenden Sie den BitLocker-Wiederherstellungsschlüssel, wenn das Wiederherstellungsziel ein anderes TPM hat. Verifizieren Sie den Zugriff auf das Dateisystem, bevor Sie die Maschine in den Produktivbetrieb zurückführen.

4. Zusammenfassung

• Verschlüsselte Volumes werden als rohe verschlüsselte Container gesichert; Wiederherstellungen geben sie in ihrem ursprünglichen verschlüsselten Zustand zurück.
• Erwarten Sie auf jedem verschlüsselten Volume synthetische Vollbackups mit minimaler Deduplizierung; dimensionieren Sie Backup-Fenster und Speicher entsprechend.
• Bewahren Sie die Volumen-Anmeldedaten (LUKS-Passphrasen, BitLocker-Wiederherstellungsschlüssel) unabhängig von der Maschine auf; sie werden nach jeder Wiederherstellung eines verschlüsselten Volumes benötigt und sind bei einem Hardware-Wechsel zwingend erforderlich.

StateWarden: Resilience Engineered.