Einrichtung Vollverschlüsselung Dualboot W11

Hallo Community,

mein derzeitiges System ist ein Lenovo Edge E330.

inxi -Fxxc0z (E330)
[duuuark@hostname ~]$ inxi -Fxxc0z
System:
  Kernel: 5.8.12-arch1-1 arch: x86_64 bits: 64 compiler: gcc v: 10.2.0
  Desktop: GNOME v: 3.36.6 tk: GTK v: 3.24.23 wm: gnome-shell dm: LightDM
    Distro: Antergos base: Arch Linux
Machine:
  Type: Laptop System: LENOVO product: 3354DSG v: ThinkPad Edge E330
    serial: <superuser required> Chassis: type: 10 serial: <superuser required>
  Mobo: LENOVO model: 3354DSG v: Win8 Pro DPK TPG
    serial: <superuser required> part-nu: LENOVO_MT_3354 UEFI-[Legacy]: LENOVO
    v: H3ET77WW(1.14) date: 10/13/2016
CPU:
  Info: dual core model: Intel Core i5-3230M bits: 64 type: MT MCP
    arch: Ivy Bridge rev: 9 cache: L1: 128 KiB L2: 512 KiB L3: 3 MiB
  Speed (MHz): avg: 1263 min/max: 1200/3200 cores: 1: 1263 2: 1263 3: 1263
    4: 1263 bogomips: 20762
  Flags: avx ht lm nx pae sse sse2 sse3 sse4_1 sse4_2 ssse3
Graphics:
  Device-1: Intel 3rd Gen Core processor Graphics vendor: Lenovo driver: i915
    v: kernel arch: Gen-7 ports: active: VGA-1 off: LVDS-1 empty: DP-1,HDMI-A-1
    bus-ID: 00:02.0 chip-ID: 8086:0166
  Device-2: Acer Lenovo Integrated Webcam driver: uvcvideo type: USB
    rev: 2.0 speed: 480 Mb/s lanes: 1 bus-ID: 1-1.5:6 chip-ID: 5986:0299
  Display: x11 server: X.Org v: 1.20.9 with: Xwayland
    compositor: gnome-shell driver: X: loaded: intel
    unloaded: fbdev,modesetting,vesa dri: i965 gpu: i915 display-ID: :0
    screens: 1
  Screen-1: 0 s-res: 1920x1080 s-dpi: 96
  Monitor-1: LVDS-1 mapped: LVDS1 note: disabled model: LG Display 0x0354
    res: N/A dpi: 118 diag: 336mm (13.2")
  Monitor-2: VGA-1 mapped: VGA1 pos: primary model: Viseo 230Ws
    res: 1920x1080 hz: 60 dpi: 96 diag: 582mm (22.9")
  API: OpenGL Message: Unable to show GL data. glxinfo is missing.
  Info: Tools: x11: xdriinfo, xdpyinfo, xprop, xrandr
Audio:
  Device-1: Intel 7 Series/C216 Family High Definition Audio vendor: Lenovo
    driver: snd_hda_intel v: kernel bus-ID: 00:1b.0 chip-ID: 8086:1e20
  API: ALSA v: k5.8.12-arch1-1 status: kernel-api
  Server-1: JACK v: 0.125.0 status: off
  Server-2: PipeWire v: 0.3.13 status: off with: pipewire-media-session
    status: off
  Server-3: PulseAudio v: 13.99.2-7-g610179 status: active
    with: pulseaudio-alsa type: plugin
Network:
  Device-1: Intel Centrino Wireless-N 2230 driver: iwlwifi v: kernel pcie:
    speed: 2.5 GT/s lanes: 1 bus-ID: 02:00.0 chip-ID: 8086:0888
  IF: wlp2s0 state: down mac: <filter>
  Device-2: Realtek RTL8111/8168/8411 PCI Express Gigabit Ethernet
    vendor: Lenovo driver: r8169 v: kernel pcie: speed: 2.5 GT/s lanes: 1
    port: 2000 bus-ID: 08:00.0 chip-ID: 10ec:8168
  IF: enp8s0 state: up speed: 100 Mbps duplex: full mac: <filter>
  IF-ID-1: wwp0s26u1u1i6 state: down mac: <filter>
Drives:
  Local Storage: total: 473.38 GiB used: 217.51 GiB (45.9%)
  ID-1: /dev/sda vendor: Toshiba model: MK5061GSY size: 465.76 GiB
    speed: 3.0 Gb/s serial: <filter>
  ID-2: /dev/sdb model: USB Flash Disk size: 7.62 GiB type: USB rev: 2.0
    spd: 480 Mb/s lanes: 1 serial: <filter>
Partition:
  ID-1: / size: 9.75 GiB used: 9.46 GiB (97.1%) fs: ext4 dev: /dev/dm-1
    mapped: main-root
  ID-2: /boot size: 95.9 MiB used: 86.3 MiB (90.0%) fs: ext2 dev: /dev/sda5
  ID-3: /home size: 228.17 GiB used: 200.61 GiB (87.9%) fs: ext4
    dev: /dev/dm-3 mapped: main-home
Swap:
  ID-1: swap-1 type: partition size: 8 GiB used: 0 KiB (0.0%) priority: -2
    dev: /dev/dm-2 mapped: main-swap
Sensors:
  System Temperatures: cpu: 39.0 C mobo: N/A
  Fan Speeds (rpm): cpu: 0
Info:
  Memory: total: 4 GiB note: est. available: 3.44 GiB used: 1.52 GiB (44.0%)
  Processes: 226 Power: uptime: 20m wakeups: 0 Init: systemd v: 246
    default: graphical
  Packages: pm: pacman pkgs: 1352 Compilers: clang: 10.0.1 gcc: 10.2.0
    Shell: Bash v: 5.0.18 running-in: urxvt inxi: 3.3.38

Konfiguriert als Dualboot mit nicht verschlüsseltem Windows (7) und einem verschlüsseltem LVM auf ext4.
Diese sind partioniert auf 10 GB /root, 8 GB /swap und 232 GB /home.

lsblk -o name,type,size,PTTYPE,FSTYPE (E330)
[duuuark@hostname ~]$ lsblk -o name,type,size,PTTYPE,FSTYPE
NAME            TYPE    SIZE PTTYPE FSTYPE
sda             disk  465,8G dos    
├─sda1          part    1,5G dos    ntfs
├─sda2          part  200,5G dos    ntfs
├─sda3          part   13,7G dos    ntfs
├─sda4          part      1K dos    
├─sda5          part     99M dos    ext2
└─sda6          part    250G dos    crypto_LUKS
  └─main        crypt   250G        LVM2_member
    ├─main-root lvm      10G        ext4
    ├─main-swap lvm       8G        swap
    └─main-home lvm     232G        ext4
sdb             disk    7,6G gpt    
├─sdb1          part    7,6G gpt    vfat
└─sdb2          part     32M gpt    vfat

Bootloader ist GRUB. Aufgrund vollem /root gelingt kein Update und verbleibt auf einem Antergos mit GNOME als DE auf dem Stand von 2019.

Deswegen möchte ich mein künftiges System, ein Lenovo ThinkBook 14 G4+ IAP einrichten.

inxi -Fxxc0z (Thinkbook)
[liveuser@hostname ~]$ inxi -Fxxc0z
System:
  Kernel: 6.13.7-arch1-1 arch: x86_64 bits: 64 compiler: gcc v: 14.2.1
  Desktop: KDE Plasma v: 6.3.3 tk: Qt v: N/A wm: kwin_x11 dm: SDDM
    Distro: EndeavourOS base: Arch Linux
Machine:
  Type: Laptop System: LENOVO product: 21CX v: ThinkBook 14 G4+ IAP
    serial: <superuser required> Chassis: type: 10 v: ThinkBook 14 G4+ IAP
    serial: <superuser required>
  Mobo: LENOVO model: LNVNB161216 v: SDK0T76530 WIN
    serial: <superuser required> part-nu: LENOVO_MT_21CX_BU_idea_FM_ThinkBook
    14 G4+ IAP UEFI: LENOVO v: HYCN52WW date: 12/20/2024
Battery:
  ID-1: BAT0 charge: 35.4 Wh (79.4%) condition: 44.6/46.5 Wh (96.0%)
    volts: 12.2 min: 11.6 model: Celxpert L21C3PD5 serial: <filter>
    status: not charging
CPU:
  Info: 10-core (2-mt/8-st) model: 12th Gen Intel Core i7-1255U bits: 64
    type: MST AMCP arch: Alder Lake rev: 4 cache: L1: 928 KiB L2: 6.5 MiB
    L3: 12 MiB
  Speed (MHz): avg: 400 min/max: 400/4700:3500 cores: 1: 400 2: 400 3: 400
    4: 400 5: 400 6: 400 7: 400 8: 400 9: 400 10: 400 11: 400 12: 400
    bogomips: 62668
  Flags: avx avx2 ht lm nx pae sse sse2 sse3 sse4_1 sse4_2 ssse3 vmx
Graphics:
  Device-1: Intel Alder Lake-UP3 GT2 [Iris Xe Graphics] vendor: Lenovo
    driver: i915 v: kernel arch: Xe ports: active: eDP-1 empty: DP-1, DP-2,
    DP-3, DP-4, HDMI-A-1 bus-ID: 00:02.0 chip-ID: 8086:46a8
  Device-2: Luxvisions Innotech Integrated Camera driver: uvcvideo type: USB
    rev: 2.0 speed: 480 Mb/s lanes: 1 bus-ID: 3-6:4 chip-ID: 30c9:0030
  Display: unspecified server: X.Org v: 21.1.16 with: Xwayland v: 24.1.6
    compositor: kwin_x11 driver: X: loaded: modesetting
    alternate: fbdev,intel,vesa dri: iris gpu: i915 display-ID: :0 screens: 1
  Screen-1: 0 s-res: 1920x1200 s-dpi: 96
  Monitor-1: eDP-1 model: ChiMei InnoLux 0x143f res: 1920x1200 hz: 60
    dpi: 162 diag: 355mm (14")
  API: EGL v: 1.5 platforms: device: 0 drv: iris device: 1 drv: swrast gbm:
    drv: iris surfaceless: drv: iris x11: drv: iris inactive: wayland
  API: OpenGL v: 4.6 compat-v: 4.5 vendor: intel mesa v: 25.0.1-arch1.2
    glx-v: 1.4 direct-render: yes renderer: Mesa Intel Iris Xe Graphics (ADL
    GT2) device-ID: 8086:46a8
  API: Vulkan Message: No Vulkan data available.
  Info: Tools: api: clinfo, eglinfo, glxinfo, vulkaninfo
    de: kscreen-console,kscreen-doctor gpu: nvidia-smi wl: wayland-info
    x11: xdpyinfo, xprop, xrandr
Audio:
  Device-1: Intel Alder Lake PCH-P High Definition Audio vendor: Lenovo
    driver: sof-audio-pci-intel-tgl bus-ID: 00:1f.3 chip-ID: 8086:51c8
  API: ALSA v: k6.13.7-arch1-1 status: kernel-api
  Server-1: PipeWire v: 1.4.1 status: active with: 1: pipewire-pulse
    status: active 2: wireplumber status: active 3: pipewire-alsa type: plugin
    4: pw-jack type: plugin
Network:
  Device-1: Intel Ethernet I219-V vendor: Lenovo driver: e1000e v: kernel
    port: N/A bus-ID: 00:1f.6 chip-ID: 8086:1a1f
  IF: enp0s31f6 state: down mac: <filter>
  Device-2: MEDIATEK MT7921 802.11ax PCI Express Wireless Network Adapter
    vendor: Lenovo driver: mt7921e v: kernel pcie: speed: 2.5 GT/s lanes: 1
    bus-ID: 2c:00.0 chip-ID: 14c3:7961
  IF: wlan0 state: up mac: <filter>
Bluetooth:
  Device-1: Foxconn / Hon Hai MediaTek Bluetooth Adapter driver: btusb v: 0.8
    type: USB rev: 2.1 speed: 480 Mb/s lanes: 1 bus-ID: 3-10:5
    chip-ID: 0489:e0cd
  Report: btmgmt ID: hci0 rfk-id: 2 state: up address: <filter> bt-v: 5.2
    lmp-v: 11
Drives:
  Local Storage: total: 961.49 GiB used: 7.55 GiB (0.8%)
  ID-1: /dev/nvme0n1 vendor: Samsung model: MZAL41T0HBLB-00BL2
    size: 953.87 GiB speed: 63.2 Gb/s lanes: 4 serial: <filter> temp: 30.9 C
  ID-2: /dev/sda model: USB Flash Disk size: 7.62 GiB type: USB rev: 2.0
    spd: 480 Mb/s lanes: 1 serial: <filter>
Partition:
  ID-1: / size: 10 GiB used: 46.7 MiB (0.5%) fs: overlay source: ERR-102
Swap:
  Alert: No swap data was found.
Sensors:
  System Temperatures: cpu: 38.0 C mobo: N/A
  Fan Speeds (rpm): N/A
Info:
  Memory: total: 16 GiB note: est. available: 15.35 GiB used: 1.88 GiB (12.3%)
  Processes: 256 Power: uptime: 26m wakeups: 0 Init: systemd v: 257
    default: multi-user
  Packages: pm: pacman pkgs: 1067 Compilers: clang: 19.1.7 gcc: 14.2.1
    Shell: Bash v: 5.2.37 running-in: konsole inxi: 3.3.37

Es kommt mit 1 TB SSD und Windows 11 Pro, eingerichtet mit lokalem Konto und nicht aktiviertem Bitlocker (verschlüsselt mit einem Clear Key in einem so genannten “suspended state”).
Bisher ist es partitioniert auf 260 MB “EFI”, 951,60 GB Bitlocker und 2 GB Wiederherstellung.

lsblk -o name,type,size,PTTYPE,FSTYPE (Thinkbook)
[liveuser@hostname ~]$: lsblk -o name,type,size,PTTYPE,FSTYPE
NAME        TYPE   SIZE PTTYPE FSTYPE
loop0       loop   2.6G        squashfs
sda         disk  28.9G dos    
├─sda1      part  28.8G dos    exfat
│ ├─ventoy  dm     2.9G dos    iso9660
│ └─sda1    dm    28.8G        exfat
└─sda2      part    32M dos    vfat
nvme0n1     disk 953.9G gpt    
├─nvme0n1p1 part   260M gpt    vfat
├─nvme0n1p2 part    16M gpt    
├─nvme0n1p3 part 951.6G gpt    BitLocker
└─nvme0n1p4 part     2G gpt    ntfs

Konfiguriert soll es als Dualboot sein. Bestehend aus Windows 11 und dem weiterhin verschlüsselten Linux-System, welches rund 500 GB umfasst. Der Bootloader GRUB soll die vorhandenen EFI-Partition verwenden.

Aus den bisherigen Recherchen und hier (stillem) mitlesen seit Beginn von EndeavourOS ist wohl ein verschlüsseltes LVM mit ext4 durch den Installer nicht möglich.

Somit würde ich auf Btrfs in Kombination mit LUKS und GRUB umsteigen.

Wie stelle ich das am besten an?

Vielen Dank für Eure Mithilfe.

Freundliche Grüße

@duuuark

P.S.: Falls der Titel “Einrichtung Vollverschlüsselung Dualboot W11” nicht treffend gewählt wurde, darf er gerne durch die Moderatoren angepasst werden.