Wie richtet man ein natives verschlüsseltes ext4-Dateisystem mit mkfs und mount ohne LUKS und dm-crypt ein?

Das ext4-Dateisystem selbst bietet keine native Verschlüsselung auf Dateisystemebene wie z.B. LUKS/dm-crypt (Blockgeräte-Verschlüsselung). Allerdings unterstützt ext4 seit Linux 4.1 die sogenannte **Filesystem-level Encryption** (fscrypt), auch als "ext4 native encryption" bekannt. Diese Verschlüsselung funktioniert auf Verzeichnisebene und ist nicht mit LUKS/dm-crypt zu verwechseln.

**Voraussetzungen:**
- Linux-Kernel ≥ 4.1 (besser ≥ 5.x)
- e2fsprogs ≥ 1.43
- Das Paket `fscrypt` (https://github.com/google/fscrypt)

**Schritte zur Erstellung und Nutzung:**

1. **Dateisystem anlegen (wie gewohnt):**
```bash
mkfs.ext4 /dev/sdXn
```

2. **Mounten:**
```bash
mount /dev/sdXn /mnt/mydata
```

3. **fscrypt installieren:**
- Unter Debian/Ubuntu:
```bash
sudo apt install fscrypt
```
- Unter Fedora:
```bash
sudo dnf install fscrypt
```

4. **Dateisystem für fscrypt vorbereiten:**
```bash
sudo fscrypt setup /mnt/mydata
```

5. **Verschlüsseltes Verzeichnis anlegen:**
```bash
sudo mkdir /mnt/mydata/secret
sudo fscrypt encrypt /mnt/mydata/secret
```
Du wirst nach einem Passwort gefragt und kannst ggf. weitere Optionen wählen.

6. **Verwendung:**
- Nach dem Mounten des Dateisystems musst du das Verzeichnis mit `fscrypt unlock` freischalten:
```bash
fscrypt unlock /mnt/mydata/secret
```
- Danach kannst du wie gewohnt auf das Verzeichnis zugreifen.

**Wichtige Hinweise:**
- Die Verschlüsselung gilt **nur für die so eingerichteten Verzeichnisse**, nicht für das gesamte Dateisystem.
- Die Metadaten (z.B. Verzeichnisstruktur) sind teilweise weiterhin sichtbar.
- fscrypt ist **kein Ersatz für LUKS/dm-crypt**, aber für viele Anwendungsfälle ausreichend.

**Weitere Infos:**
- [fscrypt GitHub](https://github.com/google/fscrypt)
- [Kernel-Dokumentation](https://www.kernel.org/doc/html/latest/filesystems/fscrypt.html)

**Zusammenfassung:**
Ein "nativ verschlüsseltes ext4-Dateisystem" ohne LUKS/dm-crypt erreichst du mit `fscrypt` auf Verzeichnisebene. Das Dateisystem wird wie gewohnt erstellt und gemountet, die Verschlüsselung erfolgt dann gezielt auf Verzeichnisse mit Hilfe von `fscrypt`.