> Das Vorgehen dürfte sehr von der Art des Schadens abhängen.

Richtig, da stimme ich Dir zu.

> [.....]

In eckige Klammer gesetzt, da sonst zu lang. 

> Ich denke daher, dass man das Thema vermutlich auch nicht komplett
> \"erschlagen\" kann.

Sehe ich auch so, und daher möchte ich auch eine *Anleitung* haben, wenn es indiziert ist, daß aus Beweissicherungsgründen ein Image angefertigt werden MUSS! Ich richte mich hier nicht an den erfahrenen User, der mit einer Image-Software arbeitet, sondern ich denke an den *Normal*-User, der sich aufgrund diverser Umstände (Lücken im System, Unvorsichtigkeit etc.) einem Schädlingsbefall erwehren muß, und er hat Online-Banking von diesem kompromittiertem System gemacht.

Oder, anderes Sezenario, auf seinem PC wurden pornografische oder rechtsradikale Inhalte eingeschleust, und es sieht so aus, als ob ER dafür verantwortlich sei. Hier ist schnelles und umsichtiges Handeln gefragt, um noch größeren Schaden abzuwenden. Da solche User i. d. R. eben kein Image haben, wünsche ich mir eine möglichst einfach umzusetzende Anleitung, mit welcher man in die Lage versetzt wird, ein Image der Systempartition unter Linux zu machen.

Zu Deinen Ausführungen bzgl. Windows-Installation und Virenbefall würde ich ähnlich vorgehen, allerdings arbeite ich nur mit einer externen HDD und AcronisTrueImage.

> Im Prinzip geht sowas sehr einfach, hat aber ein oder zwei Haken.

[....]

Ich habe Deine nachfolgenden, interessanten Erklärungen in die eckige Klammer gesetzt, weil das sonst zu lang geworden wäre. 

Wenn ich Dich richtig verstanden habe, ist ein Image unter Linux machbar, allerdings hakt die Umsetzung, da man eine Festplatte mit sehr viel Platz haben muß.

Mit dem entsprechenden Befehl kann man zwar Daten spiegeln, aber Linux erkennt nur die betreffende Größe der Partition, nicht die Größe der Daten, was eben zur Folge hat, daß extrem viel Platz verbraucht wird. Das ist natürlich nicht sehr benutzerfreundlich. Hinzu kommt, daß eine Komprimierung zwar möglich ist, um wiederum Platz zu sparen, aber diese ist so umständlich, daß zunächst im Gegenteil noch mehr Platz benötigt wird, um diese überhuapt durchführen zu können.

Desweiteren muß die Integrität der ursprünglichen Partition erhalten bleiben, weil sonst ein späteres Zurückspiegeln fehl schlagen könnte, habe ich das auch richtig verstanden?

Also, um ehrlich zu sein, gefallen tut mir das nicht besonders, ich habe mir das benutzerfreundlicher vorgestellt.

Und das Programm \"partimage\" für Linux ist wohl auch nicht so ganz ohne Macken, wenn ich Deine Beschreibung hierzu lese.....

> Soviel zu diesen Themen von mir, aber vielleicht können andere hier im
> Forum ja auch noch was dazu beisteuern. Der Thread-Starter hat dann die
> Ehre, aus all unserem Geschreibe hier irgendwas Lesbares zusamen zu
> basteln...  

Ja, vielen Dank, Du hast Dir viel Mühe gegeben, sehr nett von Dir. 

Auch ich hoffe noch auf einen ergänzenden bzw. erklärenden Hinweis von Markus. 

Viele Grüße

WinniePooh