Verschlüsselung mit Live System kompatibel

Hallo,
ich verwende derzeit komplett unverschlüsselt ein Ubuntu-Windows-Dualboot-System.
Nun würde ich aber gerne auf ein verschlüsseltes Arch-Windows-System umsteigen.
Meine Frage ist nun, was es für Systemverschlüsselungsmethoden dafür gibt, bei denen man MIT PASSWORT mithilfe eines Live-Systems Zugriff auf das System bekommt.

Außerdem würden mich auch sonstige Sicherheitsvorkehrungen interessieren, wenn der Angreifer direkten (physischen) Zugriff hat.
BIOS-Passwort lässt sich ja wohl ziemlich einfach zurücksetzen. Die einzige Möglichkeit, die mir sonst noch einfällt, ist ein Grub-Passwort.

Es wird von einem Passwort ausgegangen, das ich nicht vergesse (ist auf einem Zettel an einem sehr sicheren Ort und gut im Gedächtnis verankert).

Danke!

Guck mal hier:
https://wiki.ubuntuusers.de/LUKS/
https://wiki.ubuntuusers.de/System_verschlüsseln/

Wenn du das Prinzip verstanden hast, sollte es auch kein Problem sein, eine verschlüsselte Partition von einem Live System aus zu öffnen.

Wenn der Angreifer physischen Zugriff hat, dann manipuliert er dir die Tastatur und kennt somit bei deinem nächsten Login das Passwort zu deiner verschlüsselten Partition.

LUKS habe ich mir schon fast gedacht. Ich habe nur überlegt, ob es vielleicht irgendeine OS-übergreifende Möglichkeit gibt.

Dann werde ich aber wohl ja vermutlich für Windows dann Veracrypt nehmen.
Ist es damit eigentlich auch möglich, erst nach der Auswahl von Windows Veracrypt zu starten?
Damit ich nicht immer das Passwort eingeben muss, obwohl ich eigentlich gar nicht Windows starten will. Und bleibt Veracrypt eigentlich erhalten, wenn ich Windows update? Das ist ja bei größeren Updates meistens eher eine Neuinstallation.

Es geht mir nur um das Prinzip, ob es möglich ist, dann noch das System zu reparieren und zu retten.

Es handelt sich dabei um einen Laptop. Dabei geht es mir eben vor allem darum, dass bei Verlust die Daten nicht einfach ausgelesen werden können. Wenn schwerwiegendere Hardwaremodifikationen vorgenommen werden, dann merke ich das vermutlich und vor allem bemerke ich ja die längere Abwesenheit meines Rechners.

Dann müsste es eigentlich soweit reichen, wenn ich alle Partitionen verschlüssele und noch per forma ein BIOS-Passwort setze, auch wenn sich das einfach zurücksetzen lässt und das war es, oder? Grub-Passwort entfällt durch die Verschlüsselung und ansonsten dürfte man ja selbst über den Recovery-Modus ja nicht root-Access bekommen ohne Passwort.

Als letzte Frage noch: NTFS-Partitionen, die dem Datenaustausch zwischen Linux und Windows dienen, ist es empfehlenswert, die mit Veracrypt zu verschlüsseln, oder ist das unter Linux arg langsam? Gibt es sonst noch andere Lösungen?