Resposta curta: para um disco que fica em casa, marque Criptografar Backups no Time Machine. Para qualquer coisa que sai do prédio ou vai para o armazenamento de outra pessoa, criptografe antes de os bytes serem gravados.
A diferença é em quem é preciso confiar: no disco, ou em ninguém.
Os três primeiros protegem contra perder o disco. Só o quarto protege contra o próprio armazenamento, que é a pergunta que importa a partir do momento em que o backup fica em uma conta na nuvem ou em um NAS.
Criptografar um backup que já existe recriptografa o disco inteiro em segundo plano, o que leva horas e às vezes dias. Se puder, faça isso quando adicionar o disco pela primeira vez.
A senha fica guardada nas Chaves do seu Mac, o que é prático e também é a armadilha: se o Mac morrer, as Chaves morrem junto, e a senha é a única forma de entrar no backup. Anote-a em outro lugar.
hdiutil create -encryption AES-256 -stdinpass -size 200g \
-volname Backup -fs APFS ~/backup.dmgMonte, copie para dentro, desmonte. É um contêiner razoável para um disco que viaja. Não combina bem com uma pasta na nuvem, porque a imagem é um único arquivo enorme e qualquer mudança no conteúdo significa reenviar muito mais do que você mudou.
Manualmente, isto é um arquivo compactado passando pelo openssl:
tar -cJf - ~/Documents | openssl enc -aes-256-cbc -pbkdf2 -out ~/Dropbox/documents.tar.xz.encO destino nunca vê texto puro, o que é exatamente o certo. Em troca, você fica com um único bloco opaco: sem atualizações incrementais, sem restaurar um arquivo sem descompactar tudo, e uma frase-senha entre você e tudo isso.
Fazer isso direito, com criptografia por arquivo para que um único documento possa voltar sozinho, é a parte difícil de montar por conta própria. O Copy Shelter criptografa tudo no seu Mac antes de gravar em qualquer lugar, e não existe ajuste para desligar isso. A chave é gerada no seu computador e nunca é transmitida, então o destino é só armazenamento, e não alguém em quem você precisa confiar.
Esta é a parte que de fato faz as pessoas perderem dados, com mais frequência do que qualquer ataque.
Não. O FileVault criptografa só o disco interno. O disco de backup é um volume separado, com sua própria configuração de criptografia.
Sim, e o macOS recriptografa o disco inteiro em segundo plano. Funciona, demora bastante, e o backup não está totalmente protegido até terminar.
Não de forma perceptível em nenhum Mac feito na última década. O AES é acelerado por hardware, e o disco ou a rede viram gargalo muito antes da cifra.
O backup não pode ser aberto, nem por você nem por ninguém. Essa é a propriedade pela qual você estava pagando. É por isso que a chave deve ficar em outro lugar que não o Mac, anotada.
Se foi criptografado antes de sair do seu Mac, sim: o provedor guarda bytes que não consegue ler. Se você depende da criptografia do próprio provedor, está confiando no provedor, o que é uma afirmação diferente e muito mais fraca.
Relacionado: usando o armazenamento na nuvem que você já paga.