Eu (finalmente) descobri o problema e consegui resolvê-lo. É uma combinação de várias coisas, incluindo que excludes
é dado como um curinga (enquanto antes de fazer a pergunta eu não fiz isso ... agora isso não funciona mais). Este é o comando que funciona:
includesFile=include.txt
excludesFile=exclude.txt
tar -zcpf - --absolute-names -X ${excludesFile} -T ${includesFile} | openssl des3 -salt | dd of=out.bak
E definitivamente, as exclusões são dadas desta forma:
/var/cache/*
/var/lib/dpkg/*
/usr/bin/*
/usr/share/locale/*
/proc/*
/sys/*
E inclui:
/etc/
/var/
/usr/