Habe hier einen frischen Klapprechner mit Windows 11, noch offline. Ich hab erstmal die Einrichtung eines Microsoft-Kontos umgangen und alle Abfragen, was MS nach Hause telefonieren darf, verneint. Was müsste ich, bevor ich mit dem Gerät online gehe und meine persönlichen Programme aufbringe, noch löschen oder abwählen?
Du könntest dir mal die Anleitungen die beerisgood gesammelt hat anschauen: https://github.com/beerisgood/Windows11_Hardening
Da lässt sich durchaus einiges machen, aber meine Befürchtung ist, dass es nach einem Update wieder alles weg sein könnte.
Hm Ich zitiere mal von dort:
avoid insecure software like 7-Zip (which lacks Anti-Exploit and MOTW support) and also Forks, Open/ LibreOffice, Firefox, True/Veracrypt, …
Ich bin jetzt etwas verwirrt. Ich soll zB Firefox oder Openoffice meiden? Warum? (Firefox gehört natürlich auch angepasst)
Edit: Habe hier noch nützliche Tips gefunden.
Wenn es vertraulich sein muss, warum auch immer, kannst Du Windows 11 leider total vergessen. Irgendwelche tollen Tools können tief ins System integrierte Backdoorfunktionen / Spionagetools auch nicht stoppen.
Man findet im Netz Belege zur Zusammenarbeit zwischen MS und gewissen “Sicherheitsbehörden”. Dazu gibt es noch einschlägige Gesetzestexte, die diese Spionageaktivitäten entsprechend legitimieren. Man hat also alles auf ein legales Level gehoben.
Man könnte natürlich versuchen, jedwede Kommunikation zu MS-Servern zu unterbinden. Aber ganz ehrlich, dann lieber Linux installieren. Ist bedeutend einfacher und in dieser Hinsicht sicherer zu handhaben. Zumal damit heute quasi fast alles geht was auch unter Windows geht. Selbst Zocken.
Lässt man Wireshark unter Windows 11 laufen und danach unter einer Linuxdistro ist eigentlich sofort ersichtlich, wo man den Schwerpunkt legen sollte, wenn einem Privatsphäre oder Schutz von Geschäftsgeheimnissen wichtig ist.
Windows ist nicht umsonst proprietär. Du kannst nicht reingucken, du weisst nie, ob alles abgeschaltet wird. Du weisst nicht, was mit dem nächsten Update wieder eingeschaltet wird.
Auf der Arbeit haben wir tatsächlich ein datenschutzfreundliches Windows, das hat aber keine Netzwerkverbindung und das ist auf der anderen Seite auch extrem nervig.
Der Weg den Windows mit Recall einschlägt ist in meinen Augen furchtbar. Jetzt sind sie von der öffentlichen Meinung noch dazu getrieben worden, die Daten lokal verschlüsselt zu speichern. Irgendwann verbessert Mircosoft das Benutzererlebnis und verlagert diese Daten in die Cloud und dann…
Das hier ist ziemlich umfangreich, die Themen sind erklärt und Du kannst Dir frei aussuchen, was Du ausschalten willst.
Diesbezüglich wäre interessant, ob und inwieweit dieser Artikel von 2015 (noch) gilt?
https://www.deskmodder.de/blog/2015/08/21/oo-shutup10-eine-dreiste-kopie-von-donotspy10/
Die Integration mit VBS Enclaves lässt stark vermuten, dass das bereits vorher in der Entwicklung war und nur in den frühen Testversionen von Recall noch nicht mit ausgerollt wurde.
Das letzte Update von O&O ShutUp10 ist von Februar 2025. Wird das noch weiterentwickelt? Seitdem sind von Windows viele Updates und neue Funktionen dazugekommen.
Ja, es ist ziemlich aktuell im Vergleich zu all dem oben verlinkten Zeugs von anno Tobak.
Aus meiner Sicht ist O&O ShutUp 10+ aktuell das einfachste und seriöseste Tool in dieser Hinsicht.
Zum Einen wird es stetig aktuell gehalten und verspricht trotzdem keine Wunderdinge. Zum Anderen lassen sich nahezu alle Einstellungen auch wieder rückgängig machen, wenn man glaubt, dass sie für ein Problem verantwortlich sind. Weiterhin erklärt das Programm kurz und knackig, was es da tut und warum. Und zu guter Letzt ist bei jeder Einstellung klar markiert, wie gefährlich bzw. sinnvoll sie ist.
Die rot markierten Einstellungen empfehle ich definitiv niemandem, sie blind anzuwenden, da man damit tatsächlich auch sein Windows verstümmeln kann. Beispielsweise hilft es für die Sicherheit des Systems nichts, wenn man den Kontakt zum Lizenzierungsdienst oder Updateservice von Microsoft unterbindet, denn die Lizenz wird (leider) regelmäßig verlängert – oder halt nicht, wenn man das verhindert. Für eine zeitlich begrenzt betriebene Offline-Testinstallation ist das natürlich ok, die muss man nicht aktivieren oder mit dem Web verbinden. Für ein Arbeitsgerät ist es aber sinnlos.
Grundsätzlich sind natürlich – wie schon weiter oben angemerkt – alle Versuche, ein proprietäres System wirklich endgültig und für alle Ewigkeit abzusichern, von vornherein zum Scheitern verurteilt, denn wir sollten alle wissen, dass die Sicherheit auch davon abhängt, dass man über Updates die ständig aufploppenden Sicherheitslücken schließt. Auch dann, wenn dadurch Microsoft ständig irgendwas versemmelt oder – angeblich und nicht nachweisbar – neue Hintertüren einbaut. Und so muss man in unregelmäßigen Abständen (nach größeren Updates spätestens) O&O ShupUp 10+ aktualisieren und nochmal laufen lassen. Es liest die letzte Configdatei wieder ein und markiert, welche Einstellungen ggf. von Microsoft durch Updates wieder zurückgenommen wurden, so dass man sie wiederherstellen kann. Soviel zu „endgültig“. Und es kommen neue Dinge hinzu, die man ggf. noch nicht kannte. Womit wir bei der Ewigkeit wären.
Dennoch ist die Vielzahl an Einstellungen beeindruckend, denn jeder kann sich so seine persönliche Balance zwischen Sicherheit, Datenschutz und Komfort einstellen. Manche Funktionen nerven z.B. durch penetrante Cloud-Nutzung (Warum wird z.B. die Zwischenablage zwischen zwei Laptops im selben Netz mit demselben MS-Konto über die Cloud synchronisiert und nicht wie beim Obsthändler aus Cupertino per Direktverbindung?). Wer sie abschaltet, weil er – wie ich – die MS-Cloud nicht nutzen möchte, verliert halt Komfort. Bewusst und willentlich. So gibt es haufenweise Konfigurationen, die sich irgendwie auf den Komfort auswirken und man muss sich entscheiden. Ach ja: Man kann das Tool mit Admin-Rechten starten und dann Einstellungen systemweit vorgeben, also für alle User. Und die Optionen unterscheiden sich vom User-Modus etwas.
Was ich halt als großen Vorteil dieses Tools sehe: Es sorgt für eine Information des Nutzers, wenn er sie will und setzt keine Schauermärchen in die Welt. Jeder, der mit Windows arbeitet, sollte sich über die vermeintlichen und realen Gefahren informieren, die er eingeht. Sonst kommen mir noch mehr Aluhutträger um die Ecke, die glauben, Windows mit abgeschalteten Updates ließen sich mit einem Virenscanner absichern. Also die einem Hersteller von Fremdsoftware, der sein Geld mit der Angst der Leute verdient, mehr vertrauen, als darauf, dass Microsoft die Sicherheitslücken tatsächlich schließen möchte (Keine Kommentare dazu, ob sie es schaffen, bitte!). Wer das wirklich glaubt, sollte Windows auch nicht nutzen! Dann bitte Linux, aber mit Wissen und Information, was man da tun muss, damit es sicher ist und bleibt!
Disclaimer: Ich habe mit O&O keine Verträge (das Tool ist eh kostenlos), ebenso wie mit Microsoft und vertrete hier nur meine eigene, gut fundierte Meinung.
Natürlich ist es möglich Tuning-Tools, wie O&O zu verwenden. Damit muss aber gleich zwei Instanzen vertraut werden: Microsoft und dem Programmierer des Tuning-Tools, insbesondere dass letzterer alles aktuell hält, wenn Microsoft etwas ändert. Ich benutze daher lieber die Knöpfe, die Windows selbst bietet. Andere kann auch ein Tuning-Tool nicht umlegen. Die Methoden, um Win11 den Datenhunger zu nehmen sind dieselben, wie für Win10, da sich unter der Haube nur wenig geändert hat. Hier eine persönliche und daher subjektive Auwahl:
-
Einstellungen: Sie kratzen zwar nur an der Oberfläche, aber ein guter Anfang ist es trotzdem, dort alles datenschutzfreundlich einzustellen.
-
Task Manager, Autostart: Dienste, Apps, die nicht starten, versenden im allgemeinen keine Daten. Daher alle unnötigen Autostarts abschalten. Programme, die vom Nutzer gestartet werden, benötigen keinen Autostart.
-
Portmaster-Firewall installieren, um die Dienste und Apps sichtbar zu machen, die für Windows oder installierte Apps nach Hause funken. Über Portmaster, die Windows-Firewall oder auch externe DNS-Blocker (PiHole, Fritzbox Router) lassen sich unerwünschte Verbindungen blockieren.
-
Mitgelieferte Microsoft Bloatware wie MS-Teams deinstallieren. Geht bei Win11 jetzt direkt aus dem Startmenü heraus.
Danach geht es schon ans Eingemachte. Alte Anleitungen, die für Win10 von diversen IT-Behörden wie dem BSI und Uni-Fakultäten herausgebracht wurden, zeigen immer noch, wie es grundsätzlich geht. Hier sind ein paar Links:
https://wiki.uni-freiburg.de/rz/doku.php?id=windows_10
Die folgenden Maßnahmen aus diesen Anleitungen mit Admin-Rechten ausführen:
-
Dienste
Aus dem Task Manager - Dienste heraus „Dienste öffnen“ drücken. Die Telemetrie läuft großteils über „Benutzererfahrungen und Telemetrie…“. Mit Rechtsclick, wie in der BSI-Studie beschrieben, den Starttyp auf „Deaktiviert“ setzen. Dasselbe kann je nach Wunsch für weitere Dienste gemacht werden, z.B. für Xbox-Dienste. Auch installierte Apps, selbst Druckertreiber können Telemetriedienste mitbringen, die hier abgeschaltet werden können. -
Gruppenrichtlinien
Mit „gpedit.msc“ die Gruppenrichtlinien öffnen (nur Win-Pro aufwärts). Dort die Einstellungen, wie ab S.57 der „Orientierungshilfe Win10“ beschrieben, abarbeiten meist unter Computerkonfiguration/Administrative Vorlagen/Windows Komponenten… Von OneDrive über die Werbe-ID bis zum Webzugriff der Desktopsuche lassen sich dort alle möglichen Windowsfunktionen für alle Nutzer gleichzeitig abschalten, inkl. neuer Win 11 Funktionen.
Noch nicht herausgefunden habe ich, wie sich die Einstellungen der Gruppenrichtlinien exportieren und auf weiteren Rechnern einspielen lassen. Wenn hier jemand einen Tipp hat…
Wer nur eine Homelizenz hat, kann versuchen, die entsprechenden Knöpfe in der Registry umzulegen und muss das teilweise für jedes Nutzerkonto getrennt machen.
Im Detail können mit Feature-Updates und Win11 neue Dienste und Gruppenrichtlinien dazukommen. Die lassen sich aber wieder auf dieselbe Art deaktivieren. Sowohl die Funktion der einzelnen Dienste, als auch der Gruppenrichtlinien ist in den genannten Windows-Tools ausführlich beschrieben, womit qualifizierte Entscheidungen möglich sind. Es ist eine subjektive Entscheidung, ob Antivirus-Funktionen von Windows, wie die App & Browsersteuerung als Sicherheitsdienstleistung oder als Ausspähen angesehen werden. Alle Verbindungen zu Microsoft zu kappen, kann nur für Systeme ohne Internetzugriff empfohlen werden, da ohne Verbindung zu Microsoft keine Updates eingespielt werden und die Sicherheitsfunktionen blockiert sind. Windows ganz ohne Datenverbindungen zu Microsoft geht daher praktisch nicht.
Ja und natürlich sind diverse Linuxdistributionen datenschutzfreundlicher und vielleicht auch sicherer als Windows. Das quasi-Monopol lässt sich aber halt nicht in jeder Situation ignorieren.
Das ist glaube ich noch nicht alles, je nach dem was du von Windows erwartest.
Hast du denn diese Methode benutzt um ein sauberes Windows zu installieren oder eine ähnliche Methode? Oder einfach nur so von Hand und was dir angeboten wird?
Angenommen man möchte kein „Drittanbieter“-Tool verwenden. Gibt es auch eine Liste welche der Dienste wofür zuständig sind bzw. welche deaktiviert werden können? Vielleicht sogar von Microsoft selbst oder ist denen das zuviel Transparenz? Bei den meisten Diensten kann ich vom Namen her nur grob erahnen was sich dahinter verbirgt - ist sicher von Winzelweich so gewollt…
- https://www.oo-software.com/en/shutup10
- https://www.oo-software.com/en/shutup10/changelog
- https://community.chocolatey.org/packages/shutup10
- https://www.w10privacy.de/english-home/
- https://www.w10privacy.de/deutsch-start/versionshistorie/
- https://community.chocolatey.org/packages/w10privacy
- https://github.com/builtbybel/xd-AntiSpy/blob/main/README.md
- https://github.com/builtbybel/xd-AntiSpy/releases
Von den genannten scheint derzeit nur das Mittlere (W10P) recht aktuell gepflegt zu sein…
Den changelogs zufolge kann man diese Aussage aber nicht wirklich eindeutig treffen. Auch bei W10Privacy sind seit 2024 keine wirklichen auf Windows selbst bezogenen Funktionsanpassungen oder Erweiterungen hinzu gekommen. Man könnte auch gegenteilig argumentieren, dass ShutUp10+ viel besser gepflegt ist und im Gegensatz zu den anderen weniger Bugfixes nötig hatte oder neue OS-Anpassungen viel schneller vornimmt.
Die reine Tatsache, dass es länger kein Update für eine App gibt/gab, ist per se kein Zeichen dafür, dass sie nicht oder weniger gut gepflegt wird. Es soll doch tatsächlich vorkommen, dass Apps manchmal genauso laufen, wie sie sollen und daher kein Update benötigen.
Es sollte aber genauso klar sein, dass diese ganzen Tools nur die Vergangenheit betrachten. Windows ändert etwas und diese Tools müssen erst einmal herausfinden, was geändert wurde, um dann einen Weg zu finden, dies wieder abzustellen. Mit jedem Update kann man sich in Windows wieder Lücken in seinen Datenschutz reißen.
Mir ist keine Liste bekannt, es kann aber natürlich dennoch welche geben. Die Auswahl wäre aber subjektiv. Manche Gamer können z.B. Xbox-Dienste nützlich finden, für nicht-Gamer sind sie wahrscheinlich entbehrlich. Ähnliches gilt für Push-Benachrichtigungen. Ohne Apps, die Benachrichtigungen bekommen sind sie verzichtbar. Falls Apps installiert sind, die diesen Dienst benötigen, werden Nutzer ihn vielleicht nicht entbehren wollen.
Ich finde die Beschreibungen der Dienste und Gruppenrichtlinien unter Windows auch durchaus aussagekräftig. Zu „Benutzererfahrung und Telemetrie im verbundenen Modus“ steht unter “Dienste” in der Beschreibung u.a.:
...Außerdem verwaltet dieser Dienst die ereignisgesteuerte
Sammlung und Übertragung von Diagnose- und Nutzungsdaten...
Das ist für mich eine ehrliche Ansage. Wenn die Windows eigene Beschreibung nicht ausreicht, kann wie üblich eine Internetrecherche helfen. Windows dürfte trotz aller Nachteile und Zumutungen von Microsoft dennoch das am besten dokumentierte Betriebssystem sein. Das liegt daran, dass es von großen Konzernen und staatlichen Institutionen quasi als Industriestandard benutzt wird. Die haben kompetente IT-Abteilungen und hohe Anforderungen an den Schutz ihrer Daten. Selbst Microsoft kann sich dem nicht entziehen, da sie hauptsächlich mit diesen Kunden Geld verdienen. Sie stecken die Schalter für kritische Funktionen halt nur nicht in die regulären Einstellungen, sondern in Registry, Gruppenrichtlinien und “Dienste”, wo IT-Administratoren reinschauen, Durchschnittsnutzer aber meist nicht.
Ohne Empfehlungsliste ist Trial & Error das bewährte Vorgehen: Verdächtige Funktionen abschalten und schauen ob noch alles Notwendige geht. Falls nicht, die Abschaltung wieder rückgängig machen. Mit Gruppenrichtlinien und Diensteeinstellungen lässt sich ein System nur schwer zerschießen, in der Registry ist dagegen Umsicht angebracht.
Mit der großen Einschränkungen, dass wichtig Online Spiele nicht unter Linux laufen, weil das Anti Cheat System dafür nicht freigegeben ist.
Das ist schon ein großer Einschnitt, wenn die beliebtesten Spiele der Welt nicht unter Linux laufen.
Fortnite, Call of Duty, Battlefield, Valorant, League of Legends und viele mehr.
Also die Einschränkung ist für zig Millionen Gamern täglich noch gegeben, was ein gänzliche Unabhängigkeit von MS verhindert, sofern man auf sein Hobby nicht verzichten will.
Die „Drittanbieter-Tools“ sind in der Regel PowerShell-Skripte. Dadurch ist der Umfang der Änderungen bekannt und nachvollziehbar. Wenn du das Skript analysierst, weißt du genau, welche Änderungen am System vorgenommen werden. Wenn du dazu nicht in der Lage bist, musst du der Community vertrauen, die das Skript zur Verfügung stellt. Aber dann hilft dir auch keine Liste, die angibt, welche Dienste du deaktivieren kannst, weil du immer noch nicht weißt, was der jeweilige Dienst macht oder was sich tatsächlich ändert, wenn du eine Checkbox in einer grafischen Benutzeroberfläche (GUI) im System aktivierst oder deaktivierst.
Ich benutze beispielsweise das Skript aus der Spiceworks-Community:
https://community.spiceworks.com/t/windows-10-11-decrapifier/975250