Accountzwang: Microsoft entfernt Methoden zur Offline-Installation von Windows 11

[kaiser]

Glaubt MS ernsthaft das ich jetzt für jeden Kunden PC den ich installiere auch noch ein MS Konto anlegen soll? Oder die ganzen admins in Firmen mit sowas rumärgern sollen bei lokaler domäne? Ich hatte sowas aber schon geahnt, spätesten bei der nächsten OS Version könnte das übel werden.

Die meisten User wissen übrigens gar nicht mehr das sie mal so ein Konto angelegt haben. Geschweige denn wie ihr Passwort heißt.

mit lokaler Domäne braucht man eh Windows Pro und da gibt es immernoch keine Accountpflicht und die gab es NIE und man hat hierfür nie mehr als die OOBE gebraucht

 

[Techlogi]

"Das Deaktivieren der Verschlüsselung außerhalb dieses Szenarios ist verboten, da dies gegen die Windows 11-Lizenzierungsanforderungen und das Windows 11-Prinzip standardmäßig sicher verstößt."

Das gilt für OEMs, die Geräte mit vorinstalliertem Win11 verkaufen wollen.

 

[passat3233]

Und bei OEM-PCs ist das allererste, was man immer machen sollte, wenn man mit einem sauberen Windows arbeiten will:
Format C: und Windows neu installieren mit einer normalen Version und nicht der OEM-Version.
Denn OEMs packen immer viel völlig überflüssige Bloatware mit ins Systemi, die man sonst kaum los wird.
Außerdem könnten die irgendwelche "Systemanpassungen" machen, die unerwünscht sind und die man sonst kaum rückgängig machen kann.
Und wenn man Windows eh neu installiert, kann man den Bitlockerkram auch gleich deaktivieren.

Das ist sowieso nur eine Scheinsicherheit.
Denn Diebe klauen i.d.R. den kompletten PC und bauen nicht die Festplatte aus, um nur die zu klauen.
Und da der Key der Verschlüsselung eh in Windows drin ist, müssen die nur das Windows-Passwort knacken.
In vielen Fällen nicht einmal das, da sehr viele Leute die Passwortabfrage beim Systemstart abgeschaltet haben.
Und damit ist die Verschlüsselung wirkungslos, da PC-Diebe auch ohne die Verschlüsselung knacken zu müssen an alle Inhalte der Festplatte ran kommen.

Die Verschlüsselung macht nur bei Wechseldatenträgern wie z.B. USB-Festplatten, Sinn.

Beitrag automatisch zusammengeführt: Heute um 10:34

Wegen der angeblichen Sicherheit? Updates ausschalten ist das Erste, was ich stets tue bzw. sind die vorn vornherein ausgeschaltet.

Das ist grober Vorsatz!
Das ist ungefähr so, als wenn du bei deinem Haus das Schloß der Haustür ausbaust.
Aber manche Leute sind ja sicherheitstechnisch etwas einfach gestrickt.
Ich hatte mal einen Nachbarn, der die Türschlüssel zu seiner Wohnung immer außen in der Tür stecken hatte, wenn er zu Hause war.
Da hätte jeder die Wohnung betreten können oder z.B. schnell eine Kopie des Schlüssels machen können und dann die Wohnung ausräumen, wenn er nicht zu Hause ist.
Darauf angesprochen meinte er nur "da passiert schon nichts...."

 

[Techlogi]

Und bei OEM-PCs ist das allererste, was man immer machen sollte, wenn man mit einem sauberen Windows arbeiten will:
Format C: und Windows neu installieren mit einer normalen Version und nicht der OEM-Version.

Das macht man innerhalb unserer Bubble, aber kein normaler Kunde wird das tun.

Die Verschlüsselung macht nur bei Wechseldatenträgern wie z.B. USB-Festplatten, Sinn.

Ich halte Verschlüsselung grundsätzlich für sinnvoll, macht als netten Nebeneffekt auch weniger Kopfschmerzen im RMA Fall.

 

[xrated]

mit lokaler Domäne braucht man eh Windows Pro und da gibt es immernoch keine Accountpflicht und die gab es NIE und man hat hierfür nie mehr als die OOBE gebraucht

Es wird für alle Versionen kommen, noch ist es der Preview vorbehalten.
MS will auf Abo umstellen wie bei o365, ist doch klar. Da sind die Accounts der anfang

 

[King Loui]

lass mich raten, ich solls selbst herausfinden oder es kommen weitere schwache Diskreditierungsversuche.

Alter 🤦‍♂️...
Und als ob das kompliziert wäre... Eine Frage bei ChatGPT:

sag und vor allem Belege es, wie verbreitet dieser Dienst ist

Die Gesamtzahl der Plattform-User (also inkl. aller Xbox-Dienste, Spiele, Streaming, Plattformzugänge etc.) wird auf über 500 Millionen aktive Accounts pro Monat weltweit geschätzt. (Klick)

Ich gehöre nicht der Boomer Generation an

Mental macht das schon den Eindruck... Bloß nix neues, diese bösen Accounts überall und die guten alten ISOs erstmal gesichert Sorry, hört sich genauso an wie bei meinen Eltern

oder eine andere frage, warum bleibt es nicht optional wenn doch nicht schlimm sein soll?

Wieso darf ein privatwirtschaftlicher Konzern das nicht selber entscheiden? Haben die eine Pflicht, sich bestimmten Kundenwünschen zu unterwerfen? Nö. Hinzu kommt: Du hast doch die freie Wahl. Dir gefällt die Produktpolitik von Windows nicht? Nutz einfach ein OS bei dem es anders gemacht wird! Wie gesagt, mein Arch wird mich nie nach einem Account fragen...
Und bitte, lass den Spezialtreiber für den Rechnungsdrucker einfach weg, machs mit dem Online-Banking

 

[passat3233]

Das macht man innerhalb unserer Bubble, aber kein normaler Kunde wird das tun.

Und kein normaler Kunde wird sich den Bitlocker-Wiederherstellungsschlüssel, aufschreiben.
Die meisten normalen Kunden wissen ja nicht einmal davon, das Bitlocker aktiv ist.
Und die wissen schon gar nicht, wie man den Wiederhzerstellungsschlüssel ausliest.
Und beim nächsten BIOS-Update ist dann das Geschrei groß, da auf die Platte dann nicht mehr zugegriffen werden kann.
Hier im Forum gabs ja schon entsprechende Fälle.

 

[KannsteKnicken]

Ich nutz auch kein xbox live, wüsste auch nicht wofür. Im Zockerkreis weiß ich noch mind. 3 weitere, die kein xbox live nutzen. Ist doch nichts besonders.

Als Win Pro user nutz ich ganz normal den lokalen Account auf meinen 4 Rechner - warum?
Ich hasse es zu tippen (deswegen nutz ich ja auch Windows - clickibunti und so). Das lokale Kennwort ist KURZ, für einen Account der Online zu erreichen wär, zu kurz und simpel.

 

[Techlogi]

Und kein normaler Kunde wird sich den Bitlocker-Wiederherstellungsschlüssel, aufschreiben.

Dass MS dort nicht deutlicher drauf hinweist, bemängle ich natürlich auch. Nur werden sie das auch nicht tun, denn sie vertreten ja den Standpunkt:

"Bist halt selber doof, wenn du kein MS Konto verwendest, andernfalls wäre der Recovery Key dort"

Und beim nächsten BIOS-Update ist dann das Geschrei groß, da auf die Platte dann nicht mehr zugegriffen werden kann.
Hier im Forum gabs ja schon entsprechende Fälle.

Zumindest Dell und HP halten den Bitlocker an, wenn man das Update aus Windows heraus startet. Bei anderen Herstellern weiß ich es nicht.
Und wer auf einem Rechner nachträglich Bitlocker aktivieren möchte, kommt um den Export des Schlüssels nicht drum herum.

 

[Erklärbär]

Ich denke damit ist PCR7 gemeint.

Ja, die PCR7 Bindung und ob diese möglich (true) oder halt nicht möglich (false) ist, kann man ja entsprechend vorkonfigurieren und via TPMDiag dann auch auslesen:


..letztens z.b. hatte ich hier noch ein Laptop (Medion) mit vorkonfigurierten 24H2 Pro (wunderte mich, denn diese Dinger setzen ja meist nur auf Home Edition auf), da war auch BT aus, weil PCR7 false.
Auch via MS-Kontozwang bei install muss niemand die BT Verschlüsselung aktiv haben, wenn er das nicht möchte. Selbst vorkonfiguriert ist die nicht selten default inaktiv.

 

[xrated]

laut deskmodder:

• Umschalt-Taste + F10 drücken
• WinJS.Application.restart("ms-cxh://localonly")

Edit: Nicht Shift+F10 sondern CTRL + SHIFT + J

 

[Luxxiator]

Bei einer Neuinstallation (wohl ab 24H2) sollte man selbst bei einer Home prüfen, ob BL aktiv ist oder nicht. Auch ohne gesetztes Flag ist man vorm BL nicht unbedingt sicher. Hier wurden nach Neuinstallation alle lokalen LWe automatisch verschlüsselt....

 

[xrated]

Einfach Secure Boot deaktivieren

BitLocker automatic device encryption is enabled when:

• The device contains a TPM (Trusted Platform Module), either TPM 1.2 or TPM 2.0.
• UEFI Secure Boot is enabled. See Secure Boot for more information.
• Platform Secure Boot is enabled
• Platform is Modern Standby or HSTI compliant (this requirement has been removed since Windows 11 24H2)
• There are no un-allowed Direct memory access (DMA) interfaces (this requirement has been removed since Windows 11 24H2)

 

[Techlogi]

Oder einfach den Recovery Key sichern.

 

[Luxxiator]

Das hatten wir doch schon; wer nicht weiss, das BL aktiv ist und kein MS Konto hat, kackt ohne Key aufs Brett....

 

[Techlogi]

Wer nicht weiß was BL ist, wird auch nicht schauen ob BL aktiv ist oder ihn deaktivieren wollen.
Und wer weiß was es ist, kann auch einfach den Key sichern.

 

[Schmufix]

Das war aber nicht immer so gewesen früher wurde man bei der Einrichtung wenigtens noch gefagt ob man BL will.

 

[geheim5000]

Was macht man da bei reinen offline PC´s? ich hab davon 2 Stück.

Müsste die also mitschleppen zu ner aktiven Internet Verbindung, dann mit nem online Account einrichten. Der danach keine online Verbindung mehr sieht. Bissl nervig.

 

[Luxxiator]

Du kannst nach der Neuinstalltion auf ein lokales Konto wechseln; der Key liegt dort relativ sicher. Ich meine aber, das man sich trotzdem ab und an ins MS Konto einloggen muss, damit das Gerät weiterhin dort auftaucht. Zumindest war das mal so; kann aber sein, das sich da zwischenzeitlich was geändert hat. Du kannst den Key aber als Datei lokal sichern und bei Bedarf entsprechend einsetzen. Aktuell kannste den Onlinezwang aber noch umgehen; entweder ISO per Tool selbst modifizieren oder was fertiges nehmen...

 

[Liesel Weppen]

Mental macht das schon den Eindruck... Bloß nix neues, diese bösen Accounts überall und die guten alten ISOs erstmal gesichert Sorry, hört sich genauso an wie bei meinen Eltern

Das ist nicht boomerspezifisch, sondern der "ganz normale" Generationenkonflikt, der immer wieder aufrat, auftritt und vermutlich auch auftreten wird.

Meine Oma hatte den halben Keller voll mit (selbst) eingemachten Konserven. Ich nicht. Ich habe nur einen kleinen Vorrat an Konserven und die sind zu 95% nicht selbst gemacht, sondern eingekauft.
Warum hatte meine Oma das? Weil sie unabhängig sein wollte und sich nicht auf Versorgung durch andere verlassen wollte... angesichts der Geschichte zu ihrer Zeit auch verständlich wie ich finde.
Ich als 2-3 Generationen später habe akzeptiert, das ich das nicht brauche, weil ich im Umkreis von 2km mindestens 5 Supermärkte habe, wo ich jederzeit alles nach Bedarf kaufen kann... mir ist auch bewusst, das ich mich damit aber abhängig davon mache, was ich aber hinnehme. Die Verfügbarkeit wäre auch später bei meiner Oma schon vorhanden gewesen, sie wollte sich aber eben nicht darauf verlassen und hat das auch nicht "gebraucht", sie hatte ja schon für alles selbst gesorgt.

Bei mir ist es heute ähnlich, nur technisch auf IT-Infrastruktur bezogen (ich stamme noch aus einer Zeit in der das Internet noch nicht existierte). Ich will das mein PC, bzw. mein ganzes Netzwerk autonom funktioniert. Onlineaccounts/Cloud bieten natürlich Features, nur die brauche und will ich nicht. Ich meide sie sogar, eine optionale Verfügbarkeit solcher Dienste stört mich allerdings nicht. Ich will die Kontrolle darüber haben. Auch mit allen Nachteilen. Wenn ich mich z.B. nicht selbst um Backups kümmere, dann hab ich eben keine Backups. Ich will trotzdem nicht, das irgendwelche Backups automatisch erstellt und "sicher" sonstwohin gespeichert werden. Ich will nicht vom Internet und irgendwelchen dort laufenden Services irgendwelcher Firmen absolut abhängig sein, so wie meine Oma sich nicht darauf verlassen wollte, das man im Supermarkt jederzeit alles kaufen kann.
Neuere Generationen argumentieren logischerweise das man heutzutage doch sowieso überall und jederzeit Internet hat und diese Dienste doch einfach da sind, warum soll man es also nur optional nutzen? Kann ich auch verstehen, ist ja auch so. Ich will das trotzdem nicht.
Ein wesentlicher Unterschied ist aber: Microsoft versucht mir diese Möglichkeit wegzunehmen und die technischen Möglichkeiten das durchzusetzen sind vorhanden. Meiner Oma konnte keiner verbieten sich einen Vorrat anzulegen und es konnte sie auch keiner zwingen alles im Supermarkt zu kaufen.

Und desweiteren: Im Nachhinein habe ich festgestellt, das meine Eltern und Großeltern in vielen Dingen doch recht hatten.

Wieso darf ein privatwirtschaftlicher Konzern das nicht selber entscheiden? Haben die eine Pflicht, sich bestimmten Kundenwünschen zu unterwerfen? Nö.

Muss er nicht. Aber ich habe auch keine Pflicht deren Produkte zu nutzen.
Das Problem eskaliert aber dann, wenn es keine Alternativen mehr gibt. Aber zum Glück gibts die in diesem Fall.

Schizophren wirds dann aber halt, wenn man sich darüber beschwert und damit auch eingesteht das man das eigentlich nicht will, es dann aber trotzdem hinnimmt. Da greift die Salamitaktik. Ein Umstieg weg von Windows wäre viel Änderung/Aufwand/Umgewöhnung auf einmal. Microsoft führt dagegen immer nur "kleine" Unannehmlichkeiten über lange Zeiträume verteilt ein, so das nie viel Änderung auf einmal fällig wird. Das erschwert einen Wechsel zu Alternativen natürlich "virtuell".

 

[geheim5000]

Ja wie ich das modifiziere usw. weiß ich

War eher dadrauf bezogen, das solche Kunden 0 bedacht werde.

Ich setzte mitlerweile zum Glück überwiegend Linux ein.

 

[Luxxiator]

Naja, BL schlecht sich halt hintenrum ins System und keiner merkt das. Bin selber schon reingeflogen, hab das aber GsD (eher zufällg) durch einen Blick in die Datenträgerverwaltung mitbekommen....

 

[Schmufix]

War eher dadrauf bezogen, das solche Kunden 0 bedacht werde.

Ich setzte mitlerweile zum Glück überwiegend Linux ein.

Will man denn da nicht auch wenigtens einmal online sein, Jetzt nicht wegen dem Account aber um die Aktualisierungen zu ziehen ?

 

[xrated]

Ich hab grad die 6772 getestet, man kann auch weiterhin "der Domäne beitreten" bei der Installation. Nur das man das bei der Installation eben gar nicht macht und ganz normales lokales Account hat.
Es betrifft dann wohl primär die Home Version.

 

[kaiser]

Ich hab grad die 6772 getestet, man kann auch weiterhin "der Domäne beitreten" bei der Installation. Nur das man das bei der Installation eben gar nicht macht und ganz normales lokales Account hat.
Es betrifft dann wohl primär die Home Version.

des hab ich schon im ersten Post geschrieben und sogar später noch ein Video von der Proxmox VM dazu gepostet

Aber wegs der elendigen Bitlocker ist aktiviert, obwohl nicht aktiviert, werde ich meinen Azubi jetzt Windows auf ne externe M.2 SSD mit USB Adapter mit einem Lenovo Notebook mit aktvierten UEFI Flag installieren lassen.
Und dann die M.2 SSD in ne andere Maschine stecken. Da sieht man ja ob "Bitlocker zur Aktivierung bereit" auch wirklich mit einem individuellen oder einem standardisierten Key versehen wird.
Brauch nurnoch nen USB Stick für die Installation ohne Antwortdatei, die den Bitlocker automatisch ausmacht.

 

[tgh1978]

Und alle die sich hier darüber aufregen nutzen munter WhatsApp, Google und co... Ziemlich albern.

Stell Dir vor es gibt auch noch Leute, die das nicht tun! Nütze kein WhatsApp, Signal, Facebook, X. usw.
Habe ich noch nie gebraucht. Ich nütze auch kein Google oder Apple, und ich gehöre zu der Sorte die ein OS Offline installieren/nützen können/wollen... Wenn ich ein Gerät neu aufsetze, egal ob das ein PC oder ein Handy ist wird erstmal die Internetverbindung gekappt... und erst wenn ich mit dem Aufsetzen fertig bin, und zb. diverse "Telemetrie-blocker" aktiviert sind, geht das Gerät (falls nötig) online...
Ich hatte zb. mal einen PC mit einem i7-7700K (geköpft mit 4C/8T permanent auf 4,9GHz Luftgekühlt), den ich nur an meinem Beamer zum offline Zocken betrieben habe, der war vom Zusammenbau, bis zur Weitergabe an eine Freundin über ca. 3½ Jahre nicht ein einziges Mal online! Erst als ich ihn für die Freundin neu aufgesetzt hatte, ging er dann das erste Mal online...

Bei mir ist es heute ähnlich, nur technisch auf IT-Infrastruktur bezogen (ich stamme noch aus einer Zeit in der das Internet noch nicht existierte). Ich will das mein PC, bzw. mein ganzes Netzwerk autonom funktioniert. Onlineaccounts/Cloud bieten natürlich Features, nur die brauche und will ich nicht. Ich meide sie sogar, eine optionale Verfügbarkeit solcher Dienste stört mich allerdings nicht. Ich will die Kontrolle darüber haben. Auch mit allen Nachteilen. Wenn ich mich z.B. nicht selbst um Backups kümmere, dann hab ich eben keine Backups. Ich will trotzdem nicht, das irgendwelche Backups automatisch erstellt und "sicher" sonstwohin gespeichert werden. Ich will nicht vom Internet und irgendwelchen dort laufenden Services irgendwelcher Firmen absolut abhängig sein, so wie meine Oma sich nicht darauf verlassen wollte, das man im Supermarkt jederzeit alles kaufen kann.
Neuere Generationen argumentieren logischerweise das man heutzutage doch sowieso überall und jederzeit Internet hat und diese Dienste doch einfach da sind, warum soll man es also nur optional nutzen? Kann ich auch verstehen, ist ja auch so. Ich will das trotzdem nicht.
Ein wesentlicher Unterschied ist aber: Microsoft versucht mir diese Möglichkeit wegzunehmen und die technischen Möglichkeiten das durchzusetzen sind vorhanden. Meiner Oma konnte keiner verbieten sich einen Vorrat anzulegen und es konnte sie auch keiner zwingen alles im Supermarkt zu kaufen.

Und desweiteren: Im Nachhinein habe ich festgestellt, das meine Eltern und Großeltern in vielen Dingen doch recht hatten.

Da kann ich Dir nur voll und ganz zustimmen!

Ein Umstieg weg von Windows wäre viel Änderung/Aufwand/Umgewöhnung auf einmal. Microsoft führt dagegen immer nur "kleine" Unannehmlichkeiten über lange Zeiträume verteilt ein, so das nie viel Änderung auf einmal fällig wird. Das erschwert einen Wechsel zu Alternativen natürlich "virtuell".

JA diesen Balanceakt kenne ich auch. Meine (sicher von den meisten belächelten) Lösung, sollte es je nötig sein, ist dann halt wieder auf 2 OS zu setzen: Wie zb. ein Online Linux für die 0815 Sachen, und für alles andere ein Offline Windows. Für die meisten Sachen braucht man eh keinen Internetzugang...

 

[kaiser]

So. Windows 11 installiert.

In der OOBE ist schon "Bitlocker wartet auf Aktivierung".

Wenn man sich mit einem lokalen Konto anmeldet durch die OOBE klickt ist immernoch "Bitlocker wartet auf Aktivierung".

Wenn ich diese SSD ausm Notebook ausbaue und eine laufendendes Windows stecke ist das Laufwerk entschlüsselt mit dem Status "Bitlocker wartet auf Aktivierung".

Also was lernen wir daraus: Bitlocker verschlüsselt für lokale Konten mit einem Standardkey, der in jedem Windows automatisch hinterlegt ist.
Die Daten sind mit einem Windows immer auslesbar.
Linux und Backupsoftware brauchen den Standardkey um auf die Platte zugreifen zu können.

Was ich nicht herausgefunden habe (und mir eigentlich total egal ist): Gibt es nur den einen Standardkey oder gibt es eine Liste aus 100 Standardkeys?

Anmerkung #1: wenn man sich durch einen Mainboardtausch oder BIOS Update sein TPM Modul leert, muss man einfach ein Windows2Go von USB starten und das Medium entschlüsseln.

Anmerkung #2: sinnvoll wäre es natürlich schon, wenn es viele Standardkeys gibt, dass nicht jeder Laie mit dem LiveLinux an jedes Notebook gehen kann um Daten zu klauen. Aber jemand der des besser weiß hat natürlich ein Skript mit allen Standardkeys zum entsperren

Anmerkung #3: man braucht nichtmal ein Win2Go. Windows PE (z.B. vom Windows Installationsmedium kann auch auf die Disk zugreifen)

 

[Techlogi]

Danke fürs Testen an deinen Azubi.

 

[xrated]

Also was lernen wir daraus: Bitlocker verschlüsselt für lokale Konten mit einem Standardkey, der in jedem Windows automatisch hinterlegt ist.
Die Daten sind mit einem Windows immer auslesbar.

vermutlich weil dein Computer nicht die Vorraussetzung für die automatische Verschlüsselung erfüllt. Deine Daten sind auch nicht wirklich verschlüsselt.

"BitLocker automatic device encryption starts during Out-of-box (OOBE) experience.
However, protection is enabled (armed) only after users sign in with a Microsoft Account or an Azure Active Directory account.

 

[kaiser]

vermutlich weil dein Computer nicht die Vorraussetzung für die automatische Verschlüsselung erfüllt

natürlich erfüllt das Notebook die Anforderungen. Ansonsten würde es ja nicht mit dem Standardkey Bitlocker verschlüsselt sein. FFS.
Microsoft ist nicht so dumm ein Notebook mit einem für den User unerreichbaren Schlüssel die Platte zu verschlüsseln.

Wenn persönliches Microsoft Konto -> Key im persönlichen Microsoft Konto ersichtlich.
Wenn Berufs-/Schulkonto -> Key im Entra Admincenter ersichtlich.
Wenn Lokales Konto -> Verschlüsselung miteinem Windows bekannten Standardkey, was Microsoft "Bitlocker wartet auf Aktivierung" nennt.