Es gibt jetzt einen Weg, Microsofts Windows-Tracking abzuschalten, aber er hat einen Preis

Es gibt jetzt ein kostenloses Werkzeug, das die Windows-GDID entfernt, jene Geräte-ID, die Microsoft Ihrer Installation zuweist und die sich in keiner Einstellung abschalten lässt. Es heißt deGDID, ist ein offenes PowerShell-Skript, und es hält, was es verspricht. Es zerstört zugleich die Anmeldung am Microsoft-Konto, am Store, an Xbox und an OneDrive. Genau dieser Tausch ist die eigentliche Geschichte, und er fehlt in den meisten Meldungen.

Kurz erinnert: was GDID ist

Über die Kennung selbst haben wir im Juli berichtet, als sie in einem US-Strafverfahren auftauchte: Windows GDID, der Geräte-Tracker, der einen Hacker überführen half. Kurz gesagt: Wenn Sie sich mit einem Microsoft-Konto an Windows anmelden, vergeben Microsofts Server eine Geräte-ID, Windows speichert sie, und die Connected Devices Platform registriert den Rechner im Verzeichnis von Microsoft. Bis zur Freigabe der Anklageschrift gegen ein mutmaßliches Mitglied von Scattered Spider am 1. Juli hatte Microsoft dazu öffentlich fast nichts veröffentlicht. Bedeutung bekam die Sache, weil Ermittler Protokolle erhielten, die diese Kennung mit Netzwerkaktivität verknüpften.

Neu ist die Gegenmaßnahme. Windscribe kündigte deGDID am 27. Juli an, der Code liegt in einem öffentlichen GitHub-Repository. Russischsprachige Medien griffen das Thema am 6. August auf, weshalb viele erst jetzt davon erfahren.

Was deGDID tatsächlich tut

Das Skript arbeitet in zwei Richtungen zugleich, und deshalb wirkt es besser als die früher kursierenden Registry-Tipps:

• Es blockiert die Neuvergabe. Windows holt eine neue Kennung von einem Microsoft-Endpunkt in der Domain live.com. deGDID trägt Einträge in die hosts-Datei ein und sichert sie mit Regeln der Windows-Firewall ab, sodass die Anfrage scheitert. Ohne diesen Schritt ist das Löschen sinnlos, weil Windows einfach eine neue anfordert.
• Es löscht das bereits Gespeicherte. Es räumt den Identitätszustand für den Zielbenutzer, für SYSTEM und für das Standardprofil ab: Geräte-IDs in Token, Device Tickets, Einträge der Anmeldeinformationsverwaltung sowie die Caches von Connected Devices Platform, TokenBroker und WAM.

Es läuft in einer erhöhten 64-Bit-PowerShell-Sitzung. Ein Nur-Lese-Modus zeigt den Ist-Zustand vor jeder Änderung, ein Schutzmodus führt den vollen Ablauf aus, und die Änderungen lassen sich zurücknehmen. Das Werkzeug verweigert bewusst den Dienst, wo es organisatorischen Schaden anrichten könnte: keine Domänenrechner, keine Entra- oder MDM-Registrierung, keine mehrdeutigen Mehrprofil-Systeme. Unterstützt werden Windows 10 22H2 und Windows 11 ab Build 22000.

Der Preis: was nicht mehr funktioniert

Das ist der Teil, den man vor dem Ausführen lesen sollte. Das Blockieren der Identitätsendpunkte von Microsoft entfernt nicht chirurgisch eine einzelne Kennung, es kappt einen Pfad, von dem mehrere alltägliche Funktionen abhängen. Die Projektdokumentation rechnet ausdrücklich mit Störungen bei der Microsoft-Konto-Anmeldung, der Authentifizierung von Microsoft Store und Xbox, der OneDrive-Anmeldung mit Microsoft-Konto, bei Phone Link und bei den Gerätegraph-Funktionen, über die sich Ihre Rechner gegenseitig sehen. Windscribe ergänzt Passkeys und Windows Hello, sofern sie an ein Microsoft-Konto gebunden sind. Ein unabhängiger Praxistest ergab genau das: Das Skript lief fehlerfrei durch, danach ließen sich Xbox, Outlook und der Microsoft Store nicht mehr anmelden.

Was deGDID nicht leistet

Windscribe benennt die Grenzen ungewöhnlich klar, und sie wiegen schwerer als die Funktionsliste. Das Werkzeug löscht keine Daten, die Microsoft bereits hat. Was vor dem Ausführen übermittelt wurde, bleibt dort liegen und ist weiterhin über einen Gerichtsbeschluss erreichbar. Anonym macht es Sie nicht. Und die Autoren beschreiben es selbst als Forschungsexperiment ohne Gewähr, auf eigenes Risiko, nicht als Produkt mit Support.

Die ehrliche Einordnung ist also eng: Es unterbindet künftige Korrelation über genau diese Kennung auf genau diesem Rechner. Das ist etwas wert, und es ist deutlich weniger als "Windows verfolgt Sie nicht mehr".

Sanftere Wege, wenn Sie Ihr Microsoft-Konto brauchen

Für die meisten ist der Verlust von Store, Xbox und OneDrive zu teuer. Eine Einstellung, die GDID abschaltet, gibt es nicht, aber mehrere Entscheidungen verringern, was daran hängt:

1. Ein lokales Windows-Konto statt eines Microsoft-Kontos verwenden. Die Kennung wird bei der Anmeldung mit einem Microsoft-Konto vergeben, das ist also der größte Hebel ohne Skript.
2. Optionale Diagnosedaten abschalten: Einstellungen, Datenschutz und Sicherheit, Diagnose und Feedback.
3. Personalisierte Werbung und Empfehlungen unter Datenschutz und Sicherheit deaktivieren.
4. Die Cloud-Suche ebendort abschalten, damit lokale Suchen nicht nach oben gehen.
5. Wenn Sie deGDID dennoch testen wollen, zuerst den Nur-Lese-Check ausführen und sicherstellen, dass Sie sich überall wieder anmelden können, worauf Sie angewiesen sind.

Es lohnt sich, genau zu sagen, wo ein VPN hier steht. Ein VPN ändert die Adresse, die das Netz sieht, und gegen die meisten Formen von Tracking zählt das. Hier hilft es nicht, weil die Kennung nicht auf der Leitung beobachtet wird, sondern aus Ihrem Rechner heraus von Software gemeldet wird, an der Sie angemeldet sind. Ein IP-Wechsel trennt keine Verknüpfung, die Microsoft auf eigenen Servern hält, und genau das zeigte die Anklageschrift. Kanalschutz und Geräteidentität sind zwei verschiedene Probleme.

Fazit