Windows-Telemetrie: Was Ihr PC an Microsoft sendet und was Sie abschalten können

Worum es geht: Windows meldet laufend Diagnosedaten an Microsoft. Wie viel, hängt von einer Einstellung ab, und welche Einstellungen Sie überhaupt wählen dürfen, hängt von Ihrer Windows-Edition ab.

Was Telemetrie ist

Telemetrie heißt: Das Gerät misst etwas über sich selbst und schickt es an den Hersteller. Bei Windows nennt Microsoft das Diagnosedaten. Microsoft schreibt, es nutze sie, um Probleme zu lösen und Windows aktuell, sicher und funktionsfähig zu halten, außerdem um Produkte zu verbessern und, wenn Sie das eingeschaltet haben, für passendere Tipps und Empfehlungen^[1].

Die vier Stufen

Microsoft unterscheidet vier Einstellungen^[1]:

• Diagnosedaten aus (früher „Security“): Es werden keine Windows-Diagnosedaten gesendet.
• Erforderlich (früher „Basic“): das Minimum, das nach Microsoft nötig ist, damit das Gerät sicher, aktuell und funktionsfähig bleibt.
• Erweitert: gibt es nur noch auf alten Versionen (Windows 10 bis 1809, Windows Server 2016 und 2019).
• Optional (früher „Full“): zusätzlich Daten über besuchte Websites, wie Windows und Apps genutzt werden und wie sie laufen, Geräteaktivität und erweiterte Fehlerberichte.

Der Haken: „Aus“ gibt es nicht für jeden

Die Stufe „Diagnosedaten aus“ ist nur in Windows Enterprise, Windows Education und Windows Server verfügbar^[1]. Bei Windows Home und Pro ist die niedrigste Stufe also „Erforderlich“: Ein Mindestmaß an Daten geht immer an Microsoft. (Folgerung aus^[1].) Laptops aus dem Handel kommen in der Regel mit Home oder Pro. (Einschätzung.)

So stellen Sie es ein

In Windows 11: Start › Einstellungen › Datenschutz & Sicherheit › Diagnose & Feedback. Dort unter „Diagnosedaten“ die gewünschte Option wählen, für das Minimum also nur die erforderlichen Diagnosedaten^[3]. In Windows 10 heißt der Weg Start › Einstellungen › Datenschutz › Diagnose & Feedback^[3].

Sind die Optionen ausgegraut, verwaltet vermutlich Ihr Arbeitgeber oder Ihre IT das Gerät^[3].

Per Gruppenrichtlinie (auch für Pro): Computerkonfiguration › Administrative Vorlagen › Windows-Komponenten › Datensammlung und Vorabversionen › „Diagnosedaten zulassen“. Der Wert 1 steht für „Erforderlich“, 0 für „Diagnosedaten aus“, wirksam ist 0 aber nur in den Editionen, die diese Stufe haben^[1]. Microsofts Anleitung gilt ausdrücklich auch für Windows 11 Professional^[1]. (Die deutschen Menünamen sind unsere Übersetzung der englischen Quelle.)

Was die Behörden gemessen haben

Die deutschen Datenschutzaufsichtsbehörden haben 2020 im Labor geprüft, ob sich die Übermittlung bei Windows 10 Enterprise abstellen lässt^[2]. Das Ergebnis, zusammengefasst:

• Mit der strengsten Stufe und einer von Microsoft empfohlenen Konfiguration wurden keine Telemetriedaten festgestellt^[2].
• Ohne diese Konfiguration rief das System trotzdem den Endpunkt settings-win.data.microsoft.com auf^[2]. Microsoft erklärte den Aufruf als „möglicherweise aufgrund eines Softwarefehlers“ unbeabsichtigt und sagte, auch dann würden keine Telemetriedaten übermittelt^[2].
• Das BSI sah in einer eigenen Prüfung auch mit strengster Stufe und Konfiguration Verbindungen zu diesem Endpunkt. Es konnte sie nicht im Klartext analysieren und schrieb, es bestehe deshalb „die Möglichkeit, dass Microsoft über diesen Kanal Daten exfiltriert oder in unerwünschter Weise Einfluss auf das System nimmt“^[2].

Wichtig für die Einordnung: Das BSI beschreibt eine Möglichkeit, keinen Nachweis^[2]. Und die Messung betraf Windows 10, nicht Windows 11.

Was dieser Endpunkt laut Microsoft tut

Microsoft schreibt selbst über settings-win.data.microsoft.com: Er wird gebraucht, um diagnosebezogene Einstellungen und die Datensammlung aus der Ferne zu konfigurieren, zum Beispiel um ein Ereignis aus der Ferne zu sperren. Der Endpunkt lade keine Diagnosedaten hoch, und man solle ihn nicht blockieren^[1].

Hier treffen sich beide Sichten: Microsoft kann das Verhalten der Diagnose aus der Ferne ändern, das sagt Microsoft selbst^[1]. Was genau darüber läuft, konnte das BSI nicht prüfen^[2].

Was Sie tun können (Einschätzung)

• Bei Windows Home und Pro: die Stufe auf „Erforderlich“ stellen, also optionale Diagnosedaten aus. Mehr geht in diesen Editionen nicht^[1].
• Bei Enterprise oder Education: „Diagnosedaten aus“ wählen und Microsofts Konfiguration für eingeschränkten Datenverkehr anwenden; so haben die Behörden im Labor keine Telemetrie mehr gesehen^[2].
• Ehrlich bleiben: Ganz ohne Verbindung zu Microsoft läuft Windows nach diesen Quellen nicht. Das BSI hält deshalb für Windows-10-Rechner der Bundesverwaltung „an der Notwendigkeit einer Netztrennung“ fest, aufgrund eines Defense-in-Depth-Ansatzes, also mehrerer Schutzschichten, auch zur Abwehr von Schadcode^[2]. Für sehr sensible Daten bleibt also nur die Trennung vom Netz oder ein anderes System. (Folgerung.)

Häufige Fragen

Kann ich die Windows-Telemetrie komplett abschalten? Nur in Windows Enterprise, Education und Server. In Home und Pro ist „Erforderlich“ die niedrigste Stufe^[1].

Kann Microsoft über die Telemetrie Einstellungen an meinem PC ändern? Microsoft sagt, über einen Einstellungs-Endpunkt könne es die Diagnose-Einstellungen aus der Ferne ändern^[1]. Das BSI sieht darin die Möglichkeit unerwünschter Einflussnahme, hat aber keinen Missbrauch nachgewiesen^[2].

Gilt die Behörden-Prüfung auch für Windows 11? Geprüft wurde Windows 10 Enterprise^[2]. Eine entsprechende Prüfung für Windows 11 haben wir nicht gefunden.

Wo Ihre Daten in Ihrem Betrieb sonst noch liegen, zeigen wir unter Datenwege.