News Windows 10 bald EOL: Microsoft rechtfertigt TPM-Anforderung für Windows 11

[binär-11110110111]

Rechtlich gesehen (deutsches/mitteleuropäisches Recht):
Windows (also Microsoft) darf dir nicht gesetzlich vorschreiben, dass du BitLocker benutzen musst.
Aber:
Windows 11 erfordert TPM 2.0, und bei bestimmten Geräten (z. B. Laptops mit „Modern Standby“ oder „Secured-Core PC“) wird BitLocker automatisch aktiviert, ohne dass du es mitbekommst – und der Recovery Key wird dann oft in deinem Microsoft-Konto online gespeichert, ohne lokale Kopie.
Du gibst Microsoft faktisch die Kontrolle über den Zugang zu deinen Daten, auch wenn das Unternehmen offiziell selbst nicht auf die Daten zugreift.
Microsoft haftet in der Regel nicht für Datenverluste, wenn du deine Wiederherstellungsdaten nicht gesichert hast.
Das ist rechtlich gedeckt durch die EULA (Endbenutzer-Lizenzvertrag), der du bei der Installation zustimmst. Lehnst Du ihn ab, scheitert die Installation.
Ja, du kannst durch TPM2 + BitLocker + Windows 11 ausgesperrt werden.
---ChatGPT.

PS: Dennoch habe ich meine Zweifel, ob mich MS wirklich aussperren darf ? Da wird es sicherlich noch rechtliche Nachjustierungen geben müssen!

 

[Incredible Alk]

PS: Dennoch habe ich meine Zweifel, ob mich MS wirklich aussperren darf ? Da wird es sicherlich noch rechtliche Nachjustierungen geben müssen!

Du hast mit allem recht was du sagst - und im Extremfalle spielts einfach gar keine Rolle ob sies dürfen oder nicht.
Was glaubst du denn was passiert wenn MS dich aussperren würde und sies juristisch gar nicht dürfen? Willste MS verklagen und dann nach nur ein paar Jahren und ner fünf- bis sechsstelligen vorzustreckenden Eurosumme (falls deine Rechtsschutz das wie erwartet nicht abdeckt) recht zu bekommen und deine Daten wieder zu haben? Also falls der aktuelle "Recht-des-stärkeren-Ruck" der so durch die Welt geht nicht bis dahin so weit ist dass MS auf deine Klage einfach schicen kann egal ob du recht hast?

Auf sowas kann und sollte man sich niemals verlassen. Alle wichtigen Daten gehören mehrfach und unabhängig von irgendeinem Konzern/Cloud/ClosedSoftware/etc. gesichert. Du musst immer die "ich habe noch eine andere Kopie-Karte" spielen können, egal wer dich wo warum auch immer aussperren will. Muss ja nicht MS sein, die gute alte Ransomware ist technisch praktisch dasselbe wie der TPM+Bitlocker-Kill.

 

[PCGH_Torsten]

Das kann in Einzelfällen richtig lustig werden.

Man stelle sich den Ottonormalo vor, der Win11 nichtsahnend standardmäßig installiert. Irgendwann geht seine CPU/Board whatever kaputt... der TPM-Schlüssel ist damit verloren.
Jetzt kommt er erstmal weder in sein Windows noch an seine Daten die ja Bitlocker verschlüsselt sind.

Die Lösung ist natürlich sehr einfach, man benutzt ganz einfach sein Hauptkontopasswort um wieder ins Windows zu kommen und vorher zum entschlüsseln der SSD den Bitlocker Wiederherstellungsschlüssel, den Otto sich ganz bestimmt beim Einrichten des PCs notiert hat. Oh, wait....

Microsofts "Lösung" für dieses Problem dürfte mittelfristig "One Drive" lauten.

 

[Capucius]

Linux ist primär so sicher weil es einen geringen Marktanteil hat. Die Bösen jungs wissen das der Aufwand nicht lohnt, denn der dau mit kohle sitzt vor MS pcs.
Hätte Linux einen Marktanteil von 50% sehe die Welt ganz anders aus...

Worauf basiert diese Einschätzung bei dir? Ich sehe das vollkommen anders, die grundsätzliche Architektur ist an vielen Stellen deutlich günstiger aufgebaut und dazu kommt, dass bei Linux viel häufiger alte Zöpfe abgeschnitten werden, die dann keine standardmäßigen Pakete mehr sind bzw. nicht mehr im Kernel sind und manuell nachaktiviert werden müssen. Bei MS ist das ein viel viel heftigerer Krampf und selbst bei eindeutigen Problemen wie SMB1 dauert es dann viele Jahre bevor es deaktiviert wird.

Allein schon wenn ich dran denke, dass es in Windows bis heute keine standardisierte Paketverwaltung gibt... ein Linux sicher und aktuell zu halten, gerade im kommerziellen Kontext, ist deutlich einfacher bzw. überhaupt mit Bordmitteln möglich. Von AD/Exchange will ich noch gar nicht sprechen...

 

[perupp]

TPM fTPM etc. hat schon öfters meinen PC´s durcheinander gebracht, Fehler verursacht, ich mag es nicht und sehe auch keinen Sinn dahiner für mich. Beim Threadrippersys habe ich TPM und im Windows Kernisolierung deaktiviert, nervt alles nur.

Muss schon Win11 nutzen wegen Treibern die es nicht gibt. M;ein Server läuft mir Windows 10, da habe ich null Bock dran zu fummeln weil alle einfach nur Rund läuft.

Welche Fehler?
Kann es weder privat bestätigen noch bei über 800 firmenrechnern

 

[SilentHunter]

Microsofts "Lösung" für dieses Problem dürfte mittelfristig "One Drive" lauten.

Erst müssen wir das Schlangenöl grossflächig unter die Leute bringen.

Wenn dann genug willige Lämmer zum schlachten da sind präsentieren wir ihnen unsere One Drive macht dich wieder glücklich und uns noch reicher Lösung. Wenn er seine Daten wiederbekommt wen interessiert es dann noch das er das Problem ohne unser zu tun eigentlich erst gar nicht gehabt hätte.

Was wollten wir heute nochmal tun?
Weltherrschaft anstreben?
Ach ja genau das wars.

 

[Mega-Zord]

Das kann in Einzelfällen richtig lustig werden.

Man stelle sich den Ottonormalo vor, der Win11 nichtsahnend standardmäßig installiert. Irgendwann geht seine CPU/Board whatever kaputt... der TPM-Schlüssel ist damit verloren.
Jetzt kommt er erstmal weder in sein Windows noch an seine Daten die ja Bitlocker verschlüsselt sind.

Die Lösung ist natürlich sehr einfach, man benutzt ganz einfach sein Hauptkontopasswort um wieder ins Windows zu kommen und vorher zum entschlüsseln der SSD den Bitlocker Wiederherstellungsschlüssel, den Otto sich ganz bestimmt beim Einrichten des PCs notiert hat. Oh, wait....

BitLocker Recovery Key ist richtig und wichtig. Den habe ich schon öfters gebraucht.

Witzig ist es manchmal auf Arbeit, wo die Keys eigentlich ins AD gesichert werden sollen, damit wir im Fall des Falles drauf zugreifen können. Klappt nur leidern icht immer. Dann lernt der User sehr schmerzlich, warum man keine wichtigen Daten auf dem Gerät speichern soll.

Das wird natürlich genauso Zwang.

Nö, bei Pro kann ich sagen, dass ich stattdessen einer Domäne beitreten möchte, was ich dann aber nicht tue. Aber so kommst du an dein Offline Benutzerkonto. Aber langfristig wollen die sicher auch die Geschäftskunden nur noch mit Azure-AD. Dann wird es knifflig. Aber da dürften neben der wenigen Nerds auch diverse Unternehmen auf die Barrikaden steigen.

 

[smartm124]

Mich nervt es einfach, dass mein Reverb G2 VR-Headset mit Win11 Elektroschrott wird .. 300€ fürn Müll. "Das letzte Windows dass sie brauchen werden" am Arsch..

 

[perupp]

BitLocker Recovery Key ist richtig und wichtig. Den habe ich schon öfters gebraucht.

Witzig ist es manchmal auf Arbeit, wo die Keys eigentlich ins AD gesichert werden sollen, damit wir im Fall des Falles drauf zugreifen können. Klappt nur leidern icht immer. Dann lernt der User sehr schmerzlich, warum man keine wichtigen Daten auf dem Gerät speichern soll.

Nö, bei Pro kann ich sagen, dass ich stattdessen einer Domäne beitreten möchte, was ich dann aber nicht tue. Aber so kommst du an dein Offline Benutzerkonto. Aber langfristig wollen die sicher auch die Geschäftskunden nur noch mit Azure-AD. Dann wird es knifflig. Aber da dürften neben der wenigen Nerds auch diverse Unternehmen auf die Barrikaden steigen.

Frage:
Warum soll der Key nicht im AD gespeichert werden? Gibt es da ein Muster.
Hatte den Fall noch nie, weder in einer lokalen Domäne (die zum glück bald weg ist) noch mit Intune/Entra ID

 

[Maddoc6]

Bei mir läuft AMDs FTPM wie ein Sack Nüsse.... Was sich in unregelmäßigen Performanceeinschlägen und Audioaussetzern bemerkbar macht. Gibt es irgendwie externe TPM Module über PCIE z.b.?

 

[Mega-Zord]

Frage:
Warum soll der Key nicht im AD gespeichert werden? Gibt es da ein Muster.
Hatte den Fall noch nie, weder in einer lokalen Domäne (die zum glück bald weg ist) noch mit Intune/Entra ID

Warum das so ist kann ich dir nicht sagen. Wir haben nur hin und wieder den Fall, dass der Schlüssel nicht da ist. Dass das Funktioniert ist auch Aufgabe eines anderen Teams. Letztens lag der Key nur im Intune. Das Problem ist wohl, dass hier mehr gebastelt, als getestet wird... nein, es wird natürlich getestet... am Produktivsystem... Amerikaner, erst schießen, dann fragen.

 

[Inras]

Man stelle sich den Ottonormalo vor, der Win11 nichtsahnend standardmäßig installiert. Irgendwann geht seine CPU/Board whatever kaputt... der TPM-Schlüssel ist damit verloren.
Jetzt kommt er erstmal weder in sein Windows noch an seine Daten die ja Bitlocker verschlüsselt sind.

Guter Hinweis danke. Muss bei Gelegenheit direkt schauen ob bei mir der Bitlocker aktiv ist und abschalten wenn ja. Brauch ich eh nicht.

 

[BobDobalina]

Ach Microsoft, halt einfach dein Maul.

Von euch kommt in den letzten Jahren nur noch Scheiße. Macht erstmal eueren Job richtig und ruht euch nicht auf euerem Quasi-Monopol aus...

 

[TausendWatt]

Worauf basiert diese Einschätzung bei dir? Ich sehe das vollkommen anders, die grundsätzliche Architektur ist an vielen Stellen deutlich günstiger aufgebaut und dazu kommt, dass bei Linux viel häufiger alte Zöpfe abgeschnitten werden, die dann keine standardmäßigen Pakete mehr sind bzw. nicht mehr im Kernel sind und manuell nachaktiviert werden müssen. Bei MS ist das ein viel viel heftigerer Krampf und selbst bei eindeutigen Problemen wie SMB1 dauert es dann viele Jahre bevor es deaktiviert wird.

Allein schon wenn ich dran denke, dass es in Windows bis heute keine standardisierte Paketverwaltung gibt... ein Linux sicher und aktuell zu halten, gerade im kommerziellen Kontext, ist deutlich einfacher bzw. überhaupt mit Bordmitteln möglich. Von AD/Exchange will ich noch gar nicht sprechen...

Umstände bedingen dies. Jede Software, jede Hardware ist iwie angreifbar, vor allem wenn sie wie Unternehmen eingesetzt wird. Aber auch Privat... Sobald man am Netz ist, gehts los und potenziert sich mit jeglicher Software die darüber kommuniziert. Browser, Banksoftware, Steuersoftware, Datenbanken usw. Diese benötigen trotz der abgestuften Rechte Hierarchie in Linux aber auch Rechte um Prozesse durchzuführen...
Es gibt ja auch schon Malware für Linux und wenn mehr potentielle Opfer da wären, würden auch viel mehr böse Jungs darauf aufbauen, eben wie bei Windows oder Mac halt...
Woher ich das nehme, ich arbeite jeden Tag als Sys- und Netzwerkadmin mit 175 Servern, Linux und Windows, wobei Linux only for sap bei uns. Um diese Strukturen zu schützen geben wir für Barracudas, Software usw. 6 stellige Summen aus

Edit: Multi Platform Frameworks machen das ganze nicht sichererer, im Gegenteil. Dazu gilt Linux allgemein sicherer weil es eben eine rechte Hierachie hat, d.h. Software lässt sich nicht einfach mit einem Standard Benutzer ausführen bzw. installieren. Das gibts bei Windows ebenso, wird halt nicht genutzt unter den Daus.

An sich ist jeder Port eine Schwachstelle, die nur abgesichert werden kann. Willst du absolute Sicherheit, ziehe das Lankabel heraus bzw. deaktiviere alle Funkstandards die kommunizieren.

Vergleichende Studie zu Ransomware-Angriffen auf Linux und Windows

Hier im Blog geht die Diskussion ja häufiger um die Frage, ob Windows oder Linux sicherer im Bezug auf Cyberangriffe sei. Check Point Research (CPR) hat eine umfassende Studie veröffentlicht…

www.borncity.com

 

[BobDobalina]

Verschwörer würden vielleicht nicht ganz grundlos diese Nummer als Vorbereitung dazu sehen, ein Zwangs-Abo-Modell bei Windows einzuführen sobald alle im TPM gebunden sind. Denn TPM+Bitlocker ist die Grundlage für ein "entweder du zahlst monatlich 10€ oder dein PC und deine Daten sind nicht mehr verfügbar"...

Seh ich auch so. Würde es dann aber auch zeitgemäß nicht mehr PC nennen. Persönlich ist da nix mehr. Man ist dann indirekt Untertan von Microsoft und ich find es eigentlich schon dystopisch...

 

[Hagal]

Welche Fehler?
Kann es weder privat bestätigen noch bei über 800 firmenrechnern

Ja reicht das ich dass Bestätigen kann, denn die Probleme hörten sofort auf nach dem ich es deaktiviert hatte.
BSOD, Ruckeln auf dem Desktop, etc.

TPM-Probleme können zu einer Reihe von Symptomen führen, darunter Ruckeln, Bluescreens und andere Systeminstabilität.

Google mal alles voll damit.
Früher war es mehr, gab Bios updates wegen so was usw, da ich den Nonsens eh nicht brauche, ausschalten und Ruhe ist.

 

[Bandicoot]

Ich hab noch 2 Win7 Nutzer den ich damals ein PC gebaut hab, die nutzen dem immer noch für mail, surfen, music und Video abspielen.
Läuft... Und solange bleibt es, sagen sie.
Nachhaltiger geht's nicht!

 

[insaneOrbb]

Bin vor einem Monat auf Win11 gewechselt. Mit Rufus einen Installationsstick erstellt (entfernt TPM Zwang und erlaubt ein lokales Konto) und direkt nach der Installation das Win11 Debloat Script von Raphire laufen lassen.

Fühlt sich an wie Win10 mit ein paar zusätzlichen Funktionen. Bin soweit zufrieden. Aber schade, dass man erst solche Wege gehen muss.

Hätte ich gewusst, dass man mit "Massgrave" sein Win10 auf eine LTSC Version ändern kann, hätte ich aber warscheinlich garnicht erst gewechselt.

 

[Incredible Alk]

(entfernt TPM Zwang und erlaubt ein lokales Konto)

...und deaktiviert auch den automatischen Bitlocker auf Wunsch.

direkt nach der Installation das Win11 Debloat Script von Raphire laufen lassen.

Das Teil kannte ich noch nicht.... wow, das ist ja wirklich MWGA (Make Windows Great Again).

 

[empy]

Also Linux ist einfach so sicher, ohne so ein Gewurstel zu haben und wegen dem Gewurstel Erklärungen finden zu müssen.

Kommt immer auf den Angriffsvektor an. So weit ich weiß, verhindern Dinge wie SecureBoot und TPM halt, dass jemand mit Hardwarezugang irgendwas an deinem System gedreht hat, ohne dass du was davon mitbekommen hast. Da könnte z.B. jemand irgendwo noch einen Keylogger reingeschoben haben und so das Passwort für deine Laufwerksverschüsselung abgreifen. Wie wahrscheinlich es ist, dass du so einem Angriffsvektor ausgesetzt bist und ob das ein guter Deal ist, wenn du dich dadurch auch selbst aussperren kannst, musst du dann entscheiden. Zumindest SecureBoot wird aber auch von ein paar Linux-Distros unterstützt. Gegen Nutzer, die irgendwelchem Code Rechte geben und ihn dann ausführen, hilft das aber hier wie da nicht.

Der TPM-Schlüssel ist eine Eindeutige Identifikation beispielsweise deine CPU und der kann für Bitlocker benutzt werden.

Heißt das dann, dass der Bitlocker in den meisten Fällen nur transparent verschüsselt, damit das Laufwerk nicht auf einem anderen System booten kann? Wenn eine "richtige" Laufwerksverschlüsselung eingerichtet wird, werden die Schlüssel dann nacheinander angewendet?

Bei mir ist TPM 2.0 wohl aktiviert aber der Bitlocker nicht . Den Dreck brauche ich auch nicht.

Laufwerksverschlüsselung ist schon eine schöne Sache, gerade für mobile Geräte, geht aber auch ohne irgendwelche Module.