Windows 10: Ist das Blockieren von Telemetrie eine Bedrohung?

[Gast1772925001]

Wenn sich MS an die DSGVO halten würde, müsste sich das aber komplett abschalten lassen.
Zumal es in der LTSC auch möglich ist.

Ebenfalls in Enterprise.

 

[Grestorn]

So lange die Erfassung anonym erfolgt, muss sie sich nicht abschalten lassen. Das fordert auch die DSGVO nicht - was auch sinnbefreit wäre, denn ich muss es wiederholen: Jede Webseite macht es. Unabhängig von Cookies und sonstigen Einstellungen. Sie sind dafür auch nicht notwendig.

In jedem Accesslog steht, wie oft welche Seite geladen wird.

 

[Gast1772925001]

Microsoft schneidet unter anderem auch Tastatureingaben mit, was definitiv aus Datenschutzsicht ein No-Go ist.
Windows 10 mit Keylogger & Wanze? - "Spionage" deaktivieren - PC Magazin

Ich habe für Telemetrie Verständnis, aber nicht auf Produktivsystemen mit privaten Daten.

 

[Grestorn]

Wieder: Auch jede Webseite bekommt die Daten, die auf sie eintippst - also auch Tastatureingaben. Die Frage ist, was damit passiert. Das Wort "Tastatureingaben" bedeutet ja nicht, dass die Worte erfasst werden und mit Dir assoziiert werden. Sondern eher "wie oft wird F1 genutzt".

Was ich verstehen kann, ist die Skepsis, da man das nicht kontrollieren kann. Niemand weiß, was mit den Daten wirklich passiert.

Nur sollte man sich nicht in Sicherheit wiegen wenn man Telemetrie mit allen Tricks abschaltet oder auf Windows verzichtet - denn das ist heutige Realität und zwar überall. Nur wird es meist bei weitem eben gerade *nicht* so transparent kommuniziert wie bei MS.

Was ist Euch also lieber:

Derjenige, der sagt "ja, ich zähle mit wie oft dies und das gemacht wird (und Du musst mir vertrauen, dass ich das wirklich nur statistisch erfasse"

oder derjenige, der das auch macht, aber Dir das erst gar nicht erzählt.

So sieht die Realität aus!

 

[Two-Face]

Nur sollte man sich nicht in Sicherheit wiegen wenn man Telemetrie mit allen Tricks abschaltet oder auf Windows verzichtet - denn das ist heutige Realität und zwar überall. Nur wird es meist bei weitem eben gerade *nicht* so transparent kommuniziert wie bei MS.

Microsoft sagt dir aber auch auch nicht wirklich, wofür die Daten gerbaucht werden, was damit geschieht und dies für den Endanwender bedeutet - transparent kann man das also auch nicht unbedingt nennen.

 

[Gast1772925001]

Wieder: Auch jede Webseite bekommt die Daten, die auf sie eintippst - also auch Tastatureingaben. Die Frage ist, was damit passiert. Das Wort "Tastatureingaben" bedeutet ja nicht, dass die Worte erfasst werden und mit Dir assoziiert werden. Sondern eher "wie oft wird F1 genutzt".

Das ist doch Blödsinn.
Selbstverständlich bekommt eine Website die Daten, die ich da in ein Formular eintippe, wenn ich dieses absende bzw. wenn sie entsprechende Skripte benutzt.

Aber warum zum Teufel soll MS mitbekommen, was ich in Notepad oder Write eintippe?

 

[Birdy84]

Ehrliche Frage: Was an den Telemetrie-Daten ist für Euch denn so super-kritisch? Und ist Euch klar, dass jede zweite App auf dem Handy Telemetrie-Daten erfasst? Praktisch jede Webseite, die ihr besucht? Und sicher auch einige Windows-Anwendungen?

Was Andere machen stellt doch keinen Freifahrtschein dar. Und anders herum gefragt, wird doch erst ein Schuh draus. Denn wie verquer ist die Denke eigentlich, dass sich jemand erklären muss, der nicht in einer Form "abgehört" werden möchte.
Wenn es einen Knopf gäbe, der auf einem Gerät deiner Wahl das Datensammeln abschalten würde, glaubst du, du oder andere würde ihn nutzen?

Es ist also völlig unbestreitbar, dass es nicht nur sinnvoll sondern absolut notwendig ist, dass ein Virenscanner und Schutzsoftware auch diese Datei überwacht. Daraus irgendwelche düsteren Absichten von MS zu unterstellen ist ziemlich absurd.

Das ist völlig richtig, nur muss der AV dann auch in der Lage sein, diese ungewollten Manipulationen richtig zu erkennen.

 

[Grestorn]

Das ist doch Blödsinn.
Selbstverständlich bekommt eine Website die Daten, die ich da in ein Formular eintippe, wenn ich dieses absende bzw. wenn sie entsprechende Skripte benutzt.

Aber warum zum Teufel soll MS mitbekommen, was ich in Notepad oder Write eintippe?

Von MS habe ich auch nicht gesprochen. Natürlich bekommt eine Webseite nur das mit, was man auf dieser Webseite tippt. Was im Falle von Discord & Co. schon recht viel ist. Da sich zunehmend die ganze Welt richtung Web bewegt, wird das schon recht viel.

Und auch auf dem Handy kann man davon ausgehen, dass vieles, von dem was Du machst, telemetrisch erfasst wird.

MS bekommt nicht direkt mit, was Du im Notepad schreibst (also die Wörter) sondern nur, dass Notepad von Dir benutzt wird (statistisch, also jedes mal wenn einer auf der Welt Notepad startet, geht ein Zähler hoch, wie ein Klick-Zähler auf einer Webseite). Die eingetippten Texte sind klar nicht Teil der Telemetrie-Daten (wenn man sich die Telemetrie Doku von MS anschaut, wird explizit davor gewarnt, dass bei der Telemetrie Einstellung "Erweitert" auch Crash-Dumps übertragen werden können und in diesen theoretisch problematische Daten enthalten sein könnten. Und dies sei das größte Datenschutz-Problem).

Die Tastatur wird telemetrisch auch nur statistisch ausgewertet, also wie viele Tasten man so täglich drückt, welche Funktionstasten usw.

Und wieder der Disclaimer: Natürlich verlasse ich mich da auf MS' Aussagen. Aber: Das gilt für JEGLICHE Software. Tagtäglich vertrauen wir darauf, dass die Programme nur das tun, was sie vorgeben und nicht im Hintergrund noch etwas anderes. Egal um welche SW es sich handelt. Wenn man über Ver- und Misstrauen spricht, dann muss man das bitte konsequent machen und nicht sich wie mit der Lupe nur auf einzelne Themen richten und DA dann auf einmal zweifeln.

 

[Birdy84]

Und wieder der Disclaimer: Natürlich verlasse ich mich da auf MS' Aussagen. Aber: Das gilt für JEGLICHE Software. Tagtäglich vertrauen wir darauf, dass die Programme nur das tun, was sie vorgeben und nicht im Hintergrund noch etwas anderes. Egal um welche SW es sich handelt. Wenn man über Ver- und Misstrauen spricht, dann muss man das bitte konsequent machen und nicht sich wie mit der Lupe nur auf einzelne Themen richten und DA dann auf einmal zweifeln.

Genau, und deswegen ist es falsch die Leute zu kritisieren, die eben auf Nummer Sicher gehen wollen. Falls Microsoft nicht doch "aus Versehen" persönliche Daten an Dritte verkauft. Microsoft reagiert auf Office-Telemetrie-Kritik: Office 365 ProPlus bekommt Auswahlmenue fuer Diagnosedaten | Sharepoint360.de

 

[Grestorn]

Das ist ok, wenn Du es bei aller Software so handhabst. Da ich das für ausgesprochen unwahrscheinlich halte, ist Dein Verhalten schlicht einseitig und ein wenig irrational. Am Ende dürftest Du eigentlich nur OSS einsetzt und auch nur solche, die eine wirklich breite, offene Entwickler-Community hat. Ich denke, nur da kann man das Risiko fast gänzlich ausschließen.

BTW, wenn es in einer SW einen Schalter gibt mit sinngemäß "Nach Hause Telefonieren aus/ein" - wer sagt Dir denn, dass der auch wie gewünscht funktioniert? Selbst eine Network-Sniffer kann da nur begrenzt helfen, speziell dann nicht, wenn die SW legitime Gründe hat mit dem Server zu kommunizieren.

 

[Birdy84]

Das ist ok, wenn Du es bei aller Software so handhabst. Da ich das für ausgesprochen unwahrscheinlich halte, ist Dein Verhalten schlicht einseitig und ein wenig irrational.

Es kommt auch darauf an, wie man welches Gerät nutzt.

BTW, wenn es in einer SW einen Schalter gibt mit sinngemäß "Nach Hause Telefonieren aus/ein" - wer sagt Dir denn, dass der auch wie gewünscht funktioniert? Selbst eine Network-Sniffer kann da nur begrenzt helfen, speziell dann nicht, wenn die SW legitime Gründe hat mit dem Server zu kommunizieren.

Wahrscheinlich hast du mich missverstanden, mir ging es nur darum die Absurdität der Argumentation zu verdeutlichen. Niemand sollte sich erklären müssen, warum er nicht ausspioniert werden will.

 

[Grestorn]

Was "absurd" ist lassen wir mal dahingestellt.

Meine Aussage war, dass wir keine Wahl haben, als den Aussagen der Programmierer zu vertrauen. So oder so. Das Misstrauen nur dort einzusetzen, wo es gerade Hip ist oder der Hersteller MS (oder Google oder Apple oder was weiß ich) heißt, ist nicht rational - im Gegenteil. Ich halte grundsätzlich große Konzerne eher für vertrauenswürdig als kleine Klitschen. Denn bei den großen ist der potentielle Schaden vieeeel größer als bei Klitschen. Ausgeschlossen ist natürlich trotzdem nichts.

 

[fotoman]

Genau, und deswegen ist es falsch die Leute zu kritisieren, die eben auf Nummer Sicher gehen wollen.

Auch diese Leute haben die EULA von Windows 10 abgesegnte (=gelesen, verstanden und bestätigt). Da steht nirgendwo, dass man die dort an MS eingeräumnten Rechte auch mit Bordmitteln umgehen kann. Dort wird nur nicht verboten, dies zu tun, wenn es möglich ist.

Schalte halt den Defender aus und alles scheint gut zu sein. Persönlich finde ich es sowieso schon lustig, wenn Leute die einfach Telemetrie blockieren aber gleichzeit den Defender (am Besten noch mit allen gegebenen Optionen) nutzen. Hier wird wohl das Speichern der hosts-Daten unterbunden, was schonmal zwingend den Live-Scanner erfordert.

Gibt es irgendwo in den Spezifikationen von MS eigentlich eine Pflicht, die hosts-Datei überhaupt zu nutzen? Im Technet finde ich nur Aussagen wie "The standard methods of host name resolution include checking the local host name, checking the local Hosts file, and querying DNS servers." "standard" bedeutet nicht, dass MS dies immer tun muss.

Mit dem, was der Defender tut, hat das schonmal garnichts zu tun.

Natürlich bekommt eine Webseite nur das mit, was man auf dieser Webseite tippt.

Schön wäre es. Aber selbst dieses Traumdenken funktioniert nur, wenn man nicht nur jedgliche Ad- und Script-Blocker dieser Welt einsetzt (und ihnen vertraut) sondern auch noch den Browser selber patched. Oder wenn Du für jede Webseite eine eigene OS-Installation nutzt.

Meine Aussage war, dass wir keine Wahl haben, als den Aussagen der Programmierer zu vertrauen.

Genauso, wie Du in Ländern, in denen nicht Deine Muttersprache gesprochen wird, die Wahl hast, entweder einem Übersetzer zu vertrauen oder die Sprache zu lernen (und auch dann nur dahin zu fahren, wo Du die Sprache verstehst), hast Du am PC auch die Wahl, die Programmiersprache zu lernen und OpenSource Programme zu analysieren und nur diese Software zu nutzen.

Und selbst, wenn Du das nicht möchtest, kannst Du bei openSource zumindest darauf vertrauen, dass bei Programmen mit einer großen Nutzerbasis nicht nur ein Hersteller/Programmierer seinen Willen durchsetzt. Geauso, wie Du im Ausland auch mehrere, hoffentlich unabhängige Übersetzungen einhollen kannst, wenn Du die Sprache nicht lernen kannst oder willst

 

[Grestorn]

Schön wäre es. Aber selbst dieses Traumdenken funktioniert nur, wenn man nicht nur jedgliche Ad- und Script-Blocker dieser Welt einsetzt (und ihnen vertraut) sondern auch noch den Browser selber patched. Oder wenn Du für jede Webseite eine eigene OS-Installation nutzt.

Es geht um das Tippen. Wenn das Browserfenster nicht aktiv ist, bekommt die Webseite keine Events, egal ob Script-Blocker aktiv sind oder nicht. Wenn das Browserfenster aktiv ist, kann freilich jede Eingabe und Mausbewegung getracked werden.

Alles andere ist wiederum paranoid. Script-Blocker permanent einzusetzen ist 100% kontraproduktiv. Man kann sie gezielt einsetzen, um bestimmte Module zu blocken (Google Analytics z.B., wobei man sich fragen muss, was das bringen soll), aber alles zu blocken ist wie ein Smartphone zu haben, auf dem man niemals irgendeine App installiert oder startet. Am Rande der Sinnlosigkeit.

Nicht jeder Mensch kann SW entwickeln, und selbst die, die es können, haben keine Chance, jede SW zu untersuchen, die sie nutzen wollen.

Man kommt um ein gewisses Vertrauen einfach nicht herum. Nicht nur in der IT, im gesamten Leben. Wer nicht in der Lage ist, die aufzubringen, wird ein sehr schweres Leben haben. Und eines, das in keiner Weise sicherer wäre, als das anderer Menschen.

 

[Gast1772925001]

Alles andere ist wiederum paranoid. Script-Blocker permanent einzusetzen ist 100% kontraproduktiv. Man kann sie gezielt einsetzen, um bestimmte Module zu blocken (Google Analytics z.B., wobei man sich fragen muss, was das bringen soll), aber alles zu blocken ist wie ein Smartphone zu haben, auf dem man niemals irgendeine App installiert oder startet. Am Rande der Sinnlosigkeit.

Ich setze nMatrix auf allen Seiten ein und blockiere alle Dritt-Skripte.
Dann wird nur das zugelassen, was ich zulassen will und was benötigt wird.

 

[Grestorn]

Ich setze nMatrix auf allen Seiten ein und blockiere alle Dritt-Skripte.
Dann wird nur das zugelassen, was ich zulassen will und was benötigt wird.

Und was sind Dritt-Scripte? Viele Webseiten laden Bibliotheken von GitHub oder anderen Quellen, jquery und vieles andere. Das sind technisch Dritt-Scripte. Blockst Du die auch? Dann ist die jeweilige Seite i.d.R. tot.

Aus dem Grund lade ich auf meiner Seite alles vom eigenen Server, weil ich genau weiß, dass einige Anwender so handeln, wie Du. Sinnvoll ist es aber nicht. Es gibt nur wenig Gründe dafür (es gibt welche, aber die sind eher akademischer Natur).

Die Scripte von der Seite, die Du ansurfst sind grundsätzlich nicht mehr oder weniger vertrauenswürdig, als die, die nachgeladen werden. Es ist ja die Entscheidung des Webdesigners selbst, was er nachlädt. Klar, eine Bibliothek auf github oder anderem Server könnte man auch manipulieren und somit einer großen Zahl an Anwendern was unterjubeln. Auf der anderen Seite sind Angriffe durch JavaScript auch sehr eingeschränkt. Außer dass sie hinter dem Rücken Coins berechnen oder Passwörter abgreifen, die man im Browser eingibt, können sie nicht viel machen. Und das auch nur in der Browsersession (dem Tab) in dem sie gestartet wurden. Ein Neuladen der Seite unterbricht immer alle Scripts, wenn Du auf eine andere Seite gehst, werden auch alle ServiceWorker unterbrochen.

Wenn man das alles weiß, dann ist der Schrecken von Scripts schon mal viel weniger schrecklich.

 

[Gast1772925001]

Und was sind Dritt-Scripte? Viele Webseiten laden Bibliotheken von GitHub oder anderen Quellen, jquery und vieles andere. Das sind technisch Dritt-Scripte. Blockst Du die auch? Dann ist die jeweilige Seite i.d.R. tot.

Aus dem Grund lade ich auf meiner Seite alles vom eigenen Server, weil ich genau weiß, dass einige Anwender so handeln, wie Du. Sinnvoll ist es aber nicht. Es gibt nur wenig Gründe dafür (es gibt welche, aber die sind eher akademischer Natur).

Die Scripte von der Seite, die Du ansurfst sind grundsätzlich nicht mehr oder weniger vertrauenswürdig, als die, die nachgeladen werden. Es ist ja die Entscheidung des Webdesigners selbst, was er nachlädt. Klar, eine Bibliothek auf github oder anderem Server könnte man auch manipulieren und somit einer großen Zahl an Anwendern was unterjubeln. Auf der anderen Seite sind Angriffe durch JavaScript auch sehr eingeschränkt. Außer dass sie hinter dem Rücken Coins berechnen oder Passwörter abgreifen, die man im Browser eingibt, können sie nicht viel machen. Und das auch nur in der Browsersession (dem Tab) in dem sie gestartet wurden. Ein Neuladen der Seite unterbricht immer alle Scripts, wenn Du auf eine andere Seite gehst, werden auch alle ServiceWorker unterbrochen.

Wenn man das alles weiß, dann ist der Schrecken von Scripts schon mal viel weniger schrecklich.

Ich blockiere erstmal alles und lasse dann das zu, was ich brauche. Das dauert eine ein paar Wochen, aber dann hat man fast alle Seiten durch, die man oft besucht.

Es gab schon Versuche, Schadsoftware über Werbung über Drittseiten-Skripte einzuschleusen. Das kann man damit verhindern.

 

[Grestorn]

Ich blockiere erstmal alles und lasse dann das zu, was ich brauche. Das dauert eine ein paar Wochen, aber dann hat man fast alle Seiten durch, die man oft besucht.

Es gab schon Versuche, Schadsoftware über Werbung über Drittseiten-Skripte einzuschleusen. Das kann man damit verhindern.

Die Schadsoftware war immer darauf angewiesen, dass der Anwender tätig wird, d.h. den Download und das Starten des runtergeladenen auch mit einem aktiven Click bestätigt. Anders geht es nicht.

Du kannst Dir das Leben so schwer machen, ob es deswegen besser oder sicherer ist, lass ich mal dahingestellt.

 

[Gast1772925001]

Die Schadsoftware war immer darauf angewiesen, dass der Anwender tätig wird, d.h. den Download und das Starten des runtergeladenen auch mit einem aktiven Click bestätigt. Anders geht es nicht.

Du kannst Dir das Leben so schwer machen, ob es deswegen besser oder sicherer ist, lass ich mal dahingestellt.

Alleine schon durch die geringere CPU-Auslastung lohnt sich das Blockieren von Skripten.

 

[Grestorn]

Klar, wenn man einfach keine Programme started, wird die CPU auch nicht belastet...

Wenn eine Webseite nicht funktioniert, weil ihre Scripte nicht laufen, dann habe ich auch nichts davon, sie anzusurfen.

Und jedesmal manuell alles auf die Ausnahmeliste zu packen... Nun, ich habe besseres zu tun mit meiner Zeit.