Windows speichert Ihren gesamten Browserverlauf, selbst wenn Sie ihn gelöscht haben

Gerichtsunterlagen in einem Strafverfahren gegen einen 19-jährigen mutmaßlichen Beteiligten der Hackergruppe Scattered Spider haben unerwartet eine neue Welle von Diskussionen über die Privatsphäre von Windows ausgelöst. Aus den Unterlagen ging hervor, dass Microsoft auf Anfrage des FBI Daten bereitgestellt hat, die mit der eindeutigen Gerätekennung Global Device Identifier (GDID) verknüpft sind. Diese Angaben ermöglichten es den Ermittlern, einen bestimmten Computer mit dem Besuch bestimmter Internetseiten, Aktivitätszeiten, IP-Adressen und anderen Ereignissen in Verbindung zu bringen.

Genau dieses Detail sorgte für großes öffentliches Aufsehen: Viele Nutzer waren überzeugt, dass Microsoft eine derart detaillierte Verknüpfung von Internetaktivitäten mit einem bestimmten Gerät nicht vornimmt.

Was passiert ist

Es geht um eine Untersuchung gegen den 19-jährigen Peter Stokes, den die US-Behörden als Mitglied der bekannten Cyberkriminellen-Gruppe Scattered Spider ansehen. Nach Ansicht der Ermittler war die Gruppe in Social Engineering, Angriffen auf Unternehmensnetzwerke und Erpressung involviert.

Im Zuge der Ermittlungen forderte das FBI von Microsoft Informationen an, die mit dem Global Device Identifier (GDID) zusammenhängen. Den Gerichtsunterlagen zufolge konnte das Unternehmen Daten bereitstellen, mit denen sich Folgendes feststellen ließ:

welches Gerät verwendet wurde;

welche Internetressourcen besucht wurden;

die genaue Uhrzeit der Besuche;

IP-Adressen;

die Nutzung einzelner Dienste und Werkzeuge;

andere Windows-Telemetrie.

Gerade durch den Abgleich dieser Daten konnte die Ermittlungsbehörde einen bestimmten Computer mit den Handlungen des Verdächtigen in Verbindung bringen.

Was ist GDID

Global Device Identifier ist eine interne eindeutige Kennung einer Windows-Installation, die Microsoft für Telemetrie, Diagnose, Lizenzierung und den Betrieb verschiedener Cloud-Dienste verwendet.

Die Existenz von GDID ist an sich kein Geheimnis. Vor der Veröffentlichung der Gerichtsunterlagen wurde jedoch kaum darüber gesprochen, dass dieser Identifikator für einen derart detaillierten Abgleich von Internetaktivitäten eines Geräts im Rahmen von Ermittlungen verwendet werden kann.

Stimmt es, dass Microsoft alle Websites aufzeichnet?

Hier ist es wichtig, Fakten von Schlagzeilen zu trennen.

Die Gerichtsunterlagen enthalten keine Aussage, dass Microsoft die vollständige Historie aller Websites speichert, die jeder Windows-Nutzer besucht.

Aus den Unterlagen geht lediglich hervor, dass Microsoft den Ermittlern Informationen zur Internetaktivität eines bestimmten Geräts bereitstellen konnte, einschließlich des Besuchs bestimmter Seiten mit Zeitstempeln. Auf welchem genauen Weg diese Daten gewonnen wurden — ausschließlich über die Telemetrie von Windows, Browser-Dienste von Microsoft, die Synchronisierung des Kontos oder eine Kombination mehrerer Quellen — wird öffentlich nicht offengelegt.

Deshalb sind Aussagen wie „Windows zeichnet absolut alle Websites jedes Nutzers auf“ bislang nicht durch offizielle Dokumente bestätigt.

Hilft ein VPN?

Einer der meistdiskutierten Punkte war, dass die Verwendung eines VPN laut den Unterlagen des Falls die Zuordnung zwischen Gerät und Internetaktivität nicht verhinderte.

Das lässt sich ziemlich einfach erklären.

Ein VPN verbirgt Ihre IP-Adresse vor Websites und dem Internetanbieter, deaktiviert aber nicht die integrierte Telemetrie des Betriebssystems. Wenn Windows selbst oder damit verbundene Microsoft-Dienste Diagnosedaten senden, verhindert das VPN nicht die Übermittlung dieser Informationen an das Unternehmen.

Daher kann ein VPN nicht als Instrument vollständiger Anonymität betrachtet werden.

Warum das so viele Fragen aufwirft

Die Geschichte hat erneut das alte Thema des Umfangs der Windows-Telemetrie aufgeworfen.

Experten für Informationssicherheit weisen seit vielen Jahren darauf hin, dass moderne Windows-Versionen eine erhebliche Menge an Diagnosedaten sammeln. Microsoft erklärt dies mit der Notwendigkeit, die Sicherheit zu verbessern, Fehler zu finden, Lizenzen zu verwalten und die Qualität der Dienste zu erhöhen.

Das aktuelle Gerichtsverfahren zeigt jedoch erstmals so detailliert, wie solche Daten von Strafverfolgungsbehörden bei der Aufklärung von Straftaten genutzt werden können.

Was das für normale Nutzer bedeutet

Derzeit gibt es keinen Beweis dafür, dass Microsoft eine öffentlich zugängliche Datenbank mit der vollständigen Besuchshistorie aller Windows-Nutzer führt.

Dennoch haben die Gerichtsunterlagen gezeigt, dass das Unternehmen den Ermittlungsbehörden deutlich mehr Informationen über die Aktivität eines Geräts zur Verfügung stellen kann, als viele zuvor angenommen hatten.

Für Nutzer ist dies eine weitere Erinnerung daran, dass ein VPN kein universelles Mittel zum Schutz der Privatsphäre ist. Es verbirgt den Netzwerkpfad, hebt aber weder die integrierte Telemetrie des Betriebssystems noch Cloud-Dienste auf, sofern diese aktiviert sind. Das Datenschutzniveau hängt daher nicht nur von der Nutzung eines VPN ab, sondern auch von den Einstellungen von Windows selbst, des Browsers und des Microsoft-Kontos.