Windows: Global Device ID führt zu gerichtswirksamer Identifikation

[TheSentinel]

Hallo in die Runde

Windows: Global Device ID führt zu gerichtswirksamer Identifikation​

In einem Gerichtsprozess in den USA stellte sich heraus, dass eine Global Device ID von Windows Nutzer identifizierbar macht.

vorlesenDruckansicht

(Bild: zffoto / Shutterstock.com)

14:10 Uhr
Lesezeit: 3 Min.
Security
Von Dirk Knop

Microsoft nutzt in Windows eine Global Device ID (GDID). Die macht Windows-Installationen eindeutig erkennbar, sie übersteht Neustarts und Windows-Updates und lässt sich nicht entfernen. Das sorgt nach wie vor für Aufregung – aber wirklich überraschen dürfte das eigentlich niemanden. Überraschend ist eigentlich nur, dass die
GDID nun vor Gericht Bestand hat und zur Identifizierung eines vermutlichen Täters geführt hat.

Weitere Informationsquellen, z.T. detailliert, Aktualisierung wie mir dazu was auffällt (bes. was man dagegen tun kann, oder abschwächt)

Windows Latest vom 1. Juli 2026
Microsoft admits Windows 11 has a GDID tracker with no off switch, first documented publicly in an FBI hacker complaint

Winfuture vom 12. Juli 2026
GDID: Microsoft bestätigt nicht deaktivierbare Windows-Gerätekennung

 

[Patzi]

Sehr interessant, danke für die Info.

 

[Mornsgrans]

Interessant auch:

Der Strafanzeige ist zu entnehmen, dass der Angeklagte anhand der Windows-GDID trotz Nutzung von VPN-Diensten erkannt wurde. Die Dokumente erklären etwa, dass Cybersecurity-Forscher von Microsoft Zugriff auf Daten wie Computer-Maschinen-IDs, IP-Adressen und Malware-Samples haben. Mittäter der Kriminellen erkennen sie demnach etwa an der Nutzung derselben IP-Adresse, die der ursprüngliche Täter genutzt hat.

 

[TheSentinel]

Heya
Ich habe das GDID Thema auf "wie kann man das im Zaum halten" auf diversen IT Webseiten abgegrast. Fazit bisher: eindämmen geht in einem ziemlich engen Rahmen, abschalten oder gar deaktivieren scheint, Stand jetzt, nicht machbar zu sein.

Der Schachzug von MS, die GDID mit der Windows Lizenz Aktivierung und MS-Store Apps zu verknüpfen, blockiert jeden Versuch, der GDID Einhalt zu gebieten. Eine Q 'n D (Quick 'n Dirty) Suche wirft das ab:

Es ist nicht möglich, den Global Device Identifier (GDID) in Windows 11 vollständig abzuschalten, ohne dass Windows-Aktivierung oder Microsoft Store Apps beschädigt werden. Die Kennung ist tief in das System integriert, und Microsoft bietet keine nutzerseitige Deaktivierungsoption an.

Um das Tracking und die Datenübertragung zu minimieren, können jedoch folgende Maßnahmen ergriffen werden:

• Lokales Konto verwenden: Vermeiden Sie die Anmeldung mit einem Microsoft-Konto, da der GDID primär mit diesem verknüpft ist und die Identitätszuordnung ermöglicht.
• Diagnosedaten reduzieren: Deaktivieren Sie in den Einstellungen unter Datenschutz & Sicherheit > Diagnose und Feedback die optionalen Diagnosedaten, um die Menge der an Microsoft gesendeten Telemetrie zu verringern.
• Dienste und Endpunkte blockieren: Technische Nutzer können PowerShell-Skripte (z. B. von GitHub-Projekten wie no-gdid) nutzen, um die Connected Devices Platform und Delivery Optimization zu deaktivieren sowie die entsprechenden Microsoft-Server-Endpunkte über die hosts-Datei zu blockieren. Dies verhindert zwar die Übertragung, löscht aber nicht die lokal gespeicherte ID.
• Aktivitätsverlauf ausschalten: Deaktivieren Sie den Aktivitätsverlauf, um zu verhindern, dass Microsoft Aktivitäten mit der Geräte-ID verknüpft. Beachten Sie, dass diese Funktion in neueren Windows-11-Versionen (ab 23H2) bereits entfernt wurde.

Ein Neuinstallation des Betriebssystems erzeugt zwar eine neue GDID, verliert jedoch oft ihre Wirksamkeit, sobald das gleiche Microsoft-Konto wieder angemeldet wird. Für maximale Privatsphäre empfehlen Experten den Wechsel zu einem Linux-Betriebssystem.

Mir ist ein Tool namens no-GDID aufgefallen, was GDID Dienste blockiert, nicht aber deaktiviert:
no-gdid ist ein Open-Source-Projekt (MIT-Lizenz), das darauf abzielt, den Global Device Identifier (GDID) in Windows 11 zu blockieren und die damit verbundene Berichterstattung an Microsoft zu unterbinden. Der GDID ist eine persistente Geräte-ID, die bei der Anmeldung mit einem Microsoft-Konto erstellt wird und von der FBI im Fall United States v. Peter Stokes (2026) zur Verfolgung eines mutmaßlichen Scattered Spider-Mitglieds genutzt wurde, das sich durch VPNs getarnt hatte.

Das Tool erreicht dies nicht durch das Löschen des GDID (da dieser serverseitig gespeichert ist und bei Neuanmeldung zurückkehrt), sondern durch das Abschalten bestimmter Windows-Dienste (CDPSvc, CDPUserSvc, DoSvc) und das Blockieren der zugehörigen Netzwerk-Endpunkte über die hosts-Datei. Dabei bleibt die Authentifizierung über login.live.com erhalten, sodass das Microsoft-Konto weiterhin genutzt werden kann.

Wichtige Einschränkungen und Details:

• Keine Anonymität: Das Tool stoppt nur die Berichterstattung vom lokalen System; es löscht nicht den auf Microsoft-Servern gespeicherten GDID.
• Funktionsverluste: Das Deaktivieren der Dienste beeinträchtigt Funktionen wie Delivery Optimization, Phone Link und die nahegelegene Freigabe.
• Vorsicht bei der Anwendung: Da Systemdienste deaktiviert werden, wird dringend empfohlen, das Tool zunächst in einer virtuellen Maschine (VM) mit einem Snapshot zu testen.
• Technische Umsetzung: Das Projekt stellt PowerShell-Skripte bereit, um den GDID zu lesen (Audit), die Änderungen vorab zu prüfen und schließlich die Dienste zu deaktivieren sowie die Endpunkte zu blockieren. Eine Rückgängigmachung ist über ein Revert-Skript möglich.
  

Egal wie man die MS-Spionage bewertet, die wird ein P.i.t.A (Pain In The A**) bleiben, da bei anscheinend jedem Update, ganz sicher jedem neuen Upgrade die GDID wieder da ist. Selbst eine komplette Neuinstallation ist " für die Tonne", da eine neue GDID generiert wird.

Würde mich interessieren was die Apfelbauern und Androidenschrauber in Richtung deren GDID verheimlichen?

Gruß
TS

 

[Patzi]

Zumindest im Open-Source-Universum sollte so etwas doch bekannt werden, oder?

 

[TheSentinel]

Heya Patzi

Zumindest im Open-Source-Universum sollte so etwas doch bekannt werden, oder?

z.B. no-gdid ist wohl Open-Source. Aber wo ist der Benefit, wenn man nach jedem Update / Upgrade wieder von vorne "reparieren" muß. Und sei Dir sicher MS kriegt das irgendwann mal spitz und schiebt neue Riegel vor.

TS

 

[TheSentinel]

Neuigkeiten in Sachen MS' GDiD

Im Borns IT- und Windows-Blog von heute (7. August 2026) ist zu lesen, dass es einen weiteren Ansatz zur Blockierung von GDID Kennungen gibt. Zuvor hatte Tom's Hardware hierüber berichtet. Trotz aller Euphorie ist zur Vorsicht beim Einsatz der Powershell Skripte geraten.

TS

 

[linrunner]

Man könnte statt einer Krankheit auch einfach ein Betriebssystem benutzen...

 

[Mornsgrans]

So, kriegt Euch bitte wieder ein.
@verschenk_nix :
Deine provokative "Waffenschieber"-Frage schießt über das Ziel hinaus, wobei Stil und Inhalt nicht in dieses Forum gehören - dafür gibt es andere "Bashing"-Plattformen.

Darum durchgewischt.

 

[verschenk_nix]

Mein zugegebenermaßen plakativer Hinweis darauf, daß eine wie auch immer geartete Überwachungs-Software nicht nur schlechte Seiten haben muß, wurde leider von niemandem verstanden.

Zur eigentlichen Thema zurück - und zwar ULTRA-Sachlich:

Falls eine wie auch immer geartete Device-ID tatsächlich die Lösung für den vorgeblichen Zweck wäre, dann würde schon seit Jahren das Verwenden von bereits vorhandenen Mitteln zu einem "gerichtsverwertbaren" Ergebnis geführt haben.

Wir leben ja schließlich nicht mehr in der Cookie-Steinzeit.

Bin mir sicher, daß beispielsweise der eine oder andere Forumsbetreiber auf dieser Welt durchaus schon seit Jahrzehnten um die Möglichkeiten einer UUID mittels Canvas-Profiles, also Hardware-Fingerprints weiß - nur alleine um verdächtige Doppel- und Mehrfachaccounts oder ähnliches zu erkennen - oder halt einfach nur die lästigen Bots auszusperren.

Die Techniken gibt es schon ewig. Die sind betriebsystem-UN-abhängig. Dafür braucht niemand Microsoft, auch wenn hierdurch ein Marktanteil von gut 70% aller PCs abgdeckt wäre. Logische Schlußfolgerung: Da steckt etwas anderes dahinter.

Kommt jemand von Euch zu einem gegenteiligen Ergebnis?

 

[albert66]

dann würde schon seit Jahren das Verwenden von bereits vorhandenen Mitteln zu einem "gerichtsverwertbaren" Ergebnis geführt haben.

Rein technisch gesehen hast Du recht, aber - meine Erfahrung aus einem ID-Mißbrauch (zu dem ich selber ermitteln mußte, in Kooperation mit der Polizei, Abschluß nach ~1,5 Jahren 70 Tagessätze) : nicht alles was ein Internet-Provider (bzw. der Server-Betreiber) an Daten zwangsläufig sammelt ist vor Gericht verwertbar, bzw. gilt dort als "beweiskräftig". Ich habe >12 Monate "gesammelt" und zwei "Beweise" wurden zum Urteil verwertet. Ist etwas länger her und trete ich nicht weiter breit.

Der Knackpunkt ist, daß von den vielen Daten der GDIG als "Beweis" bzw. unverwechelbare Zuordnung zu einem , und nur einem einzigen, User anerkannt wurde. Im Grunde sind fast alle User-Daten "fake-bar", bis in Firmware-Hacks runter. Ich fang gar nicht erst an, alles auf zu zählen. Am Server kommt nur das an, was ich dort hin übertrage, mehr sieht der nicht. Auch bei 100-fachem Faktorcheck nicht, nur daß eine falsche Identität im praktischen Leben immer unwahrscheinlicher wird. Vielleicht kommt Kamerapflicht ja mal dazu, und selbst dann .... (Maske ?? oder komplett verkabelt ...... )

Da steckt etwas anderes dahinter.

Nein, ein Gericht hat den MS GDID als ausreichend sicheren ID anerkannt ("gerichtsverwertbar","beweiskräftig"), und fertig.

Beitrag automatisch zusammengeführt: Freitag um 20:22

Nachtrag: habe mir die Strafanzeige angesehen, etwas quer gelesen, nicht auf's i-Tüpfelchen. Der FBI-Spezi hat ausgesagt:

3. Because this affidavit is being submitted for the limited purpose of establishing probable cause in support of a criminal complaint charging STOKES with the Subject Offenses and search warrant applications for evidence, instrumentalities and fruits of the Subject Offenses, I have not included each and every fact known to me concerning this investigation. I have set forth only the facts ******zwei Zeilen***** geschwärzt.

Es war also mehr bekannt/gesammelt und nur zur Verurteilung relevante Sachen wurden benannt. Im weiteren Verlauf liest man jede Menge account-Daten, IP-Nr., usw. mit Zeitangaben. Die GDID war nur noch ein weiterer Tropfen im Glas. Für das Gericht muß außerdem nachgewiesen werden, daß der "Täter" zur richtigen Zeit persönlich am "GDID-Gerät" (und Leitung) mit diesem Gerät die "Schadenstelle" bedient hat. Selbst die GDID wäre bei einem Clean Install nach einem Abuse wieder weg gewesen. Also ....... wie in der Anklageschrift beschrieben, da muß jede Menge übereinander gelegt werden. Anhand der Jahreszahlen ........ war ich in meinem Fall mit 12+ Monaten durchaus nicht zu langsam.

Jedenfalls ganz interessant, daß die Strafverfolgung auch im Land der unbegrenzten Möglichkeiten ganz schön aufwendig ist und dauert, aber letztlich doch funktioniert. In der Headline ist die GDID natürlich ein Renner, später im Text "kann zur Nutzeridentifikation dienen".