[English]Es ist eine interessante Beobachtung, die mir ein Blog-Leser gerade zukommen ließ. In Windows 10 Pro des Mai 2019 Update (V1903) lässt sich plötzlich eine Gruppenrichtlinie für Telemetrie anpassen, die in älteren Versionen gesperrt war.
Anzeige
Es geht um die Frage, inwieweit Gruppenrichtlinien für Windows 10 in den Varianten Pro und Enterprise unterschiedlich sind. Microsoft hatte in der Vergangenheit ja Windows 10 Pro um bestimmte Gruppenrichtlinien beschnitten. Aktuell geht es um eine Gruppenrichtlinie für Telemetrie, die unter Windows 10 Pro Version 1903 plötzlich neue Optionen bietet.
GPO in Windows 10 Pro plötzlich erweitert
Ich stelle die Beobachtung von Blog-Leser Uwe B. hier einfach mal zur Information und Diskussion ein. Uwe schrieb mir per E-Mail:
Hallo Herr Born,
ich bin gerade darauf gestoßen, dass die Gruppenrichtlinienoption "0 -Sicherheit" – die eigentlich nur den Enterprise oder Education Editionen vorbehalten ist, auch in der 1903 Pro-Edition ausgewählt werden kann.
Nach meiner Erinnerung war diese Einstellung früher in der Pro-Version ausgegraut. Wenn ich diese Einstellung wähle, ist unter Diagnose und Feedback keine Einstellung möglich und die Option Standard ausgegraut.
Stelle ich die Einstellung in der Gruppenrichtlinie auf „1-Einfach" wird diese Einstellung wieder aktivierbar (man muss den Menübereich erneut aufrufen, um die Änderung sehen zu können).
Nun frage ich mich, ob Microsoft hier einen willkommenen Fehler fabrizierte. Können Sie unter den Bloglesern einmal nachfragen, ob jemand mit einer älteren Windows-Pro Edition bestätigen kann, dass die Option „0-Sicherheit" zwar angezeigt wird, aber nicht gewählt werden kann.
Natürlich stellt sich noch die Frage, ob der Eintrag auch wirklich die Telemetrie auf das Notwendigste reduziert, oder ob das System in der Pro-Edition nur so tut als ob und in Wahrheit die Schleusen weiter auf sind, als unter Option 1.
Spannende Beobachtung und einige Fragen. Vielleicht hat ja jemand noch eine ältere Windows 10 Pro-Installation, an der er das verifizieren kann?
Ergänzung: Wirkt wohl nicht
Es kam ja schon in den Kommentaren heraus – die Option 0 wirkt unter Windows 10 Pro nicht und ist länger vorhanden. Mark Heitbrink hat mir dazu auf Facebok noch folgendes geschrieben.
Anzeige
Servus, es gibt keinerlei Unterschied in den ADMX Templates. Die Syntax des ADM und ADMX lässt ein ausgrauen im PART Element DropDown nicht zu.
Es ist die Auswirkung an Client, wenn eine Professional Version auf '0 ' gestellt wird, schaltet sie funktional um auf '1', obwohl der Registrywert auf 0 steht und auch so bei der Pro ankommt.
Und in einer direkten E-Mail kam noch folgende Erläuterung, die ich einfach mal wiedergebe:
alles wie immer … Bei Enterprise steht der Button auf "Einfach" und es ist ausgegraut.
Funfact: Bei der Stufe 2 – Erweitert per GPO ist bei mir in der UI alles frei editierbar, der Button steht nicht auf "Erweitert", sondern "Einfach" und ich alles wählen ausser Vollständig.
Scheint jetzt ein "Minimum" Schalter zu sein? Irritierend.
Ich wähle persönlich für mich "Erweitert", da ich sonst den Feedback Hub nicht nutzen kann, der prüft die Einstellung. Das der Dienst bei mir abgeschaltet ist und die Telemetrie Endpunkte auf "0.0.0.0" verweisen und unerreichbar sind prüft er nicht :-)
Ähnliche Artikel:
Windows 10: Microsofts Abschied vom Business-Einsatz?
Windows 10 – das stört mich – Teil 4
Windows 10 Pro: Store-Zugriff nicht mehr blockierbar
Microsoft schlachtet Gruppenrichtlinien in Windows 10 Pro
Anzeige
Wenn ich das noch richtig im Kopf habe bewirkt die Einstellung 0 nichts bei der Pro Version, es bleibt technisch im Hintergrund bei 1. 0 konnte man vorher auch schon über die Registrierung setzen und es hatte nichts gebracht.
Exakt.
War schon immer aktivierbar, scrollt man im Beschreibungstext mal etwas runter sieht man auch, dass dort erklärt wird, dass auf nicht-Enterprise Versionen die 0 wie eine 1 zu deuten ist.
"…..Das Festlegen eines Werts von 0 für andere Editionen entspricht dem Festlegen eines Werts von 1."
Stimmt! Da ist die Hoffnung leider mit mir durchgegangen. Gut immerhin wird es nicht schlechter als 1. Man weiß ja nie, wie die Datenschutz Einstellungen nach einem Update verändert werden. Vielleicht wirkt die Einstellung via Gruppenrichtlinie dagegen.
Exakt.
Aus "ausgrauen" ist auch einfach unlogisch. IdR werden die GPOs auf den DCs direkt bearbeitet (und nicht auf dem End-computer), sodass man (bevor die GPO angewendet wird) nicht mal sagen kann, ob sie jetzt auf eine Windows 7, 8, 10, Pro/Enterprise/Ultimate usw. Installation angewendet wird.
Natürlich kann man das steuern (via WMI usw.), aber die GPO an sich, also ohne dass sie verarbeitet/anwendet wird nicht sagen, ob die Einstellung auf jeweilige Installation zulässig/möglich ist.
Das ginge nur, wenn AMDX/ADM Templates je Betriebssystem strickt, was MS mE nicht macht.
Ich blocke Telemetrie auf DNS-Ebene mit einem Pi-Hole. Hab einfach alle Microsoft-Domains und Microsoft-Dienstleister-Domains geblockt.
Angeblich soll es auch an direkte IPs senden, aber bislang ist mir in der Richtung nichts aufgefallen.
Wo bekommt man eigentlich eine legale Lizenz für Enterprise her? Bei einem großen Internetportal mit nem E gibt es die ja für einen Apfel und ein Ei – angeblich legale OEMs…
Das rechtliche Problem liegt nicht im Lizenzkey, sondern in der Installationsdatei. Microsoft und auch die Gerichte betrachten die Weitergabe der Installationsdatei als unerlaubte Vervielfältigung. Wer also nicht auf legalem Weg Zugang zu den MS Servern hat, auf denen die Datei bereit liegt, oder einen originalen Datenträger mitgeliefert bekommt, besitzt nach einem ebay Kauf nur einen wertlosen key. Das media creation tool unterstützt die Erstellung von Installationsmedien bei Enterprise oder Education Editionen gezielt nicht.
Die Antwort auf die Frage im letzten Absatz findest du hier im Blog, das Thema wurde hier in 4 Teilen ausführlich behandelt, ist maximal 3 Wochen her. (Stichwort: Lizenzgo, Edeka)
Hallo Stefan,
Danke für Dein Posting.
Besteht die Möglichkeit einen Auszug/Übersicht zu deinem Satz: "Hab einfach alle Microsoft-Domains und Microsoft-Dienstleister-Domains geblockt." zu bekommen.
Vielen Dank im Voraus
Merci
Jürgen
Zuverlässig funktioniert das nicht.
Alleine schon bei mobilien Computern die teilweise auch nicht entsprechend geschützten Umgebungen (zeitweise) betrieben werden.
Ich habe mich schon des Öfteren mit der Prävention von der Windows 10 Sammelwut beschäftigt und kann hier hundertprozentig bestätigen, dass es die AllowTelemtry (Level Security) Einstellung für Pro Nutzer bereits gab ABER diese nicht greifen wird, weil du es lediglich als Enterprise „verdienst".
Ne Enterprise gibts nur als VL. Ich kaufe meine Lizenzen für Windows 10 Enterprise bei Lizengo.de
Gruss
Alitai
Wir hatten doch gerade vor kurzem eine Diskussion bzgl. Lizengo und den Keys dort. Dabei ist herausgekommen, dass Lizengo nur für große Abnehmer die Lizenzkette rausrückt, für kleine (wie mich) eben nicht, d.h. die Keys kann man aktivieren, aber der Nachweis fehlt. Damit ist es keine gültige Lizenz, bei einer etwaigen Nachprüfung seitens Microsofts steht man dann als Blöder da und muss u.U. teuer nachlizenzieren.
Wenn MS wie früher kleine Volumenlizenzverträge mit 5 Lizenzen zu einem vernünftigen Preis anbieten würde, wäre das alles kein Problem. Doch das tut MS nicht mehr, der Aufwand ist denen zu groß und der Verdienst zu klein. So steht man als kleine Firma halt im Regen, wie so oft.
Hallo zusammen,
lt. BSI hilft es wohl auch den Dienst "Benutzererfahrung und Telemetrie im verbundenen Modus" zu deaktivieren.
Ist ja per GPO einfach umzusetzen.
Schöne Grüße
Sebastian
"Wenn Sie die Richtlinieneinstellung aktivieren, können Sie den FQDN oder die IP-Adresse des Zielgeräts in Ihrem Unternehmensnetzwerk (und optional eine Portnummer) angeben. Die Verbindung erfolgt über SSL (Secure Sockets Layer). Bei einem Fehler mit dem benannten Proxy oder bei deaktivierter oder nicht konfigurierter Richtlinieneinstellung werden die Daten zu "Benutzererfahrung und Telemetrie im verbundenen Modus" über die Standardproxykonfiguration an Microsoft gesendet."
Das würde gar nichts ändern. Aber wenn ich das richtig verstehe, lassen sich die Datenströme bei aktivierter und konfigurierter Richtlinieneinstellung umleiten.