Microsoft trackt Ihre Windows-Geräte

Über eine US-Bundesklage gegen ein mutmaßliches Mitglied einer Hackergruppe ist öffentlich geworden, was Microsoft nie dokumentiert hat: Windows vergibt einen dauerhaften Geräte-Identifikator, den kein Nutzer abschalten kann.

⏰ Was ist der GDID? ⏰

Der Global Device Identifier (GDID) wird bei der Einrichtung von Windows mit einem Microsoft-Konto erzeugt und übersteht jedes Update. Nur eine komplette Neuinstallation entfernt ihn – und selbst dann kann die erneute Anmeldung mit demselben Konto die alte Kennung wieder verknüpfen. Im erwähnten FBI-Fall reichte der GDID aus, um den Verdächtigen über mehrere Länder und wechselnde VPN-Verbindungen hinweg zu verfolgen.

⚠️ Was das aus Sicht der DSGVO bedeutet

• Ein persistenter, gerätebezogener Identifikator fällt unter den weiten Personenbezug der DSGVO (Art. 4 Nr. 1, Erwägungsgrund 30 – „Online-Kennungen“).
• Es gibt keinen Consent-Screen und keine Möglichkeit zum Widerspruch – ein Bruch mit Datenminimierung (Art. 5) und Privacy by Design (Art. 25).
• Für Unternehmen mit Windows-Flotten heißt das: Die Datenübermittlung in die USA gehört ins Verarbeitungsverzeichnis und der Auftragsverarbeitungsvertrag mit Microsoft muss diesen Fall abdecken.
• Wer kann das in einer typischen IT-Abteilung lückenlos nachweisen, wenn der Hersteller selbst keine Transparenz liefert?

💡 Was jetzt dringend geklärt werden muss

Kann man mit einem Betriebssystem weiterhin DSGVO-konform arbeiten, wenn der Hersteller wissentlich derart massiv gegen die DSGVO verstößt?

🌱 Es geht auch anders 🌱

Wer die Kontrolle über seine Geräte zurück haben will, kann es mit Linux versuchen. Ubuntu oder Debian sind für den Einstieg z.B. gut geeignet, laufen stabil auf gängiger Business-Hardware und lassen sich ganz ohne verpflichtenden Cloud-Account einrichten.

Setzen Sie in Ihrem Unternehmen schon auf Linux-Alternativen? Wenn nein ... woran scheitert es bisher? An einzelnen Fachanwendungen, der eigenen Bequemlichkeit oder etwas anderem? 🤔