Im Juli 2026 veröffentlichte das US-Justizministerium eine 39-seitige Anklageschrift. Angeklagt war der 19-jährige Peter Stokes, dem zur Last gelegt wird, im Mai 2025 in das System eines US-amerikanischen Luxusjuweliers eingedrungen zu sein und 8 Millionen US-Dollar Lösegeld gefordert zu haben.
Stokes setzte VPN, Proxy-Server und diverse Tarnwerkzeuge ein; seine IP-Adressen verteilten sich über vier Länder – Estland, New York, Thailand und weitere. Eigentlich gilt im Internet: Sobald sich die IP-Adresse ändert, reißt die Spur ab.
Doch das FBI fand ihn. Der entscheidende Beweis war eine von Microsoft automatisch erzeugte Ziffernfolge: g:6755467234350028.
Diese Ziffernfolge heißt GDID – Global Device Identifier. Bis zur Veröffentlichung der Anklageschrift hatte die überwiegende Mehrheit der Windows-Nutzer von diesem Namen nie gehört. Microsofts einzige öffentliche Erwähnung findet sich in der Unternehmensdokumentation zu Azure Monitor, wo es mit einem einzigen Satz beschrieben wird: 「Ein von Microsoft intern verwendeter Bezeichner.」
Windows-GDID ist ein dauerhaftes, tief im System verankertes Gerätekennzeichen. Quelle: ghacks
Was GDID ist: die „Ausweisnummer” Ihres Rechners
Einfach ausgedrückt: GDID ist eine von Microsoft automatisch Ihrem Rechner zugewiesene dauerhafte Nummer. Sie entsteht in dem Moment, in dem Sie Windows installieren oder sich mit einem Microsoft-Konto anmelden.
Es ist kein Hardware-Code – Hardware lässt sich austauschen. Es ist keine IP-Adresse – die ändert sich ständig. Es ist eine von Microsoft-Servern „ausgestellte” Identitätsnummer für genau diesen Rechner; sobald sie erzeugt ist, bleibt sie an das Windows-System dieses Geräts gebunden – Systemupdates und Netzwerkwechsel beeinträchtigen ihre Existenz nicht.
Wie sieht sie aus? Meist eine Ziffernfolge mit dem Präfix „g:”, beispielsweise g:6755467234350028, verborgen tief in der Windows-Registry und für normale Nutzer unsichtbar. Sie läuft im Hintergrund lautlos und wird im Zuge alltäglicher Vorgänge – Windows-Updates, Store-Nutzung, Systemtelemetrie – periodisch an Microsoft-Server zurückgemeldet.
Falls Sie bei dem Gedanken an „Rückmeldung an Microsoft-Server” ein ungutes Gefühl beschleicht – das ist völlig normal.
Wie es funktioniert: eine unsichtbare Fertigungsstraße
Die Erzeugung und Meldung von GDID gleicht einer vollautomatischen Fertigungsstraße, in die der Nutzer kaum eingreifen kann.
Schritt eins: Wenn Sie sich mit Ihrem Microsoft-Konto bei Windows anmelden, kontaktiert im Hintergrund ein Dienst namens wlidsvc den Microsoft-Anmeldeserver (login.live.com) und fordert dort eine gerätespezifische Identitätsnummer an. Diese Nummer wird direkt vom Microsoft-Server ausgestellt und dann an Ihren Rechner übergeben.
Schritt zwei: Die Nummer wird in die Windows-Registry geschrieben – genauer unter HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties. Wie ein tief im System verborgenes Aktenschrankfach, von außen unsichtbar.
Schritt drei: Mehrere Hintergrunddienste in Windows lesen diese Nummer aus. Funktionen, die Sie täglich nutzen – „Telefonverbindung”, „Cloud-Zwischenablage”, „In der Nähe freigeben” –, greifen darauf zu. Diese Dienste registrieren die Nummer im Microsoft-„Geräteverzeichnisdienst” und formen so ein vollständiges Bild der Geräteidentität.
Schritt vier, und das ist der entscheidende: Die Windows-Funktion „Überlieferungsoptimierung” – jene, die Ihnen das schnelle Herunterladen von Updates von anderen Rechnern im lokalen Netzwerk ermöglicht – meldet bei jedem Lauf die GDID-Nummer zusammen mit Ihrer IP-Adresse und einem Zeitstempel an Microsoft-Server.
Anders gesagt: Microsoft weiß nicht nur, dass Sie eine Nummer haben, sondern auch, welche IP diese Nummer zu welchem Zeitpunkt verwendete. Verknüpft man diese Informationen, entsteht eine lückenlose Chronologie der Geräteaktivität.
Wie das FBI damit jemanden fasste
Stokes hielt sich für schlau. Er verbarg seine echte IP hinter einem VPN, leitete den Datenverkehr über Proxy-Server und wechselte seine Netzwerkidentität sogar zwischen mehreren Ländern. Doch eines übersah er: Egal wie oft sich die IP änderte – das Windows-System in seinem Rechner blieb dasselbe.
Der Anklageschrift zufolge verlief die Ermittlung des FBI in etwa so:
Zunächst zeichnete die Website des Opfer-Juweliers die IP-Adresse des Angreifers auf – sie gehörte zu einem VPN-Anbieter namens Tzulo. Gleichzeitig stellten die Ermittler fest, dass der Angreifer für diese Operation ein Konto bei ngrok (einem Netzwerktunnel-Werkzeug) registriert hatte. Registrierungszeitpunkt und IP stimmten überein.
Als Nächstes zog das FBI Daten von Microsoft an: Welche GDID-Nummer hatte das Gerät, das zu diesem Zeitpunkt diese IP-Adresse nutzte? Die Antwort lautete: g:6755467234350028.
Dann die Rückwärtssuche des FBI: Auf welchen weiteren IP-Adressen tauchte diese GDID-Nummer auf? Die Microsoft-Aufzeichnungen zeigten, dass dieselbe GDID über acht Monate hinweg nacheinander in Estland, New York, Thailand und an weiteren Orten erschien – jedes Mal über einen anderen VPN-Knoten.
Letzter Schritt: Das FBI gleichte diese IP-Adressen mit den Anmeldedaten von Stokes bei Snapchat, Facebook, seinem Apple-Konto und der Spieleplattform Ubisoft ab – Zeit und Ort passten. Fotos, die er öffentlich auf Snapchat veröffentlicht hatte, stimmten exakt mit der von GDID dokumentierten Reisechronologie überein.
Im April 2026 wurde Stokes am Flughafen Helsinki abgefangen, als er nach Japan fliegen wollte. Ein rotes Fahndungsblatt von Interpol verhinderte, dass er diesen Flug bestieg.
Das FBI nutzte GDID, um über VPN und länderübergreifende Netze hinweg den Verdächtigen zu identifizieren. Quelle: WindowsLatest
Was wirklich beunruhigt
Der Kern der GDID-Kontroverse liegt in einer Tatsache: Sie lässt sich nicht abschalten.
Bei iPhones können Nutzer den Werbekennzeichner zurücksetzen. Auch Android bietet vergleichbare Steuerungsoptionen. Apple verlangt sogar, dass Apps einen Hinweis einblenden, in dem der Nutzer wählen kann, ob er Tracking zulässt – jenes Pop-up, das mit „App erlauben, nachzuverfolgen” umschrieben wird.
GDID bietet nichts dergleichen. Kein Pop-up fragt um Ihre Zustimmung. Kein Schalter zum Abschalten. Kein Knopf zum Zurücksetzen. Der Sicherheitsforscher Matthew Hickey bezeichnete Windows angesichts dieses Falls unverblümt als „Überwachungssoftware”.
Noch unangenehmer ist die Frage der Transparenz. Microsofts öffentliche Beschreibung dieses Kennzeichens umfasst in der gesamten Azure-Monitor-Dokumentation nur einen einzigen Satz: „Microsoft Global Device Identifier. Dies ist ein von Microsoft intern verwendeter Bezeichner.” Ein Satz, ein Dutzend englischer Wörter. Wie es erzeugt, übertragen und wie lange es gespeichert wird sowie wer Zugriff hat – darüber schweigt sich die Dokumentation aus.
Unabhängige Sicherheitsforscher mussten GDID durch Reverse Engineering entschlüsseln. Sie fanden heraus: Wenn man die GDID-Erzeugung gewaltsam unterbindet, gerät die Windows-Aktivierung ins Stocken und Store-Apps lassen sich nicht mehr ordentlich nutzen. GDID ist tief in die Kernfunktionen von Windows eingebunden und lässt sich nicht isoliert entfernen.
Ein weiteres bemerkenswertes Detail: In einer Fußnote der Anklageschrift räumt Microsoft ein, dass ein Microsoft-Konto mit mehreren GDID verknüpft sein kann. Das bedeutet: Selbst wenn Sie das System neu installieren und eine neue Nummer erhalten, kann Microsoft über Ihr Konto, OneDrive und Aktivierungsprotokolle die alte und neue Nummer dennoch miteinander verknüpfen.
Die Positionen der Beteiligten: keine einfache Antwort
Das ist keine simple Geschichte von Gut und Böse. Jede Seite erblickt, aus ihrem Blickwinkel, ein völlig anderes Bild.
Aus Sicht der Strafverfolgung ist GDID ein mächtiges forensisches Werkzeug. Im Fall Stokes wäre die Ermittlung ohne GDID als tracking-resistentem Ankerpunkt wohl in einem Haufen unzusammenhängender VPN-IP-Adressen steckengeblieben. GDID erlaubt es Behörden, die Anonymisierungsschicht zu durchdringen und Straftaten einem konkreten Gerät zuzuordnen. Für Täter, die sich mit technischen Mitteln verbergen, ist dies ein wirksames Gegengewicht.
Aus Sicht des Datenschutzes ist ein dauerhaftes Gerätekennzeichen, das sich nicht deaktivieren lässt and keiner Zustimmung bedarf, nach welchem Maßstab auch immer, ein designbedingtes Warnsignal. Sein Problem liegt darin, dass es „theoretisch für jeden Zweck” einsetzbar ist. Heute ist es eine FBI-Strafuntersuchung – und morgen? Werbenetze? Versicherungen? Politische Überwachung? Ein System, das im Entwurf die volle Tracking-Kapazität vorsieht, wird nicht ewig von „Guten” bedient.
Aus Microsofts Sicht war der ursprüngliche Zweck von GDID nicht zwingend die Nutzerüberwachung – es dient vor allem der Verwaltung von Softwarelizenzen, dem Betrieb des App-Stores und geräteübergreifenden Kollaborationsfunktionen. Das Problem ist jedoch: Sobald ein solches „infrastrukturelles” Kennzeichen existiert, ist es in zu viele Systemkomponenten eingebettet; seine Entfernung hieße, die Kernarchitektur von Windows neu zu schreiben.
In der Diskussion auf Lobsters tauchte wiederholt ein Kommentar weit oben auf: „Wenn dies nicht mehr Menschen alarmiert, dann geht es beim nächsten Mal nicht mehr nur darum, Hacker zu schnappen.” Ein anderer meinte: „Die wirkliche Lösung ist ein Wechsel des Betriebssystems.” Doch für 1,6 Milliarden Windows-Nutzer ist ein Betriebssystemwechsel kein Rat, den man so leichthin aussprechen kann.
In den Datenschutzeinstellungen von Windows 11 findet sich keine einzige Steueroption für GDID. Quelle: WindowsLatest
Was normale Nutzer tun können
Offen gesagt sind die Möglichkeiten für Nutzer, die tief im Microsoft-Ökosystem verankert sind, derzeit recht begrenzt. Die folgenden Schritte, die ich zusammengetragen habe, sind Maßnahmen, mit denen sich das Risiko unter den gegebenen Umständen verringern lässt:
Erstens: Nutzen Sie nach Möglichkeit ein lokales Konto statt eines Microsoft-Kontos. Windows 11 hat in den jüngeren Versionen den Zugang zur Erstellung lokaler Konten eingeschränkt, doch das Überspringen des Online-Schritts bei der Installation oder das Finden von „Zu lokalem Konto wechseln” in den Einstellungen bleiben gangbare Wege. Die GDID-Erzeugung ist eng an das Microsoft-Konto gebunden; ein lokales Konto schafft eine indirekte Isolierung.
Zweitens: Deaktivieren Sie nicht zwingend nötige Diagnosedaten-Meldungen. Pfad: Einstellungen → Datenschutz und Sicherheit → Diagnose und Feedback → „Optionale Diagnosedaten senden” ausschalten. Das lässt GDID nicht verschwinden, verringert aber die übrigen, mitgemeldeten Informationen.
Drittens: Schalten Sie personalisierte Werbung und Aktivitätsverfolgung aus. Unter „Datenschutz und Sicherheit” → „Empfehlungen und Angebote” deaktivieren Sie sämtliche Optionen. In „Suchberechtigungen” deaktivieren Sie „Cloud-Inhaltssuche”, um zu vermeiden, dass lokale Suchinhalte an Microsoft-Server gesendet werden.
Viertens: Prüfen Sie regelmäßig den Aktivitätsverlauf. Sehen Sie in den Datenschutzeinstellungen unter „Aktivitätsverlauf” nach und deaktivieren Sie nicht benötigte Synchronisationsoptionen. Diese Schritte berühren GDID selbst nicht, verringern aber die Wahrscheinlichkeit, dass Ihre Verhaltensdaten im Microsoft-Ökosystem korreliert werden.
Der fünfte Punkt mag etwas extrem erscheinen, verdient aber Erwähnung: Wenn Sie hohe Datenschutzanforderungen stellen und eine gewisse Lernkurve akzeptieren, ist die Migration auf ein Betriebssystem, das derartige Tracking-Mechanismen nicht eingebaut hat (etwa manche Linux-Distributionen), langfristig eine erwägenswerte Option. Das ist kein pauschaler Rat und passt nicht für alle Menschen und Szenarien. Aber es ist zweifellos eine vorhandene Wahl.
Eine größere Frage
Dass GDID einer ernsthaften Diskussion wert ist, liegt an einem immer schärfer werdenden Widerspruch: Wenn Ihr Betriebssystem zugleich Ihr Diensteanbieter ist – auf wessen Seite steht dessen Loyalität?
Windows ist längst mehr als nur ein System auf Ihrer Festplatte. Es ist verbunden mit Microsofts Cloud, dem Kontosystem, dem App-Store und dem KI-Assistenten. Das Geschäftsmodell wandelt sich vom „Verkauf von Software” zum „Verkauf von Diensten” – und in der Dienstleistungswelt ist Nutzerdaten die Grundwährung.
GDID ist eine Mahnung: Im Zeitalter von Cloud und AI mag jenes „unterste” System in Ihrem Rechner längst mehr als nur ein Werkzeug sein. Es ist zugleich Sensor, Aufzeichnungsgerät und Identitätsanker.
Und auf welcher Seite es standardmäßig steht – darauf hat Microsoft bisher keine Antwort gegeben, die alle beruhigt.
Referenzen:
- ghacks: Microsoft bestätigt nicht deaktivierbares Windows-GDID-Gerätekennzeichen, dokumentiert in FBI-Akten
- WindowsLatest: Microsoft räumt nicht abschaltbaren GDID-Tracker in Windows 11 ein
- Lobsters-Diskussion (s/agkcmz)
- Einschlägige FBI-Fallakten
