Auf den Punkt: Microsofts GDID half Ermittlern, einen Cyberkriminellen zu identifizieren, doch technische Details zum Umfang und der Quellen der Datensammlung bleiben in der Anklage unklar und wirken sich auf Datenschutzbewertungen aus.
Ein Strafverfahren gegen Peter Stokes, eines mutmaßlichen Mitglieds der Cyberkriminalgruppe Scattered Spider, hat Microsofts Global Device Identifier (GDID) in den Fokus gerückt. Die Anklage zeigt, wie dieser persistente Windows-Identifikator bei Ermittlungen eingesetzt wurde, wirft aber gleichzeitig Fragen zur Datensammlung und zum Umfang der Microsoft-Telemetrie auf.
Die Anklage gegen Stokes dokumentiert, dass Microsofts Datenbestände eine Verbindung zwischen seiner Windows-Installation und der Registrierung bei ngrok, einem Dienst zur sicheren Exposition von lokalen Servern, zeigten. Dieselben Aufzeichnungen verfolgten dem Bericht zufolge die Nutzung von Tzulo-Proxy-Servern und Besuche auf der Website des Opfers — eines Luxus-Schmuckhändlers. Der Angriff fand im Mai 2025 statt. Dray Agha von der Managed-Detection-Firma Huntress fasst den Ansatz zusammen: „Microsoft beobachtete nicht ngrok; es beobachtete das Gerät, und Ermittler verbanden die Punkte.“
GDID ist eine eindeutige Kennung, die automatisch einer Windows-Installation zugewiesen wird, bei Updates bestehen bleibt, aber bei einer Neuinstallation zurückgesetzt wird. Dieser Identifikator wird an Microsoft-Server übertragen, um verschiedene Microsoft-Services und vorbundelte Windows-Apps zu versorgen. Die Bedeutung liegt darin, dass Ermittler mehrere Datenquellen — Anbieteraufzeichnungen, IP-Historie, Kontoログs — in einer Korrelationskette miteinander verbunden haben, um Stokes zu identifizieren.
Rechtliche und technische Experten betonen jedoch die Ambiguität der Anklage. Der Begriff „Microsoft-Aufzeichnungen“ könnte verschiedene Datenquellen zusammenfassen, ohne zu präzisieren, welches Microsoft-Produkt welche Information erfasste. Benson Varghese, ein auf Strafrecht spezialisierter Anwalt, erklärt: Das Dokument ist eine Wahrscheinlichkeitsfeststellung, keine technische Audit-Prüfung. Es ist nicht klar, ob Windows Browser-Verlauf systématisch protokollierte, oder ob Ermittler Zeitstempel und IP-Daten aus Microsofts Systemen mit separaten ngrok- und Tzulo-Aufzeichnungen korrelierten.
Everett Lupton von Slaughter & Lupton merkt an, dass die Anklage nicht offenbart, ob die Daten aus Edge, Microsoft Defender SmartScreen, Crash-Reporting oder anderen Microsoft-Komponenten stammen. Jedes Szenario hätte unterschiedliche Datenschutz- und Rechtsfolgen. Falls Microsoft nur Zeitstempel und IP-Adressen speicherte und Ermittler diese mit Third-Party-Daten korrelierten, unterscheidet sich dies erheblich von einer persistenten Erfassung der Nutzeraktivität.
Die Anklage hat sowohl in der Technologie-Community als auch unter Datenschutzaktivisten Fragen zu Microsofts Datensammlungspraktiken und der Dokumentation von GDID ausgelöst. Das Verfahren läuft und könnte Klarheit darüber bringen, welche Telemetrie-Details Microsoft tatsächlich speichert und wie diese bei strafrechtlichen Ermittlungen zugänglich gemacht werden.
Quelle: www.csoonline.com · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.