Microsoft-Konto & GDID: Tracking trotz VPN – so geht’s

Microsoft-Konto und GDID tracken Ihren Standort trotz VPN auf Windows 10 und 11. So deaktivieren Sie die Datenerfassung dauerhaft und schützen Ihre Privatsphäre.

Ein Virtual Private Network verschleiert lediglich Ihre IP-Adresse, jedoch nicht die versteckte Kennung namens Global Device Identifier (GDID), die Microsoft jedem Windows-Gerät zuweist. Diese GDID bleibt trotz VPN, Ländertausch und neuer IP-Adresse stabil und verknüpft Ihre Aktivitäten in Windows, Edge, Xbox und dem Microsoft-Konto dauerhaft mit einem einzigen Gerät.

Nachfolgend erfahren Sie, wie das Tracking funktioniert und wie Sie es wirksam unterbinden.

Was ist die GDID und warum betrifft sie fast jeden Windows-Nutzer?

Die Global Device Identifier, kurz GDID, ist eine serverseitig vergebene Kennung, die Microsoft mit jeder Windows-Installation verbindet. Laut Microsoft handelt es sich dabei um einen persistenten, geräteebenen Identifikator, der eine Windows-Installation auf einem Gerät eindeutig kennzeichnen soll.

Betroffen sind sowohl physische PCs als auch virtuelle Maschinen. Zudem existiert die GDID nicht erst seit Kurzem: Sie ist bereits seit Windows Vista fester Bestandteil jeder Windows-Installation.

Anders als eine Werbe-ID oder eine einfache Hardware-Seriennummer wird die GDID serverseitig gemintet. Das bedeutet: Der Identifikator wird über Windows-Identitäts- und Kontoregistrierungsprozesse erzeugt, wobei Hardwaresignale in die Anfrage einfließen, die Hardware allein die ID jedoch nicht bestimmt.

Historisch betrachtet ist die GDID kein neues Überwachungsinstrument, sondern die Weiterentwicklung eines alten Systems. Sie geht auf die Windows Product Activation zurück, die Microsoft bereits 2001 mit Windows XP einführte, um eine Lizenz an eine bestimmte Gerätekonfiguration zu binden. Deshalb überrascht es nicht, dass die GDID heute unter anderem für Store-Käufe, App-Lizenzierung und die Update-Verteilung genutzt wird.

Öffentlich bekannt wurde das Thema erst durch einen Gerichtsfall. In einer im Juli 2026 entsiegelten Bundesanklage wurde bekannt, dass Microsoft Ermittlern Protokolle übergab, die eine Windows-GDID mit IP-Aktivität in Verbindung brachten. Der Fall betraf einen mutmaßlichen Hacker der Gruppe Scattered Spider.

Warum schützt Sie ein VPN nicht vor GDID-Tracking?

Ein VPN verändert ausschließlich Ihre sichtbare IP-Adresse sowie Ihren geografischen Standort. Die GDID hingegen arbeitet auf einer völlig anderen Ebene, nämlich unterhalb der Netzwerkschicht. Genau deshalb greifen klassische Datenschutz-Tools hier nicht.

Im erwähnten Gerichtsfall zeigte sich das besonders eindrücklich: Der Verdächtige wechselte fortlaufend IP-Adressen und bewegte sich zwischen mehreren Ländern, etwa von Thailand nach Estland, während gleichzeitig durchgehend dieselbe Windows-GDID erhalten blieb. Ermittler konnten die Person letztlich trotz VPN-Verschleierung über mehrere Länder und rund acht Monate hinweg zurückverfolgen.

Folglich gilt: Selbst der beste VPN-Anbieter kann diese Art von Tracking nicht verhindern, solange die GDID unangetastet bleibt. Aus diesem Grund reicht ein VPN allein für echten Geräteschutz nicht aus.

Zusätzlich verknüpft Microsoft die GDID mit weiteren Diensten. Dazu zählen unter anderem:

• Microsoft Edge (Browsernutzung und Synchronisierung)
• Microsoft Store und UWP-App-Lizenzierung
• Xbox-Dienste und Spielekonten
• Delivery Optimization, also die Peer-to-Peer-Verteilung von Updates
• Zwischenablage-Synchronisierung zwischen Geräten
• Outlook und weitere Microsoft-365-Dienste

Somit entsteht ein Netzwerk aus Datenpunkten, das weit über eine einzelne Windows-Installation hinausgeht.

So verknüpft Microsoft die GDID mit Ihrem Microsoft-Konto

Sobald Sie sich mit einem Microsoft-Konto anmelden, wird die GDID des Geräts mit Ihrer Identität verbunden. Der zuständige Dienst dahinter heißt wlidsvc, kurz für Windows Live ID Service.

Dieser Dienst überträgt Hardwareinformationen wie Datenträger-, SMBIOS- und TPM-Daten an Microsoft, um das Gerät bei der Anmeldung zu identifizieren. Dadurch entsteht eine dauerhafte Verbindung zwischen Ihrem Konto und dem physischen Gerät.

Besonders problematisch: Eine Neuinstallation von Windows löst dieses Problem nicht. Zwar erhält das System dabei technisch gesehen eine neue GDID, doch Microsoft kann diese trotzdem mit der bisherigen Maschine verknüpfen, weil sich die zugrunde liegende Hardware nicht verändert hat.

Aus diesem Grund bringt ein reines Neuaufsetzen des Systems keinen verlässlichen Datenschutz. Stattdessen benötigen Sie ein gezieltes Werkzeug, das die Erstellung neuer Kennungen aktiv unterbindet.

Schritt-für-Schritt: GDID-Status mit deGDID prüfen

Der VPN-Anbieter Windscribe hat als Reaktion auf die öffentliche Debatte ein kostenloses, quelloffenes Werkzeug veröffentlicht: deGDID. Es handelt sich um ein PowerShell-Skript, das gezielt gegen die GDID-Erstellung vorgeht.

Bevor Sie etwas verändern, sollten Sie zunächst den aktuellen Status prüfen. Gehen Sie dazu wie folgt vor:

1. GitHub-Repository öffnen: Laden Sie die Datei degdid.ps1 aus dem offiziellen Windscribe-Repository herunter.
2. PowerShell als Administrator starten: Klicken Sie mit der rechten Maustaste auf das Startmenü und wählen Sie „Windows PowerShell (Administrator)“.
3. Status abfragen: Führen Sie den Befehl .\degdid.ps1 -Status aus. Dieser Modus ist rein lesend und verändert nichts an Ihrem System.
4. Ergebnis prüfen: Das Skript zeigt an, ob aktuell eine aktive GDID auf Ihrem Gerät vorhanden ist.
5. Optional protokollieren: Möchten Sie Diagnosedaten weitergeben, ohne Ihre Kennung preiszugeben, nutzen Sie .\degdid.ps1 -Status -Redact. Dabei wird die GDID in den Protokollen automatisch geschwärzt.

Dieser erste Schritt ist wichtig, denn nur so wissen Sie, ob ein Eingriff überhaupt notwendig ist.

Schritt-für-Schritt: GDID mit deGDID blockieren und entfernen

Wenn der Status-Check eine aktive GDID zeigt, können Sie im nächsten Schritt aktiv werden. Wichtig dabei: deGDID funktioniert ausschließlich auf unverwalteten, privaten Windows-Systemen. Auf domänengebundenen oder unternehmensverwalteten Geräten verweigert das Skript bewusst die Ausführung.

So gehen Sie vor:

1. Backup erstellen: Sichern Sie vor jeder Systemänderung wichtige Daten sowie einen Wiederherstellungspunkt.
2. PowerShell mit Administratorrechten öffnen: Dies ist zwingend erforderlich, da das Skript Firewallregeln sowie die Hosts-Datei anpasst.
3. Schutzmodus starten: Führen Sie .\degdid.ps1 -Protect aus. Dieser Befehl läuft in vier Phasen ab: zunächst wird die Registrierung blockiert, anschließend wird die Blockade verifiziert, danach werden bekannte lokale Zustände entfernt und abschließend erfolgt eine erneute Bestandsaufnahme mit Ergebnisbericht.
4. Technische Wirkweise verstehen: Das Skript nutzt Änderungen an der Hosts-Datei sowie Firewallregeln, um Registrierungspfade zu blockieren, und löscht bekannte Identitätsartefakte. Konkret werden dabei die Kommunikation mit Microsofts DeviceAdd-Endpunkten unterbrochen sowie zwischengespeicherte lokale Token entfernt.
5. Ergebnis kontrollieren: Wiederholen Sie anschließend den Status-Befehl, um zu bestätigen, dass keine neue GDID erzeugt wurde.

Sollten Sie die Änderungen später rückgängig machen wollen, genügt ein einziger Befehl. Der Befehl .\degdid.ps1 -Unblock, ausgeführt aus einer erhöhten PowerShell, entfernt lediglich die von deGDID installierten Netzwerkkontrollen. Windows kann anschließend wieder eine neue GDID beziehen.

Wichtige Einschränkungen und Risiken vor dem Blockieren

Bevor Sie sich für die dauerhafte Blockade entscheiden, sollten Sie einige Nachteile kennen. Zunächst ist wichtig: Das Skript kann keine bereits bei Microsoft gespeicherten historischen Daten löschen. Da die Kennung serverseitig erzeugt wird, kann Windscribe keine bereits mit einem Gerät verknüpften früheren Datensätze entfernen.

Zudem hat die Blockade spürbare Nebenwirkungen auf Microsoft-Dienste. So kann das Blockieren der Kennung Funktionen von Xbox, Outlook sowie dem Microsoft Store beeinträchtigen.

Weitere Punkte, die Sie beachten sollten:

• Auf Unternehmensgeräten oder in Domänenumgebungen funktioniert das Skript ausdrücklich nicht.
• Microsoft besitzt weiterhin alle zuvor ausgestellten Kennungen; das Skript verhindert lediglich künftige Neuvergaben.
• Windscribe bezeichnet das Projekt selbst als Forschungsprojekt, das sich mit neuen Erkenntnissen weiterentwickeln wird.
• Es gibt keine Garantie, dass wirklich jede Instanz der Kennung erfasst wird.

Daher sollten Sie abwägen, ob Ihnen zusätzlicher Datenschutz die möglichen Funktionseinschränkungen wert ist. Wer beispielsweise regelmäßig Xbox Live nutzt, sollte die Konsequenzen vorher genau prüfen.

Zusätzliche Maßnahmen gegen Tracking über das Microsoft-Konto

Neben der GDID sammelt Microsoft weitere Daten, die Sie unabhängig von deGDID einschränken können. Diese Einstellungen ergänzen den Schutz sinnvoll.

Diagnosedaten reduzieren:

1. Öffnen Sie Einstellungen > Datenschutz und Sicherheit > Diagnose & Feedback.
2. Wählen Sie die Option Erforderliche Diagnosedaten, anstatt der optionalen, umfangreicheren Variante.
3. Deaktivieren Sie zusätzlich Verlaufsbezogene Diagnosedaten anzeigen, sofern vorhanden.

Werbe-ID deaktivieren:

1. Navigieren Sie zu Einstellungen > Datenschutz und Sicherheit > Allgemein.
2. Schalten Sie die Option Apps dürfen mir mithilfe meiner Werbe-ID personalisierte Werbung anzeigen aus.

Lokales Konto statt Microsoft-Konto verwenden:

Da die Kontoanmeldung die GDID direkt mit Ihrer Identität verknüpft, reduziert ein lokales Konto die Verknüpfungstiefe erheblich. Zwar entfernt dies die GDID selbst nicht, jedoch trennt es die Kennung von Ihrer persönlichen Microsoft-Identität.

Edge-Synchronisierung einschränken:

Deaktivieren Sie unter Einstellungen > Profile > Synchronisierung einzelne Datentypen wie Verlauf oder Zwischenablage, wenn Sie Edge dennoch nutzen möchten.

Delivery Optimization anpassen:

Unter Einstellungen > Windows Update > Erweiterte Optionen > Übermittlungsoptimierung lässt sich die Peer-to-Peer-Freigabe auf „Geräte in meinem lokalen Netzwerk“ oder vollständig deaktivieren einschränken.

Diese Maßnahmen wirken zwar nicht so tiefgreifend wie deGDID, verringern jedoch zusätzlich die Datenmenge, die Microsoft über Sie sammelt.

GDID nach Windows-Neuinstallation: Was Sie wissen müssen

Viele Nutzer glauben fälschlicherweise, eine Neuinstallation würde Tracking-Kennungen vollständig löschen. Das ist jedoch nur teilweise richtig. Zwar erzeugt Windows nach einer Neuinstallation eine neue GDID, allerdings bleibt die Verbindung zur alten Identität oft bestehen, da Microsoft Hardwaremerkmale zur Wiedererkennung heranziehen kann.

Deshalb empfiehlt es sich, direkt nach einer Neuinstallation den Status per -Status-Befehl zu prüfen und anschließend gegebenenfalls sofort -Protect auszuführen, bevor Sie sich erneut mit einem Microsoft-Konto anmelden. So verhindern Sie von Beginn an eine erneute Verknüpfung.

Betroffene Systeme im Überblick

Da der Titel keine einzelne Plattform benennt, sind grundsätzlich mehrere Microsoft-Ökosysteme relevant. Folgende Systeme sind von der GDID beziehungsweise verwandten Kontoverknüpfungen betroffen:

• Windows 10 und Windows 11 (physische Geräte sowie virtuelle Maschinen)
• Xbox-Konsolen, sofern mit einem Microsoft-Konto verbunden
• Microsoft Store auf allen Windows-Versionen
• Microsoft Edge, insbesondere bei aktivierter Synchronisierung
• Microsoft 365 und Outlook, wenn über dasselbe Konto genutzt

Mobile Betriebssysteme wie Android oder iOS sind von der klassischen GDID hingegen nicht betroffen, da diese Kennung spezifisch an Windows-Installationen gebunden ist. Dennoch sammeln auch dort verknüpfte Microsoft-Apps eigene Gerätedaten, sodass sich eine allgemeine Prüfung der Kontoeinstellungen ebenfalls lohnt.

Häufige Fragen rund um GDID-Tracking und Microsoft-Konto

Hilft ein VPN überhaupt gegen Microsoft-Tracking?

Ein VPN verbirgt Ihre IP-Adresse und Ihren Standort, jedoch nicht die GDID. Deshalb bleibt die Geräteidentifikation trotz VPN bestehen, solange Sie keine zusätzlichen Maßnahmen wie deGDID einsetzen.

Ist deGDID legal und sicher zu verwenden?

Ja, deGDID ist ein Open-Source-Projekt, dessen Quellcode öffentlich einsehbar ist. Dadurch können Sie vor der Nutzung selbst überprüfen, welche Änderungen das Skript konkret vornimmt.

Funktioniert deGDID auch auf Firmen-Laptops?

Nein. Das Skript verweigert die Ausführung ausdrücklich auf domänengebundenen oder unternehmensverwalteten Geräten, um Unternehmensrichtlinien nicht zu verletzen.

Kann Microsoft mich auch nach dem Blockieren noch identifizieren?

Teilweise. Zwar verhindert die Blockade neue Kennungen, jedoch bleiben bereits zuvor bei Microsoft gespeicherte Datensätze bestehen. Ein vollständiges Löschen der Vergangenheit ist technisch nicht möglich.

Welche Nachteile hat das Blockieren der GDID?

Vor allem Xbox-, Outlook- und Store-Funktionen können eingeschränkt oder instabil werden. Zudem bestätigt Windscribe selbst, dass einzelne Randfälle noch unerforscht sind.

Reicht ein lokales Konto anstelle des Microsoft-Kontos aus?

Ein lokales Konto reduziert die Verknüpfung zwischen GDID und persönlicher Identität deutlich, entfernt die Kennung selbst jedoch nicht. Für vollständigen Schutz ist zusätzlich ein Werkzeug wie deGDID sinnvoll.

Erzeugt eine Windows-Neuinstallation automatisch eine neue, unabhängige GDID?

Technisch ja, allerdings kann Microsoft die neue Kennung anhand unveränderter Hardwaremerkmale mit der vorherigen Installation verknüpfen. Deshalb ist eine Neuinstallation allein kein verlässlicher Schutz.

Betrifft die GDID auch virtuelle Maschinen?

Ja, die Kennung wird ebenso virtuellen Maschinen zugewiesen wie physischen Geräten. Somit besteht auch in virtualisierten Umgebungen ein Tracking-Risiko.

Wie erkenne ich, ob mein Gerät aktuell eine aktive GDID besitzt?

Nutzen Sie dafür den Befehl .\degdid.ps1 -Status in einer administrativen PowerShell. Dieser Modus verändert nichts, sondern zeigt lediglich den aktuellen Zustand an.

Fazit

Ein VPN allein reicht nicht aus, um Microsofts GDID-Tracking zu unterbinden, da die Kennung unabhängig von IP-Adresse und Standort besteht. Mit dem kostenlosen Tool deGDID von Windscribe lässt sich die Erstellung neuer Kennungen jedoch gezielt blockieren.

Zusätzlich empfiehlt sich ein lokales Konto sowie reduzierte Diagnosedaten, um die Verknüpfung zwischen Gerät und persönlicher Identität weiter zu verringern.