Microsoft hat eine geheime Nummer in Ihren Windows-PC eingebrannt – Ein VPN kann sie nicht verbergen

Das Tool, das einen echten Hacker überführte, ist auf dem Rechner jedes unschuldigen Nutzers identisch vorhanden.

Von Christina Maas

Ein 19-Jähriger hielt sich einen Fächer aus Hundert-Dollar-Scheinen vors Gesicht und postete das Bild auf Snapchat. Tage zuvor hatte er Freunden ein Foto einer estnischen Polizeiwache mit der Bildunterschrift geschickt: „Fühle mich gerade wie Raymond Reddington Staffel 1 Folge 1“ – eine Anspielung auf den TV-Bösewicht, der ins FBI-Hauptquartier geht und sich stellt. Später kam der Spruch, der nicht gut altern sollte: „Die Feds haben keine Ahnung, was sie da gerade vergeigt haben“, schrieb er.

Die Feds wussten Bescheid. Sie wussten es seit mehr als einem Jahr. Und das, was Peter Stokes verriet, war kein Ausrutscher, kein Verräter und kein geknacktes Passwort. Es war sein Laptop mit Windows, der genau das tat, wofür Microsoft ihn gebaut hatte.

Stokes, ein doppelter Staatsbürger der USA und Estlands, der in Tallinn lebte, wurde in Finnland bei dem Versuch, einen Flug zu besteigen, festgenommen und nach Chicago ausgeliefert, wo er sich wegen Verbindungen zur Hackergruppe Scattered Spider verantworten muss.

Die Regierung wirft der Gruppe mehr als 100 Netzwerkeinbrüche seit 2022, mehr als 100 Millionen US-Dollar an Lösegeldzahlungen und eine Reihe von Angriffen auf Unternehmen vor, die wie ein Who-is-Who der Wirtschaft lesen.

Die Staatsanwaltschaft sagt, Stokes habe geholfen, in einen Luxus-Schmuckhändler einzudringen, dessen Daten zu stehlen und etwa 8 Millionen Dollar in Kryptowährung zu erpressen. Das Unternehmen weigerte sich zu zahlen und verlor dennoch mindestens 2 Millionen Dollar bei der Schadensbeseitigung.

Doch das ist nicht der Grund, warum Cybersicherheitsforscher, Datenschutzingenieure und eine ganze Reihe normaler Windows-Nutzer diese Woche auf einen Gerichtsantrag starrten. Der Grund ist eine einzelne Zeichenfolge, die in der FBI-Anklage versteckt ist – eine Nummer, von der die meisten Windows-Besitzer nie gehört haben und die sie auf ihren eigenen Rechnern nicht finden können.

Wir haben für Sie eine Kopie der Anklageschrift hier zum Download bereitgestellt.

Microsoft nennt sie die Global Device Identifier (GDID). Die GDID ist der Grund, warum ein Krimineller, der fast alles richtig gemacht hat, dennoch gefasst wurde – und sie sitzt jetzt auf Ihrem Computer.

Das Eine, das ein VPN nicht verbergen kann

Stokes war nicht nachlässig bei der Anonymisierung. Er leitete seine Aktivitäten über ein VPN (Virtual Private Network), das Standardwerkzeug, um zu verbergen, wo man sich wirklich im Internet aufhält.

Ein VPN tauscht Ihre echte IP-Adresse – die numerische Kennung Ihrer Internetverbindung – gegen die des VPN-Servers aus. Webseiten sehen den Server, nicht Sie. Ihr Internetanbieter sieht verschlüsselten Datenverkehr zum VPN, nicht die Seiten, die Sie besuchen. Richtig eingesetzt, ist es ein echter Schutzschild – derselbe Schutzschild, auf den sich Journalisten beim Schutz von Quellen, Aktivisten unter feindlichen Regierungen und Überlebende von Missbrauch, die sich vor Stalkern verstecken, verlassen.

Das VPN hat seine Arbeit getan. Was es nicht konnte, war die Identität des dahinterstehenden Rechners zu ändern.

Laut Microsoft ist eine Global Device Identifier „eine dauerhafte, gerätebezogene Kennung, die dazu dient, eine Installation eines Windows-Betriebssystems auf einem Gerät – entweder einem physischen Gerät (z.B. einem Mobiltelefon oder Laptop) oder einer virtuellen Maschine – eindeutig zu identifizieren.“

Einfach ausgedrückt: Wenn sich Windows auf Ihrem Computer installiert, versieht es diese Installation mit einer Seriennummer und meldet sich bei Microsoft zurück. Diese Nummer reist mit der Telemetrie mit – dem stetigen Strom von Diagnose- und Aktivitätsdaten, die Windows an die Microsoft-Server sendet. Es ist ihr egal, welche IP-Adresse Sie an dem Tag verwenden. Sie folgt der Installation.

Microsoft teilte dem Gericht mit, dass die Kennung „bei Windows-Betriebssystemupdates auf einem Gerät konsistent bleibt“. Wenn Sie Windows neu installieren, erhalten Sie eine neue GDID, aber die alte verschwindet nicht aus den Microsoft-Aufzeichnungen. Das Unternehmen behält sie, und sie kann weiterhin dem Gerät zugeordnet werden, von dem sie stammt. Sie können sich nicht davon abmelden. Es gibt keinen Schalter in den Einstellungen, um sie auszuschalten. Sie wurden nie gefragt.

Von einer Seriennummer bis zu einem Gesicht

Das bedeutet für Stokes, dargestellt anhand der eigenen Zeitleiste der Regierung: Um in den Juwelier einzudringen, installierten die Hacker ein Tool namens ngrok auf den Servern des Unternehmens.

Ngrok erzeugt einen verschlüsselten Tunnel, der die Netzwerkabwehr durchbricht und einem Außenstehenden den Zugriff auf Maschinen ermöglicht, die eigentlich unerreichbar sein sollten. Die Anklage besagt, dass die Gruppe es nutzte, „um die Netzwerkabwehr von Unternehmen F zu umgehen und dauerhaften unbefugten Zugriff auf das Rechenzentrum von Unternehmen F zu ermöglichen“ und dann Daten durch diesen Tunnel abzuleiten.

Für die Einrichtung von ngrok musste ein Konto erstellt werden. Dieses Konto wurde am 12. Mai 2025 von einer VPN-Proxy-Adresse aus erstellt, die auf .168 endete. Das VPN verbarg den Menschen. Es verbarg nicht die Windows-Installation. Die Microsoft-Aufzeichnungen zeigten, dass in genau derselben Minute, in der das ngrok-Konto erstellt wurde, ein Gerät mit der GDID g:6755467234350028 die ngrok-Anmeldeseite besuchte.

Drei Stunden später durchsuchte dasselbe Gerät von demselben Proxy aus die Website des Juweliers. Die Maschine, die das Angriffswerkzeug eingerichtet hatte, hatte einen Namen, auch wenn sein Besitzer keinen hatte.

Von einer Seriennummer zu einem Gesicht

Eine Gerätekennung ist für Ermittler wertlos, bis sie sie einer Person zuordnen können. Hier hörte die GDID auf, eine technische Kuriosität zu sein, und wurde zum Rückgrat des Falls.

Da die Kennung mit der Telemetrie reist, konnte Microsoft dem FBI etwas übergeben, was ein VPN niemals löschen kann: eine fortlaufende Historie der IP-Adressen, die dieses Gerät über Monate hinweg verwendet hatte. Die Ermittler legten diese Historie neben die Anmeldeaufzeichnungen von Konten, von denen sie bereits glaubten, dass sie Stokes gehörten – sein Snapchat, sein Facebook, zwei Apple-Konten und seine Anmeldung für das Online-Spiel Growtopia.

Am 4. Juni 2024 nutzte das GDID-Gerät eine IP-Adresse in Tallinn. Dieselbe Adresse meldete sich innerhalb weniger Stunden bei Stokes‘ Snapchat und Facebook an. Im November 2024 tauchte das Gerät auf einer New Yorker IP-Adresse auf. Die Reiseunterlagen des Außenministeriums belegen, dass sich Stokes an genau diesen Daten in New York aufhielt, und seine eigenen Snapchat-Fotos zeigen ihn im Four Seasons und im Waldorf Astoria sowie bei einem UFC-Kampf in der Stadt am 16. November.

Das Gerät besuchte später die Website des Empire Hotel in New York, und die Staatsanwaltschaft sagt, dass Teppich und Möbel in einem von Stokes‘ Snapchat-Selfies einem Empire-Hotel-Suite entsprechen. Im Februar 2025 befand sich das Gerät in Thailand. Stokes auch, posierend mit einer „WALDORF ASTORIA BANGKOK“-Wasserflasche.

Die Regierung brauchte ein Gerät, das sich überall, wo es hinkam, selbst ankündigte – und einen jungen Mann, der nicht aufhören konnte, seine eigenen Luxusreisen zu fotografieren. Die GDID war der Faden, der ein durch einen Proxy verschleiertes ngrok-Konto mit einem echten Menschen verband, der weiterhin seinen Standort in den sozialen Medien postete.

Was das Gesetz vorschreibt – und was nicht

Das rechtliche Gerüst dahinter zeigt, wie wenig Reibung zwischen einem Gerät auf Ihrem Schreibtisch und einer Akte in einem unbekannten Büro steht.

Die Anklage gegen Stokes stützt sich auf den Computer Fraud and Abuse Act, das wichtigste US-Gesetz gegen Hacking, das den unbefugten Zugriff auf einen Computer sowie die Verursachung von Schaden oder Erpressung nach dem Eindringen unter Strafe stellt. Dieser Teil ist unumstritten.

Das Hacken eines Juweliers und die Forderung von 8 Millionen Dollar ist in jeder Darstellung ein Verbrechen.

Der aufschlussreiche Teil ist, wie die Ermittler die Beweise sammelten. Microsoft wartete nicht auf eine Anfrage. Laut Anklage verwies das Unternehmen Stokes im Oktober 2024 proaktiv an die US-Behörden – mehr als ein Jahr vor der Anklageerhebung – nannte seinen internen Verdächtigen „spencer“ als „wahrscheinlichen Betreiber von Octo Tempest“ (dem unternehmenseigenen Namen für Scattered Spider) und schätzte seinen „wahrscheinlichen richtigen Namen Peter Stokes“ ein. Microsoft meldete freiwillig einen Namen, eine Stadt und eine Theorie zur Straftat, bevor jemand das Unternehmen überhaupt mit irgendetwas bediente.

Als die Regierung dann rechtliche Schritte einleitete, waren die Werkzeuge routinemäßig. Die Staatsanwaltschaft erwirkte eine „Reverse“-Anordnung nach einer Bestimmung des Stored Communications Act, Abschnitt 2703(d), die sich gegen zwei Tallinner IP-Adressen richtete.

Eine Reverse-Anordnung kehrt die übliche Fragestellung um. Anstatt einen Anbieter zu fragen, was ein bekannter Verdächtiger getan hat, fordert sie den Anbieter auf, alle Konten zu identifizieren, die eine bestimmte Adresse berührt haben, und dann die zugehörigen Adressen herauszugeben. Microsoft kam dem nach und lieferte weitere IP-Adressen, die mit Stokes in Verbindung standen. Durchsuchungsbefehle deckten den Rest ab.

Die Doktrin, die dies reibungslos macht, ist Jahrzehnte alt und wird von den Gerichten selten in Frage gestellt. Nach der Drittanbieter-Doktrin (Third-Party Doctrine) verlieren Informationen, die Sie freiwillig an ein Unternehmen weitergeben, im Allgemeinen den Schutz des Vierten Verfassungszusatzes – nach der Theorie, dass Sie keine berechtigte Erwartung an die Privatsphäre in Daten haben, die Sie bereits geteilt haben.

Der Oberste Gerichtshof durchbrach diese Logik 2018 im Fall Carpenter v. United States und entschied, dass die Polizei einen Durchsuchungsbefehl für die detaillierten Standortverläufe benötigt, die Mobilfunkanbieter speichern. Ob eine dauerhafte Gerätekennung und ihre IP-Historie unter den Carpenter-Schutz fallen oder als normale Geschäftsunterlagen durchgehen, wurde nicht getestet. Ein Angeklagter wie Stokes, der mit überwältigenden Beweisen konfrontiert ist, ist nicht derjenige, der dies testen wird. Das Gesetz ist hier nicht geklärt. Es ist einfach unangefochten.

Die Drittanbieter-Doktrin dreht sich um ein Wort: freiwillig. Die Theorie setzt voraus, dass Sie sich entschieden haben, die Daten zu teilen. Sie haben sich nicht für die GDID entschieden. Sie können sie nicht sehen, nicht löschen und wurden nie um Ihre Zustimmung gebeten. Die rechtliche Rechtfertigung, diese Daten als Freiwild zu behandeln, beruht auf einer Zustimmung, die nie stattgefunden hat.

Verteidiger dieser Regelung führen ein faires Argument an, und es verdient seine stärkste Form. Moderne Betriebssysteme benötigen Diagnosedaten, um Sicherheitslücken zu schließen, Abstürze zu beheben und genau die Malware zu erkennen, die Scattered Spider einsetzt. Eine stabile Gerätekennung hilft Microsoft, eine Maschine von einer anderen zu unterscheiden, wenn es diese Updates ausliefert und diese Bedrohungen jagt. Dieselbe Telemetrie, die Stokes enttarnte, treibt auch die Abwehrmaßnahmen an, die Millionen von Menschen schützen, die nie etwas Böses tun werden. Und Microsoft ist bei weitem nicht allein. Apple, Google und der Rest können die Geräte, auf denen ihre Software läuft, mit ziemlicher Sicherheit ebenfalls fingerabdrücken.

Das alles ist wahr, und es ist alles nebensächlich zu dem Punkt, der Sie beunruhigen sollte.

Microsoft kann einen Hacker identifizieren. Es kann auch jeden anderen identifizieren – still, standardmäßig, ohne Benachrichtigung und ohne Aus-Schalter – und diese Identität an Dritte weitergeben. Eine Fähigkeit, die entwickelt wurde, um die schlimmsten Nutzer zu fassen, existiert identisch auf dem Rechner der besten. Sie prüft nicht Ihre Absichten, bevor sie Ihre Installation kennzeichnet und mit der Protokollierung beginnt. Die Krankenschwester, der Gewerkschaftsorganisator, die Journalistin, die sich mit einem Whistleblower trifft, der Teenager, der eine stigmatisierte Frage erkundet – alle tragen dieselbe unsichtbare Nummer, erzeugen dieselbe nachverfolgbare Historie, die auf denselben Servern liegt und unter denselben routinemäßigen Anordnungen verfügbar ist.

Das Design ist bewusst. Es ist eine dauerhafte Kennung, gebunden an Ihre Hardware, die Ihre Aktivitäten protokolliert, nach dem Löschen der Maschine aufbewahrt wird und einmal in einem Dokument erwähnt wird, das geschrieben wurde, um ignoriert zu werden. Beständigkeit, Unsichtbarkeit und Aufbewahrung sind Funktionen – und jede einzelne davon war es, die die Beweise gegen Stokes möglich machte.

Der rutschige Abhang hier ist keine hypothetische Rhetorik, denn dieselbe Architektur dient bereits der normalen Strafverfolgung durch Reverse-Anordnungen, die alle in der Nähe einer Adresse aufsammeln. Übertragen Sie das von einem Tallinner IP-Block auf einen Protest, eine Klinik, eine Moschee oder einen Redaktionsraum, und das Gerät, das Sie überallhin begleitet, wird zum Zeugen, der Sie dort verortet.

Anonymität ist die Voraussetzung dafür, dass eine Quelle mit einem Journalisten sprechen kann, dass ein Dissident sich organisieren kann, dass ein Mensch über eine Diagnose, einen Glauben oder eine Politik lesen kann, ohne dass irgendwo eine dauerhafte Aufzeichnung entsteht, die er nicht erreichen kann. Dasselbe Werkzeug, das einen Hacker identifiziert, identifiziert auch einen Demonstranten.

Keines davon macht Stokes sympathisch. Es macht ihn lehrreich. Sein Fall ist der seltene Moment, in dem die Maschinerie vor einem offenen Gericht beschrieben wird – konkret, mit Gerätenummern und Zeitstempeln – bevor sie wieder in der Routine proaktiver Verweise und versiegelter Anordnungen verschwindet. Er hat uns das Werkzeug gezeigt, indem er nachlässig genug war, um damit gefasst zu werden.

Was Sie tatsächlich tun können

Die ehrliche Schlussfolgerung ist unbequem. Ein VPN – das Werkzeug, dem die meisten Menschen für Privatsphäre vertrauen – hat nichts dagegen getan. Es schützte den Netzwerkpfad und ließ das Gerät vollständig identifiziert. Jeder, der sich allein auf ein VPN verlässt, um auf Windows anonym zu sein, schützt das falsche Ende der Verbindung.

Die echten Lösungen sind strukturell, und genau diese sollten Sie einfordern. Microsoft könnte die GDID in einfacher Sprache dokumentieren, den Nutzern mitteilen, dass sie existiert, und ihnen eine Möglichkeit geben, sie zu sehen und auszuschalten. Regulierungsbehörden – insbesondere in Europa, wo Stokes lebte und wo der Datenschutz am stärksten ist – könnten hinterfragen, wie eine dauerhafte, nicht einvernehmliche Gerätekennung mit Regeln vereinbar ist, die eine informierte Einwilligung für genau diese Art von Verfolgung verlangen. Gerichte könnten endlich prüfen, ob die IP-Historie eines Geräts den warrant protection verdient, den Carpenter auf Standortdaten von Telefonen ausgedehnt hat. Nichts davon geschieht ohne Druck, und Druck entsteht nicht ohne das Wissen der Menschen, dass die Kennung existiert.

Der einzige Weg, der Gerätekennung eines proprietären Betriebssystems vollständig zu entkommen, besteht darin, ein proprietäres Betriebssystem nicht mehr zu verwenden. Open-Source-Systeme wie Linux, deren Code jeder einsehen kann, verschicken keine versteckte Nummer, die sich bei einem einzigen Unternehmen meldet. Das ist für die meisten Menschen ein großer Schritt, und so zu tun, als wäre es das nicht, wäre unehrlich.

Peter Stokes wird seinen Tag vor Gericht haben, und die Beweise gegen ihn sehen gewaltig aus. Die Nummer, die ihn überführte, wird nicht vor Gericht stehen. Sie wird weiterhin auf einer Milliarde Rechner laufen, deren Besitzer nie zugestimmt haben, sie zu tragen – sie erzeugt dieselbe Historie und wartet auf dieselbe routinemäßige Anordnung. Er dachte, ein VPN mache ihn unsichtbar. Er lag falsch – und jeder andere, der dasselbe annimmt, liegt ebenfalls falsch. Das Ding, das ihn gesehen hat, beobachtet sie alle – und fast niemand kennt seinen Namen.