Windows 10 Installation .... und was es alles zu tun gibt!

[Carnifex]

HINWEIS: Bitte "bereinigte Version" ein paar Beiträge weiter unten verwenden. Text bleibt nur aus historischen Gründen hier stehen.
-----------------------------------------------------------------

Ich mach hier mal ne Doku auf, nachdem ich frustiert aufgegeben habe auf einem Core i7 7700 Windows 8.1 sinnvoll zum Laufen zu bringen. (Hinweis: M$ zwingt die Nutzer mit dieser - und neuerer - Hardware zu Windows 10, da keine Updates mehr ausgeliefert werden und bei jedem PC-Neustart ein tolles Popup mit dem Hinweis "Diese Hardware wird von dieser Windowsversion nicht unterstützt!" nervt.

Verwendetes DVD-Image: Windows 10 pro x64 - 1909 (ohne kumulative Updates)

Nach der Grundinstallation habe ich über die Settings alle Daten-Sendeoptionen deaktiviert die ich finden konnte. Danach die Apps deinstalliert, die sich deinstallieren ließen. Anschließend Treiber eingespielt.

So, das war erstmal das was jeder so ohne weiteres hinbekommt. Ein paar Apps lassen sich dann aber doch nicht mehr deinstallieren, dazu braucht man die PowerShell-Console (mit Admin-Rechten).

Fangen wir mal von vorne an.

Code: Alles auswählen

get-appxpackage | select name, packagefullname

Spuckt ne lange Liste aus. Da man davon ausgehen kann, dass fast alle Apps nutzlos sind, hab ich mich für die radikale Methode entschieden.

Code: Alles auswählen

Get-AppxPackage | Remove-AppxPackage

Der Prozess dauert etwas und meldet viele Fehler da einiges von Windows aus nicht deinstalliert werden darf.
Achtung! Auch der Store wird deinstalliert! Falls den jemand braucht...
Und noch ein Hinweis. Es werden nur die Apps des aktuell angemeldeten Benutzers deinstalliert.
*Update*
Wer den nVidia-Treiber schon installiert hat, es wird auch die nVidia Systemsteuerung deinstalliert! Das ist unter Win10 eine "APP". Man kann das aber mit folgendem Befehl wieder reaktivieren:

Code: Alles auswählen

add-appxpackage -register "C:\Program Files\WindowsApps\NVIDIACorp.NVIDIAControlPanel_8.1.956.0_x64__56jybvy8sckqj\appxmanifest.xml" -DisableDevelopmentMode

Achtung! Der Pfad kann abweichen! Bitte erst selbst nachschauen wo das bei euch liegt!

Als nächstes wollte ich die Gruppenrichtlinien anpassen und musste feststellen dass gpedit.msc nicht installiert ist. Etwas verwundert hab ich dann festgestellt dass Windows nur die Home-Edition ist. Also erstmal ins Internet gegangen und aktiviert. Dann Schlüssel nochmal eingegeben und nach 2 Neustarts war es dann die pro-Version und gpedit endlich vorhanden! (wie bescheuert ist das denn!?)

Da man während der Installation von Windows nur den Benutzernamen vergeben kann, aber keinen Computernamen (zumindest wenn kein Netzwerk verfügbar ist) musste ich Computername und Arbeitsgruppe nachpflegen damit mein WSUS den PC richtig zuordnen kann. Windows vergibt einen zufälligen Computernamen nach dem Schema "Desktop-xyzabc".

Nächster Schritt ist speziell für mich, da ich ein WSUS am laufen hab. Gruppenrichtlinien für Windows-Update:
- Vorabversionen deaktivieren
- Automatische Updates konfigurieren (vor dem DL und der Inst. benachrichtigen!) => ohne Nachfragen einfach loslegen geht garnicht!
- Interner Pfad für Updates (mein WSUS)
- Keine Verbindung mit M$-Servern!
- Treiber (über Windows-Update) ausschließen
- Kein automatischer Neustart solange Benutzer angemeldet ist
- Signierte Updates aus dem Intranet zulassen
- Update-Energieverwaltung deaktivieren
- Clienseitige Zielzuordnung (optional)
- Updatebenachrichtigungen an Nicht-Admins (optional)
- Updates aussetzen deaktivieren (optional)
Mit gpupdate /force aktivieren und danach Windows-Update aufrufen.

Nächster Schritt: Windows-Features. Erstmal alles bis auf XPS/PDF-Druck weg. .Net ist bei mir deaktiviert, wollte ich aktivieren, bekomme aber Fehler. Problem ist von Win8.1 bekannt.

Soweit fürs erste. Im nächsten Schritt befasse ich mich mit der Installation von .Net (das ist ein ganz eigenes Kapitel seit Windows 8...) und der Säuberungsaktion für die Telemetriedaten (Dienste und Aufgaben).
Ich hab noch einiges vor mir...

[Carnifex]

Heute mal wieder etwas Zeit mit Win10 verbracht. Also .Net-Feature aktivieren scheint doch zu gehen, bei mir haben die WSUS-Gruppenrichtlinien blockiert (um genau zu sein: der Intranet-Pfad und die Richtlinie zum Block von MS-Update im Internet muss deaktiviert werden).

Kommen wir zur Telemetrie. Hier habe ich es mir einfach gemacht, da gibt es schon 2 gute Tools.

Für die "Enterprise Editions" von Win10 (ab pro) gibt es noch zusätzliche Gruppenrichtlinien. Für die Telemetrie gibt es einen Generalschalter. Das findet sich unter Computer Konfiguration > Administrative Vorlagen > Windows-Komponenten > Datensammlung und Vorabversionen. Hier einfach Telemetrie zulassen deaktivieren.

Jetzt aber zu den Tools.

https://github.com/10se1ucgo/DisableWinTracking
Das ist ein kleines Windows-Tool, das Dienste und Aufgaben deaktiviert (oder deinstalliert - hiermit wäre ich aber vorsichtig).

Einfach nach eigenen Vorlieben einstellen.

https://github.com/Disassembler0/Win10- ... tup-Script
Das ist ein sehr umfangreiches Windows-Script, das noch viel mehr macht als die Telemetriedaten anzufassen. Alles aufzuzählen ist mir zu viel Arbeit, ich würde empfehlen erstmal in den presets alles zu deaktivieren und nur die Funktionen dann wieder zu aktivieren, von denen man genau weiss, was sie bedeuten. Das ist etwas für sehr erfahrene Benutzer, das schreibt auch der Entwickler in seinen FAQ.

• Q: Can I run the script safely?
• A: Definitely not. You have to understand what the functions do and what will be the implications for you if you run them. Some functions lower security, hide controls or uninstall applications.
  ===> If you're not sure what the script does, do not attempt to run it! <===

Damit wäre ich mit der Telemetrie durch.


Dann noch einen Hinweis zum Windows-Benutzer bzw. zum Login-Verhalten, das mich etwas verwirrt hat nachdem ich das Admin-Konto aktiviert habe.
Wenn man mit einem normalen Benutzer angemeldet ist und von diesem aus den PC herunterfährt, wird dieser nach dem Neustart automatisch wieder angemeldet und das Konto gesperrt - damit wird der Sperrbildschirm angezeigt. Wenn man nun einen anderen Benutzer wählt - z.B. admin - und die Kiste runterfahren möchte, bekommt man die Meldung dass noch ein Benutzer angemeldet ist.

Dieses Verhalten ist nicht nur verwirrend, sondern auch eine sicherheitsrelevante Schwachstelle. Es gibt aber einen Schalter in den Einstellungen. Unter Einstellungen > Konten > Anmeldeoptionen ganz runterscrollen und Meine Anmeldeinformationen verwenden ... deaktivieren.
Für den Admin ist das nicht nötig, hier ist dieses Verhalten standardmäßig deaktiviert.

[Zar]

Top Infos falls ich mich tatsächlich mal durchringen sollte, Win10 zu installieren!

[Carnifex]

Ich werde das alles nochmal bei einer zweiten Installation in sinnvoller Reihenfolge durchziehen. Der hier hergerichtete PC ist ja nicht meiner.
Wenn Win10 problemlos läuft, mach ich auf meiner Kiste vielleicht auch ein Upgrade. Win8.1 nervt ja genau so.
Hilfe gibts da aber viel weniger weil das kaum einer nutzt.

[Carnifex]

Nächster Win10 PC (für die eigene Familie) steht auf meinem Tisch.
Neues Spiel, neues Glück. Diesmal mit der aktuellen Win-Version (2004) und dem richtigen Systemimage! (Windows 10 Business-Editions)
Da wird dann auch gleich die pro installiert und kein Umweg über die Home genommen.

Hat schon Vorteile wenn man MSDN-Zugang hat.

[Carnifex]

So hier mal eine bereinigte Installation mit ein paar Zusatzinfos.
Ich empfehle die hier aufgezählten Schritte soweit möglich OHNE Netzwerk/Internet-Zugriff zu machen - zumindest bis man Windows das "nach-hause-telefonieren" (abseits von Windows-Update) abgewöhnt hat (Nr.6).

Wer die beiden obigen Posts liest, dem wird vielleicht nicht entgangen sein dass das Get-AppxPackage | Remove-AppxPackage fehlt. Das liegt daran dass das Init-Skript schon fast alles entfernen kann - sauberer und ohne Fehlermeldungen. Daher habe ich diesen Schritt nicht mehr gemacht. Es würde zwar noch mehr entfernt, nötig ist es aber nicht. Wer es trotzdem machen will, oben stehen die Infos dazu.

1. Installation von Windows - ich benutze dafür einen USB 3.0 Bootstick, das geht sehr flott.
2. Erstbenutzer-Einrichtung: da muss man sich durch diverse Abfragen klicken, ich empfehle alles abzulehnen oder die einfache Variante zu wählen - außer man benötigt eines der angebotenen Features.
3. Administratorkonto aktivieren und von dort aus weiter machen.
4. Treiber installieren - die muss man sich dafür natürlich erst besorgen. Wer ohne WSUS arbeitet, bekommt das dann später auch über Windows-Update. Hier aber aufpassen was man im folgenden Init-Skript deaktiviert oder deinstalliert, das könnte auf das Update-Verhalten Einfluss haben.
5. Windows10-Initial-Script ausführen (angepasst für 2004) - Hinweis: Funktioniert nur vollständig wenn der Benutzer in der Gruppe "Administratoren" ist. Ja, der Erstbenutzer ist da drin, da das Skript aber viel benutzerbezogenes macht, sollte/muss man es dann für jeden einzelnen Benutzer auf dem Rechner ausführen. Ist relevant wenn man mit 2 oder mehr Systemkonten arbeitet.
   Achtung: Neustart des PCs ohne weitere Rückfragen (nur ein "Press any key...")
6. Disable Win Tracking ausführen. Hier empfiehlt sich das nach dem Skript zu machen da sich die Funktionen überschneiden und das Initial-Skript sonst Fehler ausspuckt (muss man wissen wenn man z.B. zu einem späteren Zeitpunkt einen neuen Benutzer anlegt).
   Das Programm macht meines Wissens nichts Benutzerbezogenes.
7. Unter Einstellungen / Apps / Apps & Features / Optionale Features überprüfen ob noch etwas nicht deinstalliert wurde.
   An gleicher Stelle die Windows-Features - überprüfen was noch da ist was weg kann ggfs. ob was benötigt wird was nicht standardmäßig installiert ist.
8. Netzwerk konfigurieren (individuell)
9. Zwischenschritt "Windows aktivieren" - Windows sperrt viele Einstellungen solange das System nicht aktiviert wurde. Also PC ans Internet hängen und in den Einstellungen "Windows aktivieren" ansteuern. (hat irgendwie nur mit der Problembehandlung geklappt )
   Danach Netzwerk wieder abziehen (Windows startet sonst den ersten Update-Zyklus mit den MS-Servern).
10. Gruppenrichtlinien für Updates anpassen (wegen WSUS, siehe oben)
11. Gruppenrichtlinien:
    - "Telemetrie zulassen" deaktivieren - nach meinem Wissensstand hat diese Einstellung nur in der "Enterprise"-Edition Auswirkungen. Ich habs trotzdem dekativiert da die beiden Tools das wohl nicht anfassen.
    - "Onlinetipps zulassen" deaktivieren
    - Cloudsuche, Cortana, Websuche deaktivieren
    - "keine Webergebnisse anzeigen" aktivieren
    - Windows-Tipps und Microsoft-Anwenderfeatures deaktivieren
12. Diesen Punkt habe ich in das Skript eingebaut, siehe nächster Post.
    Registry: (MS hat die Gruppenrichtlinie hierfür leider entfernt)
    HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Explorer
    DWORD-Wert (32-Bit) DisableSearchBoxSuggestions Wert 1
    (das ist die Schnellsuche, natürlich verknüpft mit Bing - wers braucht...)
    Beachten, das ist ein Schlüssel nur für den aktuell angemeldeten Benutzer.
13. Aufgabenplanung:
    - Die beiden Maps-Tasks deaktivieren (sofern nicht verwendet)
    - SpeechModelDownloadTask deaktivieren (sofern nicht verwendet)
    - XblGameSaveTask deaktivieren
    - OneDrive update deaktivieren
14. Dienste:
    - Die beiden XBox-Dienste deaktivieren
15. Windows-Update
16. Programme installieren

Falls noch was dazu kommt, ergänze ich es hier.

Außen vor lasse ich mal die ganze Personalisierung (Desktop, Sperrbildschirm, Energieeinstellungen, Standardapps etc.).

[Carnifex]

Ich hab das Init-Skript erweitert, da es im Prinzip ja auch nur Registry-Keys setzt.

Folgende Änderungen:

In der Datei Default.presets in der Rubrik ### UI Tweaks ### irgendwo diese Zeile einfügen

Code: Alles auswählen

# DisableSearchBoxSuggestions   # EnableSearchBoxSuggestions

# ist ein Kommentarzeichen, also am Anfang der Zeile muss dann der Funktionsname ohne dieses Zeichen stehen wenn man die Funktion nutzen will.

In der Datei Win10.psm1 vor der Zeile #endregion UI Tweaks folgende beiden Funktionen einfügen

Code: Alles auswählen

# Disable Quicksearch Suggestions in Windows-Searchbox
Function DisableSearchBoxSuggestions {
	Write-Output "Disabling SearchBoxSuggestions..."
	If (!(Test-Path "HKCU:\Software\Policies\Microsoft\Windows\Explorer")) {
		New-Item -Path "HKCU:\Software\Policies\Microsoft\Windows\Explorer" | Out-Null
	}
	Set-ItemProperty -Path "HKCU:\SOFTWARE\Policies\Microsoft\Windows\Explorer" -Name "DisableSearchBoxSuggestions" -Type DWord -Value 1
}

# Enable Quicksearch Suggestions in Windows-Searchbox
Function EnableSearchBoxSuggestions {
	Write-Output "Enabling SearchBoxSuggestions..."
	Remove-ItemProperty -Path "HKCU:\SOFTWARE\Policies\Microsoft\Windows\Explorer" -Name "DisableSearchBoxSuggestions" -ErrorAction SilentlyContinue
}

Funktion ist getestet.

[Carnifex]

Noch eine weitere Änderung im Skript von mir...

Code: Alles auswählen

# Disable display and sleep mode timeouts
Function DisableSleepTimeout {
	#[... added 2 lines ...]
	powercfg /X disk-timeout-ac 0
	powercfg /X disk-timeout-dc 0
}

[Carnifex]

Gestern 2 der 4 PCs mit Win10 zuhause sind jetzt auf 20H2, da der Support von 1909 (consumer editions) im Mai ausgelaufen ist. Ich habe mich gegen eine Neuinstallation entschieden, da ich von der Firma den Prozess schon kenne und er eigentlich problemlos ist - sofern man nicht zu große Versionssprünge macht, was bei mir ja zutrifft (einmal nur die nächste, und 3mal die übernächste Version).

PC1: 2004 => 20H2 (nur "enablement package") - installation hat 5 min gedauert, danach einmal neustart
PC2: 1909 => 20H2 (feature upgrade 20H2) - installation auf NVMe ca. 30 min, neustart dauert länger, weil die updates erst "ausgerollt" werden müssen, PC hat bestimmt 5 mal neu gestartet (selbständig)

Was hat sich geändert? Eigentlich nicht viel, denn ich hab das Skript von weiter oben verwendet, das deaktiviert und löscht ziemlich viel. Muss man natürlich wieder verwenden, da man sonst mit dem ganzen M$-Müll wieder beglückt wird.
Optische Änderungen konnte ich nur beim Startmenü feststellen - da bin ich aber leidenschaftslos. Ist weder besser noch schlechter als vorher. Alles andere dürften dann kleinere Details sein, die man auf den ersten Blick gar nicht sieht.

Hinweise:

DisableWinTracking ist seit Anfang 2020 "discontinued". Das Projekt wurde zwar von jemand anderem übernommen, Änderungen gab es bisher aber nur eine (bei den DNS-Einträgen).

Win10InitialSetupSkript ist leider auch "discontinued", zum Glück ist die letzte unterstützte Version 20H2, ich konnte es also nochmal verwenden.

[Carnifex]

PC3: Update scheitert aus bisher unbekanntem Grund. Ist eine AMD-Kiste (AMD B550, also recht neue HW), laut Internetforen gibt es mit AMD-Hardware beim Feature Update öfter mal Probleme.
Falls ich rausfinde was da blockiert, schreib ichs hier her.

[Carnifex]

PC3 hat jetzt 21H1 drauf weil sich 20H2 nicht über den Updateprozess installieren ließ.

[Carnifex]

Interessant dass ich bei jeder Neuinstallation immer hier in meine Doku spicke. Ich habe zwar inzwischen auf allen Kisten 21H1 drauf, aber zu 20H2 ist der Unterschied nur klein.
Gestern meinen PC platt und saubere Neuinstallation gemacht (neue, größere und schnellere Platte angeschafft). Windoof hat 40 GB Plattenplatz für den Windows-Ordner belegt, ka was sich da so aufgebläht hat. Jetzt nach der Neuinstallation sinds nur 14 GB.

Inzwischen weiss ich auch welche Ordner ich für einen schnellen Übertrag sichern muss damit alle Programme ihre Einstellungen behalten.

Was allerdings nicht mehr geht sind Änderungen an der hosts-Datei, da pfeift der Windows-Defender gleich aus dem letzten Loch und kassiert das ein. Klar will M$ nicht dass man denen die Werbe- und Trackingdomains abdreht.
Und ich wette mit kommenden Versionen lässt sich auch die ganze Bloatware nicht mehr deinstallieren...

[Carnifex]

Neue Windows-Version - neue lästige Features.

Weil es aber nur ein "Enablement-Package" ist und ich sowieso grad einen PC komplett neu installieren muss, habe ich mir mal die Mühe gemacht einige Dinge aus der obigen Liste ins Skript zu integrieren (Tasks deaktivieren, irgendwelche Icons ausblenden etc.).
Damit fallen einige nachträgliche Schritte weg.

Wie immer: Falls jemand Interesse an dem angepassten Skript hat, einfach melden ... oder besser ich mach ein ZIP-File draus und stell es bei den DLs rein!

[Carnifex]

Das angepasste Initial-Script hab ich mal bei den Shango-Downloads hochgeladen.