Fragen zur Ersteinrichtung von Windows 11 auf ASUS Fertig-PC

[Cin-Hoo]

Hallo!

Weil meine neuesten PCs allesamt Generation 2012 sind, möchte ich mir doch endlich mal etwas Aktuelles zulegen. Ausnahmsweise ist meine Wahl auf einen Fertig-PC von ASUS gefallen (vor ein paar Stunden erst bestellt, daher noch nicht vorhanden). Zur bevorstehenden Ersteinrichtung von Windows 11 hätte ich ein paar Fragen an euch:
1. Ich möchte den PC mit einer frischen Windows 11 Clean-Install versehen, aber zuvor die Werksinstallation sichern. Bis einschließlich Windows 8.1 besaß der Systemdatenträger ja eine Recovery-Partition, die man mithilfe des Assistenten zur Erstellung eines Wiederherstellungslaufwerks auf einen USB-Stick kopieren konnte. Seit Windows 10 gibt es meines Wissens nach nur noch die Windows-eigene Wiederherstellungspartition mit Windows RE und der Assistent besitzt die Option "Systemdateien auf das Wiederherstellungslaufwerk sichern". Microsoft schreibt dazu in seinem Support-Artikel, dass dabei alle vom PC-Hersteller vorgenommenen Änderungen übernommen würden. Hat jemand von euch damit schon mal einen PC wiederhergestellt und kann bestätigen, dass man danach die Werksinstallation wieder originalgetreu inklusive aller Software erhält? Oder muss man dafür ein Komplettabbild mit der Image-Software seines Vertrauens erstellen (Gegebenenfalls schon vor dem ersten Windows-Start? Deshalb frage ich.)?
2. Laut Deskmodder.de soll für die Speicher-Integrität (Teil der Kernisolierung in Windows-Sicherheit) das Vorhandensein des CPU-Features Mode Based Execution Control notwendig sein, um diese ohne Leistungsverlust verwenden zu können. In dem neuen PC werkelt ein AMD Ryzen AI 7 350. Empfiehlt es sich bei einer so aktuellen CPU das Sicherheitsfeature in Windows zu aktivieren oder führt die Funktion eher zu Problemen? Ein Bekannter von mir besitzt ein Notebook mit einer Intel Core i7-CPU der 8. Generation, die ja ebenfalls über MBEC-Funktionalität verfügt und vorher mit Windows 10 lief. Nach einem In-Place-Upgrade auf Windows 11 war die Speicher-Integrität trotzdem noch deaktiviert, weshalb ich mir nicht sicher bin, was nun auf aktuellen Systemen wirklich Standard bzw. empfehlenswert ist.
3. Da ich gerne mit Live-Boot-Systemen arbeite, lege ich keinen Wert darauf, dass die Datenträger in meinem PC verschlüsselt sind. Um auf der neuen SSD nun keine unnötigen, langwierigen Schreibvorgänge zu verursachen, hatte ich überlegt, bei der Erstellung meines Windows-Installations-Sticks mithilfe von Rufus die automatische Geräteverschlüsselung von vornherein zu deaktivieren. Nach dem In-Place-Upgrade auf Windows 11 auf dem besagten Notebook gab es in der Einstellungen-App den Menüpunkt "Geräteverschlüsselung" gar nicht mehr, obwohl das TPM 2.0 definitiv aktiviert war und es sich um originale Installationsdateien ohne den Einfluss von Rufus handelte. Deshalb wüsste ich gerne, ob Rufus den Menüpunkt bei der Modifikation ebenfalls komplett entfernen würde oder ob die Geräteverschlüsselung zur späteren manuellen Aktivierung weiterhin zur Verfügung stünde?

Vielen Dank im Voraus!

Gruß von Cin-Hoo

 

[BFF]

Notebook gab es in der Einstellungen-App den Menüpunkt "Geräteverschlüsselung" gar nicht mehr, obwohl das TPM 2.0 definitiv aktivier

Lokales Konto mit einem aktuellem W11 Home 25H2? Wenn ja, da ist nix mit Geraeteverschluesselung. Vorgestern fuer mich heraus gefunden.

 

[Cin-Hoo]

Ja, ist ein lokales Konto.

Aber eben fällt mir ein, dass ich Quatsch geschrieben habe. Das Notebook hatte ich per In-Place-Upgrade auf Windows 11 Version 24H2 gebracht und kurz darauf via Enablement Package auf 25H2 aktualisiert. Dort war und ist trotz lokalem Konto die Geräteverschlüsselung verfügbar (allerdings seit Tag 1 unter Windows 10 manuell deaktiviert, daher verfügbar, aber inaktiv). Bei seinem Desktop-PC hatte ich das AMD fTPM 2.0 kurz vor dem In-Place-Upgrade auf Windows 11 Version 25H2 (ohne Umweg über 24H2) im UEFI-Setup aktiviert. Hier war die Geräteverschlüsselung dann gar nicht verfügbar. Ob das jetzt am Zusammenspiel von Direktumstieg auf 25H2 und lokalem Konto oder an der Tatsache lag, dass Windows 10 das TPM nicht von Anfang an zur Verfügung hatte, weiß ich natürlich nicht. Umso gespannter bin ich darauf, wie sich das Ganze bei meinem neuen PC mit einem lokalen Konto verhalten wird. Unter Windows 10 war das Konto dafür ja egal (habe ich bei mehreren Notebooks erlebt).

Gruß von Cin-Hoo

 

[PC295]

Oder muss man dafür ein Komplettabbild mit der Image-Software seines Vertrauens erstellen

Nimm lieber das. Die Windows-Funktionen Systemabbild / Wiederherstellungslaufwerk werden nicht mehr weiterentwickelt und werden zukünftig durch neue Funktionen ersetzt.

war die Speicher-Integrität trotzdem noch deaktiviert, weshalb ich mir nicht sicher bin, was nun auf aktuellen Systemen wirklich Standard bzw. empfehlenswert ist.

Wenn du die Speicher-Integrität aktivierst wird eine Kompatibilitätsprüfung durchgeführt.
U.U. verhindert inkompatible Treiber die Aktivierung dieser Funktion.

Die Funktion kann zu Leistungsproblemen, Fehlschlagen von Programminstallationen und sogar zu Bluescreens führen.
Man muss letztendlich selbst abwägen und testen, ob man diese Funktion verwenden kann.
Zwingend notwendig ist sie nicht.


Bei der Geräteverschlüsselung ist es so, dass auch bei Umgehung des Online-Kontos bzw. Erstellung eines lokalen Benutzerkontos die SSD vor-verschlüsselt wird.
Im Bereich der Geräteverschlüsselung erscheint dann der Hinweis, dass man sich mit dem MS-Konto anmelden soll, um die Geräteverschlüsselung abzuschließen (zu aktivieren).
Wenn du mit Rufus entspr. Optionen setzt wird die Verschlüsselung nicht vorbereitet.
Dadurch wird offenbar auch das Menü der Geräteverschlüsselung aus den Einstellungen entfernt.

Den Fall hatten wir heute auch hier: https://www.computerbase.de/forum/t...lung-moeglich-win11home.2266891/post-31355841