Windows 11 - Update von 22H2 auf 23H2 - trotz "inkompatibler" Hardware

na das wird sich herausstellen, nur werden die nächsten CUs wohl kaum so aufgebaut sein.


Du hast da durchaus Recht, aber es gibt halt auch Menschen und bspw. kleine Betriebe, die sich das bspw. nicht leisten können, sollen die dann auf Sicherheitsupdates verzichten?
Und um es vorweg zu nehmen, es läuft auf meinem Testrechner ohne Probleme, also warum bitte dieses Geschäftsgebaren seitens MS - völliger Quatsch. und im Gegenteil, wenn Rechner nicht auf dem Schrott landen, dann ist das sogar nachhaltig.

Aber bei größeren Firmen mag ich dir durchaus beipflichten, bei Behörden und der Bundeswehr sieht es da aber zum Teil düsterer aus, was Rechner anbelangt, also bitte nicht alles nur aus Sicht eines ITlers sehen, der es nur mit vernünftiger IT zu tun hat.


Ja der Marktanteil ist ein deutlich anderer, das Kundensegment auch, also ist der Vergleich dann eher wie der Vergleich Äpfel und Birnen.

gut zu wissen, vielen Dank für den Hinweis, werde ich bei Gelegenheit mal testen.

Du meinst sicherlich diesen Patch dafür (Upgrade bei bestehendem Win 10/11):
HKEY_LOCAL_MACHINE\SYSTEM\Setup\MoSetup
dort „AllowUpgradesWithUnsupportedTPMOrCPU“ (DWORD) erstellen und den Wert „1“ zuweisen.

Der funktionierte bisher und wurde bei mir auch nicht durch Updates (seit der Erstausgabe) überschrieben.

Die von dir genannten Reg-Einträge wären diese hier:

Bei einer Neuinstallation könntest Du auch Rufus, oder Ventory in den jeweils aktuellen Versionen nutzen.

Danke für dein Feedback Alex.

Na zumindest funktioniert ja wenigstens noch der erstgenannte Weg über eine "Server-Installation" bisher noch sicher und problemlos 😉

Alle die ggf. mit solchen Rechner konfrontiert werden könnten, sollten sich überlegen, sich das Installations-Medium noch zu sichern, denn ich vermute ganz stark, dass MS dieses "Schlupfloch" durch Änderungen an der setup.exe noch schließen wird - was man hat, das hat man.

Bei 24H2, bzw. Win12 dürfte dann vermutlich auch das nicht mehr funktionieren, aber das ist ja erst in schätzungsweise 1 Jahr der Fall, nur es zeigt sehr deutlich die Bestrebungen von Microsoft, denn dabei geht es offensichtlich nur um monetäre Aspekte, nicht um wirklich notwendige Hardware-Voraussetzungen 🤬

Nachhaltigkeit sieht anders aus ...

Gruss Tom

Noch ein kleiner Nachtrag, bzw. eine Anmerkung:

versucht nach der erfolgreichen Installation (nach dem Neustart versteht sich) unbedingt mittels Admin-Konsole (funktioniert nur mit erhöhten Rechten!) folgenden Check:

Falls dort "Integritätsverletzungen" angezeigt werden, solltet ihr diese dann wie folgt beheben:

chkdisk könnte man theoretisch bei SSDs weglassen, der Rest sollte aber in dieser Reihenfolge erfolgen, wobei sfc Dateinen repariert, die von dism nicht repariert werden.
Da MS zur Reparatur dism, anstatt sfc empfiehlt, ist dieser Weg sicherlich zielführender, auch wenn die eigentliche Reparatur (in meinem Fall) oft erst mit sfc erfolgt.

Was genau repariert wurde, bzw. werden sollte (beim Check), ist ggf. im Log-File ersichtlich, welches unter %windir%/Logs/CBS/CBS.log einsehbar ist.

Gruss Tom

MS schreibt dazu: "Vor dem Aktualisieren auf Windows 11 Version 23H2 mithilfe eines Aktivierungspakets müssen Sie Windows 11 Version 22H2 ausführen."
^^Bezogen auf KB5027397, vlt. liegt das Problem im Upgrade-Prozess die 22H2 voraussetzt?
TPM2 und SecureBoot scheint ja kein Problem zu sein, nur der Prozessor wird offiziell nicht unterstützt.
Die Methode mit dem Server-Install hatte bei mir (und auch bei anderen) erst beim 2. Anlauf funktioniert, hast Du es ein 2. Mal versucht (beim ersten Mal funktionierten erst nur die Einstellungen vor der eigentlichen Installation und das setup hatte sich dann Verzögerung aufgehängt)?

Ansonsten soll der Patch mit der AppraiserRes.dll (auf 0 Byte, nicht löschen) wohl auch funktionieren.


Ja, das ist ein gutes Beispiel dafür, dass das ganze nicht wirklich stimmig sein kann und ob man nun zwingend TPM 2.0 und SecureBoot, sowie Kernel-Isolation zwingend benötigt, ist ja letztendlich von der Nutzung abhängig, sowie dem gewünschtem Sicherheitslevel.
Sicherlich ist das in einem größeren Firmennetzwerk anders zu bewerten, wie im privaten Bereich, oder im Bereich anderweitiger Nutzung, nur über solche Methoden viele Nutzer auszusperren zu wollen, wird m.E.n. Windows noch mehr Marktanteile kosten und ich glaube kaum, dass sich das Abo-Modell in diesem Nutzer-Segment durchsetzen wird.
Ich möchte nicht wissen, wie viele Win7-Rechner weltweit mittlerweile Bot-Netzen angehören, demnächst kommen dann wohl noch einige hinzu, die Win10, oder Win11 21H2 installiert haben und dann einfach keine Sicherheitspatches mehr bekommen - ob das sinnvoll ist?

hier mal ein interessanter Beitrag dazu, wo das FBI das Qakbot-Netz lahmgelegt hatte, welches 700.000 Zombi-Rechner umfasste: Qakbot: FBI infiltriert eines der größten Botnetze – und reinigt damit die gehackten Rechner

Gruss Tom

Von dir hätte ich da auch keine andere Antwort erwartet, es war halt auch nur als Hinweis für Leser mit weniger Erfahrung gedacht, die beim ersten Versuch schon aufgeben.


Danke für den Hinweis, mir war das durchaus bekannt, aber wie Du auch betont hast, leidet die Performance extrem dabei, was schon seit Urzeiten ein Problem von Windows ist und sich auch sehr gut in der Ausführungsgeschwindigkeit von identischen Programmen für unterschiedliche Betriebssystem widerspiegelt.
Ein Beispiel: ein kleines Python-Programm von mir ermittelt die Geschwindigkeit von einzelnen Suchalgorithmen (jeweils sortiert und unsortiert je Durchlauf) anhand von einstellbaren Listen (also eine Art Array) mit einzigartigen Zahlen, wertet diese aus und kann die Messergebnisse als CSV-Datei speichern.
Wenn ich dieses Programm und die Messwerte von der Geschwindigkeit her zwischen Windows und einer beliebigen Linux-Distro (unter WSL wohl bemerkt) vergleiche, so ist die Ausführung bei gleichen Parametern um etwa den Faktor 3 schneller wie auf Windows.
Nun muss man dazu natürlich erwähnen, dass Python für jedes Betriebssystem einen eigenen Compiler benötigt, welcher natürlich auch auf Windows ineffektiver programmiert sein könnte,
dem gegenüber steht aber, dass WSL benutzt wird, welches ja auch schon eine Virtualisierung darstellt und während der Ausführung Windows ja auch läuft.
Auch sei dabei angemerkt, dass die beiden genannten Bremsen nicht zum Einsatz gekommen sind, die die Ergebnisse sicherlich auch noch beeinflusst hätten.
Fazit: identischer Prozessor, in WSL-Virtualisierung ist Linux um den Faktor 3 schneller, bei identischen Messungen (10.000 Messungen, bei je 5 Einzelmessungen und 200.000 Werten).

Falls das jemand gerne selbst ausprobieren möchte, würde ich hier ggf. zur Verfügung stellen, dann kann sich jeder selbst ein Bild davon machen und auch die Messergebnisse mit Excel selbst auswerten.



Auch ich kenne solche Unternehmen, aber auch genauso viele, die es mit der Sicherheit nicht so genau nehmen. Sicherheit ist nicht gleich Sicherheit und nicht jedes von Microsoft gepriesene Sicherheitskonzept ist auch zielführend, denn machen wir uns nichts vor, Sicherheit fängt beim Anwender an und viele der erfolgreichen Cyberangriffe basieren auf Sozial-Engineering-Methoden, ein paar auf 0-Day-Exploits und andere auf Fehler die durch IT-Personal verursacht werden (wie bspw. das Datenleck des deutschen Automobil-Vermieters), das lässt sich damit definitiv nicht verhindern, im Maximalfall nur erschweren, aber unter dem Strich lassen sich Cyberangriffe nie zu 100% verhindern, denn die verwendeten Techniken werden immer ausgeklügelter und komplexer.
Was ich damit sagen möchte ist, es gibt nicht nur KRITIS-Unternehmen und Unternehmen mit besonders schutzbedürftigen Daten, sondern auch ganz viele andere Unternehmen und Privatanwender deren Schutzbedarf deutlich niedriger einzuschätzen ist und die sich eben nicht ständig neue Hardware leisten können, denn da spielt immer der Kosten-/Nutzenfaktor eine nicht unerhebliche Rolle bei der Entscheidungsfindung und eine Entscheidung seitens Microsoft dieses mehr an Sicherheit allen Nutzern aufzuerlegen, für die der Mehrwert eher zweifelhaft erscheinen dürfte, halte ich für kontraproduktiv und wenig zielführend.


Ja, da sehe ich auch ein großes Problem was denen langfristig noch schaden wird.


... nenne es doch beim Namen, viele davon dürften in kürzester Zeit ausgehebelt sein und damit zu neuen Problemen führen, wobei ich hierbei noch nicht einmal die teils schlampige Programmierung erwähnen möchte.


Gute Frage zum Schluss 😎👍🏼
Mir fällt da offen gestanden im Moment keine bisher verwendete Angriffstechnik ein, lasse mich aber gerne eines Besseren belehren, solange diese nicht nur rein theoretisches Wissen beinhaltet.

Gruss Tom

Script kiddies kann man damit eine Zeitlang damit fern halten, aber eben nur solange, bis die Baukästen angepasst wurden, was meist nicht lange dauert.
Für staatliche Akteure dürfte das absolut keine Hürde sein, ebenso nicht für Profis, das sehe ich genauso.

Falls Du dich noch an Project Blue pill (Hackerkonferenz BlackHat 2008) erinnerst, danach mussten auch viele Chips wegen dem Rootkit-Risiko umgebaut werden, weil sie einen Fehler enthielten, der bis dahin nicht entdeckt wurde und softwareseitig auch nicht die Installation verhindern konnte.
Zu diesem Zeitpunkt hatte kaum einer von Rootkits gehört, geschweige denn deren Funktionsweise, während dort schon Proof of Concept-Lösungen präsentiert wurden. 😉


Ja es wird definitiv immer schlimmer, wie man ja unschwer anhand meines Beispiels ersehen kann.
Deshalb ja meine Einstellung zu diesem Thema, dass man doch bitte die Sicherheitsmaßnahmen dem Anwender selbst überlassen sollte, anstatt ihn überall bevormunden zu wollen. Die Sicherheitsfeatures kann man ja anbieten, aber nicht verpflichtend, zumindest nicht dort, wo es nicht absolut notwendig ist.



Ist bei mir eh abgeschaltet, da vertraue ich lieber externen Anbietern, die jahrelange Erfahrung bei der Malwareerkennung haben und bin der Meinung, die "Phishing-Protection" des Defenders taugt nichts.
Die meisten Phishing-Mails sind ohne große Probleme schon am Header erkennbar, wobei es etwas schwieriger wird Fälschungen zu erkennen, aber spätestens bei der Analyse von Links (auch verschleierten), dem Vorhandensein von Anhängen und nicht zu vergessen auch eingebetteten Bildern, sollte diese Mail immer erst analysiert werden und das leistet diese Protection nun mal nicht.
in meinen Augen ist das nichts mehr wie Augenwischerei und im Gegenteil, es suggeriert fälschlicherweise einen Schutz gegen diese Form von Angriffen, der aber nicht umfassend genug ist, um auch neue Methoden, URLs etc. umfassend erkennen zu können.

Ganz perfide wird es bei Malware, die mittels KI und basierend auf echten Kommunikationen des Infizierten mit plausiblen Dateinamen sich selbst polymorph an alle Kontakte individuell verschickt - die sind nun wirklich sehr schwer zu identifizieren und dürfte von den meisten Sicherheitslösungen und Anwendern nicht erkannt werden, zumindest nicht, solange der Inhalt des Anhangs nicht entsprechend analysiert wird (bspw. stimmt der Dateiinhalt mit dem Suffix überein und auch ob es Übereinstimmungen des Codes mit bestimmten Merkmalen einer solchen Datei gibt usw., denn die Wahrscheinlichkeit dass ein Virenscanner bei einem polymorphen Virus anspricht, ist meist sehr gering, da er sich ständig selbst neu verschlüsselt und ihn i.d.R. nur ein gekapseltes ausführen und eine Verhaltensanalyse enttarnen könnte, eine Heuristik reicht dafür meist nicht aus).

Gruss Tom