Meine Grundeinstellung:

• Installation und Download
• ggf. Treiber übernehmen auf neuen PC
• WoL aktivieren (BIOS und Windows Netzwerkkarte)
• Bitlocker aktivieren
• Remote Desktop frei schalten Remote Desktop frei schalten.
• Remote Unterstützung erlauben Remoteunterstützung.
• Explorer Ordneroptionen / Allgemein: Explorer öffnen für "Dieser PC"
• Energiesparoptionen (je nach Gerät und Firmenrichtlinie) ein-/abschalten.
• Windows 10/11: Schnellstart (Hybridmodus) deaktivieren
• Windows 10: ggf. Startkacheln anpassen
• Werbung ausschalten / störende Apps/Bloatware entfernen
• Windows 10/11: OneDrive deinstallieren
• Windows 10: ggf. Windows Store deaktivieren, Apps anpassen
• Windows 10: Cortana deaktivieren
• Windows 10/11: Suche nur lokal
• Server2016: ggf. Defender deinstallieren
• Windows 8/10/11: Telemetrie/Datenschutz/Übermittelte Daten einschränken
• Windows 10: Numlock dauerhaft aktivieren. REGEDIT -> HKU\.Default\Control Panel\Keyboard -> InitialKeyboardIndicators = 2147483650 (Numlock aus= 2147483648)
• Windows: "Computerschutz" aktivieren, ggf. automatische VSS-Kopien einrichten
• Windows 10: ggf. Windows Sicherheit -> Virenschutz -> Ransomware-Schutz: Überwachter Ordnerzugriff = an und konfigurieren
• Windows 10/11 Grundschutz
• Windows 10: ggf. Windows 11 automatische Update-Installation unterbinden
• Windows 11: Oberfläche einrichten
• Windows 10/11: Explorer mit gewohnten Ansicht + Funktionen konf.
• Desktop-Symbole des Installationsbenutzers in ALL-USER verschieben.
• Windows 10: Userprofil des Installationsbenutzers in DEFAULT kopieren. (AppData/Roaming/Firefox/ bereinigen)
• Windows 10/11: Standard-Programme zuweisen (PDF, Web, Mail...)
• Desktop Rechtsklick -> Anpassen -> Farben -> Akzentfarben anklicken + Haken "Titelleisten und Fensterrahmen" setzen

---

• Windows Home siehe Windows Home / Windows S
• Windows 8: Windows 8: Charms Bar deaktivieren

Hybridmodus (inclusive Schnellstart) deaktivieren.
(Meine Empfehlung für alle stationären PCs)
DOS-Box:

powercfg -h off

Win10: Schnellstart deaktivieren: (Energie -> Auswählen, was beim Drücken des Netzschalters geschehen soll)

Win11: powercfg.cpl -> Aktion beim Drücken des Netzschalters konfigurieren

Schnellstart per GPO deaktivieren: Computer/Administrative Vorlagen/System/Herunterfahren -> Verwenden des Schnellstarts erforderlich=deaktivieren

• MS blendet standardmäßig Dateiendungen aus, so dass man nicht wirklich eine PDF von einer EXE unterscheiden kann (spinnen die bei MS?).
  -> Explorer / Optionen / Ansicht / "Erweiterungen bei bekannten Dateitypen ausblenden" abhaken
  
  
• Ordner erstellen für Benutzer im Root-Verzeichnis unterbinden
  -> LW C: Sicherheit / Erweitert / Erweiterte Berechtigungen:
  • (Auth)Benutzer = "Ordner erstellen/Daten anhängen" von "Diesen Ordner, Unterordner" ändern in "Nur Unterordner"
  • Für alle lokalen Laufwerke wiederholen

Datenschutz -> Allgemein:  alles aus schalten

Datenschutz -> Spracherkennung:  aus schalten

Datenschutz -> Freihand- und Eingabeanpassung:  aus schalten

Datenschutz -> Diagnose:  auf "Standard". Weniger geht leider nicht.

Datenschutz -> Diagnose -> Individ. Benutzererfahrungen: aus schalten

Datenschutz -> Diagnose -> Feedbackhäufigkeit: nie

Datenschutz -> App-Berechtigungen:  alles aus schalten
  Einstellung betrifft nur Store-Apps, keine normalen Programme.
  Wenn doch mal eine App Berechtigungen benötigt, fragt sie.

Lokales Benutzerkonto verwenden statt MS Online-Konto

Windows Suche vom WEB fern halten:
  bis 1909: REG-Eintrag -> Download
  ab 2004: Firewall -> Erweiterte Einstellungen -> Ausgehende Regeln -> Regel "Windows Search", Allgemein: Verbindungen blocken.

Übertragung der Telemetriedaten deaktivieren:

MS Edge Browser:
Registry: HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Edge
DWORD (32-bit)-Wert anlegen: "Edge3PSerpTelemetryEnabled", Wert 0 = Telemetrie deaktiviert

Windows 10 Enterprise, Education oder Windows Server:
- Telemetriedaten Stufe "Sicherheit" einstellen
  GPO: Richtlinie Lokaler Computer/Computerconfig./Admin.Vorlagen/Windows Komponenten/Datensammlung und Vorabversionen/Telemetrie zulassen -> Stufe = Sicherheit
ACHTUNG! Diese Einstellung geht nur bei konfiguriertem WSUS oder SCCM, denn sie unterbindet auch MS Update.

Dienst: DiagTrack (Benutzererfahrung und Telemetrie im verbundenen Modus) ->Dienst deaktivieren funktioniert lauf CT und BSI (im Moment) gut und ohne Nebenwirkungen
Win10/11: "Benutzererfahrung und Telemetrie im verbundenen Modus"
Win8: "Diagnostics Tracking Service"

Wollen Sie Windows vollständig an der Datenübermittlung hindern, muß der PC vom Internet getrennt werden.

Windows 11:
-> Bloatynosy

Windows 10:
• Run:

C:\Windows\SysWOW64\OneDriveSetup.exe /uninstall (64 bit) or
C:\Windows\System32\OneDriveSetup.exe /uninstall (32 bit)

• OneDrive-Symbol in Windows 10 aus dem Explorer zu entfernen: Regedit: HKEY_CLASSES_ROOT\CLSID\{018D5C66-4533-4307-9B53-224DE2ED1FE6} System.IsPinnedToNameSpaceTree von 1 auf 0 setzen.

Auf 64-bit Windows zusätzlich Vorgang wiederholen: HKEY_CLASSES_ROOT\WOW6432Node\CLSID\{018D5C66-4533-4307-9B53-224DE2ED1FE6}

• Gruppenrichtlinie: Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, OneDrive Verwendung von OneDrive für die Datenspeicherung verhindern = aktiviert.

Mehr dazu bei Microsoft.