Strafanzeige wegen heimlichen Windows-Updates

[SIZE="6"]Es gibt Reis, Baby! oder Die "Auto Update-Lüge"-Lüge[/SIZE]

Es gibt schon seltsame Zeitgenossen, die nach Jahren entdecken, wie Windows Update bzw. der Windows Update Agent ("die Windows Update-Software") funktioniert und daraus eine riesen Story zu machen versuchen. Ähm, vielleicht sollte ich zunächst einmal zu erklären versuchen, worum es geht:
Eine englischsprachige Web-Site, die sich praktischerweise "Windows Secrets" nennt, veröffentlichte einen Artikel, in dem behauptet wird, dass sich die Windows Update-Software auch dann aktualisieren würde, wenn Auto Update über den entsprechenden Punkt in der Systemsteuerung deaktiviert wurde.

Das ist faktischer Unsinn. Richtig ist dagegen, dass der Windows Update Agent bei jedem Zugriff auf die Windows/Microsoft Update-Seite mit dem Internet Explorer oder bei jedem "Anspringen" von AutoUpdate als allererstes nach einer neuen Version der eigenen Software sucht. Das ist aber keineswegs neu, wie auch ein Microsoft Technet-Artikel, der seit Jahren unverändert ist, belegt. Auf diese Art und Weise wird beispielsweise der "Windows Update Agent 3.0" auf die momentan aktuelle Version 381 gehievt - siehe auch "Anmerkung" im zugehörigen Artikel hier auf dieser kleine Site. Auto Update sucht aber nicht nach neuen Versionen des Windows Update Agents, wenn für "Automatische Updates" über die Systemsteuerung dezidiert die Option "Deaktiviert" ausgewählt ist. Alle weiteren dortigen Optionen deaktivieren Auto Update nicht, was sie auch nicht vorgeben zu tun. Gleichwohl lässt sich trotz eines so deaktivierten Auto Update die Windows/Microsoft Update-Seite mir dem Internet Explorer ansteuern, wobei auch dort als erstes nach einer neuen Version des Windows Update Agents gesucht wird.

Das alles störte den Autoren des "Windows Secrets"-Artikels aber nicht. Stattdessen versteht er sich auf Marketing und weiß, wie er für seine Site eine Menge Traffic (und damit auch Werbekunden) generieren kann: So erschien am 12. September, einen Tag vor der Veröffentlichung jenes weitgehend faktenbefreiten Artikel auf "Windows Secrets" ein "Teaser" z.B. auf "Microsoft Watch". In diesem Teaser-Artikel auf "Microsoft Watch" wird nicht nur auf den für den Folgetag (13. September) zu erwartenden Artikel auf "Windows Secrets" verwiesen, sondern es werden die (nachweislich falschen) Behauptungen dort wiederholt und sogar noch als eigene "Leistung" darzustellen versucht. Etwas "geschickter" gingen die Herrschaften z.B. auf "ComputerWorld" vor, welche ein "Interview" mit dem Autoren des "Windows Secrets"-Artikels führten - ebenfalls am 12. September, also am Vortag der groß angekündigten Veröffentlichung des eigenen Artikels.

Selbstverständlich können auch deutschsprachige Websites, welche es mit eigener Recherche nicht immer sooo genau nehmen und sich lieber gänzlich auf Vorleistungen anderer verlassen, da nicht mehr zurückstehen. Folgerichtig wurde der faktenfreie Artikel denn auch z.B. von WinFuture veröffentlicht - wie oftmals üblich nach dem "Stille Post"-Prinzip. Es steht zu befürchten, das andere folgen werden.

Das bedauerlichste daran ist, dass die Leserschaft jener Seiten die Aussagen ggf. nur allzu gerne glauben (wollen) oder, falls nicht, verunsichert werden. Das sah wohl auch Microsoft so, so dass sich die Microsoft Update-Software-Entwickler zu einem Posting im Microsoft Update Product Team Blog" genötigt sah. In jenem Posting erklärt Nate Clinton vom Entwickler-Team u.a., wie die Windows Update-Software bzw. deren Mechanismen funktionieren und was es mit dem "Selbstaktualisieren" der Software auf sich hat.
Die wichtigsten Passagen daraus folgen, inklusive einer freien Übersetzung:

One question we have been asked is why do we update the client code for Windows Update automatically if the customer did not opt into automatically installing updates without further notice? The answer is simple: any user who chooses to use Windows Update either expected updates to be installed or to at least be notified that updates were available. Had we failed to update the service automatically, users would not have been able to successfully check for updates and, in turn, users would not have had updates installed automatically or received expected notifications. That result would not only fail to meet customer expectations but even worse, that result would lead users to believe that they were secure even though there was no installation and/or notification of upgrades. To avoid creating such a false impression, the Windows Update client is configured to automatically check for updates anytime a system uses the WU service, independent of the selected settings for handling updates (for example, "check for updates but let me choose whether to download or install them"). This has been the case since we introduced the automatic update feature in Windows XP. In fact, WU has auto-updated itself many times in the past.

Eine Frage, die uns gestellt wurde lautet, warum wir die Client Software für Windows Update automatisch aktualisieren, wenn der Kunde (Anwender) der automatischen Installation der Updates nicht zugestimmt hat? Die Antwort ist einfach: Jeder Anwender, der Windows/Auto Update verwendet, erwartet entweder, dass Updates installiert werden oder er zumindest über neue Updates informiert wird. Würden wir den Update Dienst nicht automatisch aktualisieren, könnten Anwender nicht erfolgreich nach Updates suchen und demzufolge auch keine Updates automatisch installieren können bzw. über neue Updates informiert werden. Dieses Ergebnis würde nicht nur den Erwartungen des Kunden (Anwenders) widersprechen, sondern, schlimmer noch, würde Anwendern glauben machen, dass ihr System sicher wäre - obwohl keine Installation von und/oder Information über Updates erfolgt ist. Um einem solchen falschen Eindruck entgegen zu treten, ist der Windows/Auto Update Client so konfiguriert, dass er automatisch nach neuen Updates sucht, sobald der Windows Update-Dienst verwendet wird - unabhängig von den vorgenommenen Einstellungen in "Automatische Updates" in der Systemsteuerung (z.B. "Benachrichtigen, aber nicht automatisch herunterladen oder installieren"). Dies ist bereits der Fall, seitdem wir Automatische Updates in Windows XP eingeführt haben. Tatsächlich hat sich die Windows Update-Software in der Vergangenheit bereits des Öfteren selbst aktualisiert.

Before closing, I would like to address another misconception that I have seen publically reported. WU does not automatically update itself when Automatic Updates is turned off, this only happens when the customer is using WU to automatically install upgrades or to be notified of updates.

Bevor ich schließe, möchte ich auf ein weiteres Missverständnis in den Veröffentlichungen eingehen. Die Windows/Auto Update-Software aktualisiert sich nicht selbst, wenn "Automatische Updates" über die Systemsteuerung deaktiviert wurde. Dies [die Selbstaktualisierung] passiert ausschließlich dann, wenn der Kunde (Anwender) Windows/Auto Update entwender so konfiguriert hat, dass Updates automatisch geladen und installiert werden oder wenn vor dem Herunterladen Benachrichtigungen über Updates angezeigt werden sollen.

Fazit: Alles bleibt wie es ist, der Windows Update Client wird nicht "heimlich aktualisiert" und Windows schon gleich garnicht "heimlich" mit irgendwelchen obskuren Updates versehen. Und überraschenderweise heißt "deaktiviert" tatsächlich "deaktiviert" und nicht z.B. "Benachrichtigen, aber nicht automatisch herunterladen oder installieren".

Ach ja, ich habe das verfiziert, es verhält sich so, wie es im WU Team-Blog-Artikel nochmals beschrieben steht, obwohl es jeder Windows (XP)-Anwender schon seit Jahren selbst weiß/wissen könnte. Und ja, es geht mir jetzt etwas besser...

Sorry für die Störung,
Freu"Was so mancher Sack Reis im Fernen Osten doch so alles aushalten muss"di

P.S.: Immer noch Zweifel, Masochist und/oder Langeweile?

Okay, dann lade man sich zunächst den Windows Update Agent (WUA) 3.0 in der Version 7.0.6000.374 herunter und speichere diesen in einen Ordner, nennen wir ihn der Einfachheit halber "C:\Downloads". Anschließend führt der Weg über die Systemsteuerung und dort zu "Automatische Updates", wo man vorübergehend auf "Deaktivieren" umstellt.

Jetzt installiert man den WUA 3.0 mit dem Parameter /wuforce (Start -> Ausführen -> "C:\Downloads\WindowsUpdateAgent30-x86.exe" /wuforce) inklusive aller Anführungs- und Leerzeichen. Damit wird die zwischenzeitlich automatisch installierte Version 7.0.6000.381 mit den "alten" Dateien überschrieben. Anschließend öffnet man der Einfachheit halber den Windows Explorer, navigiert in den Windows-Ordner und schaut sich Dateidatum und -größe der "windowsupdate.log" für das Folgende stoisch an, während man die Finger vom Internet Explorer lässt und diesen (für dieses Experiment) ganz sicher nicht auf die Windows Update-Seite steuert.

Man könnte jetzt zwar auch tagelang darauf warten, ob sich der WUA selbstständig trotz deaktiviertem AutoUpdate aktualisiert. Muss man aber nicht.
Ein "wuauclt -detectnow" unter "Ausführen" im Startmenü eingegeben "befiehlt" dem Windows Update Agent, jetzt nach neuen Updates zu suchen. Würde er das tun, fände nicht nur entsprechender ausgehender Datenverkehr statt. Fände er zudem auch noch die bereitstehende Version 7.0.6000.381 für sich selbst, müsste er sie den seltsamen Artikeln zufolge dennoch automatisch herunterladen und installieren. Dies hätte zur Folge, dass sich u.a. das Dateidatum und die -größe der "windowsupdate.log" ändert. Tut sie aber nicht, auch nicht nach dem zehnten Aufruf von "wuauclt -detectnow".

Jetzt macht man die Gegenprobe und besinnt sich der grundsätzlichen Nützlichkeit von Auto Update. Ergo geht es wieder über die Systemsteuerung zu "Automatische Updates", wo man zumindest die Option "Benachrichtigen, aber nicht automatisch herunterladen oder installieren" auswählt und damit Auto Update wieder aktiviert. Schwupps, kaum geschehen, nimmt der WUA Kontakt mit den MS-Updateservern auf, lädt etwas herunter und installiert es auch - ohne dass ein Hinweis angezeigt wird. Im gleichen Atemzug verändern sich nicht nur Dateidatum und -größe der "windowsupdate.log" im Windows-Ordner, sondern auch deren Inhalt. Die Installation des WUA 3.0 mit der Version 7.0.6000.381 wird dort dokumentiert.

Quelle: http://patch-info.de/artikel/2007/09/13/402
__________________