Not ready for prime time
Als IT-Berater für zwei berufliche Schulen sind neue Softwareversionen immer besonders spannend für mich. Mein Ziel ist es, dass unsere Schülerinnen und Schüler bereits mit den Softwareversionen lernen, die in der Wirtschaft gerade erst eingeführt werden, wenn sie die Schulen in ein paar Jahren verlassen. Dementsprechend versuche ich, neue Softwareversionen so frühzeitig wie möglich einzuführen — natürlich auch Windows 11. Nach der Veröffentlichung im Oktober 2021 startete ich mit meinem üblichen Evaluations- und Rolloutprozess:
- Gründliches Studium der verfügbaren Dokumentation, Systemvoraussetzungen, Listen bekannter Fehler und im Internet auffindbarer Erfahrungsberichte.
- Überprüfen des bisherigen Deploymentverfahrens, gegebenenfalls Anpassung.
- Notwendige Anpassungen der neuen Software erstellen, hier des Windows-Images.
- Installation auf einem Testgerät in der IT.
- Notwendige Änderungen an Serverdiensten und anderer Software ermitteln und umsetzen (z. B. Gruppenrichtlinien).
- Installation auf einem von mir selbst genutzten Produktivgerät für einen Test unter Praxisbedingungen.
- Installation auf Pilotgeräten, die von beliebigen Benutzern getestet werden können.
- Schrittweiser Rollout auf alle Produktivgeräte.
Wie die Überschrift dieses Artikels schon vermuten lässt, bin ich bei Windows 11 in der ersten veröffentlichten Version 21H2 nicht bis zum achten Schritt gekommen. Es zeigten sich eine ganze Reihe von Unsicherheiten und „Showstoppern“, über die ich im Folgenden berichten werde.
Systemanforderungen
Das sicherlich bekannteste Problem an Windows 11 sind die absurd hohen offiziellen Systemanforderungen, insbesondere die Pflicht zu einem TPM 2.0 und relativ neuen CPUs. Unsere Schulen haben derzeit 122 stationäre Windows-Clients in Betrieb, von denen ganze vier offiziell von Windows 11 unterstützt werden.
Damit könnte unser Rolloutprozess schon im ersten Schritt wieder beendet sein, wenn es nicht ebenso bekannt wäre, dass die Systemanforderungen zwar auf dem Papier stehen und vom Windows-11-Installationsprogramm überprüft werden, aber im Betriebssystem selbst gar nicht bestehen. Die Prüfung während der Installation kann leicht umgangen werden, beispielsweise, indem man das Installationsprogramm von Windows 10 21H1 mit einem Windows-11-Image verwendet. Anschließend läuft meiner Erfahrung nach die Version 21H2 von Windows 11 auf nahezu jeder Hardware, die bereits mit Windows 10 Version 21H1 funktioniert hat.
Das Problem wäre damit rein technisch erst einmal gelöst, es bleibt aber ein starker Nachgeschmack der Unsicherheit, zumindest so lange nicht bekannt ist, welchen Hintergrund die offiziellen Systemanforderungen von Windows 11 haben. Wollte es sich Microsoft diesmal einfacher machen, indem einfach eine große Menge alter Hardware als nicht unterstützt deklariert wird? Damit könnten wird leben. Denkbar ist aber auch, dass Microsoft z. B. bereits jetzt weiß, dass das nächste Feature-Update von Windows 11 Änderungen mit sich bringen wird, so dass das OS tatsächlich nicht mehr auf alter Hardware laufen wird. In diesem Fall würde es sich nicht lohnen, auf Windows 11 umzustellen. Diese Unsicherheit macht eine Entscheidung sehr schwer. Klarheit könnte nur Microsoft selbst bringen.
Deployment mit Windows Server
Zur Installation eines Windows-Clients in einer lokalen Windows-Domäne bringt der Windows Server standardmäßig ein hervorragendes Werkzeug mit: die Windows-Bereitstellungsdiente (Windows Deployment Services, WDS). Sie erlauben es, den Client vom Netzwerk zu booten und Windows automatisiert zu installieren, einschließlich der Verwaltung verschiedener Boot- und Installationsimages und Treibersets. Doch auch hier macht uns Windows 11 einen seltsamen Strich durch die Rechnung: das neue Bootimage enthält eine Überprüfung, ob es per WDS gestartet wurde und bleibt in diesem Fall mit einer Fehlermeldung stehen. Eine echte Begründung hierfür gibt es von Microsoft nicht, nur die Aussage, es gäbe den Endpoint Configuration Manager oder das Microsoft Deployment Toolkit als Alternativen (die jedoch Zusatzkosten oder Zusatzaufwand verursachen).
Tatsächlich ist die Situation ähnlich wie bei den Systemvoraussetzungen: eine technische Ursache für die Einschränkung scheint es nicht zu geben. Das Problem kann sogar auf dem gleichen Weg umgangen werden, indem man Windows 11 mit dem Bootimage von Windows 10 (21H1 oder 21H2) installiert.
Dieses Problem ist somit kein echter Showstopper: es kann zunächst trivial mit der Bootimage-Lösung umgangen werden. Sollte diese in Zukunft einmal nicht mehr funktionieren, ist noch der Wechsel auf das MDT möglich. Man bleibt jedoch ziemlich ratlos zurück: Warum baut Microsoft absichtlich, aktiv und ohne erkennbaren Grund eine Inkompatibilität mit dem eigenen Server-OS ein?
Microsoft Teams
Eine der Neuerungen von Windows 11 sollte sein, dass eine Clientsoftware für Teams standardmäßig mitgeliefert wird. Das wäre in der Tat ganz nett, würde es doch eine Softwareinstallation einsparen — und noch dazu von dem, vornehm ausgedrückt, etwas ungewöhnlichen Teams-Paket.
Jedoch stimmt das gleich in zweierlei Hinsicht nicht. Einerseits wird die Teams-App gar nicht wirklich mitgeliefert, sondern von Windows 11 nachträglich automatisch aus dem Internet heruntergeladen und installiert. Andrerseits bekommt man gar keinen vollwertigen Teams-Client, sondern einen eingeschränkten, der ausschließlich mit Consumer-Microsoft-Accounts funktioniert. Ja, auch bei Windows 11 Pro oder Windows 11 Pro Education.
Will man Teams in der Enterprise- oder Education-Variante verwenden, muss man wie gehabt den bisherigen Teams-Client installieren und hat dann zwei Einträge „Microsoft Teams“ im Startmenü, die sich nur im Icon leicht unterscheiden.
Es gibt eine neue Gruppenrichtlinie in Windows 11, um das „Chat-Icon“ für das Consumer-Teams aus der Taskleiste auszublenden. Diese verhindert jedoch nicht den Startmenü-Eintrag.
Was man sich hierbei gedacht hat, bleibt rätselhaft. Vielleicht erhält die Teams-App in Windows 11 irgendwann noch ein Update, mit dem sie auch als Enterprise-/Education-Client funktioniert?
Ergänzung 12.02.2022: der Benutzer InvisibleGenesis aus dem Thread Windows 11 — Remove Teams forever auf reddit hat vom Microsoft-Support einen undokumentierten Registry-Eintrag erhalten: ConfigureChatAutoInstall = DWORD 0 unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Communications. Damit soll sich das automatische Herunterladen und Installieren des Consumer-Teams verhindern lassen. Nach meinem ersten Test funktioniert dies, wenn es zusammen mit der Chat-Icon-Gruppenrichtline verwendet wird.
Inbox-Apps
Eine Aufgabe, die man von den Windows-10-Feature-Updates kennt, ist das Entfernen überflüssiger bzw. unerwünschter Inbox-Apps (Cortana, Wetter, Nachrichten, Xbox usw.) aus dem Installationsimage mittels DISM. Daran hat sich mit Windows 11 erst mal nichts geändert und ich war höchst erfreut zu sehen, dass auch die neue „Widget“-Funktion eine entfernbare App namens MicrosoftWindows.Client.WebExperience_321.14700.0.9_neutral_~_cw5n1h2txyewy ist. Nach dem Installieren des verschlankten Images hatte ich jedoch unmittelbar einen Déjà-vu-Effekt: Diverse andere Apps, funktionierten plötzlich nicht mehr, darunter der Store und der Editor. Ein ähnliches Problem gab es schon einmal bei Windows 10, die Ursache lag in den Abhängigkeiten der Apps. Hier ist es genauso, nach einiger Suche war die Schuldige gefunden. Es ist Cortana, die App mit dem eingängigen Paketnamen Microsoft.549981C3F5F10_2.2106.2807.0_neutral_~_8wekyb3d8bbwe darf nicht entfernt werden. Bei Windows 10 war dies noch problemlos möglich. Schade, aber kein Weltuntergang, da man Cortana auch per Gruppenrichtlinien stilllegen kann.
Ein weiteres Problem mit den Inbox-Apps habe ich nur gesehen, weil unsere stationären PCs keinen Zugang zum Store per Internet haben: einige Apps, darunter Uhr, Karten und Sprachrekorder sind zwar im Windows-Image enthalten, funktionieren aber nicht „out of the box“. Wenn man sie startet, erhält man nur eine Benachrichtigung, dass die App aktualisiert werden müsse. Hat man den Store blockiert, was in Schulen häufig der Fall ist, hat man ein Problem. Eine mögliche Lösung ist, die aktuellen Versionen der Apps im Microsoft Store für Bildungseinrichtungen zum Offline-Deployment herunterzuladen und per DISM zu installieren. Dies ist sehr lästig, aber mit allen genannten Apps außer Power Automate möglich. Letzteres ist leider im Store für Bildungseinrichtungen nicht für das Offline-Deployment verfügbar.
Unter dem Strich sind die Inbox-App-Probleme also lösbar, bis auf Power Automate bei Clients ohne Store-Zugang (das man aber eventuell gar nicht benötigt und entfernen kann). Der Eindruck, den Microsoft hier bei mir hinterlässt, ist aber der eines unfertigen Produkts.
Ergänzung 08.07.2022: durch Zufall bin ich darauf gestoßen, dass man im Microsoft Volume Licensing Service Center (sofern man Zugriff darauf hat) eine ISO-Datei mit dem Namen “Windows 11 Inbox Apps” herunterladen kann. Ohne weitere Erläuterungen enthält diese eine große Menge an Installationspaketen Store-Apps, darunter auch Power Automate. Vermutlich kann man diese per DISM integrieren. Die Pakete haben jedoch alle einen Stand von September 2021.
Microsoft Store
Neben den stationären PCs in einer lokalen Windows-Server-Domäne, von den bisher die Rede war, haben wir auch mobile Windows-Clients in Betrieb. Diese sind reine „cloud clients“, also Azure AD domain joined. Hier verwenden wir den Microsoft Store für Bildungseinrichtungen (kurz: Educationstore), um den Benutzer eine kuratierte Liste von Apps zur Selbstinstallation zur Verfügung zu stellen. Wie vermutlich viele andere Schulen sehen wir mit Unbehagen dem 1. Quartal 2023 entgegen, in dem der Educationstore abgeschaltet werden soll, ohne dass bisher eine (kostenfreie) Alternative bekannt ist.
Bis dahin ist ja noch über ein Jahr Zeit dachte ich, doch dann kam Windows 11. Nachdem sich der mitgelieferte Store-Client aktualisiert hat, ist bereits jetzt ein Zugriff auf den Educationstore nicht mehr möglich. Schlimmer noch, es ist derzeit überhaupt keine Anmeldung mit einem Schul-Benutzerkonto möglich und das „anonyme“ Herunterladen von Apps ohne Anmeldung am Store, wie es unter Windows 10 noch möglich war, wurde ebenfalls deaktiviert (hat sich erledigt, siehe Ergänzung weiter unten). Fast schon überflüssig zu sagen: die in Windows 10 Pro Version 1511 entfernte Gruppenrichtline „Store-Anwendung deaktivieren“ funktioniert in Windows 11 Pro weiterhin nicht. Der Windows-11-Store erfordert derzeit zwingend ein Consumer-Benutzerkonto und ist damit für uns unbenutzbar.
Lösbar wäre die Store-Problematik vermutlich mit Intune, was jedoch weitere Kosten verursacht.
Ergänzung 24.11.2021: mittlerweile wurde, wie angekündigt, der neue Store-Client auch auf Windows 10 ausgerollt. Zu meiner großen Überraschung kann man sich hier problemlos mit einem Schul-Benutzerkonto anmelden und sogar den Educationstore weiterhin benutzen. Die Funktionalität ist also auch im neuen Store-Client vorhanden, wird jedoch offenbar gezielt unter Windows 11 blockiert.
Ergänzung 01.02.2022: bei einem erneuten Test hat die anonyme Nutzung des Stores ohne Benutzerkonto auch mit dem neuen Store-Client unter Windows 11 funktioniert. Entweder wurde dies behoben oder es war kein generelles Problem. Die Anmeldung mit einem Schul-Benutzerkonto funktioniert jedoch weiterhin nicht.
Fazit
Positiv an Windows 11 ist die Stabilität des Kern-Betriebssystems. Abstürze oder Datenverluste habe ich nicht erlebt. Dazu passt mein Eindruck, dass Änderungen hauptsächlich an der Benutzeroberfläche gemacht wurden, der Betriebssystemkern aber gegenüber Windows 10 21H1 vermutlich kaum verändert wurde. Die Kehrseite der Medaille ist, dass kaum echte technische Neuerungen in Windows 11 zu finden sind. Anderes scheint noch unfertig, z. B. die angekündigte Android-Laufzeitumgebung fehlt bisher. Auch wenn es abseits einer neuen Optik nicht viel bringt, spricht bei einem kompatiblen privaten oder einzelnen, nicht verwalteten Geschäfts-PC grundsätzlich nichts gegen das Upgrade.
In den von mir betreuten Schulen, wo parallel zwei verschiedene, stark verwaltete Umgebungen genutzt werden (Windows-Server-Domäne und AAD domain join), sieht es hingegen ganz anders aus.
Auf den älteren stationären Geräten wäre eine Installation nur mit Tricks und Workarounds möglich, von denen aber unklar ist, ob sie sie dauerhaft funktionieren werden. Unsere mobilen Geräte erfüllen zwar fast alle die Hardwarevoraussetzungen, aber hier ist der neue Store ein echter Showstopper, der nur mit deutlichem Geld- oder Ressourceneinsatz zu überwinden wäre.
Im Ergebnis heißt das für mich in einer verwalteten Schulumgebung: Windows 11 is not ready for prime time. Mit etwas mehr Klarheit zu den Systemanforderungen und einem Update, das Teams und Store mit Schulkonten kompatibel macht, würde es anders aussehen.
Nachtrag 05.10.2022: Windows 11 Episode 2
Mittlerweile ist die zweite Ausgabe 22H2 von Windows 11 erschienen. Im Artikel Ein Jahr besser? untersuche ich, was aus obigen Kritikpunkten geworden ist und was es sonst neues gibt.
