Cloud Rebuild in Windows 11: Hardware-gestützte Datenträgerbereinigung und Fernsteuerung per Recovery-CSP

Microsoft erweitert in einer aktuellen Insider-Vorschau die Wiederherstellungsfunktion Cloud Rebuild um zwei zentrale Werkzeuge: die hardwaregestützte sichere Löschung von Datenträgern und die Möglichkeit, den gesamten Wiederherstellungsprozess aus der Ferne zu steuern. Damit können Systemadministratoren Geräte ohne physische USB-Sticks oder Vor-Ort-Einsatz vollständig neu provisionieren und Altgeräte vor dem Weiterverkauf per Hardware-Befehl bereinigen.

Was ist Cloud Rebuild und welche Neuerungen gibt es?

Cloud Rebuild lädt das Betriebssystem-Image sowie herstellerspezifische Gerätetreiber direkt über Windows Update herunter und führt die Installation in der Windows Recovery Environment (WinRE) aus. Der aktuelle Insider-Build 26340.9502 (2026) ergänzt diese Basis um:

• Eine hardwaregestützte Datenträger-Sanitization, bei der das System die Speicherhardware auffordert, Daten unwiderruflich zu überschreiben.
• Die Fernsteuerung über den Recovery Configuration Service Provider (CSP), der über den MDM-Pfad ./Device/Vendor/MSFT/Recovery/CloudRebuild konfiguriert werden kann.

Hardwaregestützte Datenträgerbereinigung

Der neue Befehl übergibt den Sanitize -Befehl (z. B. ATA Secure Erase oder NVMe Format) an den Controller. Die Ausführung erfolgt durch die Hardware selbst, wobei Windows 11 die Durchführung nicht kryptografisch verifizieren kann. Microsoft weist darauf hin, dass die Funktion insbesondere für Geräte gedacht ist, die den Besitzer wechseln oder ausgemustert werden. Ein Stromausfall während des Vorgangs kann das Gerät unbootbar machen, sodass ein lokales Installationsmedium nötig wäre.

Fernsteuerung über den Recovery-CSP

Der CSP-Knoten ./Device/Vendor/MSFT/Recovery/CloudRebuild ermöglicht Administratoren, Cloud Rebuild remote zu triggern, zu sperren oder zu parametrisieren. Über MDM-Lösungen wie Microsoft Intune können folgende Parameter hinterlegt werden:

• Ziel-Branch und Windows-Edition
• Sprachpakete
• Unattend-Antwortdatei für eine automatisierte Ersteinrichtung

Die Schnittstelle lässt sich zudem für bestimmte Abteilungen oder Rechner gezielt aktivieren oder deaktivieren.

Einbettung in das Resiliency-Ökosystem

Cloud Rebuild bildet die letzte Eskalationsstufe der nach dem CrowdStrike-Vorfall 2024 gestarteten Windows Resiliency Initiative. Zusammen mit zwei weiteren Bausteinen entsteht ein dreiteiliges Schutzkonzept:

• Quick Machine Recovery (QMR) - automatisierte Behebung blockierender Startfehler via gezielter WinRE-Patches.
• Point-in-Time Restore (PITR) - Snapshot-Rollbacks für schnelle Wiederherstellung.
• Cloud Rebuild - vollständige Neuinstallation aus der Cloud ohne lokale Medien.

Damit wird zwischen einer reinen Systemreparatur (QMR) und einer radikalen Neuaufsetzung (Cloud Rebuild) klar unterschieden.

Automatisierte Nachbereitung mit Windows Autopilot und OneDrive

Nach erfolgreichem Download und Installation startet das System automatisch in die Out-of-Box-Experience (OOBE). Für verwaltete Firmen-PCs erfolgt anschließend eine Zero-Touch-Provisionierung:

• Einbindung in Windows Autopilot und Microsoft Intune ohne manuelles Eingreifen.
• Synchronisation von Nutzerprofilen über Windows Backup for Organizations und OneDrive.
• Verknüpfung mit Entra ID für eine sofortige Authentifizierung.

Der Automatisierungsgrad wird in den Insider-Informationen mit "Zero-Touch-Provisionierung" (2026) beschrieben.

Voraussetzungen und technische Grenzen

Damit Cloud Rebuild zuverlässig funktioniert, müssen folgende Bedingungen erfüllt sein:

• Stabile Internetverbindung innerhalb der WinRE-Umgebung.
• Kompatible herstellerspezifische Netzwerk-Treiber (LAN/WLAN) in der WinRE-Partition.
• Erfüllung der offiziellen Systemanforderungen für Windows 11.
• Stromversorgung während des Löschvorgangs, um Unterbrechungen zu vermeiden.

Fehlende herstellerspezifische WinRE-Netzwerktreiber

Ohne funktionierende LAN- oder WLAN-Treiber in der Wiederherstellungsumgebung kann der Cloud-Download nicht starten, wodurch das Gerät unbootbar bleibt. Administratoren sollten vor dem Einsatz prüfen, ob die OEM-Treiber im WinRE-Image enthalten sind.

Keine kryptografische Verifikation der Hardware-Sanitization

Da Windows den Sanitise-Befehl nur an den Controller übergibt, lässt sich die tatsächliche Ausführung nicht auditieren. In regulierten Umgebungen (z. B. BSI oder DoD) kann daher ein separates Löschzertifikat erforderlich sein.

Statistiken und Kennzahlen

• Insider-Build mit erweitertem Cloud Rebuild: 26340.9502 (2026) - Quelle S1.
• Aktive Windows 11-Gerätebasis weltweit: 1 Milliarde Geräte (2026) - Quelle S2.
• Resiliency-Initiative-Bausteine: 3 Kernfunktionen (QMR, PITR, Cloud Rebuild) - Jahr 2025/2026.
• CSP-Konfigurationspfad: ./Device/Vendor/MSFT/Recovery/CloudRebuild - Jahr 2026.

Häufig gestellte Fragen (FAQ)

Worin unterscheidet sich Cloud Rebuild von "Diesen PC zurücksetzen"?"Diesen PC zurücksetzen" nutzt intakte lokale Windows-Dateien, während Cloud Rebuild das Basis-Image und die Treiber komplett isoliert über WinRE von Windows Update herunterlädt.Wie lässt sich vorab prüfen, ob WinRE für Cloud Rebuild einsatzbereit ist?Durch den Befehl reagentc /info in einer administrativen Eingabeaufforderung kann die Aktivierung und Funktionsfähigkeit der Wiederherstellungsumgebung überprüft werden.Können Administratoren Rebuilds für bestimmte Abteilungen oder Rechner sperren?Ja, über die CSP-Richtlinie ./Device/Vendor/MSFT/Recovery/CloudRebuild lässt sich die Funktion gezielt deaktivieren oder auf freigegebene Ziel-Builds beschränken.

Fazit

Die aktuelle Erweiterung von Cloud Rebuild macht die Funktion für Enterprise-Administratoren greifbar und integriert sie in das umfassende Resiliency-Ökosystem von Microsoft. Durch hardwaregestützte Datenträger-Sanitization und die Möglichkeit, den Wiederherstellungsprozess per MDM-CSP aus der Ferne zu steuern, wird die Neu-Provisionierung von Windows 11-Geräten radikal vereinfacht. Gleichzeitig bleiben technische Voraussetzungen - insbesondere funktionierende WinRE-Netzwerktreiber und eine stabile Internetverbindung - entscheidend für den Erfolg. Unternehmen, die bereits auf Intune, Autopilot und OneDrive setzen, können den gesamten Ablauf von Bare-Metal-Zustand bis zum produktiven Arbeitsplatz nahtlos automatisieren.