Seit Ende April 2025 ist Windows Recall auf Copilot+ PCs allgemein verfügbar. Nur wenige Funktionen haben in den vergangenen Jahren in Unternehmen so heftige Debatten ausgelöst wie diese lokale Screenshot-Zeitmaschine. Sie hält alle paar Sekunden fest, was auf dem Bildschirm zu sehen ist, und speichert es, damit Nutzer später alles wiederfinden. In Tenant-Reviews bei Kunden und in IT-Runden höre ich seit einigen Tagen fast immer dieselbe Frage: „Wie ist das in der Unternehmenspraxis eigentlich standardmäßig geregelt?“ Meist folgt gleich die nächste, nämlich ob sich ein Rollout im Produktivumfeld schon lohnt.

Auf verwalteten Firmengeräten ist Recall standardmäßig ausgeschaltet

In Firmenumgebungen, die per Intune oder MDM verwaltet werden, hat Microsoft von Anfang an gebremst. Auf kommerziell verwalteten Geräten ist Recall standardmäßig deaktiviert und wird sogar standardmäßig entfernt. Auf Geräten, die in Microsoft Entra ID eingebunden sind und mindestens Windows 11 24H2 auf Copilot+-PC-Hardware ausführen, taucht Recall nur auf, wenn Administratoren das ausdrücklich per Richtlinie erlauben. Gesteuert wird das zentral über die MDM-Richtlinie Allow Recall to be enabled (Policy CSP – WindowsAI), die seit dem Release auch im Settings Catalog von Intune bereitsteht. Wer sie nicht ausdrücklich freischaltet, bekommt Recall als Unternehmensnutzer gar nicht erst zu sehen.

Auch wenn Admins Recall grundsätzlich zulassen, bleibt es beim Opt-in: Ist die Richtlinie aktiv, muss jeder Benutzer die Funktion noch selbst einschalten. Gerade in sensiblen Umgebungen, in denen Betriebsrat und Datenschutz noch Klärungsbedarf sehen, verschafft das zusätzlichen Spielraum. In produktiven Mandanten begegnet mir Recall deshalb derzeit fast nur im deaktivierten Zustand.

Recall speichert verschlüsselte Snapshots ausschließlich lokal auf dem Gerät

Viele Anfragen betreffen die technische Umsetzung und die Risiken, die damit verbunden sind. Recall erzeugt alle paar Sekunden Snapshots und legt sie ausschließlich lokal in einem verschlüsselten Bereich auf dem Gerät ab. Die Verschlüsselung beruht auf Windows Hello Enhanced Sign-in Security (EISS) und VBS-Enklaven. Die Recall-Zeitachse sieht also nur, wer sich mit seinem biometrischen Faktor oder seiner PIN anmeldet. Die Daten verlassen das Gerät nicht, werden nicht ins Unternehmensnetz synchronisiert und sind für andere Nutzer oder Prozesse standardmäßig nicht erreichbar.

Über Filterregeln lassen sich Apps, Websites und vertrauliche Inhalte von der Aufnahme ausnehmen, entweder durch den Nutzer selbst oder per Richtlinie. Ebenso können Admins Speicherplatz und Aufbewahrungsdauer begrenzen; sobald der zugewiesene Platz voll ist, verwirft Recall automatisch ältere Snapshots. Microsoft empfiehlt außerdem, sensible Inhalte wie Bankseiten oder Passwort-Tools pauschal auszuschließen. Vor Datenabfluss schützt das allerdings nicht vollständig, denn schon eine Fehlkonfiguration kann dazu führen, dass kritische Inhalte unbemerkt mitprotokolliert werden.

Das folgende Schema zeigt vereinfacht, wie die Recall-Komponenten im Unternehmen zusammenwirken:

flowchart TD
  User["Benutzer"] --> OptIn["Opt-in in Recall"]
  AdminPolicy["Intune Policy: Allow Recall"] --> Device["Copilot+ Gerät"]
  OptIn --> RecallApp["Recall App"]
  RecallApp --> Snapshots["Snapshot-Speicher (lokal)"]
  Snapshots --> Encrypt["EISS & VBS Verschlüsselung"]
  RecallApp --> Filter["Filter/Blacklist"]
  AdminPolicy --> Filter

Abbildung: Richtlinie, Benutzer und Recall-Speicher im Unternehmenskontext.

Datenschutz und Betriebsrat haben noch viele offene Fragen

Eine dauerhafte Bildschirmaufzeichnung bringt Datenschützer und Betriebsräte schneller auf den Plan als fast jede andere Funktion, die Microsoft in letzter Zeit eingeführt hat. In vielen Tenants, die ich betreue, steht die Linie fest. Recall wird erst eingeschaltet, wenn IT und Betriebsrat gemeinsam alles bewertet haben, angefangen bei der Speicherung über den Zugriff bis zur technischen Durchsetzung von Sperrlisten. Die lokale Verschlüsselung ist zwar ein Fortschritt, doch aus Sicht des betrieblichen Datenschutzes ist vieles ungeklärt. Wer kommt im Störfall an die Daten heran? Wie lässt sich forensisch sicher löschen? Und wie verhindert man, dass vertrauliche Unternehmensdaten in der Recall-Historie landen? Ohne individuelle Risikoanalyse und klare Betriebsvereinbarungen lässt sich ein produktiver Einsatz kaum rechtfertigen.

Praxistipp: Wer Recall im Rahmen eines Pilotprojekts ausprobieren möchte, legt am besten eine eigene Intune-Gruppe mit wenigen Testern an, schaltet die Funktion gezielt und sauber dokumentiert frei und bindet das Datenschutzteam eng in den Pilotbetrieb ein. Auf diese Weise lassen sich technische Einschränkungen wie Filter und Speicherlimits früh einschätzen, und spätere Rollouts sind besser vorbereitet.

Wie ihr die Richtlinien im Detail konfiguriert, beschreibt Microsoft in der offiziellen Dokumentation zu Recall und im Artikel zum Policy CSP WindowsAI.

Eine Freigabe lohnt sich erst nach sauberer Bewertung

Allen, die sich im Unternehmen mit Windows Recall befassen, rate ich: Lasst Recall vorerst deaktiviert, bis sämtliche Datenschutz- und Compliance-Fragen für euer Unternehmen gründlich geklärt sind. Wer einen Pilotbetrieb starten will, setzt im Settings Catalog von Intune gezielt die neue Richtlinie ein („Allow Recall to be enabled“ auf „Enabled“) und achtet auf die aktuellen Voraussetzungen bei Hardware und Betriebssystem. Recall läuft nur auf Copilot+-Geräten mit Windows 11 24H2 oder neuer. Meiner Erfahrung nach steigt die Akzeptanz deutlich, wenn die Einführung strukturiert gesteuert und vor allem eng mit dem Betriebsrat abgestimmt wird.

Wen Resilienz- und Wiederherstellungsfunktionen in Windows allgemein interessieren, der findet im Beitrag zur Windows Resiliency Initiative und Quick Machine Recovery mehr dazu, wie Microsoft den Schutz vor Datenverlust auch abseits von Recall ausbaut.

Technisch ist Recall spannend, im Unternehmensalltag aber nur brauchbar, wenn Governance und Datenschutz sauber geregelt sind. Bis dahin bleibt die Standardeinstellung „aus“ die einzig vernünftige Wahl.