macOS Monterey „Clean Install“ auf neuem M1 MacBook Air – Bericht einer kleinen Odyssee

[elsi]

Ein Bericht meiner (kurzen) Odyssee eines Clean Install von macOS Monterey auf einem eben gekauften MacBook Air M1:

Vielleicht bin ich ja trotz einem Jahrzehnt Mac noch immer etwas Windows-geschädigt. Jedenfalls ist gestern mein neues MacBook Air M1 (8-Core GPU, 512 GB und 8 GB RAM) angekommen und lief wie erwartet noch mit Big Sur. Mein Plan war, die SSD zu löschen und Monterey frisch zu installieren, nicht nur das vorhandene Big Sur upzugraden. So weit das Ziel.

Mit der macOS Wiederherstellung auf einem M1 Mac direkt eine neuere Version installieren geht leider nicht. Ob es mit einem selbst erstellten Boot-USB-Laufwerk gehen würde habe ich auf die Schnelle nicht rausfinden können. Also habe ich mich entschieden Big Sur schnell einzurichten, das Upgrade auf Monterey zu machen, dann in der macOS Wiederherstellung die SSD plattzumachen und darauf Monterey gleich nochmal zu installieren.

Zahlt sich das aus? Egal, jetzt war es zu spät für einen Rückzieher.

Also habe ich Big Sur (11.6) schnell eingerichtet, direkt die Softwareaktualisierung angeworfen und bei macOS 12.0.1 auf Installieren geklickt.
Da ging der Spaß schon los. Nach dem 12 GB schweren Download die Meldung: Paket „@%“ nicht gefunden (oder so ähnlich). Na toll. Nochmal auf Installieren, Download läuft wieder von vorne. Dann hab ich versehentlich abgebrochen weil ich irgendwas in den Einstellungen herumprobiert hab… Dritter Versuch – Download fertig, irgendein anderes Problem trat auf. Hmpf. Also auf weitere Updates gegangen und erstmal Big Sur 11.6.1 installiert. Danach lief die Installation von Monterey 12.0.1 problemlos durch.

Damit hatte ich aber erst das Upgrade, noch nicht den gewollten „Clean Install“. Also MacBook aus, lange auf den Einschaltknopf gedrückt um ins „Startmenü“ zu kommen, auf „Optionen“ um die macOS Wiederherstellung zu starten. Im Festplattendienstprogramm „Alle Geräte einblenden“ und die SSD gelöscht als APFS, GUID – hier verschlüsselt zu wählen soll Probleme machen, man kann dann bei der Einrichtung die Verschlüsselung aktivieren.
Beim Löschen wird schon darauf hingewiesem, dass dann macOS neu installiert werden muss und der Mac automatisch neu gestartet wird.

Gut, die Installation lief durch. Aber bei der Ersteinrichtung die nächsten Probleme. Bei der Einstellung der Sprache blieben die Menüs egal was man auswählte Englisch. Als nächstes Fenster wurde eine „Schnelleinrichtung“ vorgeschlagen. Diese wollte ich natürlich nicht. Dann kam eine Einstellung wo man die Eingabesprachen auswählen konnte – und da war „English (Austria)“ an erster Stelle und konnte nicht verschoben werden?! Auch die weiteren Einrichtungsdialoge waren sehr merkwürdig. Da stimmte irgendwas nicht.

Also Einrichtung abgebrochen, in die macOS Wiederhersteling gebootet. Nun war auch diese auf Englisch, hier konnte die Sprache aber in der Menüleiste (dauerhaft) umgestellt werden. Dies galt aber leider nicht für die Einrichtung von Mojave. Also wollte ich, wie von früher gewohnt, SMC, PRAM und NVRAM zurücksetzen. Beim M1 gibts dies jedoch alles nicht (wirklich), bzw. zumindest nicht die Tastenkombinationen zum Zurücksetzen. Notwendige „Resets“/Reperaturen soll der M1 von selber ausführen – die Ersteinrichtung war ja weiter merkwürdig…

Schlussendlich hab ich dann einen Tipp für einen Terminal-Befehl gefunden und in der macOS Wiederherstellung eingeklopft:
NVRAM -c
Das Terminal hat diesen geschluckt, ohne eine Antwort oder einen Fehler auszuspucken. Hm. Also doch irgendwas mit NVRAM?

Ja! Nach einem Neustart wurde ich vom ikonischen hallo begrüßt Die Sprache ließ sich nun problemlos einstellen und auch die restliche Einrichtung verlief wie erwartet – sah sehr ähnlich wie bei Big Sur aus.
Die Daten übertrage ich nun natürlich manuell von meinem vorigen MacBook Pro, also kopiere sie aus dem TimeMachine Backup raus.

Puh, wurde doch etwas länger als gedacht. Aber vielleicht ist es ja für jemanden interessant zu lesen. Hat jemand von Euch ähnliche Erfahrungen gemacht?

 

[AndaleR]

Den Kampf hätte ich mir erspart. Bei einem NEUEN MacBook wäre ich NIE auf die Idee gekommen, dass ich an ein Clean-Install denken würde... Wieso wolltest Du das?

Als ich mein altes MB Air zurücksetzen und alles löschen / neu aufsetzen wollte, bin ich auf das „neue System“ mit der Aufteilung Fesplatte OS / Daten gestoßen etc. . Soweit ich mich erinnere, war das alles wirklich nicht so einfach - und ich hatte mich im Vorfeld auch nicht darüber informiert gehabt. Das hat dann schon etwas gedauert, bis wieder alles lief.

Deshalb denke ich: ich mach das nicht mehr - da müsste schon sehr viel kaputt sein, dass ich das System nochmal neu aufsetzen werde.
Und weil immer wieder der Vergleich zu Windows kommt: auch WIndows läuft eigentlich schon länger reibungslos - es kommt auch auf den Nutzer an (aber das will sich natürlich niemand eingestehen).

 

[Marcel Bresink]

Mein Plan war, die SSD zu löschen und Monterey frisch zu installieren,

Das ist grundsätzlich unsinnig, da es keinerlei Wirkung hat. Das Betriebssystem ist mit vier voneinander unabhängigen Maßnahmen gegen jegliche Änderungen geschützt.

Im Festplattendienstprogramm „Alle Geräte einblenden“ und die SSD gelöscht als APFS, GUID – hier verschlüsselt zu wählen soll Probleme machen

Auch das ergibt keinen Sinn, da auf einem M1-Mac die SSD ja bereits immer von der Hardware verschlüsselt wird. Verschlüsseltes APFS wäre zweifache Verschlüsselung.

man kann dann bei der Einrichtung die Verschlüsselung aktivieren.

Nein, man kann FileVault aktivieren. Das ändert auf dem M1 in Wirklichkeit nur die Art und Weise, wie der Schlüssel nach dem Einschalten über eine zusätzliche Benutzerabfrage gesichert wird, auch wenn Apple Meldungen anzeigt, die etwas anderes suggerieren.

 

[FritzS]

Auch das ergibt keinen Sinn, da auf einem M1-Mac die SSD ja bereits immer von der Hardware verschlüsselt wird. Verschlüsseltes APFS wäre zweifache Verschlüsselung.
.....
Nein, man kann FileVault aktivieren. Das ändert auf dem M1 in Wirklichkeit nur die Art und Weise, wie der Schlüssel nach dem Einschalten über eine zusätzliche Benutzerabfrage gesichert wird, auch wenn Apple Meldungen anzeigt, die etwas anderes suggerieren.

Bedeutet das, dass die Daten der Benutzerverzeichnisse auch verschlüsselt werden, auch wenn FileVault nicht verwendet wird?
Ist dann das Benutzerpasswort der „Schlüssel“ dazu?

Oder betrifft das nur die SSD Speicherriegel? Die auf diese eine Hardware gebunden sind?

So ganz blicke ich da noch nicht durch.

 

[elsi]

Den Kampf hätte ich mir erspart. Bei einem NEUEN MacBook wäre ich NIE auf die Idee gekommen, dass ich an ein Clean-Install denken würde... Wieso wolltest Du das?

Naja, nachdem mein voriges MacBook doch schon viele Updates mitgemacht hat, ich viel Software installiert habe, zum Teil auch mit einigen Tools in der Kommandozeile herumgespielt und installiert habe, wollte ich jedenfalls keine Migration machen. Und nachdem ich mir dachte "wenn schon, denn schon", wollte ich sozusagen ein komplett sauberes System haben. Ich glaube halt nicht, dass ein Betriebssystem nach dem Upgrade genauso ideal optimiert ist, wie wenn man das System "von Anfang an" hat.

Und auch mit dem Gedanken – ich machs jetzt einmal gescheit, und dann hoffentlich erst in 10 Jahren wieder. Obs jetzt wirklich einen (irgendwann merkbaren) Vorteil gebracht hat, ist aber auch für mich etwas fraglich.

Das ist grundsätzlich unsinnig, da es keinerlei Wirkung hat. Das Betriebssystem ist mit vier voneinander unabhängigen Maßnahmen gegen jegliche Änderungen geschützt.

Keinerlei Wirkung? Naja gelöscht und neu aufgespielt wurde das System doch jetzt schon, denke ich… Und ob das Betriebssystem absolut ident (sauber) aufgebaut ist, wenn man ein Upgrade macht im Vergleich zur Installation des Systems auf ein leeres Laufwerk, bezweifle ich. Falls dem so ist, dann ist das natürlich super.

Auch das ergibt keinen Sinn, da auf einem M1-Mac die SSD ja bereits immer von der Hardware verschlüsselt wird. Verschlüsseltes APFS wäre zweifache Verschlüsselung.

Ja genau, das habe ich eh irgendwo gelesen. Als ich jedoch anfangs vor der Wahl stand ein Format zu wählen, stellte sich mir halt die Frage ob man nicht "verschlüsseln soll", und ich habe etwas Zeit gebraucht die Antwort zu finden.

Nein, man kann FileVault aktivieren. Das ändert auf dem M1 in Wirklichkeit nur die Art und Weise, wie der Schlüssel nach dem Einschalten über eine zusätzliche Benutzerabfrage gesichert wird, auch wenn Apple Meldungen anzeigt, die etwas anderes suggerieren.

Ja ok, unter FileVault verstand ich halt "eine bestimmte Form der Verschlüsselung". Wovor schützt dann die Verschlüsselung die "sowieso aktiv" ist?

 

[ottomane]

Auch das ergibt keinen Sinn, da auf einem M1-Mac die SSD ja bereits immer von der Hardware verschlüsselt wird. Verschlüsseltes APFS wäre zweifache Verschlüsselung.

Da muss ich jetzt mal nachfragen: Mein M1 ist noch mit dem Dateisystem des Werkszustands unterwegs. Laut FPDP ist das "AFPS (verschlüsselt)". Ist das nun auch doppelt verschlüsselt? Das wäre in der Tat ziemlich unsinnig.

 

[FritzS]

Da muss ich jetzt mal nachfragen: Mein M1 ist noch mit dem Dateisystem des Werkszustands unterwegs. Laut FPDP ist das "AFPS (verschlüsselt)". Ist das nun auch doppelt verschlüsselt? Das wäre in der Tat ziemlich unsinnig.

Bei mir steht: Ist Verschlüsselt ... Ohne (im Ruhezustand verschlüsselt)

M1 MacMini ... wurde mit Big Sur ausgeliefert, Standardinstallation mit Import (Benutzer / Programme - da leider, würde ich nicht mehr so machen, kam viel Mist mit, hat mir viel Zeit gekostet das zu entfernen) vom alten Mac. Dann Upgrade auch Monterey.

 

[Marcel Bresink]

Bedeutet das, dass die Daten der Benutzerverzeichnisse auch verschlüsselt werden, auch wenn FileVault nicht verwendet wird?

Nein. Der gesamte Flash-Speicher (oder genauer: der für den Benutzer sichtbare Bereich) wird bereits per Hardware verschlüsselt.

Oder betrifft das nur die SSD Speicherriegel? Die auf diese eine Hardware gebunden sind?

Speicherriegel gibt es bei neuen Macs nicht mehr. Der Flash-Speicher ist beim M1 fester Bestandteil des "System-on-a-Chip" und der simuliert mehrere NVMe-SSDs per Hardware. Es ist richtig, dass ein System miteinander verketteter Schlüssel zum Einsatz kommt, wobei auch ein Hauptschlüssel verwendet wird, der an die Sichere Enklave des Prozessors gekoppelt ist.

nachdem mein voriges MacBook doch schon viele Updates mitgemacht hat, ich viel Software installiert habe, zum Teil auch mit einigen Tools in der Kommandozeile herumgespielt und installiert habe, wollte ich jedenfalls keine Migration machen.

OK, das ist etwas anderes, nämlich quasi eine Bereinigung der Benutzerdaten, wobei hier nicht nur die Daten im Privatordner gemeint sind, sondern auch alle systemweiten Einstellungen und Programme.

Das lässt sich bei aktuellen Macs viel schneller machen, ohne das Betriebssystem (das hiermit überhaupt nichts zu tun hat) neu zu installieren: Dazu ruft man in Systemeinstellungen den Menüpunkt "Systemeinstellungen > Einstellungen und Inhalte löschen" auf. Es wird dann der Löschassistent aufgerufen, der den kompletten Mac auf Werkseinstellung zurücksetzt. Voraussetzung ist ein Mac mit T2- oder M1-Prozessor, auf dem nur ein (1) Betriebssystem installiert ist.

Und ob das Betriebssystem absolut ident (sauber) aufgebaut ist, wenn man ein Upgrade macht im Vergleich zur Installation des Systems auf ein leeres Laufwerk, bezweifle ich.

Die reinen Betriebssystemteile sind garantiert hundertprozentig identisch. Diese sind mit mindestens vier voneinander unabhängigen Maßnahmen gegen Veränderungen geschützt. Die anpassbaren Einstellungen des Betriebssystems und zusätzliche Programme (wozu zum Beispiel auch Safari gehört) sind jedoch unterschiedlich.

unter FileVault verstand ich halt "eine bestimmte Form der Verschlüsselung". Wovor schützt dann die Verschlüsselung die "sowieso aktiv" ist?

Wenn FileVault aus ist, entnimmt der Mac das Schlüsselsystem zur Entsperrung der SSD selbst der Sicheren Enklave, entsperrt die Platte, und kann dann macOS lesen und starten.

Wenn FileVault eingeschaltet ist, wird in das bereits bestehende Schlüsselsystem noch eine Schlüsselebene hinzugefügt: Beim Start des Mac wird ein PreBoot-Mini-Betriebssystem gestartet, das die Benutzer-Accounts aus macOS übernommen hat. Der Benutzer muss sich erst bei diesem System authentifizieren und damit wird ein Schlüssel entschlüsselt, der den Schlüssel für das Entsperren der SSD freigibt.

Laut FPDP ist das "AFPS (verschlüsselt)". Ist das nun auch doppelt verschlüsselt?

Nein, in der Konfiguration nicht. Das FPDP erkennt offenbar, welche Volumes mit welchen Accounts an die FileVault-Schlüsselverwaltung gekoppelt sind und zeigt diese als "verschlüsselt" an. Apple tut auf der grafischen Oberfläche so, als wäre auch diese moderne Version von FileVault ein Verschlüsselungsverfahren wie früher. Nach dem Motto: Weitere Details würden die Bevölkerung nur beunruhigen …

 

[FritzS]

Wenn FileVault eingeschaltet ist, wird in das bereits bestehende Schlüsselsystem noch eine Schlüsselebene hinzugefügt: Beim Start des Mac wird ein PreBoot-Mini-Betriebssystem gestartet, das die Benutzer-Accounts aus macOS übernommen hat. Der Benutzer muss sich erst bei diesem System authentifizieren und damit wird ein Schlüssel entschlüsselt, der den Schlüssel für das Entsperren der SSD freigibt.

Muss man da nun ein zweites Passwort für FileVault vergeben, oder ist das mit dem Benutzerpasswort ident?
Wie ist das wenn mehrere Benutzer angelegt sind?

 

[Wuchtbrumme]

Da muss ich jetzt mal nachfragen: Mein M1 ist noch mit dem Dateisystem des Werkszustands unterwegs. Laut FPDP ist das "AFPS (verschlüsselt)". Ist das nun auch doppelt verschlüsselt? Das wäre in der Tat ziemlich unsinnig.

Bist Du

Muss man da nun ein zweites Passwort für FileVault vergeben, oder ist das mit dem Benutzerpasswort ident?

letzteres

Wie ist das wenn mehrere Benutzer angelegt sind?

es gibt eine Option, bei der man einstellen kann, welche Benutzer FileVault entschlüsseln dürfen (noch mal auf Marcels Erklärungen verwiesen).

 

[FritzS]

@Wuchtbrumme
Was hätte FileVault auf einem privaten MacMini an Vorteilen?

 

[Wuchtbrumme]

@Wuchtbrumme
Was hätte FileVault auf einem privaten MacMini an Vorteilen?

Gegenfrage: Wie paranoid bist Du?

 

[FritzS]

Gegenfrage: Wie paranoid bist Du?

Eigentlich nicht! Bei einem Notebook, dass man viel herumträgt hätte es schon Sinn.

 

[Wuchtbrumme]

ja, so sehe ich es auch. Der Charme von FileVault bei T2 und M1 ist eigentlich nur, dass der Rechner ohne Benutzerlogin nicht einmal bootet und damit ein laufendes OS keine Sicherheitslücken anbietet. Verschlüsselt ist es eh.