Digitální hygiena v éře adwaru V: Windows 11 bez účtu Microsoft a bez balastu přes Rufus

Koupíte si počítač, zapnete ho a první, co po vás Windows 11 chce, je účet Microsoft. Ne heslo k počítači, ne jméno uživatele, ale online účet, přes který Microsoft propojí váš počítač s OneDrivem, Microsoft 365, Copilotem a reklamním profilem. Pak následuje série obrazovek, kde vám systém „doporučuje“ sdílet diagnostická data, polohu a historii aktivit.

Ještě před rokem šlo tohle všechno obejít jedním příkazem. Dnes už ne. Microsoft postupně zavřel všechna známá zadní vrátka a místní účet je pro běžného uživatele čím dál nedostupnější.

Existuje ale cesta, která pořád funguje a je přitom nejčistší: připravit si instalační flashku tak, aby se Windows nainstaloval rovnou podle vašich pravidel. K tomu slouží bezplatný open-source nástroj Rufus.

Co Microsoft zavřel

Dlouho platil jednoduchý trik. Na obrazovce s výběrem země jste stiskli Shift+F10, napsali OOBE\BYPASSNRO, odpojili internet a Windows vám dovolil vytvořit místní účet. Později přišel příkaz start ms-cxh:localonly, který otevřel formulář pro místní účet přímo.

Microsoft oba způsoby postupně zablokoval:

Oficiální zdůvodnění Microsoftu zní: „Odstraňujeme známé mechanismy pro vytvoření místního účtu v průvodci instalací Windows (OOBE)“ (Windows Central). Firma tvrdí, že tyto postupy vedly k zařízením, která nebyla „plně nastavená“. Překlad do lidské řeči: nebyla napojená na účet Microsoft.

Občas se objeví nová díra, například odkaz „Další informace“ na přihlašovací obrazovce, který v některých verzích Windows 11 Home vede k místnímu účtu. Na takové triky se ale nedá spoléhat. Fungují jen v některých sestaveních a Microsoft je zavírá, jakmile se o nich dozví.

Co zavřít nejde, je bezobslužná instalace. Windows umí číst takzvaný soubor odpovědí, který instalačnímu programu předem řekne, jaký účet vytvořit a na co se neptat. Tuto funkci používají firmy pro hromadné nasazení, takže ji Microsoft zrušit nemůže. A přesně na ní staví Rufus.

Rufus: co umí v roce 2026

Rufus je malý program (asi 1,5 MB, bez instalace), který vytváří bootovací USB flashky. Aktuální verze je 4.15 z 19. června 2026 (FossHub). Když do něj vložíte instalační ISO Windows 11, zobrazí dialog s možnostmi přizpůsobení instalace. Rufus je pak zapíše do souboru odpovědí na flashce.

Přesné znění voleb se mezi verzemi mírně liší. Verze 4.15 navíc opravila chybu, kvůli které byla první volba zaškrtnutá vždy automaticky, a vylepšila odstranění OneDrivu (Neowin).

Volba odstranění Teams, Outlooku a Copilota je zásadní novinka. Došlo k ní v době, kdy Microsoft tlačí Copilota do každého kouta systému. Autor Rufusu ji v seznamu změn označil jako ochranu proti „vnuceným otravnostem“ Microsoftu.

Návod krok za krokem

Budete potřebovat USB flashku s kapacitou aspoň 8 GB. Rufus ji celou smaže, takže si z ní předem zkopírujte všechno důležité. Před instalací si také zálohujte data z počítače, na který budete instalovat.

1. Stáhněte Rufus a ISO

1. Rufus stáhněte z oficiálního webu rufus.ie. Stačí přenosná verze.
2. Instalační ISO Windows 11 stáhněte z webu Microsoftu. Alternativně ho umí stáhnout přímo Rufus: šipka vedle tlačítka VÝBĚR se přepne na STÁHNOUT.

2. Vytvořte flashku

1. Spusťte Rufus a v poli Zařízení vyberte svou flashku.
2. Klikněte na VÝBĚR a vyberte stažené ISO.
3. Schéma oddílů nechte GPT a cílový systém UEFI. Pro počítače z posledních deseti let je to správně.
4. Klikněte na START. Objeví se dialog s možnostmi přizpůsobení.
5. Zaškrtněte odstranění požadavku na účet Microsoft, vytvoření místního účtu (vyplňte jméno), regionální možnosti, zakázání sběru dat a vypnutí Teams, Outlooku a Copilota.
6. Volbu pro BitLocker zvažte podle sekce o rizicích níže.
7. Odstranění požadavku na TPM a Secure Boot zaškrtněte jen tehdy, když váš počítač Windows 11 oficiálně nepodporuje.
8. Tichou instalaci nechte vypnutou, pokud nevíte přesně, co děláte. Nainstaluje Windows na první disk, který najde, a neptá se. Máte-li v počítači víc disků, může přepsat ten špatný (How-To Geek).
9. Potvrďte OK a varování o smazání flashky. Zápis trvá několik minut.

3. Nainstalujte Windows

1. Z flashky nabootujte. Obvykle stačí po zapnutí počítače opakovaně mačkat F12, F11, F8 nebo Esc podle výrobce desky.
2. Projděte klasickou instalací: vyberte edici, disk a nechte Windows nainstalovat.
3. Po restartu se průvodce prvním spuštěním na účet Microsoft ani na otázky o soukromí nezeptá. Skončíte rovnou na ploše pod místním účtem.
4. Rufus vytvoří místní účet s prázdným heslem a při prvním přihlášení vás obvykle vyzve k jeho změně. Heslo si v každém případě nastavte, i když je počítač jen váš (Nastavení → Účty → Možnosti přihlášení).

Po instalaci: dotáhněte zbytek

Rufus odstraní největší otravnosti už při instalaci, ale část nastavení se dá změnit až v hotovém systému. Projděte si tyto body:

• Nastavení → Ochrana osobních údajů a zabezpečení → Obecné: vypněte reklamní ID, přizpůsobené obsahy a sledování spouštění aplikací.
• Nastavení → Ochrana osobních údajů a zabezpečení → Diagnostika a zpětná vazba: vypněte odesílání volitelných diagnostických dat a přizpůsobené prostředí. Povinnou základní telemetrii vypnout nejde, to umí jen edice Enterprise.
• Nastavení → Přizpůsobení → Start: vypněte doporučení tipů, zkratek a nových aplikací.
• Nastavení → Přizpůsobení → Zamykací obrazovka: vypněte „zajímavosti a tipy“.
• Nastavení → Systém → Oznámení → Další nastavení: zrušte návrhy na dokončení nastavení zařízení. Tento celoobrazovkový nátlak jsme rozebrali v druhém dílu série.

Zbylé předinstalované aplikace odinstalujete přes Nastavení → Aplikace, nebo hromadně v PowerShellu přes winget:

winget list
winget uninstall --name "Název aplikace"

Na podrobnější vypnutí telemetrie se hodí bezplatný nástroj O&O ShutUp10++, který každé nastavení vysvětlí a dá se vrátit zpět. Používejte jen doporučené volby. Agresivnější zásahy umí rozbít aktualizace.

Co se vrací

Počítejte s tím, že velké aktualizace funkcí (například přechod na novou verzi 25H2 nebo vyšší) některá nastavení vrátí a někdy přinesou i nové aplikace. Po každé takové aktualizaci je dobré projet seznam výše znovu. Microsoft tu hraje dlouhou hru: co nejde prosadit při instalaci, zkusí o rok později přes Windows Update.

Rizika a omezení

BitLocker: nevypnout a zapomenout

Windows 11 od verze 24H2 šifruje disk automaticky i v edici Home. Obnovovací klíč se přitom ukládá do účtu Microsoft. Bez účtu Microsoft hrozí situace, kterou jsme popsali v článku o stavu „Pre-crypted“: disk je zašifrovaný, ale vy nemáte klíč, nebo naopak vůbec chráněný není, i když si myslíte opak.

Máte dvě rozumné možnosti:

• Automatické šifrování v Rufusu vypnout a na edici Pro zapnout BitLocker ručně až po instalaci. Obnovovací klíč si přitom uložte na flashku nebo vytiskněte.
• Šifrování nechat zapnuté a hned po instalaci si obnovovací klíč zobrazit a uložit (PowerShell jako správce):

manage-bde -status C:
manage-bde -protectors -get C:

Nezvolte cestu „vypnu a dál to neřeším“. Na notebooku, který může být ukraden, je nezašifrovaný disk otevřenou knihou.

Nepodporovaný hardware

Odstranění požadavku na TPM 2.0 a Secure Boot vrátí do hry starší počítače. Microsoft ale u nepodporovaných počítačů negarantuje aktualizace a velké aktualizace funkcí na nich mohou selhat. Pro starší stroj je často lepší volbou Linux než Windows 11 „na sílu“.

Nové certifikáty Secure Boot

Microsoft vyměňuje staré certifikáty Secure Boot z roku 2011 za nové z roku 2023. Pokud vám flashka na úplně novém počítači odmítne nabootovat, použijte ISO Windows 11 25H2 a v Rufusu volbu pro média kompatibilní s Windows CA 2023, kterou přidala verze 4.10 (FossHub).

Aktivace a účet

Místní účet aktivaci Windows neohrozí. Digitální licence je vázaná na hardware, ne na účet. Účet Microsoft můžete kdykoli později připojit jen k jednotlivým aplikacím (Store, OneDrive), aniž byste jím nahradili místní přihlášení.

Mezitím v Linuxu

Stojí za to zastavit se nad absurditou celého postupu. Abyste si na svůj vlastní počítač nainstalovali systém, za který jste zaplatili, bez účtu u jeho výrobce a bez reklam, potřebujete nástroj třetí strany, soubor odpovědí určený pro firemní nasazení a seznam nastavení, který budete po každé větší aktualizaci procházet znovu.

Instalace Linux Mintu nebo Fedory se na žádný online účet neptá. Neexistuje tam reklamní ID, žádný Copilot v nabídce Start a žádná aktualizace, která by vám potichu vrátila aplikace, které jste odinstalovali. Šifrování disku (LUKS) si zapnete jedním zaškrtávátkem v instalačním programu a heslo znáte jen vy. A mimochodem, flashku pro instalaci Linuxu vytvoří ten samý Rufus. Proč je přechod na Linux rozumný krok, jsem rozebral v prvním dílu této série.

Závěr

Microsoft zavřel všechny pohodlné cesty k místnímu účtu a další zavře, jakmile je někdo objeví. Cesta přes Rufus a soubor odpovědí ale stále funguje, protože stojí na stejné funkci, na kterou se spoléhají firmy. Výsledkem je čistý Windows 11 s místním účtem, bez otázek na telemetrii a bez Teams, Outlooku a Copilota.

Je to nejlepší instalace Windows, jakou dnes běžný uživatel může mít. A zároveň výmluvné svědectví o tom, jak daleko Microsoft zašel: čistý systém bez reklam už není výchozí stav, ale výsledek obcházení.

Zdroje

• Rufus – oficiální web
• Rufus Changelog and Release History – FossHub
• Latest Rufus update improves new Windows 11 install method – Neowin
• Latest Rufus update debloats and installs Windows 11 silently – How-To Geek
• Microsoft blocked every Windows 11 account bypass except the most boring link on its own page – Windows Latest
• Microsoft blocks even more Microsoft account bypasses on Windows 11 – Windows Central
• How to Install Windows 11 Without a Microsoft Account – Tom’s Hardware
• Stažení Windows 11 – Microsoft