Fedora KDE mit selbstzurücksetzendem Schüler-Account

Ziele des Projekts

Das Surface Go 2 startet Fedora 44 KDE und meldet den Account user automatisch an. Bei jeder Abmeldung und jedem Neustart wird dessen Home-Verzeichnis auf eine Vorlage zurückgesetzt. Auto-Login und Reset wurden am 10.10.2026 auf dem Gerät erfolgreich getestet, damals noch mit dem Account schueler.

So läuft die Installation ab (Kurzzusammenfassung):

1. Boot-Stick erstellen
2. Vom Stick starten
3. Fedora installieren (Bildschirmtastatur vorher ausblenden)
4. Skript schueler-setup.sh ausführen
5. Neu starten

Version: Fedora 44 KDE Plasma Desktop. Fedora 45 wurde noch nicht getestet; die Anleitung sollte auch dort gelten.

Voraussetzungen

• Surface Go 2 mit Netzteil am Ladeanschluss
• USB-Stick ab 4 GB (siehe Hinweis unten)
• Ein Windows-Rechner zum Erstellen des Sticks mit Rufus
• WLAN-Zugangsdaten
• Das Skript schueler-setup.sh im Hauptverzeichnis des Installationssticks (siehe Schritt 4)
• Bei der Erstinstallation: Daten unter Windows gesichert, Firmware per Windows Update aktualisiert

Schritt 1: Boot-Stick erstellen

Das Surface Go 2 startet Sticks des Fedora Media Writers nicht. Funktioniert hat ein Stick, der mit Rufus im ISO-Modus erstellt wurde.

1. ISO laden: Auf fedoraproject.org/kde/download im Block „For Intel and AMD x86_64 systems“ die Live ISO von Fedora KDE Plasma Desktop 44 herunterladen: Fedora-KDE-Desktop-Live-44-1.7.x86_64.iso (o. ä.). Nicht die ARM-, ppc64le- oder Beta-Downloads.
2. Rufus (nur für Windows, rufus.ie) starten und einstellen:

Schritt 2: Vom Stick starten (Erstinstallation)

Die Surface-Firmware ignoriert Linux-Sticks beim normalen Start, auch mit korrekter Bootreihenfolge und ausgeschaltetem Secure Boot. Der zuverlässige Weg führt bei der Erstinstallation über Windows:

1. UEFI vorbereiten: Gerät ausschalten, Lautstärke + gedrückt halten und einschalten. „Enable Boot configuration Lock“ ausschalten, unter Boot configuration „USB Storage“ nach oben schieben und „Enable Boot from USB Devices“ aktivieren. Secure Boot unter Security ausschalten.
2. Stick einstecken und Windows starten.
3. In Windows Shift gedrückt halten und auf Neu starten klicken, dann Ein Gerät verwenden.
4. In der Liste nicht „EFI USB Device“ wählen, sondern einen anderen Eintrag wie „Linpus Lite“. Erscheint er nicht, den Vorgang wiederholen; er taucht manchmal erst beim zweiten Mal auf.

Ist auf dem Gerät schon Fedora installiert, siehe Abschnitt Neuinstallation.

Schritt 3: Fedora installieren

Zuerst: Bildschirmtastatur ausblenden

1. Den Installer noch nicht starten.
2. System Settings → Keyboard → Virtual Keyboard → None → Apply (deutsch: Systemeinstellungen → Tastatur → Virtuelle Tastatur → Keine).
3. Alternativ in der Konsole:

kwriteconfig6 --file kwinrc --group Wayland --key InputMethod ""
qdbus org.kde.KWin /KWin reconfigure

Notlösungen, falls die Tastatur trotzdem stört: Skalierung unter Anzeige auf 100 % setzen, das Installer-Fenster mit gedrückter Windows-Taste nach oben ziehen oder Knöpfe per Tab und Enter bedienen.

Dann installieren

1. „Install to Hard Drive“ starten.
2. Die ganze interne Festplatte verwenden (Windows wird entfernt).
3. Account admin mit starkem Passwort anlegen, Haken bei Administrator.
4. Nach der Installation neu starten und den Stick abziehen.

Schritt 4: Schüler-Einrichtung per Skript

Das Skript liegt im Hauptverzeichnis des Installationssticks. Nach dem Erstellen des Sticks mit Rufus schueler-setup.sh dorthin kopieren:

• ⬇ schueler-setup.sh (Bash-Skript, ca. 21 KB)
  Richtet den selbstzurücksetzenden Schüler-Account ein. Nach dem Herunterladen unverändert auf den Stick kopieren.

1. Als admin anmelden und WLAN verbinden. Ohne Internetverbindung bricht das Skript sofort ab, ohne etwas zu verändern.
2. Den Stick einstecken und in der Gerätemeldung unten rechts anklicken, damit er eingebunden wird.
3. Die Konsole öffnen und eingeben:

sudo bash /run/media/$USER/*/schueler-setup.sh
cp /run/media/$USER/*/schueler-setup.sh ~/
sudo reboot

Die zweite Zeile legt eine Kopie im Home von admin ab. Damit funktionieren die späteren Aufrufe (vorlage, entfernen) auch ohne Stick.

Das Skript fragt am Ende optional nach WLAN-Name und Passwort. Nach der Eingabe wartet es bis zu 2 Minuten, bis die Internetverbindung wieder steht, und arbeitet erst dann weiter.

Was das Skript macht

Optionale Schritte lassen sich im Skript auskommentieren; die Kommentare dort nennen, was dann fehlt.

Weitere Aufrufe

• sudo bash ~/schueler-setup.sh vorlage speichert einen eingerichteten Schüler-Desktop als neue Vorlage. Vorgehen: als user einrichten, Benutzer wechseln, als admin anmelden, Befehl ausführen.
• sudo bash ~/schueler-setup.sh entfernen schaltet Reset und Auto-Login wieder ab.

Test-Checkliste

Erst wenn alle Punkte abgehakt sind, geht das Gerät an Schüler.

• Nach dem Neustart wird user ohne Passwort angemeldet
• Oberfläche und Tastatur sind deutsch
• Kein Begrüßungsassistent, kein Hinweis „Updates available“
• Datei auf dem Schreibtisch anlegen, Lesezeichen setzen, abmelden: nach der automatischen Neuanmeldung ist beides weg
• Erneut eine Datei anlegen, neu starten: Datei ist weg
• WLAN verbindet ohne Passwortabfrage
• Nach Pause und Zu-/Aufklappen kein Sperrbildschirm
• Software installieren verlangt das Admin-Passwort

Bei Problemen zeigt journalctl -b -u user@1001.service (UID mit id -u user prüfen), ob das Reset-Skript gelaufen ist.

Neuinstallation auf einem Go-2-Gerät, auf dem bereits Fedora installiert wurde

Ohne Windows fehlt die Option „Ein Gerät verwenden“. Fedora kann dem Gerät aber mit efibootmgr sagen, beim nächsten Start einmalig vom Stick zu booten.

1. Fedora booten

Bootstick einstecken, als admin die Konsole öffnen (aus dem Schüler-Account: Benutzer wechseln oder su - admin):

sudo efibootmgr

• Mit vorhandenem USB-Eintrag (z. B. Boot0001* EFI USB Device): sudo efibootmgr --bootnext 0001 und sudo reboot. Die Fedora-Installation wird vom Stick aufgerufen.
• Falls KEIN USB-Eintrag vorhanden ist oder das System nach dem Neustart wieder im bereits installierten Fedora landet: eigenen Eintrag auf die Startdatei des Sticks anlegen (siehe Kasten).

sudo efibootmgr --create --disk /dev/sda --part 1 --label "USB-Stick" --loader '\EFI\BOOT\BOOTX64.EFI'
sudo efibootmgr --bootnext 0003
sudo reboot

Die Nummer 0003 durch die Nummer aus der Ausgabe des ersten Befehls ersetzen. --bootnext gilt nur für einen Start, danach bootet das Gerät wieder normal.

2. Bildschirmtastatur ausblenden

3. Weiter wie bei der Erstinstallation

Schritt 3 (Installation, nur admin anlegen) und Schritt 4 (Skript). Die vorhandene Fedora-Installation wird dabei vollständig ersetzt.

Wartung, Absicherung, Fehlerbehebung

Updates spielt nur admin ein, der Hinweis ist entfernt. Etwa monatlich:

sudo dnf upgrade --refresh

Bricht das mit „kf6-kmime kollidiert mit kmime“ ab, zuerst sudo dnf swap kmime kf6-kmime ausführen. Fedora 44 erhält rund 13 Monate Updates, danach ist ein Upgrade auf eine neuere Version nötig.

Admin-Zugang aus dem Schüler-Account: sudo funktioniert dort absichtlich nicht. Stattdessen su - admin in der Konsole, Benutzer wechseln im Startmenü oder Strg + Alt + F3 für eine Textkonsole.

Grenzen: Gelöschte Dateien sind forensisch wiederherstellbar, personenbezogene Daten gehören nicht aufs Gerät. Schüler können auf USB-Sticks speichern; weisen Sie darauf hin, dass alles andere beim Abmelden verloren geht.

Quellen

• Fedora KDE Plasma Desktop: Download
• linux-surface: Surface Go 2
• linux-surface: Installation and Setup (Fedora)
• Microsoft-Forum: Surface Go bootet Linux-Sticks nur über „Linpus Lite“
• KDE Bug 522006: Autologin im Plasma Login Manager
• Fedora Wiki: Plasma Login Manager ersetzt SDDM
• KDE Discuss: Plasma-Welcome bei jedem Login