Een Surface Pro X die niet wilde resetten: zo kreeg ik hem toch schoon

Mijn Surface Pro X was de afgelopen maanden langzaam aan het wegrotten. Windows-updates wilden niet installeren, OneDrive crashte bij het opstarten en toen ik de knoop doorhakte en de laptop terug wilde zetten naar fabrieksinstellingen, weigerde ook dat. Twee keer. Een avond later draait hij weer schoon, maar de weg ernaartoe had een paar valkuilen die ik nergens netjes bij elkaar vond. Vandaar dit verslag.

De symptomen

Updates bleven hangen of faalden. OneDrive crashte met foutcode 0xc0000374, een heap-corruptie in ntdll.dll. Dat klinkt als een OneDrive-bug, maar het betekent dat Windows zelf rommel in het geheugen aantreft.

En toen ging ook "Pc opnieuw instellen" mis. Eerst met "Downloaden via de cloud", daarna met "Lokaal opnieuw installeren". Beide keren herstartte de laptop, was hij een kwartier bezig en draaide hij daarna alles netjes terug. Dan zit je daar.

Als updates, een app en de reset het tegelijk laten afweten, ligt het zelden aan die ene app. Dan is de Windows-installatie zelf het probleem.

Diagnose op afstand via SSH

In plaats van naast de laptop te zitten, liet ik Claude Code er via SSH in kijken. Een detail dat tijd kost als je het niet weet: de OpenSSH-server van Windows kan in mijn ervaring niet goed overweg met Entra ID-accounts. Ik maakte daarom een apart lokaal beheerdersaccount aan dat alleen met een SSH-sleutel mag inloggen. Bij een beheerdersaccount hoort die sleutel trouwens in C:\ProgramData\ssh\administrators_authorized_keys, niet in de eigen .ssh-map.

De logs van de reset staan in C:\$SysReset\Logs. Daar bleek:

• De reset faalde in de stap waarin Windows zichzelf opnieuw opbouwt (ExecSetup, fout 0x80004005) en werd daarna teruggedraaid.
• De herstelomgeving (WinRE) stond aan en was actueel. BitLocker was in orde.
• In dezelfde map stond een mislukte reset uit april 2024. Dit probleem sleepte dus al langer mee.

Conclusie: de reset-engine van deze Windows-installatie was niet meer te vertrouwen. Tijd om er helemaal omheen te gaan.

Het Surface recovery image

Microsoft biedt per Surface-model een herstelimage aan, te downloaden met het serienummer. Je maakt eerst een herstelstation met de Windows-wizard (vink de back-up van systeembestanden uit) en kopieert daarna de inhoud van de zip over de stick heen. Onderweg kwam ik drie valkuilen tegen.

Valkuil 1: alleen Home

Mijn laptop draaide Windows 11 Pro, maar de site bood alleen een Home-image aan. Dat bleek te kloppen: in de firmware zit een Home-licentie, Pro was er later bij gekocht als upgrade. Die upgrade hangt als digitale licentie aan de hardware. Na het herstel vul je bij Activering de algemene Pro-installatiecode in (VK7JG-NPHTM-C97JM-9MPGT-3V66T). Windows stapt dan over naar Pro en activeert vanzelf via de digitale licentie.

Valkuil 2: bestanden die niet overschreven willen worden

De wizard zet zijn bestanden op de stick als alleen-lezen, verborgen en systeem. Uitpakken over de stick heen faalde daardoor op boot.wim. Eerst de attributen weghalen lost dat op:

attrib -r -h -s "F:\*" /s /d

Valkuil 3: de stick start niet

Via geavanceerd opstarten koos ik de usb-stick. Ik kreeg kort een blauw Windows-logo en daarna gewoon weer de oude Windows. Pas toen ik in de Surface UEFI (volume-omhoog plus aan-knop) Secure Boot tijdelijk uitzette, startte het herstel wel.

Waarom precies, heb ik niet kunnen vaststellen. Mijn vermoeden is de overstap naar nieuwe Secure Boot-certificaten. De certificaten waarmee Microsoft sinds 2011 alles ondertekent, verlopen dit jaar; het certificaat voor de Windows-bootloader liep op 19 oktober 2026 af. De opvolgers dateren uit 2023. Microsoft waarschuwt zelf dat herstel- en installatiemedia van vóór die overstap op bijgewerkte firmware kunnen weigeren op te starten. Windows meldde in het logboek bovendien al dat de Secure Boot-sleutels van deze laptop bijgewerkt moesten worden. Na het herstel heb ik Secure Boot direct weer aangezet, voordat BitLocker opnieuw ging versleutelen.

Bonus: installeren zonder Microsoft-account

Windows 11 wil tijdens de installatie dat je met een Microsoft-account inlogt. Op builds van 2025 werkt dit nog: druk op het inlogscherm op Shift+F10 en typ start ms-cxh:localonly. Je krijgt dan een venster voor een lokaal account. Microsoft schrapt dit soort routes wel stap voor stap, dus het kan in nieuwere builds verdwenen zijn.

Tot slot

De laptop draait weer schoon op Pro en Secure Boot staat aan. De volgende hindernis, de upgrade naar 26H2, bleek een eigen verhaal. Achteraf had ik de losse reparaties en de tweede reset kunnen overslaan. Als de reset van Windows zelf faalt, ga dan meteen naar het recovery image op usb. En start die stick niet, kijk dan eerst naar Secure Boot voordat je aan de stick gaat twijfelen.