26. Juli 2026, 14:49 Uhr | Lesezeit: 3 Minuten
Das Bundesamt für Sicherheit in der Informationstechnik hat Windows Hello for Business genauer untersucht. Die Behörde veröffentlichte dazu den ersten technischen Bericht aus dem Projekt „Windows seziert“. Im Fokus steht das von Microsoft entwickelte Anmeldeverfahren, das auf vielen privaten und geschäftlichen Windows-Rechnern verwendet wird. Anstelle eines klassischen Passworts erfolgt die Anmeldung dabei per PIN, Fingerabdruck oder Gesichtserkennung. Der Bericht beschreibt sowohl die technischen Grundlagen als auch mögliche Schwachstellen, die unter bestimmten Voraussetzungen ausgenutzt werden können.
So arbeitet Windows Hello im Hintergrund
Nach Angaben des BSI erstellt Windows während der Einrichtung kryptografische Schlüssel. Diese binden die Anmeldung an das jeweilige Gerät. Der private Schlüssel verbleibt auf dem Rechner und wird erst freigegeben, nachdem sich eine Person per PIN, Fingerabdruck oder Gesichtserkennung authentifiziert hat. Zusätzlichen Schutz kann ein Trusted Platform Module, kurz TPM, bieten. Das Modul speichert wichtige Schlüsselinformationen in einer abgeschotteten Hardware-Umgebung und soll dadurch das Auslesen erschweren.
Der Bericht (PDF-Dokument) beschreibt jedoch auch Situationen, in denen diese Schutzmaßnahmen ihre Wirkung verlieren können. Dies betrifft insbesondere Systeme, auf denen Angreifer bereits lokale Administratorrechte besitzen und dadurch Zugriff auf bestimmte gespeicherte Daten erhalten.
Biometrische Daten können zum Risiko werden
Für die Gesichts- und Fingerabdruckerkennung speichert Windows verschlüsselte Vorlagen in einer Datenbank auf dem Gerät. Laut BSI können Angreifer unter bestimmten Bedingungen an Informationen gelangen, die zum Schutz dieser Daten dienen. Dadurch könnten sie die gespeicherten Vorlagen entschlüsseln, die Datenbank verändern und eigene biometrische Daten einem fremden Benutzerkonto zuweisen.
In einem solchen Fall wäre es möglich, sich etwa mit dem eigenen Gesicht unter der Identität einer anderen Person anzumelden. Der Angriff funktioniert laut Bericht jedoch nicht aus der Ferne. Voraussetzung ist vielmehr, dass das System bereits weitgehend unter der Kontrolle der Angreifer steht und entsprechende Rechte vorhanden sind.
Datenleck mit 16 Milliarden Passwörtern? Was wirklich hinter den Berichten steckt
Wie Google mit seinen „Passkeys“ Passwörter ersetzen will
ESS soll die Sicherheit erhöhen
Nach Einschätzung des BSI spielt die beschriebene Schwachstelle vor allem auf gemeinsam genutzten Computern eine Rolle. Das gilt hauptsächlich dann, wenn mehrere Personen ihre biometrischen Merkmale auf demselben Gerät hinterlegt haben.
Als Schutzmaßnahme empfiehlt die Behörde den Einsatz von „Enhanced Sign-in Security“ (ESS), sofern dies möglich ist. Die Funktion verlagert Teile der biometrischen Verarbeitung in einen besonders geschützten Bereich. Außerdem werden kompatible Kameras und Fingerabdrucksensoren stärker in die Sicherheitsfunktionen eingebunden. Dadurch sollen sowohl die gespeicherten biometrischen Daten als auch deren Abgleich besser geschützt werden. ESS steht allerdings nur auf Geräten zur Verfügung, deren Hardware und Treiber die Funktion unterstützen.
Auch interessant: Wegen KI drängt Microsoft auf Updates binnen drei Tagen
Empfehlung für Unternehmen und Privatnutzer
Aus der Untersuchung leitet das BSI mehrere Empfehlungen ab. Unternehmen sollten nach Möglichkeit nur eine Person pro Gerät für Windows Hello registrieren. So sinkt das Risiko, dass biometrische Daten unterschiedlichen Konten falsch zugeordnet werden können.
Steht ESS nicht zur Verfügung, kann eine Anmeldung ausschließlich per PIN die sicherere Alternative sein. Darüber hinaus empfiehlt die Behörde den Einsatz eines geeigneten TPM sowie einer verschlüsselten Festplatte. Auch private Nutzer sollten prüfen, ob ihr System ESS unterstützt und sich die biometrische Anmeldung dadurch zusätzlich absichern lässt.