Biometrische Anmeldung ist nur so sicher wie der Sensor, die Hardware, die Verschlüsselung und die Konfiguration dahinter.
Mit einem Blick in die Kamera oder dem Auflegen eines Fingers lässt sich ein moderner Windows-Rechner innerhalb weniger Sekunden entsperren. Windows Hello for Business soll diese bequeme Anmeldung mit einer höheren Sicherheit als klassische Passwörter verbinden.
Das Bundesamt für Sicherheit in der Informationstechnik hat die Technik nun im Rahmen des Projekts „Windows seziert“ genauer untersuchen lassen. Die am 15. Juli 2026 veröffentlichte Analyse beschreibt den vollständigen Anmeldevorgang, die Verarbeitung biometrischer Merkmale, die Biometriedatenbank und mögliche Angriffsszenarien. Daraus leitet das BSI konkrete Empfehlungen für Unternehmen und Behörden ab.
Die wichtigste Erkenntnis lautet: Windows Hello for Business kann eine sichere Anmeldung ermöglichen. Die Aktivierung von Gesichtserkennung oder Fingerabdruck allein reicht dafür jedoch nicht aus.
Windows Hello ersetzt nicht einfach nur das Passwort
Bei einer klassischen Anmeldung wird ein Passwort geprüft. Windows Hello for Business arbeitet dagegen mit einem kryptografischen Schlüsselpaar.
Der private Schlüssel befindet sich auf dem jeweiligen Gerät und wird idealerweise durch das Trusted Platform Module, kurz TPM, geschützt. Der dazugehörige öffentliche Schlüssel wird beim Identitätsdienst des Unternehmens registriert. Das kann beispielsweise ein lokales Active Directory oder Microsoft Entra ID sein.
Die PIN, der Fingerabdruck oder das Gesicht dient anschließend dazu, den privaten Schlüssel auf dem Gerät freizugeben. Das eigentliche biometrische Merkmal wird nicht als Passwort an einen Server übertragen. Microsoft zufolge bleiben die biometrischen Vorlagen auf dem jeweiligen Gerät gespeichert.
Dadurch kann eine abgefangene PIN nicht ohne Weiteres auf einem anderen Computer verwendet werden. Auch ein Angreifer, der die Anmeldedaten eines Mitarbeiters über eine gefälschte Internetseite abfragt, erhält nicht automatisch den auf dem Gerät geschützten privaten Schlüssel.
Die Biometriedatenbank ist ein möglicher Angriffspunkt
Die vom BSI beauftragten Sicherheitsforscher untersuchten nicht nur die grundlegende Funktionsweise, sondern auch die Verarbeitung der biometrischen Vorlagen.
Dabei zeigte sich, dass die Datenbank des Windows-Biometriedienstes auf Systemen ohne zusätzliche Schutzmechanismen nicht ausreichend gegen einen Angreifer mit lokalen Administratorrechten geschützt sein kann. Ein solcher Angreifer könnte gespeicherte biometrische Daten auslesen oder manipulieren.
Im untersuchten Angriffsszenario war es möglich, die Zuordnung der biometrischen Vorlage so zu verändern, dass sich ein Angreifer als ein bereits registrierter Benutzer anmelden konnte. Die Forscher weisen darauf hin, dass dadurch die gegenseitige Identitätsübernahme auf gemeinsam genutzten Geräten möglich werden kann.
Das bedeutet nicht, dass sich jeder Windows-Rechner allein mit einem Foto oder einem beliebigen Fingerabdruck entsperren lässt. Für den beschriebenen Angriff werden bereits weitreichende lokale Berechtigungen benötigt.
Dennoch ist das Szenario für Unternehmen relevant. Hat Schadsoftware Administratorrechte auf einem Arbeitsplatzrechner erlangt oder können mehrere Personen mit administrativen Konten auf das Gerät zugreifen, darf die biometrische Anmeldung nicht mehr als isolierter Schutz betrachtet werden.
Wer bereits Administratorrechte auf einem Rechner besitzt, kann unter Umständen auch Komponenten angreifen, auf die sich die biometrische Anmeldung verlässt.
Enhanced Sign-in Security soll die Biometrie abschirmen
Als wichtigste Schutzmaßnahme nennt das BSI den Modus Enhanced Sign-in Security, kurz ESS. Dabei werden besonders empfindliche Bestandteile der biometrischen Anmeldung in einer stärker isolierten Sicherheitsumgebung ausgeführt.
ESS benötigt allerdings kompatible Hardware. Nicht jede Kamera und nicht jeder Fingerabdrucksensor erfüllt die Voraussetzungen. Unternehmen können deshalb nicht allein davon ausgehen, dass ein neuer Windows-11-Rechner automatisch den höchsten verfügbaren Schutz verwendet.
Vor dem Einsatz biometrischer Anmeldung muss geprüft werden, ob das konkrete Gerät und der verwendete Sensor ESS unterstützen und ob der Sicherheitsmodus tatsächlich aktiviert ist.
Das BSI empfiehlt außerdem, pro Gerät nur eine Person für die biometrische Anmeldung zu registrieren. Dadurch soll das Risiko reduziert werden, dass sich Benutzer auf einem gemeinsam verwendeten Rechner gegenseitig übernehmen können.
Diese Empfehlung ist besonders für gemeinsam genutzte Bürorechner, Werkstatt-PCs, Laborarbeitsplätze, Schulungsgeräte oder andere Mehrbenutzersysteme relevant.
TPM und Festplattenverschlüsselung gehören zum Gesamtsystem
Windows Hello for Business sollte nach Empfehlung des BSI zusammen mit einem Trusted Platform Module und dessen Schutz gegen wiederholte Anmeldeversuche verwendet werden. Das TPM schützt kryptografische Schlüssel und kann einen Angreifer nach zu vielen fehlerhaften Versuchen zeitweise blockieren.
Zusätzlich empfiehlt das BSI eine vollständige Festplattenverschlüsselung. Sie verhindert, dass die interne SSD ausgebaut oder über ein anderes Betriebssystem ausgelesen wird, um direkt auf Systemdateien und gespeicherte Anmeldeinformationen zuzugreifen.
Auf Windows-Systemen wird hierfür häufig BitLocker verwendet. Entscheidend ist nicht nur, dass die Funktion grundsätzlich vorhanden ist. Unternehmen müssen kontrollieren, ob alle Laufwerke tatsächlich verschlüsselt sind und ob die Wiederherstellungsschlüssel sicher gespeichert werden.
Ohne Festplattenverschlüsselung kann selbst eine gut konfigurierte Anmeldung Daten auf einem gestohlenen oder unbeaufsichtigten Gerät nur unvollständig schützen.
Administratorrechte bleiben ein entscheidender Faktor
Die Untersuchung zeigt erneut, warum Mitarbeiter im Alltag nicht dauerhaft mit lokalen Administratorrechten arbeiten sollten.
Ein normales Benutzerkonto begrenzt den Zugriff auf sicherheitsrelevante Systembereiche. Für Installationen oder Änderungen kann ein getrenntes Administratorkonto verwendet werden. Wird das normale Arbeitskonto durch Schadsoftware kompromittiert, besitzt diese dadurch nicht automatisch vollständigen Zugriff auf das gesamte System.
Auch Windows Hello kann eine bereits vollständig kompromittierte Windows-Installation nicht wieder vertrauenswürdig machen. Biometrie schützt die Anmeldung, ersetzt aber weder Updates noch Virenschutz, Rechteverwaltung, Gerätekontrolle oder Datensicherung.
Die sichere Nutzung entsteht erst durch das Zusammenspiel aller Komponenten.
Müssen Unternehmen Windows Hello jetzt abschalten?
Eine pauschale Abschaltung lässt sich aus den veröffentlichten Empfehlungen nicht ableiten. Windows Hello for Business bietet weiterhin wichtige Vorteile gegenüber der alltäglichen Anmeldung mit einem wiederverwendeten Passwort.
Die verwendeten Schlüssel sind an das konkrete Gerät gebunden. PIN und biometrische Merkmale werden nicht wie klassische Passwörter an den Identitätsanbieter übertragen. Dadurch lassen sich insbesondere Phishingangriffe und die Wiederverwendung gestohlener Kennwörter erschweren.
Unternehmen sollten allerdings nicht nur die Funktion aktivieren und anschließend davon ausgehen, dass die Anmeldung automatisch sicher konfiguriert ist.
Vor einem breiten Einsatz muss geprüft werden, welche Rechner ESS unterstützen, ob TPM verwendet wird, ob die Festplattenverschlüsselung aktiv ist und welche Benutzer Administratorrechte besitzen. Bei gemeinsam genutzten Geräten sollte die biometrische Anmeldung besonders kritisch bewertet werden.
Was kleine Unternehmen überprüfen sollten
Kleine Unternehmen können mit einer Bestandsaufnahme beginnen. Dabei sollte für jedes Gerät dokumentiert werden, welche Windows-Version eingesetzt wird, ob TPM aktiv ist, ob die Festplatte verschlüsselt wurde und ob die Kamera oder der Fingerabdrucksensor Enhanced Sign-in Security unterstützt.
Anschließend sollte geprüft werden, wie viele Personen auf dem jeweiligen Gerät registriert sind und ob Mitarbeiter für ihre tägliche Arbeit lokale Administratorrechte verwenden.
Ebenso wichtig sind aktuelle Windows- und Firmwareupdates. Sicherheitsfunktionen wie ESS hängen nicht nur vom Betriebssystem, sondern auch von Gerätetreibern, Sensoren, Firmware und der Hardwareplattform ab.
Bei neuen Geräten sollte deshalb nicht lediglich mit „Windows-Hello-kompatibel“ geworben werden. Für den Unternehmenseinsatz ist entscheidend, ob die Hardware auch die erweiterten Sicherheitsfunktionen unterstützt.
Fazit
Die BSI-Analyse zeigt nicht, dass Gesichtserkennung und Fingerabdruck grundsätzlich unsicher sind. Sie zeigt vielmehr, dass biometrische Anmeldung kein einzelnes Produktmerkmal ist, das unabhängig vom restlichen System betrachtet werden kann.
Windows Hello for Business kann Passwörter sinnvoll ersetzen und Phishingangriffe erschweren. Voraussetzung sind jedoch kompatible Sensoren, Enhanced Sign-in Security, ein geschütztes TPM, Festplattenverschlüsselung, eingeschränkte Administratorrechte und eine saubere Geräteverwaltung.
Ein Fingerabdruck macht einen unsicheren Rechner nicht sicher. Erst eine gehärtete Systemumgebung macht die biometrische Anmeldung zu einem wirksamen Schutz.
Originalquelle: Bundesamt für Sicherheit in der Informationstechnik, Projekt „Windows seziert“ und Sicherheitsanalyse zu Windows Hello for Business, veröffentlicht am 15. Juli 2026.
Mehr aus dieser Kategorie
Dieses Bild ist AI generated. 
Dieses Bild ist AI generated. 
Dieses Bild ist AI generated. 
Dieses Bild ist AI generated. 
Dieses Bild ist AI generated.