BSI-Analyse: Grenzen der biometrischen Anmeldung mit Windows Hello

16.7.2026 · 3 Min. Lesezeit

Das BSI identifiziert Schwachstellen bei Windows Hello for Business – besonders ohne Enhanced Sign-in Security. Was Unternehmen jetzt prüfen und wie sie Risiken mindern.

flowchart LR
  subgraph Identity[Identity & Device Trust]
    A[User device with biometrics]
    A --> B[Windows Hello for Business]
    B --> C{Enhanced Sign-in Security (ESS)?}
  end

  C -- Yes --> D[Strong binding: TPM + device attestation]
  C -- No --> E[Weaker binding: potential bypass vectors]

  D --> F[Authentication to Entra ID]
  E --> F

  subgraph Controls[Security Controls & Monitoring]
    G[Defender policies]
    H[Conditional Access & governance]
    I[Sentinel monitoring]
  end

  F --> J{Access to Azure resources}
  G --> B
  H --> F
  I --> F

  E -. risk alerts .-> I
  D -. compliance signals .-> I

  J --> K[Mitigation actions]
  K --> H
  K --> G

Was ist neu

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Windows Hello for Business untersucht und auf Schwachstellen in der biometrischen Anmeldung hingewiesen, insbesondere wenn Enhanced Sign-in Security nicht aktiviert ist (laut Heise-Artikel).

Weitere Details zur Analyse finden Sie im Beitrag von Heise: https://www.heise.de/news/BSI-seziert-Windows-Hello-Wo-Microsofts-Anmeldung-an-Grenzen-stoesst-11365867.html

Was bedeutet das für Kunden

• Risikoabschätzung: Unternehmen, die auf biometrische Anmeldung mit Windows Hello for Business setzen, sollten das verbleibende Risiko ohne Enhanced Sign-in Security neu bewerten (laut Heise-Artikel).
• Abhängigkeit von Geräte- und Plattform-Schutz: Die Wirksamkeit der biometrischen Anmeldung hängt stark von Hardware-gestützten Sicherheitsmerkmalen ab. Ohne die erweiterten Sign-in-Schutzmechanismen steigt die Angriffsfläche (laut Heise-Artikel).
• Compliance und Audit: Auditoren könnten strengere Nachweise zur Nutzung von Enhanced Sign-in Security oder gleichwertigen Kontrollen verlangen, um Authentisitäts- und Manipulationsrisiken zu adressieren (laut Heise-Artikel).

Empfohlene Maßnahmen

1. Kurzfristig: Prüfen, ob Enhanced Sign-in Security für Windows Hello for Business in allen relevanten Gerätegruppen aktiviert ist; falls nicht, priorisierte Aktivierung planen (laut Heise-Artikel).
2. Härtung der Gerätesicherheit: Sicherstellen, dass nur Geräte mit aktuellen Firmware-/Treiberständen, Trusted Platform Module (TPM) und gesicherter Boot-Kette für biometrische Anmeldung zugelassen sind (laut Heise-Artikel).
3. Policy-Review: Richtlinien in Microsoft Intune/Group Policy für Windows Hello for Business validieren (z. B. verpflichtende Nutzung starker Sign-in-Schutzmechanismen) und Konfigurationsabweichungen beseitigen (eigene Einschätzung).
4. Starke MFA erzwingen: Für sensible Rollen bedingten Zugriff mit starker, phish-resistenter MFA vorschreiben (z. B. FIDO2-Sicherheitsschlüssel) als Alternative oder Ergänzung zur Biometrie (eigene Einschätzung).
5. Monitoring & Detection: Verdächtige Anmeldeereignisse in Microsoft Sentinel oder SIEM überwachen; Alerts für ungewöhnliche Muster konfigurieren (eigene Einschätzung).
6. Benutzeraufklärung: Administratoren und Endanwender über Grenzen biometrischer Verfahren und Anforderungen an Geräteschutz informieren (eigene Einschätzung).

Integration in die Praxis

• Intune-Richtlinie prüfen/setzen: Konfigurationsprofile für Windows Hello for Business so definieren, dass Enhanced Sign-in Security erzwungen wird. Beispiel für OMA-URI-basierte Einstellung (als Platzhalter, prüfen Sie die korrekte OMA-URI in der Produktdokumentation):

Name: Enforce Enhanced Sign-in Security
OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Authentication/EnhancedSignInSecurity
Datentyp: Integer
Wert: 1

• Bedingter Zugriff in Entra ID: Richtlinie erstellen, die für privilegierte Rollen FIDO2-Schlüssel als phish-resistente MFA verlangt und Windows Hello nur auf gehärteten, compliant Geräten zulässt.
• Sentinel-Use-Cases: Regeln einrichten, die fehlgeschlagene biometrische Anmeldeversuche und Wechsel von Authentifikatoren korrelieren, um mögliche Umgehungsversuche zu erkennen.

Einschätzung

Meiner Einschätzung nach ist die Kernaussage für Unternehmen klar: Biometrie vereinfacht den Alltag, ersetzt aber ohne starke, hardwaregestützte Schutzmechanismen keinen robusten Nachweis der Identität. Enhanced Sign-in Security sollte als Mindeststandard gelten. Für besonders schützenswerte Konten empfehle ich zusätzlich phish-resistente Verfahren wie FIDO2 und eine konsequente Geräte-Compliance-Prüfung. Die Kombination aus richtliniengestützter Härtung, Monitoring und Benutzeraufklärung schafft einen ausgewogenen Schutz ohne übermäßige Friktion.