Passwortlose-Anmeldung in Unternehmen sicher umsetzen So konfigurieren Sie Windows Hello for Business

Anbieter zum Thema

Microsoft Deutschland GmbH

WatchGuard Technologies GmbH

Soft & Cloud GmbH

Windows Hello for Business ist eine Authentifizierungstechnologie von Microsoft, die es Unternehmen ermöglicht, ein sicheres und benutzerfreundliches Anmeldeverfahren für Windows zu implementieren.

Im Gegensatz zu herkömmlichen Anmeldeverfahren, die auf Benutzernamen und Passwörtern basieren, bietet Windows Hello for Business eine passwortlose Lösung, die auf biometrischen Daten wie Gesichtserkennung, Fingerabdruck oder einer PIN basiert. Diese Methode erhöht die Sicherheit erheblich, da keine sensiblen Daten wie Passwörter über das Internet übertragen werden.

Die Authentifizierung erfolgt lokal auf dem Gerät, wobei ein kryptografischer Schlüssel generiert wird, der als Token für die Anmeldung bei Diensten wie Microsoft 365 oder Azure dient. Durch die Integration von Hardware-Sicherheitsmodulen wie TPM-Chips kann die Sicherheit weiter gesteigert werden. Windows Hello for Business unterstützt zudem Multi-Faktor-Authentifizierung und ermöglicht Unternehmen eine flexible Konfiguration, um strengere Sicherheitsrichtlinien zum Beispiel für höher privilegierte Konten zu implementieren. Diese Technologie vereint Benutzerfreundlichkeit mit hohem Schutz und trägt zur Reduzierung von Sicherheitsrisiken durch kompromittierte Passwörter bei. Es lohnt sich daher, wenn sich Admins mit dem Thema auseinandersetzen.

Bildergalerie

Bildergalerie mit 6 Bildern

Was ist Windows Hello for Business genau?

Windows Hello for Business ermöglicht eine sichere, passwortlose Authentifizierung, indem es biometrische Daten oder eine PIN zur Anmeldung verwendet. Die Integration von Cloud Kerberos Trust erlaubt eine nahtlose Authentifizierung sowohl für Cloud- als auch für On-Premises-Ressourcen wie Active Directory. Durch die Nutzung von Azure AD/Entra ID Kerberos wird eine sichere Verbindung zu lokalen Active-Directory-Domänen hergestellt, während gleichzeitig Single Sign-On (SSO) für Anwendungen in Entra ID ermöglicht wird.

Der Cloud Kerberos Trust zwischen Entra ID und AD ist der aktuellste und am einfachsten einzurichtende Trust für hybride Bereitstellungen von Windows Hello for Business. Eine lokale PKI ist dazu nicht notwendig. Bei diesem Trust arbeitet Windows Hello für Business mit einem neuen Computerobjekt in der Form eines Read-Only-Domänencontrollers (RODC) in Active Directory, das die Anmeldung der Benutzerkonten aus Entra ID steuert. Es muss dafür aber kein Server installiert werden, das Objekt in AD reicht aus. Die Verwendung des Cloud Kerberos Trust ist daher der empfohlene Weg.

Parallel gibt es noch Key Trust und Certificate Trust. Eine dieser drei Vertrauensstellungen zwischen Azure AD/Entra ID und dem lokalen Active Directory muss eingerichtet sein, damit sich Anwender mit Windows Hello for Business an Entra ID und an AD anmelden können. Für Key Trust und Certificate Trust ist eine lokale PKI notwendig, da für die Authentifizierung Zertifikate eine wichtige Rolle spielen. Hierzu kommen Benutzerzertifikate zum Einsatz, die Admins an die Benutzer zuteilen müssen. Die Benutzer können anschließend ihre Zertifikate nutzen, um von Active Directory ein Kerberos-Ticket zu erhalten.

Zu den wichtigsten Schritten bei der Einrichtung gehören das Konfigurieren von Gruppenrichtlinien und das Einrichten von Multifaktor-Authentifizierung, um die Erstregistrierung der Benutzer zu unterstützen. Bei der Anmeldung an modernen Notebooks oder PCs kann Windows Hello for Business Benutzer mit der integrierten Kamera anmelden, natürlich in Verbindung mit MFA und anderen Technologien. Bei der Anmeldung über eine PIN ist ein Benutzer ebenfalls sicherer unterwegs als mit einem Kennwort. Während Benutzername und Kennwort auch auf anderen PCs funktionieren und damit Angreifern einen Nutzen bringen, wenn sie die Daten erbeuten, ist die PIN nur auf dem PC gültig, für den sie registriert ist, also der PC oder das Notebook des Benutzers selbst. Gespeichert wird die PIN nur auf dem PC. Daher muss sie nicht sehr komplex sein, um sicheren Zugang zu ermöglichen. Da PINs einfach zu merken sind, sinkt die Gefahr, dass Anwender diese notieren müssen oder sie mit anderen Diensten nutzen. Die PIN dient auch als Fallback. Erkennt die Kamera oder der Fingerabdruck-Sensor den Benutzer nicht, kann er sich mit der PIN an seinem PC anmelden. Das geht aber nur an diesem einen PC, auf dem die PIN konfiguriert ist.

Neben biometrischen Anmeldungen lassen sich auch Fido-Keys nutzen. Windows Hello und Windows Hello for Business speichern ihre Daten verschlüsselt auf dem TPM-Chip des jeweiligen Gerätes. Die Daten verlassen den Chip und damit den PC nicht. Durch die Sicherheitstechnologien im TPM sind die Daten sehr sicher. Generell ist der Einsatz von Windows Hello for Business daher auch nur auf PCs und Notebooks sinnvoll, auf denen ein TPM-Chip verbaut und aktiv ist. Die Aktivierung erfolgt im BIOS/UEFI. Ist der Chip aktiv, lassen sich dessen Daten zum Beispiel mit „tpm.msc“ in Windows abrufen.

Windows Hello versus Windows Hello for Business

bei Windows Hello und Windows Hello for Business erfolgt die Anmeldung zwar auf der gleichen Basis, nach der erfolgreichen Anmeldung versendet Windows Hello aber die gespeicherten Anmeldedaten des Benutzers über das Netzwerk an die Domänencontroller. Angreifer könnten hier die Password-Hashes wie bei normalen Anmeldungen über Benutzername und Kennwort einfach abgreifen.

Im Gegensatz dazu verwendet Windows Hello for Business für die Anmeldung an Azure AD/Entra ID und an Domänencontrollern asymmetrische Schlüssel. Es fließen daher keine Benutzerdaten über das Netzwerk, sondern nur hochsichere und asymmetrische Schlüssel. Das ist wesentlich sicherer als bei der Anmeldung mit Windows Hello. Mit Windows Hello for Business können Unternehmen drei verschiedene Anmeldeszenarien abdecken:

• Anmeldung an Azure AD/Entra ID: Hier gibt es nur Zugriff auf die Cloud, keinerlei Zugriff auf lokale Ressourcen und Active Directory. Die Geräte sind Mitglied in Entra ID/Azure AD

• Anmeldung an Active Directory im lokalen Rechenzentrum: Dieses Einsatzgebiet ist relativ selten, aber möglich. Hier gibt es keinerlei Cloud-Ressourcen, sondern alle Ressourcen befinden sich im lokalen Rechenzentrum

• Anmeldung an Azure AD/Entra ID und Active Directory (hybride Anmeldung): Hier können Anwender mit Ressourcen in Active Directory und in Entra ID arbeiten, meistens erfolgt eine Synchronisierung der Benutzerdaten zwischen Active Directory und Azure AD/Entra ID

Wie erfolgt die Einrichtung von Windows Hello for Business

Windows Hello for Business wird durch Admins aktiviert. Sobald der Dienst aktiv ist, erhalten Benutzer bei der Anmeldung einen Assistenten, mit dem sie Windows Hello einrichten können. Diese entspricht generell der Einrichtung von Windows Hello, mit dem Unterschied, dass im Hintergrund keine Benutzerdaten über das Netzwerk geschickt werden, sondern nur die asymmetrischen Schlüssel. Die Einrichtung selbst ist für den Benutzer über den Assistenten in Windows 10 und Windows 11 einfach abzuschließen. Die Einrichtung muss ein Benutzer auf jedem seiner PCs durchführen, da die Daten von Windows Hello for Business immer lokal im TPM-Chip gespeichert werden.

Die Aktivierung von Windows Hello for Business erfolgt üblicherweise über Microsoft Intune. Hier sind die Einstellungen im Intune Admin Center über „Geräte -> Registrierung -> Windows Hello for Business“ zu finden. Hier wird zunächst die Option „Windows Hello for Business konfigurieren“ auf „Aktiviert“ gesetzt. Dadurch lassen sich verschiedene Einstellungen vorgeben. Generell gelten die Einstellungen für alle Nutzer des Abonnements. Das kann im oberen Bereich des Fensters bei „Zugewiesen an“ aber geändert werden.

Die zweite Möglichkeit, Windows Hello for Business zu konfigurieren, besteht über eine Richtlinie, die den jeweiligen Geräten zugewiesen wird. Diese Einstellungen sind bei „Endpunktsicherheit -> Verwalten -> Kontoschutz“ zu finden. Mit „Richtlinie erstellen“ erstellt man eine neue Richtlinie zur Zuweisung von Windows Hello for Business. Als „Plattform“ wird „Windows“ und als „Profiltyp“ die Option „Kontoschutz“ ausgewählt. Danach erfolgt die Konfiguration bei „Konfigurationseinstellungen“. Danach erfolgt die Festlegung der gewünschten PIN-Mindestlängen, der Kennwörter und weiterer Einstellungen. Bei „Verwenden von Windows Hello for Business (Gerät)“ wählt man ebenfalls „true“ aus. Wenn alle Einstellungen gesetzt sind, erfolgt die Zuweisung der Richtlinie an die gewünschten Geräte oder Gruppen.

(ID:50242075)