Ein Blick ins Notebook, ein Finger auf den Sensor – und schon ist Windows entsperrt. Für viele Nutzer gehört Windows Hello längst zum Alltag. Passwörter scheinen damit fast schon vergessen. Doch eine Untersuchung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigt: Wie gut Windows Hello schützt, hängt nicht allein von Microsofts Software ab. Entscheidend sind auch die verwendete Hardware, die Einstellungen und vor allem die Frage, wer bereits Zugriff auf den Rechner hat.

Das BSI hat sich im Rahmen seines Projekts „Windows seziert“ insbesondere mit Windows Hello for Business beschäftigt. Die Ergebnisse sind vor allem für Unternehmen interessant. Denn biometrische Anmeldung ist zwar bequem – aber bequem bedeutet nicht automatisch unangreifbar.

 Windows Hello macht das Passwort überflüssig – zumindest scheinbar

Windows Hello funktioniert nach einem einfachen Prinzip: Statt jedes Mal ein klassisches Passwort einzugeben, bestätigt der Nutzer seine Identität beispielsweise über eine PIN, einen Fingerabdruck oder das eigene Gesicht.

Technisch steckt dahinter allerdings deutlich mehr. Bei der Einrichtung werden auf dem Gerät spezielle kryptografische Schlüssel erzeugt. Der entscheidende private Schlüssel soll das Gerät nicht verlassen. Erst wenn der Nutzer seine Identität erfolgreich bestätigt hat, wird der Zugriff darauf ermöglicht.

Zusätzlichen Schutz kann ein sogenanntes TPM bieten. Dabei handelt es sich um einen Sicherheitsbaustein, der bestimmte Informationen in einem geschützten Bereich des Computers verwaltet. Für Angreifer soll es dadurch schwieriger werden, an wichtige Schlüssel oder andere sicherheitsrelevante Daten zu gelangen.

Das klingt zunächst nach einem ziemlich robusten Konzept. Doch genau hier setzt die Untersuchung des BSI an.

Wenn der Angreifer bereits im Computer sitzt

Die wichtigste Erkenntnis lässt sich relativ einfach erklären: Windows Hello ist kein magischer Schutzschild gegen jemanden, der bereits weitreichende Kontrolle über einen Computer besitzt.

Besonders interessant sind dabei die biometrischen Informationen, die Windows für die Gesichtserkennung oder den Fingerabdruck benötigt. Diese Daten werden nicht einfach ungeschützt auf der Festplatte gespeichert. Sie befinden sich verschlüsselt in einer Datenbank.

Kritisch wird es vor allem dann, wenn ein Angreifer bereits weitreichenden Zugriff auf das Gerät hat. Unter bestimmten Voraussetzungen können dann Schutzmechanismen überwunden und Informationen rund um die biometrischen Vorlagen erreicht werden.

Nach den Erkenntnissen des BSI kann es unter solchen Bedingungen sogar möglich sein, die gespeicherten Informationen zu verändern. Ein Angreifer könnte dadurch eigene biometrische Merkmale einem fremden Benutzerkonto zuordnen.

Das bedeutet: Unter bestimmten Voraussetzungen könnte beispielsweise das Gesicht des Angreifers anschließend dazu verwendet werden, sich gegenüber Windows als eine andere Person auszugeben.

Wichtig ist allerdings eine entscheidende Einschränkung: Es handelt sich nicht um einen Angriff, bei dem jemand lediglich aus der Ferne ein fremdes Gesicht einscannt und anschließend einen beliebigen Rechner übernimmt. Der Angreifer muss bereits erheblichen Zugriff auf das betreffende Gerät haben.

Für Unternehmen wird die Sache besonders interessant

Genau deshalb sollte die Untersuchung nicht als „Windows Hello ist unsicher“-Schlagzeile verstanden werden. Die Realität ist komplizierter.

Ein Angreifer, der bereits weitreichende Kontrolle über einen Computer besitzt, hat ohnehin einen erheblichen Sicherheitsvorteil. Die spannende Frage lautet vielmehr: Wie weit kann ein Angreifer diese Kontrolle ausnutzen und welche zusätzlichen Möglichkeiten entstehen dadurch?

Besonders relevant wird das bei Computern, die von mehreren Personen genutzt werden. Wenn beispielsweise mehrere Mitarbeiter ihre biometrischen Merkmale auf demselben Gerät hinterlegen, steigt die Komplexität des Systems.

Das BSI empfiehlt deshalb, nach Möglichkeit nur eine Person für Windows Hello auf einem Gerät zu registrieren. Das klingt banal, kann in Unternehmen mit gemeinsam genutzten Rechnern aber durchaus eine wichtige Sicherheitsmaßnahme sein.

Denn je weniger Identitäten und biometrische Informationen auf einem Gerät zusammenkommen, desto kleiner ist auch die Angriffsfläche.

ESS soll die biometrische Anmeldung besser schützen

Eine weitere Empfehlung betrifft die sogenannte „Enhanced Sign-in Security“, kurz ESS.

Die Funktion soll dafür sorgen, dass die Verarbeitung biometrischer Informationen stärker von besonders geschützten Hardware-Komponenten abhängig ist. Dafür benötigt das System allerdings geeignete Kameras beziehungsweise Fingerabdrucksensoren und passende Treiber.

Genau hier liegt ein Punkt, der im Alltag gerne übersehen wird: Sicherheitsfunktionen sind nicht automatisch auf jedem Windows-Rechner verfügbar.

Ein modernes Windows-System allein garantiert also noch keine maximale Sicherheit. Entscheidend ist das Zusammenspiel aus Betriebssystem, Hardware, Treibern und den tatsächlich aktivierten Sicherheitsfunktionen.

Für Unternehmen bedeutet das: Wer Windows Hello professionell einsetzen möchte, sollte nicht nur fragen, ob die Funktion vorhanden ist. Viel wichtiger ist die Frage, welche Sicherheitsfunktionen die konkrete Geräteausstattung tatsächlich unterstützt.

Manchmal ist die gute alte PIN die bessere Wahl

Interessant ist auch die Empfehlung des BSI für Situationen, in denen ESS nicht zur Verfügung steht. Dann kann eine Anmeldung ausschließlich über eine PIN sinnvoller sein als die Nutzung biometrischer Verfahren.

Das wirkt auf den ersten Blick fast widersprüchlich. Schließlich gilt die biometrische Anmeldung als besonders modern und komfortabel.

Ein modernes und futuristisches System ist nicht automatisch sicher. Entscheidend ist, wie gut es sich unter realistischen Bedingungen gegen Angriffe schützen lässt.

Unternehmen sollten deshalb auch auf weitere Schutzmaßnahmen achten. Dazu gehören insbesondere ein geeignetes TPM und eine verschlüsselte Festplatte. Zusammen können diese Maßnahmen dazu beitragen, dass ein Angreifer nicht einfach an sensible Informationen gelangt, wenn er Zugriff auf das Gerät bekommt.

Auch Privatanwender können einen Blick in die Sicherheitseinstellungen ihres Rechners werfen. Wer Windows Hello mit Gesicht oder Fingerabdruck verwendet, sollte prüfen, welche Hardware vorhanden ist und ob zusätzliche Schutzfunktionen wie ESS unterstützt werden.

Das BSI liefert keinen Grund zur Panik – aber einen guten Grund zum Hinschauen

Die Untersuchung zeigt vor allem eines: IT-Sicherheit ist selten eine Frage von „sicher“ oder „unsicher“.

Windows Hello kann eine starke und praktische Alternative zum klassischen Passwort sein. Gleichzeitig gibt es Szenarien, in denen die Schutzwirkung davon abhängt, wie das Gerät ausgestattet und konfiguriert ist und welche Rechte ein Angreifer bereits erlangt hat.

Das ist keine Besonderheit von Windows Hello. Es ist eine grundlegende Realität moderner IT-Sicherheit: Ein System kann an der Eingangstür hervorragend geschützt sein – wenn jemand bereits einen Schlüssel für das Gebäude besitzt, sieht die Situation ganz anders aus.

Gerade Unternehmen sollten deshalb nicht den Fehler machen, biometrische Anmeldung als alleinige Sicherheitsstrategie zu betrachten. Entscheidend ist das gesamte Sicherheitskonzept.

Was legaldata davon hält

Die Untersuchung des BSI ist vor allem deshalb interessant, weil sie einen verbreiteten Irrtum korrigiert: Neue Technik ist nicht automatisch sichere Technik.

Gesichtserkennung und Fingerabdruck fühlen sich sicherer an als ein Passwort, weil sie persönlich und modern wirken. Das eigentliche Sicherheitsniveau entsteht aber nicht durch das gute Gefühl beim Blick in die Kamera. Es entsteht durch die Technik dahinter – und durch ihre richtige Konfiguration.

Für Unternehmen sollte deshalb nicht die Frage lauten: „Haben wir Windows Hello?“ Die bessere Frage ist: „Wie ist Windows Hello auf unseren Geräten tatsächlich abgesichert?“

Wer diese Frage nicht beantworten kann, verlässt sich letztlich auf die Werkseinstellungen und das Vertrauen darauf, dass schon alles passen wird. Bei einem privaten Notebook mag das eine Nachlässigkeit sein. In einem Unternehmen mit sensiblen Kundendaten, Geschäftsgeheimnissen oder personenbezogenen Informationen kann es schnell zu einem echten Sicherheitsproblem werden.

Der vielleicht wichtigste Punkt aus der BSI-Untersuchung lautet deshalb: Sicherheit ist kein einzelnes Produkt und schon gar kein Häkchen in den Windows-Einstellungen. Sie ist ein Gesamtsystem. Und genau dieses Gesamtsystem sollte regelmäßig überprüft werden.