Glossar
Windows Hello for Business
Kennwortlose Anmeldemethode, die Kennwörter durch einen gerätegebundenen, TPM-geschützten Schlüssel ersetzt, der per PIN oder biometrischer Geste entsperrt wird.
Windows Hello for Business ersetzt das Kennwort bei der Windows-Anmeldung durch ein asymmetrisches Schlüsselpaar, das bei der Registrierung auf dem Gerät erzeugt wird. Der private Schlüssel wird, sofern vorhanden, im TPM gespeichert und lokal per PIN oder biometrischer Geste entsperrt; der öffentliche Schlüssel wird bei Microsoft Entra ID oder Active Directory registriert. Da die PIN das Gerät nie verlässt und der Schlüssel an diese Hardware gebunden ist, nützt eine gestohlene PIN auf einem anderen Rechner nichts, und es gibt kein wiederverwendbares Kennwort, das Phishing-Kits abgreifen könnten. Für lokale Ressourcen nutzt es eines von mehreren Vertrauensmodellen: Cloud-Kerberos-Vertrauensstellung (die empfohlene Option für Hybridbereitstellungen), Schlüsselvertrauensstellung oder Zertifikatvertrauensstellung.
Das ist wichtig, weil Kennwörter nach wie vor der Hauptansatzpunkt für Phishing, Password Spraying und die Wiederverwendung von Anmeldeinformationen sind. Stellen Sie es mit Intune oder Gruppenrichtlinie bereit, verlangen Sie ein Hardware-TPM, legen Sie sinnvolle PIN-Komplexität und Anti-Hammering fest und kombinieren Sie es mit bedingtem Zugriff, damit die phishingresistente Anmeldung tatsächlich erzwungen wird. Halten Sie einen Wiederherstellungsprozess für verlorene Geräte und PIN-Zurücksetzungen bereit.
Siehe Windows Hello for Business für Administratoren und Benutzer.