Bereitstellungsmodelle für Windows Hello für Unternehmen 

Die Bereitstellungsmodelle für Windows Hello for Business sind die drei Architekturen, die Microsoft für die Einführung der passwortlosen Authentifizierung unterstützt: Cloud-only, Hybrid und On-Premises.

Jedes Bereitstellungsmodell legt fest, welcher Identitätsanbieter die Authentifizierung übernimmt und welches Vertrauensmodell für die Benutzerprüfung gegenüber Active Directory zur Verfügung steht. Die meisten Organisationen betreiben bereits einen Großteil der für eine Bereitstellung benötigten Infrastruktur. Cloud Kerberos ist das von Microsoft empfohlene Vertrauensmodell für Hybridbereitstellungen, es sei denn, eine Organisation hat spezifische Anforderungen an die zertifikatbasierte Authentifizierung, da dadurch die Bereitstellung einer Public-Key-Infrastruktur (PKI) für Windows Hello for Business entfällt.

Wichtige Erkenntnisse

• Es gibt drei Bereitstellungsmodelle: Cloud-only, Hybrid und On-Premises. Hybrid ist die gängigste Variante in Unternehmen, die sowohl Active Directory als auch Microsoft Entra ID verwenden.
• Drei Vertrauensmodelle regeln die lokale Authentifizierung: Cloud-Kerberos-Vertrauen, Zertifikatsvertrauen und Schlüsselvertrauen. Cloud-Kerberos-Vertrauen ist ausschließlich hybrid und erfordert keine PKI.
• Microsoft empfiehlt Cloud Kerberos Trust als standardmäßiges Hybrid-Vertrauensmodell, es sei denn, eine Zertifikatsauthentifizierung ist ausdrücklich erforderlich.
• Domänenadministratoren und andere privilegierte Konten können die Cloud-Kerberos-Vertrauensstellung aufgrund von Einschränkungen der Kennwortreplikationsrichtlinie nicht standardmäßig nutzen.
• Die lokale Bereitstellung dient heute einem engeren Anwendungsbereich, hauptsächlich Organisationen, die noch nicht bereit sind, Microsoft Entra ID einzuführen.

Die drei Bereitstellungsmodelle

Windows Hello for Business unterstützt reine Cloud-, Hybrid- und lokale Bereitstellungsmodelle. Die richtige Wahl hängt davon ab, wo die Identitäten einer Organisation gespeichert sind: vollständig in Microsoft Enterprise ID, aufgeteilt zwischen Microsoft Enterprise ID und lokalem Active Directory oder vollständig in Active Directory ohne Cloud-Präsenz.

reines Cloud-Bereitstellungsmodell

Das reine Cloud-Bereitstellungsmodell basiert vollständig auf Microsoft Entra ID für Identität und Authentifizierung und kommt ohne lokales Active Directory aus. Es eignet sich für Organisationen, deren Geräte ausschließlich auf Cloud-Ressourcen wie Microsoft 365, SharePoint Online und OneDrive zugreifen. Da kein lokales Active Directory zur Authentifizierung vorhanden ist, findet das Vertrauensmodell in dieser Bereitstellung keine Anwendung; die Geräte authentifizieren sich direkt bei Microsoft Entra ID mithilfe des Windows Hello for Business-Schlüssels.

Vorteile

• Optimiertes Management: Konfiguration, Überwachung und Aktualisierung erfolgen über Microsoft Entra ID und Intune, wodurch der Arbeitsaufwand für IT-Administratoren reduziert wird.
• SkalierbarkeitOrganisationen können Benutzer und Geräte hinzufügen, ohne zusätzliche Investitionen in die lokale Infrastruktur tätigen zu müssen.
• Flexibilität: Die Benutzer können sich von jedem Ort mit Internetanschluss aus authentifizieren, was für dezentrale und verteilte Teams ideal ist.

Nachteile

• Abhängigkeit von der Internetverbindung: Zur Authentifizierung ist eine Verbindung zu Microsoft Entra ID erforderlich, daher führen Ausfälle zu Unterbrechungen beim Anmelden.
• Sicherheitsbedenken: Manche Organisationen sind trotz der Sicherheitsvorkehrungen von Microsoft vorsichtig, Authentifizierungsdaten ausschließlich in der Cloud zu speichern.
• Datenschutz und ComplianceOrganisationen, die mit regulierten biometrischen Daten arbeiten, müssen möglicherweise die Datenspeicherung in der Cloud gegen ihre Compliance-Verpflichtungen abwägen.

On-Premises-Bereitstellungsmodell

Das lokale Bereitstellungsmodell nutzt ausschließlich lokales Active Directory und schließt weder Microsoft Entra ID-Identitäten noch Cloud-Anwendungen ein. Laut den FAQ zu Windows Hello for Business von Microsoft ist die lokale Bereitstellung für Organisationen gedacht, die mehr Zeit für den Umstieg in die Cloud benötigen und ausschließlich auf Active Directory setzen. Organisationen, die bereits Microsoft-Cloud-Dienste nutzen, wird stattdessen eine Hybridbereitstellung empfohlen. Ein dokumentierter Anwendungsfall für die lokale Bereitstellung sind verstärkte administrative Umgebungen (auch als „Red Forests“ bezeichnet), in denen administrative Anmeldeinformationen in einer gehärteten Gesamtstruktur isoliert werden.

Vorteile

• Lokale Steuerung: Organisationen behalten die direkte Kontrolle über das gesamte Windows Hallo für Geschäft Infrastruktur, die für spezifische Sicherheits- und Compliance-Anforderungen von Bedeutung ist.
• Datenresidenz: Die Authentifizierungsdaten verbleiben in den eigenen Rechenzentren der Organisation, was die Meldepflichten gegenüber den Aufsichtsbehörden vereinfachen kann.
• Verringerte Abhängigkeit von der Internetverbindung: Die Authentifizierung kann auch bei vorübergehenden Internetausfällen fortgesetzt werden, da sie nicht von der Microsoft Entra ID abhängt.

Nachteile

• Skalierbarkeitsherausforderungen: Die Erweiterung der Nutzerbasis erfordert Vorabinvestitionen in Hardware und Lizenzen anstatt einer schrittweisen Nutzung der Cloud.
• Eingeschränkter Fernzugriff: Für Benutzer außerhalb des Unternehmensnetzwerks gelten zusätzliche Konfigurationsanforderungen, da keine Cloud-Identitätsschicht als Fallback zur Verfügung steht.
• WartungskomplexitätDer Betrieb der Infrastruktur erfordert qualifiziertes IT-Personal für Aktualisierungen und Fehlerbehebung.

Hybrides Bereitstellungsmodell

Das hybride Bereitstellungsmodell synchronisiert Identitäten zwischen dem lokalen Active Directory und Microsoft Entra ID und ermöglicht Benutzern so Single Sign-On in beiden Umgebungen. Es ist das gängigste Bereitstellungsmodell in Unternehmen, da die meisten Organisationen nach wie vor eine Mischung aus lokalen und Cloud-Ressourcen nutzen. Hybrid ist zudem das einzige Bereitstellungsmodell, das alle drei Vertrauensmodelle, einschließlich Cloud-Kerberos-Vertrauensstellung, unterstützt.

Vorteile

• FlexibilitätHybrid bietet die Balance zwischen lokaler Kontrolle und Cloud-Skalierbarkeit und eignet sich daher für Organisationen, die schrittweise und nicht auf einmal migrieren.
• Lokale Kontrolle, wo es darauf ankommt: Geräteregistrierung, Zertifizierungsstellen und Schlüsselspeicherung können für Organisationen mit spezifischen Compliance-Anforderungen weiterhin lokal verwaltet werden.
• Compliance-Optionen: Organisationen können selbst entscheiden, wo bestimmte Authentifizierungsdaten verarbeitet und gespeichert werden, entweder lokal oder in der Cloud, um die Anforderungen an den Datenstandort zu erfüllen.

Nachteile

• Konfigurationskomplexität: Eine Hybridkonfiguration erfordert mehr Planung als eine Bereitstellung in einer einzigen Umgebung, um lokale und Cloud-Komponenten korrekt zu integrieren.
• Abhängigkeit von der Internetverbindung: Bei Internetausfällen sind cloudabhängige Authentifizierungsschritte, einschließlich Cloud Kerberos Trust, beeinträchtigt.
• VerwaltungsaufwandIT-Teams benötigen Fachkenntnisse sowohl im Bereich des lokalen Active Directory als auch der Microsoft Entra ID, um die Umgebung zu überwachen und zu warten.

Vertrauensmodelle

Das Vertrauensmodell bestimmt, wie sich ein Windows Hello for Business-Client bei der lokalen Active Directory-Umgebung authentifiziert. Es hat keinen Einfluss auf die Authentifizierung bei Microsoft Entra ID, da diese immer den Windows Hello for Business-Schlüssel verwendet. Hybridbereitstellungen unterstützen alle drei Vertrauensmodelle: Cloud-Kerberos-Vertrauensstellung, Zertifikatsvertrauensstellung und Schlüsselvertrauensstellung. Lokale Bereitstellungen unterstützen hingegen nur Zertifikats- und Schlüsselvertrauensstellung, da die Cloud-Kerberos-Vertrauensstellung von Microsoft Entra Kerberos abhängt.

Schlüsselvertrauensmodell

Die Schlüsselvertrauensstellung authentifiziert Benutzer mit einem hardwaregebundenen Schlüssel, der während der integrierten Windows Hello for Business- Bereitstellung generiert wird. Dem Benutzer wird kein Authentifizierungszertifikat ausgestellt, Domänencontroller benötigen jedoch weiterhin ein Zertifikat als Vertrauensanker für Clients.

Zertifikatvertrauensmodell

Das Zertifikatsvertrauen stellt dem Benutzer ein Authentifizierungszertifikat aus, das mithilfe des während der Bereitstellung erstellten hardwaregebundenen Schlüssels angefordert wird. Es erfordert eine unternehmensweite PKI und eine Zertifizierungsstelle und ist daher das infrastrukturintensivste der drei Vertrauensmodelle.

Cloud-Kerberos-Vertrauensmodell

Cloud Kerberos Trust nutzt Microsoft Entra Kerberos, um ein Ticket-Granting-Ticket direkt von Microsoft Entra ID auszustellen. Dadurch entfällt die Notwendigkeit, eine PKI für Windows Hello for Business bereitzustellen. Microsoft empfiehlt dieses Modell als Standard für hybride Vertrauensstellungen, wenn keine Zertifikatsauthentifizierung erforderlich ist, da es die einzige Option für hybride Vertrauensstellungen ist, die keine Zertifikate benötigt.

Vergleich der Vertrauensmodelle

Die folgende Tabelle vergleicht Cloud Kerberos Trust, Zertifikatsvertrauen und Schlüsselvertrauen hinsichtlich Authentifizierungsmethode, Unterstützung von Bereitstellungsmodellen, PKI-Anforderungen und den aktuellen Richtlinien von Microsoft.

Eigenschaften	Cloud Kerberos Trust	Zertifikatvertrauen	Schlüsselvertrauen
Benutzerauthentifizierung	Fordert ein Kerberos-Ticket-Granting-Ticket direkt von Microsoft Entra ID über Microsoft Entra Kerberos an.	Erfordert ein Authentifizierungszertifikat, das über einen gerätegebundenen Schlüssel ausgestellt wird, der während der Bereitstellung erstellt wurde.	Verwendet einen gerätegebundenen Schlüssel, der während der Bereitstellung erstellt wurde. Dem Benutzer wird kein Zertifikat ausgestellt.
Unterstützung des Bereitstellungsmodells	Nur Hybrid	Hybrid und On-Premises	Hybrid und On-Premises
PKI-Anforderung	Nicht erforderlich	Erforderlich: Unternehmens-PKI plus eine Zertifizierungsstelle	Nur für Domänencontrollerzertifikate erforderlich
Die aktuellen Richtlinien von Microsoft	Empfohlene Standardeinstellung für Hybridbereitstellungen, es sei denn, eine Zertifikatsauthentifizierung ist ausdrücklich erforderlich.	Verwenden Sie diese Option, wenn eine zertifikatsbasierte Authentifizierung erforderlich ist.	Die ältere Option wurde in neuen Hybridbereitstellungen weitgehend durch Cloud Kerberos Trust ersetzt.

Einige operative Details lassen sich nicht vollständig in die obige Tabelle einfügen, beeinflussen aber die Auswahl des Vertrauensmodells. Domänenadministratoren und andere Mitglieder geschützter Active Directory-Gruppen können sich standardmäßig nicht mit Cloud-Kerberos-Vertrauensstellungen oder FIDO2-Sicherheitsschlüsseln bei lokalen Ressourcen anmelden, da die Kennwortreplikationsrichtlinie des Microsoft Entra Kerberos-Computerobjekts dies blockiert.

Cloud-Kerberos-Vertrauensstellungen können nicht als bereitgestellte Anmeldeinformationen für RDP- oder VDI-Sitzungen verwendet werden, es sei denn, ein Zertifikat wird separat für diesen Zweck registriert oder Remote Credential Guard wird stattdessen verwendet. Die Migrationspfade zwischen den Vertrauensmodellen sind nicht symmetrisch: Der Wechsel von einer Schlüsselvertrauensstellung zu einer Cloud-Kerberos-Vertrauensstellung kann über Gruppenrichtlinien oder Intune erfolgen, es gibt jedoch keinen direkten Migrationspfad von einer Zertifikatsvertrauensstellung zu einer Cloud-Kerberos-Vertrauensstellung, da der vorhandene Windows Hello for Business-Container vor der erneuten Bereitstellung gelöscht werden muss.

Vergleich der Bereitstellungsmodelle

Diese Tabelle vergleicht die On-Premises-, Cloud-only- und Hybrid-Bereitstellungsmodelle hinsichtlich Kontrolle, Datenresidenz, Integration und Skalierbarkeit.

Funktion	Auf dem Gelände	Nur Cloud	Hybrid
Kontrolle und Management	Vollständige lokale Kontrolle über Infrastruktur und Daten	Die Verwaltung erfolgt vollständig über Microsoft Enterprise ID und Intune.	Ausgewogenheit zwischen lokaler Kontrolle und cloudbasiertem Management
Datenresidenz	Die Authentifizierungsdaten verbleiben lokal.	Authentifizierungsdaten, die in Microsoft Entra ID gespeichert sind	Registrierungs- und Richtliniendaten können je nach Vertrauensmodell lokal, in der Cloud oder beides gespeichert werden.
Integration	Lässt sich nur in lokale Active Directory integrieren.	Basiert vollständig auf Microsoft Entra ID	Synchronisiert Active Directory-Identitäten mit Microsoft Entra ID
Skalierbarkeit	Für eine Skalierung sind zusätzliche Investitionen in die lokale Infrastruktur erforderlich.	Skaliert mit minimalem Infrastrukturaufwand	Skaliert ähnlich wie reine Cloud-Lösungen für Entra-ID-registrierte Komponenten, aber lokale Komponenten erfordern weiterhin eine Infrastrukturplanung.

Wie Verschlüsselungsberatung hilft

Die Wahl des passenden Bereitstellungs- und Vertrauensmodells für Windows Hello for Business erfordert ein genaues Bild der bestehenden PKI, der Active Directory-Topologie und der Microsoft Entra ID-Konfiguration eines Unternehmens. Das PKI-Services -Team von Encryption Consulting analysiert diese Umgebung zunächst und entwirft anschließend die Zertifikatvorlagen, Registrierungsstellen und Domänencontrollerzertifikate, auf denen die Bereitstellung von Zertifikats- und Schlüsselvertrauensmodellen basiert.

Für Unternehmen, die eine Einführung von Grund auf planen, deckt der Implementierungsservice von Encryption Consulting für Windows Hello for Business die Auswahl des Bereitstellungsmodells, die Konfiguration des Vertrauensmodells sowie die vollständige Bereitstellung über Intune oder Gruppenrichtlinien ab. Unternehmen, die den Aufbau und die Wartung einer internen PKI vermeiden möchten, können ihre Zertifikatsinfrastruktur über PKI-as-a-Service betreiben . Nach der Ausstellung der Zertifikate bietet CertSecure Manager Transparenz über den gesamten Lebenszyklus und die automatische Erneuerung der Domänencontroller- und Benutzerzertifikate, die für eine hybride oder lokale Bereitstellung unerlässlich sind.

Häufig gestellte Fragen

Welches Windows Hello for Business-Bereitstellungsmodell sollte meine Organisation wählen?

Die reine Cloud-Lösung eignet sich für Organisationen ohne lokales Active Directory, die vollständig auf Microsoft Entra ID setzen. Die Hybrid-Lösung ist für Organisationen geeignet, die Identitäten zwischen Active Directory und Microsoft Entra ID synchronisieren und Single Sign-On für beide benötigen – das häufigste Szenario in Unternehmen. Die On-Premises-Lösung eignet sich für Organisationen, die Microsoft Entra ID überhaupt nicht nutzen; Microsoft empfiehlt Organisationen, die bereits Microsoft-Cloud-Dienste verwenden, stattdessen ein Hybrid-Modell.

Ist Cloud Kerberos Trust auch für lokale Bereitstellungen verfügbar?

Nein. Cloud-Kerberos-Vertrauensstellung basiert auf Microsoft Entra Kerberos und wird nur in Hybridbereitstellungen unterstützt. Lokale Bereitstellungen, die keine Microsoft Entra ID-Verbindung haben, unterstützen nur die Modelle der Schlüssel- und Zertifikatsvertrauensstellung.

Benötige ich eine PKI, um Windows Hello for Business bereitzustellen?

Nur für Zertifikatsvertrauen, das eine unternehmensweite PKI und eine Zertifizierungsstelle erfordert, oder Schlüsselvertrauen, das Zertifikate auf Domänencontrollern benötigt. Cloud-Kerberos-Vertrauen beseitigt die Notwendigkeit, eine PKI für Windows Hello for Business selbst bereitzustellen. Daher empfiehlt Microsoft es als standardmäßiges hybrides Vertrauensmodell, wenn keine explizite Zertifikatsauthentifizierung erforderlich ist.

Können Domänenadministratoren Cloud-Kerberos-Vertrauensstellungen nutzen?

Standardmäßig nicht. Die Kennwortreplikationsrichtlinie des Microsoft Entra Kerberos-Computerobjekts verhindert, dass sich Konten mit hohen Berechtigungen, darunter Domänenadministratoren und Mitglieder anderer geschützter Gruppen, mit Cloud-Kerberos-Vertrauensstellung oder FIDO2-Sicherheitsschlüsseln bei lokalen Ressourcen anmelden. Microsoft rät dringend davon ab, diese Richtlinie zu lockern, da dadurch ein Sicherheitsrisiko zwischen Microsoft Entra ID und Active Directory entsteht.

Kann ich direkt von einer Zertifikatsvertrauensstellung zu einer Cloud-Kerberos-Vertrauensstellung migrieren?

Nein. Es gibt keinen direkten Migrationspfad von einer Zertifikatsvertrauensstellung zu einer Cloud-Kerberos-Vertrauensstellung. Der vorhandene Windows Hello for Business-Container muss gelöscht werden, bevor ein Gerät unter einer Cloud-Kerberos-Vertrauensstellung neu bereitgestellt werden kann. Die Migration von einer Schlüsselvertrauensstellung zu einer Cloud-Kerberos-Vertrauensstellung ist einfacher und kann über Gruppenrichtlinien oder Intune ohne Löschen des Containers durchgeführt werden.

Wählen Sie das richtige Bereitstellungsmodell mit Zuversicht

Sie planen die Einführung von Windows Hello for Business oder möchten ein Problem mit einem hybriden Vertrauensmodell beheben? Sehen Sie PKI-Dienste in Aktion oder lesen Sie mehr über die Grundlagen der Public-Key-Infrastruktur (PKI).