Was ist Windows Hello for Business?

Windows Hello for Business (WHfB) ist Microsofts Technologie zur passwortlosen Authentifizierung, die Passwörter durch eine starke Zwei-Faktor-Authentifizierung ersetzt. Dabei wird ein gerätegebundenes kryptografisches Schlüsselpaar verwendet, das durch eine PIN oder biometrische Daten entsperrt wird. 

Windows Hello for Business ermöglicht die Anmeldung von Benutzern ohne Passwort. Während der Einrichtung wird ein asymmetrisches Schlüsselpaar generiert, das idealerweise durch das TPM des Geräts geschützt ist, und der öffentliche Schlüssel beim Identitätsanbieter registriert. Der Benutzer entsperrt den privaten Schlüssel lokal mit einer PIN oder biometrischen Daten. Da der private Schlüssel das Gerät niemals verlässt, ist WHfB resistent gegen Phishing und den Diebstahl von Anmeldeinformationen. 

Wichtige Erkenntnisse 

• Windows Hello for Business ist Microsofts passwortlose, phishing-resistente Anmeldemethode für Windows. 

• Es verwendet ein gerätegebundenes asymmetrisches Schlüsselpaar, das idealerweise im TPM gespeichert ist und per PIN oder Biometrie entsperrt wird. 

• Es handelt sich um eine echte Zwei-Faktor-Authentifizierung: das Gerät (Schlüssel) plus eine Geste (PIN oder biometrisches Merkmal). 

• Vertrauensmodelle sind Cloud-Kerberos-Vertrauenswürdigkeit, Schlüsselvertrauenswürdigkeit und Zertifikatsvertrauenswürdigkeit. 
• Microsoft empfiehlt nun Cloud-Kerberos-Vertrauensstellung, wodurch die Zertifikatspflicht für Hybrid-Setups entfällt. 

Was ist Windows Hello for Business? 

Windows Hello for Business ersetzt Passwörter durch eine starke, schlüsselbasierte Authentifizierung, die an ein bestimmtes Gerät gebunden ist. Bei der Registrierung eines Benutzers generiert Windows ein asymmetrisches Schlüsselpaar und registriert den öffentlichen Schlüssel beim Identitätsanbieter Microsoft Entra ID. In hybriden Umgebungen wird dieser Schlüssel anschließend mit dem Benutzerobjekt in Active Directory synchronisiert. Der private Schlüssel verbleibt auf dem Gerät, idealerweise im Trusted Platform Module (TPM), und der Benutzer entsperrt es mit einer PIN oder biometrischen Daten wie Fingerabdruck oder Gesichtserkennung. 

So funktioniert Windows Hello for Business 

• Während der Registrierung generiert das Gerät ein asymmetrisches Schlüsselpaar, das vorzugsweise durch das TPM geschützt ist. 
• Der öffentliche Schlüssel wird bei Microsoft Entra ID unter der Identität des Benutzers registriert und in Hybridbereitstellungen mit Active Directory synchronisiert. 
• Zum Anmelden gibt der Benutzer eine PIN oder biometrische Daten ein, die den privaten Schlüssel lokal freischalten. 
• Das Gerät verwendet den privaten Schlüssel zur Authentifizierung, und der private Schlüssel verlässt niemals das Gerät. 

Warum es sicherer ist als Passwörter 

Passwörter können durch Phishing, Erraten, Wiederverwenden und massenhaftes Stehlen von Servern ausgenutzt werden. Windows Hello for Business (WHfB) entfernt das Passwort von der Anmeldung. Die Authentifizierung basiert auf einem privaten Schlüssel, der an das Gerät gebunden und durch Hardware geschützt ist, sowie einer lokalen Geste. Dadurch gibt es kein gemeinsames Geheimnis, das aus der Ferne abgefangen werden könnte. Dies macht WHfB resistent gegen Phishing und zu einer starken Form der Zwei-Faktor-Authentifizierung. 

Windows Hello vs. Windows Hello for Business 

	Windows Hallo	Windows Hallo für Geschäft
Publikum	Einzelverbraucher	Organisationen
Verwaltung	Lokal zum Gerät	Gruppenrichtlinie von Microsoft Intune
Identitätsschutz	Lokales Konto	Active Directory oder Microsoft Entra ID
schaffen	Komfort-Anmeldung	Asymmetrisches Schlüsselpaar, Zwei-Faktor-Authentifizierung

Bereitstellungs- und Vertrauensmodelle 

Windows Hello for Business unterstützt drei Vertrauensmodelle, die festlegen, wie die Authentifizierung mit Ihrem Verzeichnis verknüpft wird. 

Vertrauensmodell	Zusammenfassung
Cloud Kerberos-Vertrauen	Das von Microsoft empfohlene Modell. Es nutzt Microsoft Entra Kerberos und macht die Bereitstellung einer PKI für Windows Hello for Business überflüssig.
Schlüsselvertrauen	Verwendet den bei Active Directory registrierten Schlüssel. Erfordert eine PKI für Domänencontrollerzertifikate.
Zertifikatsvertrauen	Stellt Benutzerzertifikate zur Authentifizierung aus. Erfordert eine vollständige PKI für Benutzer und Domänencontroller.

Für die Cloud-Kerberos-Vertrauensstellung gelten Mindestversionsanforderungen: Windows 10 21H2 (KB5010415) oder Windows 11 21H2 (KB5010414) auf Clients und Windows Server 2016 oder höher auf Domänencontrollern. Wichtig: Mitglieder privilegierter Gruppen, wie z. B. Domänenadministratoren, sind standardmäßig von der Cloud-Kerberos-Vertrauensstellung ausgeschlossen. Ihre Konten sind in der Kennwortreplikationsrichtlinie des AzureADKerberos-Objekts gesperrt, und Microsoft empfiehlt nicht, diese Richtlinie zu lockern, um sie einzubeziehen. Planen Sie eine alternative Anmeldemethode für diese Konten ein. 

Wo PKI noch Platz hat 

Auch wenn Cloud-Kerberos-Vertrauensstellungen die Zertifikatsanforderungen reduzieren, bleibt die PKI in vielen Microsoft-Umgebungen zentral, darunter Domänencontroller-Zertifikate, Zertifikatsvertrauensbereitstellungen und andere Authentifizierungsszenarien. Eine gut funktionierende interne PKI bildet die Grundlage dafür . Erfahren Sie mehr über die Funktion einer Zertifizierungsstelle .

Wie Verschlüsselungsberatung hilft 

Die PKI-Services von Encryption Consulting entwerfen und betreiben die Microsoft-PKI, die Windows Hello for Business unterstützt, einschließlich Domänencontroller-Zertifikaten und Zertifikatsvertrauensbereitstellungen sowie des gesamten Zertifikatslebenszyklus. Unsere Arbeit basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen 

Ist Windows Hello for Business eine Multi-Faktor-Authentifizierung? 

Ja. Windows Hello for Business bietet echte Zwei-Faktor-Authentifizierung. Der erste Faktor ist der gerätegebundene private Schlüssel, den Sie besitzen. Der zweite Faktor ist die Entsperrgeste, eine PIN oder ein biometrisches Merkmal, das Sie kennen oder sind. Beide Faktoren sind erforderlich, und der private Schlüssel verlässt niemals das Gerät. Dadurch ist WHfB eine starke und phishing-resistente Authentifizierung. 

Worin besteht der Unterschied zwischen Windows Hello und Windows Hello for Business? 

Windows Hello ist die Funktion für Endverbraucher, mit der sich Nutzer per PIN oder biometrischen Daten an einem Gerät anmelden können. Windows Hello for Business ist die Unternehmensversion, die über Gruppenrichtlinien oder Intune verwaltet wird. Sie verwendet ein asymmetrisches Schlüsselpaar, das an eine Organisationsidentität gebunden ist, und integriert sich in Active Directory oder Microsoft Enterprise ID für eine sichere, zentral gesteuerte Anmeldung. 

Benötigt Windows Hello for Business eine PKI? 

Das hängt vom Vertrauensmodell ab. Zertifikats- und Schlüsselvertrauensstellung nutzen Active Directory und erfordern eine PKI für Domänencontrollerzertifikate; Zertifikatsvertrauensstellung benötigt außerdem Benutzerzertifikate. Cloud-Kerberos-Vertrauensstellung, die Microsoft für Hybridbereitstellungen empfiehlt, macht die Bereitstellung einer PKI für Windows Hello for Business überflüssig, indem ein Vertrauensobjekt in Active Directory über Microsoft Entra Kerberos erstellt wird. 

Ist Windows Hello for Business resistent gegen Phishing? 

Ja. Da die Authentifizierung einen an das Gerät gebundenen und durch das TPM geschützten privaten Schlüssel verwendet, gibt es kein Passwort, das ausgenutzt, wiederverwendet oder wiederholt angegriffen werden könnte. Ein Angreifer kann die Anmeldeinformationen nicht aus der Ferne abfangen und verwenden, da die Signierung das lokale Gerät und die PIN oder biometrische Daten des Benutzers erfordert. Daher zählt WHfB zu den von Microsoft empfohlenen Methoden zum Schutz vor Phishing. 

Welches Vertrauensmodell sollte ich für Windows Hello for Business verwenden? 

Microsoft empfiehlt für die meisten Hybridbereitstellungen die Verwendung von Cloud-Kerberos-Vertrauensstellung. Diese ist am einfachsten bereitzustellen, erfordert keine Zertifikatsinfrastruktur für Benutzer und ist optimal mit Microsoft Entra ID und Intune kompatibel. Schlüssel- und Zertifikatsvertrauensstellung bleiben für bestimmte Szenarien weiterhin Optionen, Cloud-Kerberos-Vertrauensstellung ist jedoch aktuell die Standardempfehlung. 

Erstellen Sie die PKI hinter passwortlosen 

Sie möchten Windows Hello for Business auf einer soliden PKI einsetzen? Sprechen Sie mit den PKI-Experten von Encryption Consulting oder erfahren Sie, was eine Zertifizierungsstelle ist.