Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Rahmen seines neuen Projekts „Windows seziert“ die erste Untersuchung veröffentlicht. Im Fokus steht Windows Hello for Business (WHfB), das Anmeldeverfahren, mit dem sich Nutzer statt per Passwort per PIN, Fingerabdruck oder Gesichtserkennung an Windows-10- und Windows-11-Systemen anmelden können.
Die Behörde untersucht dabei, wie der Authentifizierungsablauf technisch funktioniert – vom Windows-Biometriedienst über die Schnittstelle „Windows Biometric Framework“ bis zur Verwaltung der biometrischen Datenbank auf dem Gerät. Zusätzlich analysiert das BSI die erweiterte Anmeldesicherheit „Enhanced Sign-in Security“ (ESS) sowie mögliche Angriffsszenarien samt Gegenmaßnahmen.
Was bedeutet das konkret? Die Analyse macht deutlich, dass Windows Hello for Business grundsätzlich sicherer ist als eine reine Passwort-Anmeldung, da es mehrere Faktoren kombiniert. Kritisch wird es laut BSI vor allem dann, wenn Angreifer bereits lokale Administratorrechte auf einem Gerät besitzen – ein Angriff aus der Ferne ist damit ausgeschlossen. Besonders riskant sei zudem, wenn mehrere Personen ihre biometrischen Daten auf demselben Gerät hinterlegt haben, da sich in solchen Fällen unter bestimmten Bedingungen Identitäten verwechseln oder überschreiben lassen könnten.
Auf Basis der Untersuchung leitet das BSI konkrete Empfehlungen ab: Unternehmen sollten pro Gerät möglichst nur eine Person für Windows Hello registrieren. Wo verfügbar, sollte der ESS-Modus aktiviert werden, der allerdings spezielle, kompatible Sensor-Hardware voraussetzt. Zusätzlich rät die Behörde zum Einsatz eines Trusted Platform Module (TPM) mit Brute-Force-Schutz sowie zu einer verschlüsselten Festplatte. Auch private Nutzer können prüfen, ob ihr System ESS unterstützt, um die biometrische Anmeldung zusätzlich abzusichern.
Das Projekt „Windows seziert“ soll fortgesetzt werden: In den kommenden Monaten will das BSI weitere Analysen veröffentlichen, unter anderem zu den Sicherheitsmechanismen „Protected Process Light“ und „Control Flow Guard“. Die Ergebnisse richten sich in erster Linie an IT-Sicherheitsbeauftragte und Administratoren, liefern aber auch privaten Windows-Nutzern eine Orientierung zur sicheren Konfiguration ihrer Anmeldung.
Quelle: Pressemitteilung des Bundesamts für Sicherheit in der Informationstechnik (BSI)
