Biometrische Anmeldung an Windows, Ressourcen und Cloud Windows Hello for Business konfigurieren

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Windows Hello für Business ermöglicht es Anwendern sich ohne Kennwort mit biometrischen Möglichkeiten, PINs oder Passkeys an Windows sowie an Ressourcen im Unternehmen und der Cloud anzumelden. Wir zeigen Möglichkeiten und Einrichtung von Windows Hello for Business.

Windows Hello for Business erweitert die biometrische Authentifizierungslösung Windows Hello um Features, die speziell für den Einsatz in Unternehmensumgebungen entwickelt wurden. Während Windows Hello eine passwortlose Authentifizierung auf Basis biometrischer Merkmale (wie Fingerabdruck oder Gesichtserkennung) und PIN für die Anmeldung an einzelnen Geräten unterstützt, fügt Windows Hello for Business eine umfassende, mehrstufige Identitätsauthentifizierung hinzu.

Im Unterschied zu Windows Hello, das primär für lokale Geräteanmeldungen konzipiert ist, ermöglicht Windows Hello for Business eine nahtlose Integration in hybride und Azure AD/Entra ID-basierte Infrastrukturen. Es unterstützt sowohl asymmetrische Schlüsselpaare als auch Hardware-gestützte Sicherheitsmodule wie Trusted Platform Module (TPM) und Virtual Smart Cards, um eine deutlich höhere Sicherheitsebene zu gewährleisten. Die Kennwortlose Authentifizierung wird dabei nicht nur für den Zugriff auf das Betriebssystem, sondern auch für Ressourcen in der Domäne oder Cloud-Dienste erweitert, was eine stärkere Kontrolle über Zugriffsrechte ermöglicht.

Bildergalerie

Bildergalerie mit 8 Bildern

Erweiterte Authentifizierung mit Windows Hello for Business

Windows Hello for Business bietet eine umfassende Lösung zur passwortlosen Authentifizierung in Unternehmensumgebungen und erweitert das Basismodell von Windows Hello, das vor allem für den privaten Gebrauch konzipiert ist. Während Windows Hello standardmäßig biometrische Methoden wie Gesichtserkennung und Fingerabdruck sowie die Eingabe einer PIN zur Anmeldung unterstützt, bietet Windows Hello for Business zusätzliche Sicherheitsoptionen, die speziell auf den Einsatz in Microsoft 365- und Azure AD/Entra ID-Umgebungen ausgerichtet sind.

Durch die Integration einer Public-Key-Infrastruktur (PKI) und die Nutzung hardwaregestützter Sicherheitsmodule wie des Trusted Platform Module (TPM) erreicht Windows Hello for Business eine hohe Sicherheit. Die für die Authentifizierung notwendigen Informationen verlassen niemals das Gerät selbst, was Angriffsvektoren, die bei der Übertragung entstehen könnten, minimiert. Neben der Konfiguration biometrischer Optionen lassen sich in der Unternehmensversion spezifische PIN-Richtlinien festlegen, um die Komplexität und Sicherheit je nach Bedarf anzupassen. So können Administratoren PIN-Längen, Zeichentypen und Sicherheitsmerkmale wie die Gültigkeitsdauer bestimmen, was das Risiko der Weitergabe oder Vergessen der Authentifizierungsmethode reduziert.

Windows Hello for Business unterstützt zudem Mehr­faktor­authentifizierung: Ein Gerät kann nur durch eine Kombination aus PIN und biometrischer Methode entsperrt werden. Damit ist der Anmeldeschutz besonders hoch, da die bloße Kenntnis eines Faktors, beispielsweise der PIN, nicht ausreicht. In hybriden Szenarien kann diese Sicherheitsstrategie auch für den Zugriff auf Cloud-Services genutzt werden. Die automatische Aktivierung dieser Lösung auf Microsoft 365-Tenants erleichtert die Bereitstellung, während Unternehmen durch zentrale Richtlinien die Authentifizierung für neue und bestehende Geräte einfach verwalten und den Sicherheitsansprüchen ihrer Infrastruktur gerecht werden können.

Windows Hello für Business im Unternehmen nutzen

Während bei Windows Hello die Einrichtung durch einzelne Benutzer auf ihren jeweiligen Geräten erfolgt, wird die Anpassung von Windows Hello für Business zentral vorgegeben. Grundsätzlich bietet es sich an, mit Microsoft Intune zu arbeiten. Die Konfiguration erfolgt daher zunächst im Intune Admin Center, das über intune.microsoft.com. Windows Hello für Business wird über „Geräte -> Registrierung -> Windows Hello for Business“ angepasst. Hier setzt man „Windows Hello for Business konfigurieren“ auf „Aktiviert“. Danach kann man diese Einstellungen an einzelne oder alle Benutzer zuweisen.

Die Verteilung dieser Einstellungen kann auch über Richtlinien mit „Endpunktsicherheit -> Verwalten -> Kontoschutz“ erfolgen. Mit „Richtlinie erstellen“ wird eine neue Richtlinie erstellt. Als „Plattform“ wird „Windows“ und als „Profiltyp“ die Option „Kontoschutz“ ausgewählt. Danach erfolgt die Konfiguration von Windows Hello bei „Konfigurationseinstellungen“. Danach erfolgt die Konfiguration der PIN-Mindestlängen und der restlichen Einstellungen für Windows Hello für Business. Bei „Verwenden von Windows Hello for Business (Gerät)“ wählt man ebenfalls „true“ aus. Danach lässt sich auch diese Richtlinie an die Geräte zuweisen.

Windows Hello in Windows 11 einrichten

Unabhängig davon, über welchen Weg Windows Hello für Business in Microsoft Intune aktiviert wurde, startet bei den zugewiesenen Anwendern der Assistent zur Einrichtung von Windows Hello nach der Anbindung an Microsoft 365/Entra ID. Windows Hello lässt sich auf diesem Weg so konfigurieren, wie beim ausschließlichen privaten Einsatz. Der Unterschied liegt darin, dass bei der Einrichtung die Einstellungen der Richtlinien genutzt werden, die Admins in Intune vorgegeben haben. Typischerweise blendet Windows 11 dann noch einmal die Aufforderung sich per MFA anzumelden, idealerweise über die Authenticator-App. Im Anschluss erfolgt die Konfiguration von Windows Hello und die Verwendung der biometrischen Anmeldung, in Verbindung mit dem jeweiligen PIN. Diesen Einrichtungsassistenten müssen Anwender auf allen PCs vornehmen, an denen sie sich in der Umgebung anmelden. In den Einstellungen kann aber auch festgelegt werden, dass die Anmeldung nur über den PIN ohne biometrische Authentifizierung erfolgt. Die Absicherung über MFA ist ohnehin immer gegeben.

Nach der erfolgreichen Registrierung können sich die Anwender mit den verschiedenen Ressourcen in der Cloud verbinden, ohne sich erneut anmelden zu müssen. Abhängig von der Konfiguration von Conditional Access kann es natürlich durchaus passieren, dass für den Zugriff auf die eine oder andere Ressource in der Cloud eine MFA-Bestätigung oder eine erneute Anmeldung konfiguriert ist. Das Gleiche gilt nach der Anmeldung an Microsoft Edge. Hier richtet der Browser ebenfalls eine gesicherte Umgebung ein, in welcher der Zugriff auf Ressourcen in Azure oder Microsoft 365 ohne zusätzliche Anmeldung erfolgen kann.

Windows 11 in Microsoft Intune verwalten

Sobald sich Benutzer mit ihrem Konto an Entra ID angemeldet haben und der Windows Hello-Assistent durchgelaufen ist, wird das entsprechende Geräte in Entra ID und Microsoft Intune registriert. Die Geräte sind im Intune Admin Center bei intune.microsoft.com über „Geräte“ zu finden. Anwender können mit der App „Unternehmensportal“ aus dem Microsoft-Store außerdem auf freigegebene Ressourcen oder Anwendungen zugreifen und Informationen ihres PCs abrufen.

(ID:50291012)