Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen ersten technischen Bericht im Rahmen seines großangelegten Untersuchungsprojekts „Windows seziert“ vorgelegt. Die aktuelle Veröffentlichung befasst sich detailliert mit der Sicherheitsarchitektur von Windows Hello for Business, der biometrischen Authentifizierungslösung des Betriebssystems für Unternehmen. Die Experten der Behörde identifizierten dabei spezifische Angriffsszenarien, die das Vertrauen in die biometrische Anmeldung untergraben können, sofern bestimmte Sicherheitsvorkehrungen nicht implementiert sind.
Risiken durch lokale Administrationsrechte
Die Untersuchungen des BSI zeigen auf, dass die Sicherheit von Windows Hello for Business maßgeblich von der Integrität des lokalen Systems abhängt. Den Erkenntnissen zufolge sind Angreifer, die bereits über lokale Administratorrechte auf einem Endgerät verfügen, in der Lage, die biometrischen Vorlagen zu entschlüsseln und gezielt zu manipulieren.
Während Behörden wie das BSI die Sicherheitsarchitektur von Windows analysieren, zeigt die Praxis, dass viele Nutzer bereits bei alltäglichen Systemfehlern oder Update-Problemen an ihre Grenzen stoßen. Dieser kostenlose Ratgeber hilft Ihnen, typische Windows-Hürden ohne teuren IT-Support sicher und eigenständig zu lösen. Windows 11 Probleme jetzt kostenlos selbst beheben
Dieser Zugriff auf die gespeicherten Referenzdaten für Gesichts- oder Fingerabdruckerkennung ermöglicht es unbefugten Dritten, den Authentifizierungsprozess zu korrumpieren. Durch die Manipulation dieser Vorlagen ist eine Anmeldung unter einer fremden Identität möglich. Damit verliert die biometrische Komponente in diesem speziellen Bedrohungsszenario ihre Funktion als verlässlicher Identitätsnachweis, da das System eine manipulierte Eingabe als legitim einstuft.
Empfehlungen zur Absicherung der Authentifizierung
Um den identifizierten Schwachstellen entgegenzuwirken, hat das BSI einen Katalog an Sicherheitsmaßnahmen und Konfigurationsempfehlungen veröffentlicht. Eine zentrale Empfehlung der Cybersicherheitsbehörde ist die konsequente Nutzung der Funktion „Enhanced Sign-in Security“ (ESS). Dieser Modus bietet eine zusätzliche Schutzschicht für die Verarbeitung biometrischer Daten und erschwert den Zugriff durch manipulierte Prozesse auf der Systemebene.
Darüber hinaus rät das BSI in seinem Bericht zu organisatorischen und technischen Anpassungen:
- Nutzerregistrierung: Es wird empfohlen, pro Gerät lediglich eine einzige Person zu registrieren. Dies minimiert das Risiko, dass innerhalb einer geteilten Hardware-Umgebung Identitäten missbraucht oder gegenseitig kompromittiert werden.
- Alternative Anmeldeverfahren: Die Verwendung einer PIN wird als sinnvolle Alternative zur rein biometrischen Anmeldung angeführt, um die Abhängigkeit von potenziell manipulierbaren Sensordaten zu reduzieren.
- Hardware-Sicherheit: Ein wesentlicher Bestandteil der Absicherung bleibt die Nutzung von Hardware-Sicherheitsmodulen. Das BSI betont die Notwendigkeit, ein Trusted Platform Module (TPM) einzusetzen und dieses mit einer vollständigen Festplattenverschlüsselung zu kombinieren.
Da herkömmliche Passwörter oft ein Sicherheitsrisiko darstellen, gewinnen moderne Verfahren wie Passkeys als Alternative zur biometrischen Anmeldung an Bedeutung. Wie Sie diese neue Technologie bei Diensten wie Amazon oder WhatsApp einrichten und sich vor Datenklau schützen, erfahren Sie in diesem kostenlosen PDF-Report. Gratis-Ratgeber: Passwortlose Anmeldung mit Passkeys entdecken
Der technische Bericht liefert IT-Verantwortlichen in Unternehmen und Behörden eine fundierte Grundlage, um die Implementierung von Windows Hello for Business kritisch zu prüfen und die Widerstandsfähigkeit ihrer Infrastruktur gegenüber lokalen Angreifern zu erhöhen. Das Projekt „Windows seziert“ wird fortgesetzt, um weitere Kernkomponenten des Betriebssystems einer tiefgehenden Analyse zu unterziehen.
