Glossar
Windows Hello for Business
Windows Hello for Business ersetzt das Passwort an Windows-Geräten durch ein gerätegebundenes Schlüsselpaar, das per PIN, Fingerabdruck oder Gesichtserkennung freigegeben wird. Für eine verwaltete Flotte ist es weniger ein Komfortthema als der praktikabelste Weg zu phishing-resistenter Anmeldung ohne Hardwaretoken für jeden Mitarbeiter.
So funktioniert es
Bei der Einrichtung erzeugt das Gerät ein asymmetrisches Schlüsselpaar. Der private Schlüssel bleibt im TPM und verlässt es nie, der öffentliche landet beim Identitätsanbieter, also in Microsoft Entra ID oder im lokalen Active Directory. Die Anmeldung ist danach eine Signatur, kein übertragenes Geheimnis. Genau das macht sie phishing-resistent: Es gibt nichts, was jemand auf einer nachgebauten Seite abtippen könnte.
Die PIN wird hier oft falsch verstanden. Sie ist kein schwächeres Passwort, sondern der lokale Freigabefaktor für den Schlüssel im TPM, gilt nur auf diesem einen Gerät und wird nach wenigen Fehlversuchen durch das TPM gesperrt. Biometrie ersetzt dieselbe Freigabe, die biometrischen Daten bleiben lokal im Gerät.
Für die Bereitstellung gibt es drei Modelle: cloudbasiert mit Entra ID, hybrid mit Cloud Kerberos Trust, was Microsoft seit 2022 für die meisten Hybridumgebungen empfiehlt, und die ältere, aufwendigere Variante mit Zertifikatsvertrauen und PKI. Verteilt wird die Richtlinie über MDM oder Gruppenrichtlinie. Microsoft schiebt inzwischen weiter in Richtung Passkeys in der Microsoft Authenticator App, Windows Hello bleibt aber das Fundament am PC.
Warum es für eine Flotte wichtig ist
Die meisten Kompromittierungen in Unternehmen beginnen mit einem abgefischten Passwort, und MFA über Codes hält gezielte Angriffe mit Echtzeit-Weiterleitung nicht auf. Eine Anmeldung ohne übertragbares Geheimnis schließt diese Lücke für den PC-Zugang, und NIS2 wie auch die Fragebögen der Cyberversicherer fragen gezielt nach phishing-resistenten Verfahren.
Praktisch zählt auch der Helpdesk. Passwortrücksetzungen gehören zu den häufigsten Tickets, und eine gerätegebundene PIN, die der Nutzer selbst über ein Self-Service-Portal neu setzen kann, senkt dieses Volumen messbar.
Die Stolpersteine liegen bei Hardware und Altsystemen. Ohne TPM 2.0 gibt es nur die unsichere Softwarevariante, die Sie nicht wollen. Gemeinsam genutzte Rechner im Schichtbetrieb passen schlecht zu einem gerätegebundenen Schlüssel pro Person. Und Anwendungen, die noch NTLM erwarten, brauchen in Hybridumgebungen das Cloud Kerberos Trust, sonst scheitert der Zugriff auf Dateiserver nach der Umstellung. Testen Sie diesen Punkt, bevor Sie die Richtlinie flottenweit ausrollen.
So handhabt es Appaloosa
Appaloosa verwaltet Windows-Geräte neben iOS, Android und macOS: Registrierung über Windows Autopilot, Richtlinien für Verschlüsselung, Sperre und Systemstand, Verteilung von Zertifikaten und Pflicht-Apps sowie Konformitätsmeldungen, die Ihr Identitätsanbieter in Zugriffsentscheidungen einbeziehen kann. Was auf Windows möglich ist, zeigt die Seite zum Windows-MDM.
Entdecken
Die ganze Plattform
Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.
Appaloosa entdecken →Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen