Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die erste technische Analyse aus seinem Projekt „Windows seziert" veröffentlicht. Die 169 Seiten lange Untersuchung nimmt Windows Hello for Business (WHfB) auseinander, also Microsofts Lösung zur PIN- und biometrischen Anmeldung in Unternehmensumgebungen. Anders als die offizielle Dokumentation beschreibt die Analyse nicht nur die Architektur, sondern rekonstruiert zahlreiche interne Abläufe per Reverse Engineering und bewertet sie aus Sicht eines Angreifers mit lokalen Administratorrechten.
TPM schützt nicht alle biometrischen Daten
Windows Hello for Business ersetzt klassische Passwörter durch schlüsselbasierte Anmeldungen. Nutzer authentifizieren sich lokal per PIN oder biometrischem Merkmal. Das eigentliche Geheimnis, ein kryptografischer Schlüssel, bleibt auf dem Gerät, idealerweise gesichert durch das Trusted Platform Module (TPM). Gegenüber Active Directory oder Microsoft Entra ID weist sich anschließend das Gerät mit diesem Schlüssel aus, nicht das Passwort.
Die BSI-Analyse bestätigt diesen grundsätzlichen Aufbau. Gleichzeitig beschreibt sie mehrere Einschränkungen, die Microsoft zwar teilweise erwähnt, aber deutlich weniger ausführlich bewertet. Ohne den Sicherheitsmodus Enhanced Sign-in Security (ESS) schützt das TPM die biometrischen Vorlagen für die Gesichtserkennung nicht direkt. Diese werden zwar verschlüsselt gespeichert, der dafür benötigte Schlüssel bleibt jedoch ebenfalls lokal verfügbar. Lokale Administratoren können damit sowohl die Datenbank als auch die gespeicherten Templates entschlüsseln.
Erst mit aktiviertem ESS ändert sich dieses Sicherheitsmodell grundlegend: Sicherheitskritische Teile der biometrischen Verarbeitung werden in eine durch Virtualization-based Security (VBS) geschützte Umgebung verlagert. Das BSI empfiehlt deshalb ausdrücklich, ESS zu aktivieren, weist aber darauf hin, dass derzeit nur sehr wenige Sensoren diesen Modus vollständig unterstützen.
Biometrie bringt keine zusätzliche Entropie
Besonders kritisch bewertet die Studie die Sicherheitsannahmen hinter biometrischer Anmeldung. Das BSI argumentiert, dass biometrische Merkmale im Gegensatz zu einer PIN keine zusätzliche Entropie in das System einbringen. Eine PIN liefert bei jeder Anmeldung neues Wissen des Benutzers. Biometrische Merkmale dienen dagegen lediglich dazu, lokal den Zugriff auf bereits vorhandenes Schlüsselmaterial freizugeben. Für einen Angreifer mit administrativen Rechten befinden sich damit alle nötigen Komponenten bereits auf dem Rechner.
Deshalb bewertet das BSI eine ausreichend lange PIN in Kombination mit TPM und dessen Brute-Force-Schutz teilweise günstiger als die biometrische Anmeldung ohne ESS. Diese Einschätzung gilt ausdrücklich für das Bedrohungsmodell eines Angreifers mit lokalen Administratorrechten. Vor typischen Angriffen wie Phishing schützt Windows Hello for Business weiterhin zuverlässig.
Empfehlung: Ein Benutzer pro Gerät
Aus der Analyse leitet das BSI eine konkrete Empfehlung ab: Pro Gerät sollte möglichst nur ein Benutzer für Windows Hello registriert werden. Befindet sich auf einem Rechner bereits das biometrische Template eines anderen Domänenbenutzers, könnte ein lokaler Administrator dieses theoretisch manipulieren oder dessen Identität übernehmen.
Über die Sicherheitsbewertung hinaus liefert die Analyse zahlreiche bislang nicht dokumentierte technische Details. Das BSI rekonstruiert unter anderem den vollständigen Authentifizierungsablauf zwischen FaceCredentialProvider, Windows Biometric Service, Microsoft Passport, LSASS und Kerberos. Auch praktische Tests enthält die Untersuchung: So beobachteten die Autoren, dass schlecht durchgeführte Registrierungen die Wahrscheinlichkeit von Fehlidentifikationen erhöhen können. Mit der Veröffentlichung startet das BSI seine angekündigte Reihe „Windows seziert". Weitere Analysen zu Protected Process Light und Control Flow Guard sollen folgen.