Das Wichtigste in Kürze

  • Das Anmelden mit biometrischen Faktoren ist im Allgemeinen sicherer als die Eingabe von PIN oder Passwort (sehr lange Schlüssel).

  • Durch Hello for Business erfasste personenbezogene (biometrische) Daten verlassen das Gerät nie.

  • Durch Hello for Business werden personenbezogene (biometrische) Daten verschlüsselt gespeichert und lassen keinen Rückschluss auf Gesichter oder Fingerabdrücke zu.

Biometrische Informationen sind besonders schützenswerte Daten

Ihre biometrischen Daten sind durch die Datenschutzgrundverordnung (DSGVO Art. 9, Abs. (1)) besonders geschützt. Windows Hello for Business bietet die Möglichkeit, biometrische Merkmale (Gesichtserkennung oder Fingerabdruck) zur Anmeldung zu verwenden. Diese Funktion ist rein optional, kann jederzeit übersprungen und auch wieder deaktiviert werden.

Wenn Sie Ihre biometrischen Daten zur Authentifizierung nutzen, geschieht dies mit ihrer Einwilligung auf freiwilliger Basis. 

Datenschutzinformationen

Zur Datenschutzerklärung für Microsoft Hello for Business siehe: Datenschutzhinweise des Rechenzentrums

Zum Abschnitt...

Welche biometrische Funktionen stehen in Hello for Business zur Verfügung?

Es stehen zwei Optionen, die beide simultan genutzt werden können, zur Verfügung:

  • Fingerabdruck (mit Lebenderkennung)

  • Gesichtserkennung durch Echtbild + Infrarotkamera (mit Lebenderkennung)

Warum ist die Anmeldung mit biometrischen Faktoren besonders sicher?

Die passwortlose Anmeldung mit biometrischen Faktoren hat gegenüber der Anmeldung mit Passwörtern den Vorteil, dass weit komplexere Daten verarbeitet werden, damit der Account entsperrt wird.

Anders als die Eingabe eines PINs über die Tastatur kann das Auflegen eines Fingers oder die Gesichtserkennung nur sehr schwer von Angreifern "abgegriffen" werden.

Wenn die Anmeldung per Nutzername und Passwort generell deaktiviert ist, bietet passwortlose Anmeldung auch einen wirksamen Schutz gegen Phising und Passwort-Cracking.

Wie funktioniert die Anmeldung mit biometrischen Faktoren?

In fast allen Techniken - so auch bei Hello for Business - unterteilt sich die Einrichtung und Nutzung biometrischer Merkmale zur Anmeldung in 3 Phasen:

  • Enrolment: Der Nutzer wird erstmalig registriert und die biometrischen Daten werden initial erfasst und durchgängig gesichert lokal zu einem "Template" verarbeitet.

  • Einrichtung eines Templates: Aus den erfassten Daten wird durch die systemspezifischen Algorithmen ein neuer und stark modifizierter Datensatz gebildet, das Template.

  • Matching: Bei Login eines Nutzers werden die erfassten Daten erneut nach dem systemspezifischen Algorithmus verarbeitet und gegen das Template abgeglichen.

Das Enrolment von Hello for Business ist durch die 2-Faktor-Anmeldung gesichert. Nur Nutzer, die sich mit beiden Faktoren ausweisen können, dürfen für sich Hello for Business am Gerät einrichten.

Das Template wird erstellt indem die erfassten Informationen durch systeminterne Algorithmen verarbeitet und modifziert werden. Der daraus entstehende Template- bzw. Vorlage-Datensatz, der zu Ihren Merkmalen gehört, lässt keine Rückschlüsse auf das tatsächliche Aussehen oder den Fingerabdruck zu, zudem wird er randomisiert verschlüsselt gespeichert. Nur der Anmeldedienst von Windows hat Zugriff auf diese Datenbank, um im Matching die verarbeiteten Informationen abzugleichen.

Das Matching muss immer eine gewisse Toleranz beinhalten: Gesichter sehen nie vollkommen identisch aus, Finger nie gleich auf den Sensor gelegt. Biometrische Merkmale werden beim Matching immer nur auf hinreichende Ähnlichkeit getestet.

Kann sich die biometrische Anmeldung irren?

Kurz gesagt ja, aber sehr selten! Damit Fingerabdruckleser und Kameras für Hello for Business zugelassen werden, müssen sie zertifiziert werden und strengen Sicherheits-Ansprüchen genügen.

Die wichtigste Kennzahl ist die False-Accept-Ratio: Das bedeutet beispielsweise, dass ein nicht registriertes Gesicht fälschlicherweise für ein eingespeichertes Gesicht gehalten wird und damit das Konto entsperrt wird. Dies False-Accept-Ratio muss nach Microsoft-Angaben unter 0,001 - 0,002% liegen.

Anschaulich gesagt könnte im Schnitt eine von hundertausend Personen ihr Gerät entsperren. Ein echtes Sicherheitsrisiko ergibt sich daraus nicht.

Kann die biometrische Anmeldung überlistet werden?

In Bezug auf Microsoft Hello for Business existiert lediglich ein gut dokumentierter und behandelter Fall, bei dem israelische Sicherheitsforscher 2023 die Gesichtserkennung überlisten konnten. Gleich vorweg: Die Schwachstelle wurde von Microsoft binnen weniger Wochen geschlossen.

Den Forschern war es gelungen, durch eine korrumpiertes USB Gerät ein Echtbild- und Infrarotbild bei der Windows-Anmeldung einzuschleusen, das den Vorgaben entsprach und das Matching (s.o.) erfolgreich passierte.

Dazu mussten die Forscher allerdings, das Gerät besitzen und zuvor eine saubere Infrarot-Aufnahme der am Gerät registrierten Person anfertigen. In der Realität ist dies sehr aufwändig.

Inzwischen wurden die biometrischen Verfahren verbessert und durchwegs mit einer Lebenderkennung ausgestattet. Es sind keine praktikablen Verfahren zur Überlistung eine aktuelln Gesichtserkennung bekannt.

Weitere Informationen

Informationen des BSIs: https://www.bsi.bund.de/dok/6614840

Die (geschlossene) Sicherheitslücke: https://www.cyberark.com/resources/threat-research-blog/bypassing-windows-hello-without-masks-or-plastic-surgery


  • Keine Stichwörter

© Universität Augsburg

Icons provided by:
https://iconmonstr.com/license/
https://fontawesome.com/license/free