LONDON (IT BOLTWISE) – Eine BSI-Analyse zeigt, wie ein lokaler Administrator bei Windows Hello for Business (WHfB) die Gesichtserkennung übernehmen kann, sobald ein zweiter Benutzer auf demselben Gerät registriert ist. Die Schwäche liegt nicht in einer einzelnen Komponente, sondern im Zusammenspiel von Template-Datenbank, Biometrie-Dienst und der anschließenden Ausstellung eines Kerberos-Tickets. Die Untersuchung basiert auf Windows 10 Enterprise LTSC 2021 und fokussiert ausdrücklich die Gesichtserkennung. Für die Abwehr nennt die Analyse drei Stellschrauben, die bereits vor einem Hardwarewechsel wirken.
Wer sich auf passwortlose Anmeldungen verlässt, tut gut daran, die Annahmen hinter der Nutzeridentität zu prüfen. Genau an dieser Stelle setzt die BSI-Analyse zu Windows Hello for Business (WHfB) an: Ein lokaler Administrator soll die Gesichtserkennung übernehmen können, sobald ein zweiter Benutzer auf demselben Gerät registriert ist. Damit rückt nicht die klassische Remote-Angriffssituation in den Fokus, sondern der häufig realistischere Fall mit bereits vorhandenen lokalen Rechten – und die Frage, ob das Sicherheitsmodell von WHfB dafür die richtigen Grenzen zieht.
Die Ergebnisse stammen aus dem Projekt „Windows seziert“ und wurden von der ERNW Enno Rey Netzwerke GmbH im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) erarbeitet. Grundlage ist Windows 10 Enterprise LTSC 2021; untersucht wurde schwerpunktmäßig die Gesichtserkennung. Laut Analyse umfasst die Arbeit rund 170 Seiten und folgt methodisch dem kompletten Datenweg: vom Bild der Kamera über den Biometrie-Dienst bis zur Ausstellung des Kerberos-Tickets. Aus Angreifersicht betrachtet, wird dabei nachvollziehbar, an welchen Stellen der Prozess die Identitätsbindung zu Benutzern konsistent durchhält und wo die Architektur stattdessen Spielräume eröffnet.
Spannend ist die Differenzierung des Befunds. WHfB zeigt demnach eine solide Widerstandsfähigkeit gegen entfernte Angreifer und auch gegen Präsentationsangriffe – also Szenarien, in denen ein Gesichtseintrag durch überprüfbare Imitationen oder andere Täuschungsversuche zur Authentifizierung genutzt werden soll. Gerade diese Trennung ist wichtig, weil sie die Sicherheitsdebatte weg von pauschalen „es funktioniert oder es funktioniert nicht“-Aussagen lenkt. Für die Praxis heißt das: Die Angriffssurface verlagert sich von hochkomplexen Fernangriffen hin zu lokalen Bedrohungsmodellen, in denen Administrationsrechte bereits vorhanden sind.
Die eigentliche Designschwäche betrifft laut Analyse jedoch nicht die Biometrie-Qualität an sich, sondern die Architektur im Kontext der Registrierung weiterer Benutzer. Sobald ein zweiter Nutzer auf demselben Gerät WHfB für die Gesichtserkennung einrichtet, kann ein lokaler Administrator die Zuordnung so beeinflussen, dass die Gesichtserkennung „übernommen“ wird. Technisch lässt sich das als Problem der Daten- und Vertrauenskette beschreiben: Die Template-Datenbank und die daran geknüpften Schritte müssen so abgesichert sein, dass ein lokaler Angreifer nicht aus der Perspektive des nachgelagerten Authentifizierungspfads (bis hin zum Kerberos-Ticket) Vorteile ziehen kann. Genau diese Vertrauenskette wird in der Analyse als Schwachpunkt adressiert.
Auf Basis der BSI-Bewertung werden zudem drei „Stellschrauben“ beschrieben, die bereits vor dem nächsten Hardwarewechsel greifen. Welche konkreten Maßnahmen das sind, geht aus dem vorliegenden Ausschnitt nicht hervor; entscheidend ist aber die Stoßrichtung: Der Hebel liegt offenbar im Systemzustand und in der Konfiguration beziehungsweise den Schutzmechanismen rund um das Zusammenspiel von WHfB-Datenhaltung, Biometrie-Handling und Authentifizierungsfluss. Für IT-Entscheider ist das relevant, weil Hardwarewechsel in der Regel größere Projektzyklen auslösen und Maßnahmenplanung oft daran gekoppelt wird. Wenn hingegen bereits Änderungen in der aktuellen Umgebung wirken können, lässt sich das Risiko schrittweise reduzieren, ohne eine ganze Geräteflotte neu aufsetzen zu müssen.
Aus Marktsicht unterstreicht die Untersuchung eine Entwicklung, die man in vielen Enterprise-Sicherheitsprojekten beobachtet: Moderne Authentifizierungssysteme werden nicht mehr nur gegen externe Angreifer beurteilt, sondern gegen lokale Rollen- und Integritätsangriffe. WHfB adressiert zwar zentral die Schwächen klassischer Passwörter, dennoch bleibt die Frage bestehen, wie stark die Lösung gegen „Insider mit Technikkenntnis“ beziehungsweise gegen kompromittierte Verwaltungsrechte abgesichert ist. Für Teams, die WHfB einsetzen oder einführen, bedeutet die Studie daher vor allem eins: Tests und Risikoanalysen sollten konkrete lokale Szenarien abdecken – inklusive Multi-User-Registerbedingungen und dem Authentifizierungsweg bis zum Kerberos-Ticket. Gleichzeitig ist die klare Aussage „gut gegen entfernte Angreifer“ ein Hinweis darauf, dass nicht alles neu gebaut werden muss, sondern die Schutzwirkung gezielt an der Designschwachstelle nachgeschärft werden kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows-Hello-for-Business: Designschwäche bei lokalen Admins" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows-Hello-for-Business: Designschwäche bei lokalen Admins" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows-Hello-for-Business: Designschwäche bei lokalen Admins« bei Google Deutschland suchen, bei Bing oder Google News!