TTS-Player überspringen↵Artikel weiterlesen
Millionen Windows-Nutzer entsperren ihren PC täglich per Fingerabdruck oder Gesichtserkennung. Doch genau diese Komfortfunktion kann unter bestimmten Umständen zum Sicherheitsrisiko werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt jetzt Alarm und nennt konkrete Schutzmaßnahmen. Die gute Nachricht: Für einen erfolgreichen Angriff müssen Kriminelle den betroffenen Rechner bereits weitgehend unter ihre Kontrolle gebracht haben. Trotzdem sieht die Behörde vor allem Unternehmen in der Pflicht.
Angriff erst nach vollständiger Kontrolle
Windows Hello ersetzt bei vielen Nutzern das klassische Passwort durch PIN, Fingerabdruck oder Gesichtserkennung. Weil die Technik auf zahlreichen Privat- und Firmen-PCs eingesetzt wird, hat das BSI das Anmeldesystem jetzt im Rahmen seines Projekts „Windows seziert“ untersucht.
Das Ergebnis: Grundsätzlich gilt Windows Hello als sicher. Bei der Einrichtung erzeugt das System kryptografische Schlüssel, die fest an das jeweilige Gerät gebunden sind. Der private Schlüssel bleibt auf dem Rechner und wird erst nach einer erfolgreichen Anmeldung freigegeben. Zusätzlichen Schutz bietet ein sogenanntes Trusted Platform Module (TPM), das sensible Daten in einer geschützten Hardware speichert.
Mehr zum ThemaBiometrische Daten im Visier
Problematisch wird es laut BSI allerdings, wenn Angreifer bereits lokale Administratorrechte auf einem Rechner besitzen. In diesem Fall könnten sie an Informationen gelangen, die die biometrischen Daten schützen. Dadurch wäre es theoretisch möglich, gespeicherte Fingerabdrücke oder Gesichtsdaten zu entschlüsseln oder die Datenbank so zu manipulieren, dass eigene biometrische Merkmale einem fremden Benutzerkonto zugeordnet werden.
Eine wichtige Einschränkung nennt die Behörde jedoch ausdrücklich: Der Angriff lässt sich nicht aus der Ferne durchführen. Voraussetzung ist, dass der Computer bereits weitgehend unter der Kontrolle der Angreifer steht.
BSI gibt klare Empfehlungen
Vor allem gemeinsam genutzte Firmenrechner sieht das BSI als besonders kritisch an. Unternehmen sollten deshalb die Sicherheitsfunktion „Enhanced Sign-in Security“ (ESS) aktivieren, sofern die Hardware diese unterstützt. Außerdem empfiehlt die Behörde, möglichst nur eine Person pro Gerät für Windows Hello zu registrieren.
Steht ESS nicht zur Verfügung, kann laut BSI eine Anmeldung ausschließlich per PIN die sicherere Alternative sein. Zusätzlich rät die Behörde zum Einsatz eines TPM-Chips sowie einer verschlüsselten Festplatte, um sensible Anmeldedaten bestmöglich zu schützen.