Windows 11 24H2: Microsoft aktiviert Enhanced Sign-in Security ab August

Neue Sicherheitsanalysen belegen: Windows Hello lässt sich mit Masken und Alltagsgegenständen überlisten. Das BSI empfiehlt Schutzmaßnahmen.

Die Sicherheit biometrischer Authentifizierungssysteme steht aufgrund neuer Untersuchungsergebnisse verstärkt im Fokus der Cybersicherheit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat aktuelle Warnungen bezüglich Sicherheitslücken in der Windows-Hello-Authentifizierung ausgesprochen. In einer detaillierten Auseinandersetzung mit der Technologie wird deutlich, dass herkömmliche biometrische Verfahren ohne zusätzliche Schutzmaßnahmen unter bestimmten Bedingungen umgangen werden können.

Schwachstellen in der Gesichtserkennung

Grundlage der aktuellen Sicherheitsbewertung ist unter anderem eine vom BSI am 15. Juli 2026 veröffentlichte Analyse. Der 169-seitige Bericht kommt zu dem Ergebnis, dass Windows Hello for Business mit künstlichen Gesichtern getäuscht werden kann. Dies stellt insbesondere für Unternehmen ein Risiko dar, die bei der Absicherung ihrer Endgeräte auf die Gesichtserkennung von Microsoft setzen. Die Untersuchung zeigt auf, dass die technologische Barriere für die Überwindung des Systems niedriger ausfallen könnte als bislang in Fachkreisen angenommen.

Physischer Zugriff und Maskierungs-Angriffe

Ergänzend zu den behördlichen Erkenntnissen belegt eine Studie von ERNW aus dem Juli 2026 die Anfälligkeit des Gesichtserkennungssystems durch physische Manipulation. Den Untersuchungen zufolge ist es möglich, das System mithilfe von Masken zu täuschen. In Versuchsreihen wurde dokumentiert, dass eine Maske im System registriert werden konnte und eine andere Maske anschließend zur Entsperrung führte.

Darüber hinaus stellten die Experten fest, dass Angriffe auch unter Verwendung von Alltagsgegenständen wie Schals, Brillen oder Kapuzen erfolgreich sein können. Ein wesentlicher Aspekt bei diesen Szenarien ist jedoch die Zugriffsmöglichkeit: Ein derartiger Angriff erfordert zwingend den physischen Zugriff auf das Zielgerät, was die Gefahr für Fernzugriffe relativiert, aber das Risiko bei Diebstahl oder im Büroalltag erhöht.

Anzeige

Wer sich mit der Absicherung digitaler Zugänge befasst, sucht oft nach Alternativen zu klassischen Passwörtern, die Hackern keine Angriffsfläche bieten. Dieser kostenlose Report zeigt, wie Sie moderne Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und so für maximale Sicherheit auf all Ihren Geräten sorgen. Sicher, bequem und passwortlos – so funktionieren Passkeys

Handlungsempfehlungen und technische Anforderungen

Das BSI leitet aus den vorliegenden Erkenntnissen konkrete Schutzmaßnahmen für Anwender und Organisationen ab. Eine zentrale Empfehlung ist die Aktivierung der Funktion „Enhanced Sign-in Security“ (ESS). Nach Einschätzung der Behörde bietet ein Trusted Platform Module (TPM) allein keinen ausreichenden Schutz gegen die identifizierten Täuschungsmanöver, sofern ESS nicht zusätzlich aktiv genutzt wird.

Als weitere Sicherheitsvorkehrungen rät das BSI dazu, grundsätzlich nur einen Benutzer pro Gerät zu registrieren. Zudem wird die Nutzung einer PIN als Alternative zur biometrischen Anmeldung empfohlen, um das Risiko einer Fehlidentifikation oder Manipulation der Gesichtserkennung zu umgehen.

Anzeige

Die technologische Entwicklung macht das Einloggen per Gesichtserkennung oder Fingerabdruck zum Standard, um Identitätsdiebstahl und Passwort-Stress endgültig zu beenden. Erfahren Sie in diesem gratis Ratgeber, warum immer mehr Nutzer auf die neue Passkey-Methode setzen und wie diese Ihre Konten vor unbefugtem Zugriff schützt. Kostenlosen PDF-Report zur passwortlosen Anmeldung herunterladen

Microsoft erweitert den Hardware-Schutz

Aufseiten der Software-Entwicklung gibt es Bestrebungen, die Hardware-Sicherheit zu erhöhen. Microsoft kündigte am 1. August 2026 an, dass Windows 11 24H2 ab August 2026 die „Enhanced Sign-in Security“ auch für kompatible externe Fingerabdruckleser unterstützen wird. Diese Funktion ermöglicht eine hardware-isolierte Authentifizierung, die den Schutz der biometrischen Daten verbessert.

Allerdings bleibt die Unterstützung von ESS auf bestimmte Hardwaregruppen beschränkt. Externe Kameras sind laut Microsoft weiterhin von der ESS-Unterstützung ausgeschlossen. Für die Implementierung in Unternehmen ergibt sich zudem ein administrativer Aufwand: IT-Administratoren müssen nach der Aktivierung von ESS alle Benutzer dazu auffordern, ihre biometrischen Merkmale neu zu registrieren, um den erhöhten Sicherheitsstandard wirksam zu machen.