Schluss mit Passwörtern? Windows Hello for Business und die Alternativen im Vergleich
Passwortlos und phishing-resistent sind nicht dasselbe. Entscheidend ist das konkrete Anmeldeverfahren, nicht allein der Name einer App oder eines Herstellers. Für die Auswahl im Unternehmen müssen Geräte, Anwendungen, Wiederherstellung und Richtlinien zusammenpassen.
Windows Hello for Business
Windows Hello for Business (WHfB) verbindet einen gerätegebundenen Schlüssel mit PIN oder Biometrie. Das Windows-Anmeldepasswort wird dabei durch schlüsselbasierte Authentifizierung ersetzt. Ein TPM schützt den privaten Schlüssel hardwaregestützt; diese Absicherung sollte per Richtlinie verlangt werden, statt sie für jede Konfiguration vorauszusetzen.
Bei der Planung sind Cloud-only-, Hybrid- und lokale Umgebungen zu unterscheiden. Cloud Kerberos Trust, Key Trust und Certificate Trust sind Vertrauensmodelle für unterschiedliche Anforderungen. Cloud Kerberos Trust ist für viele hybride Installationen der einfachere Weg; bestehende Voraussetzungen und benötigte Zertifikatsfunktionen bleiben ausschlaggebend. Key Trust ist nicht pauschal ein abgekündigtes Verfahren.
Die Microsoft-Planungsdokumentation hilft bei der Auswahl. Prüfen Sie Gerätebindung, Domain Controller, lokale Ressourcen und Verwaltungsrichtlinien vor dem Rollout. WHfB ersetzt weder Patch-Management noch den Schutz bereits angemeldeter Sitzungen.
Verfahren vergleichen
| Verfahren | Passwortlos | Phishing-resistent | Wichtige Voraussetzung |
|---|---|---|---|
| Windows Hello for Business | Ja | Ja | Passendes Windows-Deployment und Richtlinien |
| FIDO2-Sicherheitsschlüssel / Passkey | Ja | Ja | Unterstützung durch Dienst, Browser und Gerät |
| Authenticator: FIDO2-Passkey | Ja | Ja | Passkey-Verfahren ausdrücklich aktivieren |
| Authenticator: Phone Sign-in | Ja | Nein | Nicht mit FIDO2-Passkey verwechseln |
| Passwort plus Push oder TOTP | Nein | Nein | Besser als Passwort allein, aber gegen AiTM begrenzt |
| Duo Passwordless mit FIDO2/WebAuthn | Ja | Ja | Geeignete Integration und aktivierte Methode |
Microsoft trennt diese Eigenschaften in seinen Authentication Strengths. Phone Sign-in zählt dort zu passwortloser MFA, nicht zu phishing-resistenter MFA. Conditional Access benötigt eine passende Lizenz, etwa Entra ID P1. „Keine Zusatzkosten für alle Microsoft-365-Kunden“ wäre deshalb zu pauschal.
Duo und Authenticator sind keine einzelnen Verfahren
Duo Passwordless unterstützt FIDO2/WebAuthn-basierte Anmeldung. Die frühere Aussage, Duo sei grundsätzlich Passwort plus MFA, war falsch. Klassische Push- oder TOTP-Verfahren und FIDO2 müssen auch dort getrennt bewertet werden. Ob eine konkrete Anwendung passwortlos angebunden werden kann, hängt von ihrer Integration ab.
Dasselbe gilt für Microsoft Authenticator: Ein Einmalcode, eine Push-Bestätigung, Phone Sign-in und ein FIDO2-Passkey haben unterschiedliche Sicherheitseigenschaften. Eine App-Installation allein macht die Anmeldung nicht phishing-resistent.
So gelingt der Einstieg
- Erfassen Sie die tatsächlich genutzten Geräte, Dienste und Altanwendungen.
- Wählen Sie ein passendes Verfahren und eine kleine Pilotgruppe.
- Planen Sie Geräteverlust, Ersatzschlüssel und sichere Wiederherstellung.
- Prüfen Sie Notfallkonten und vermeiden Sie schwache Rückfallwege.
- Testen Sie Anmeldung und Ressourcenzugriff, bevor Sie Richtlinien breit erzwingen.
Für persönlich zugeordnete Windows-Geräte ist WHfB oft eine gute Grundlage. FIDO2-Schlüssel können mobile oder gemischte Arbeitsplätze ergänzen. Die passende Kombination ergibt sich aus dem Arbeitsalltag, nicht aus einer pauschalen Produkt-Rangliste.
Bei Planung und Einführung unterstütze ich Sie im Rahmen meiner Microsoft-365-Beratung.