Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer Sicherheitslücke im biometrischen Anmeldesystem Windows Hello. Unter bestimmten Umständen können Angreifer gespeicherte Fingerabdrücke oder Gesichtsdaten entschlüsseln oder manipulieren. Die Behörde gibt konkrete Schutzmaßnahmen für Unternehmen und Nutzer heraus.
Angriff erfordert lokale Administratorrechte
Windows Hello ersetzt auf Millionen von PCs das klassische Passwort durch PIN, Fingerabdruck oder Gesichtserkennung. Im Rahmen des Projekts „Windows seziert“ hat das BSI das System untersucht. Grundsätzlich gilt Windows Hello als sicher: Bei der Einrichtung werden kryptografische Schlüssel erzeugt, die fest an das Gerät gebunden sind. Der private Schlüssel bleibt auf dem Rechner und wird erst nach erfolgreicher Anmeldung freigegeben. Ein Trusted Platform Module (TPM) speichert sensible Daten in geschützter Hardware.
Problematisch wird es laut BSI, wenn Angreifer bereits lokale Administratorrechte auf dem Rechner besitzen. In diesem Fall könnten sie an Informationen gelangen, die die biometrischen Daten schützen. Dadurch wäre es theoretisch möglich, gespeicherte Fingerabdrücke oder Gesichtsdaten zu entschlüsseln oder die Datenbank so zu manipulieren, dass eigene biometrische Merkmale einem fremden Benutzerkonto zugeordnet werden. Eine wichtige Einschränkung: Der Angriff lässt sich nicht aus der Ferne durchführen – der Computer muss bereits weitgehend unter Kontrolle der Angreifer stehen.
Besonders gefährdet: gemeinsam genutzte Firmenrechner
Das BSI sieht vor allem gemeinsam genutzte Firmenrechner als kritisch an. Unternehmen sollten die Sicherheitsfunktion „Enhanced Sign-in Security“ (ESS) aktivieren, sofern die Hardware diese unterstützt. Zudem empfiehlt die Behörde, möglichst nur eine Person pro Gerät für Windows Hello zu registrieren. Steht ESS nicht zur Verfügung, kann eine Anmeldung ausschließlich per PIN die sicherere Alternative sein. Zusätzlich rät das BSI zum Einsatz eines TPM-Chips sowie einer verschlüsselten Festplatte, um sensible Anmeldedaten bestmöglich zu schützen.
„Die gute Nachricht ist, dass ein erfolgreicher Angriff voraussetzt, dass Kriminelle den Rechner bereits weitgehend unter Kontrolle haben“, so ein Sprecher des BSI. Trotzdem sieht die Behörde vor allem Unternehmen in der Pflicht, die Sicherheitsmaßnahmen umzusetzen.
