Windows Hello for Business
Microsofts passwortloser Login für Windows. Statt Passwörtern nutzen User Biometrie (Face, Fingerprint) oder PIN, die lokal durch TPM gesichert sind. Phishing-resistent, DSGVO-freundlich, user-freundlich — und aktuell die Standard-Empfehlung für Modern Workplace.
Was ist Windows Hello for Business?
Windows Hello for Business (WHfB) ist ein passwortloser Authentifizierungs-Mechanismus für Windows. Statt Passwörter an Services zu schicken, nutzt WHfB:
- einen privaten Schlüssel, der im TPM-Chip des Geräts gespeichert ist (nie übertragbar)
- einen öffentlichen Schlüssel, der im Entra ID oder AD registriert ist
- einen „Unlock-Gesture“ (Biometrie oder PIN), der den privaten Schlüssel für eine Challenge-Response freigibt
Das Ergebnis: User geben nie mehr ein Passwort ein, das gestohlen werden könnte. Die Biometrie oder PIN verlässt nie das Gerät — sie entsperrt nur den lokalen Schlüssel.
Wichtig: WHfB ≠ Windows Hello (Consumer). Das Consumer-Hello ist nur ein lokales Convenience-Feature. WHfB hingegen ist eine enterprise-weite Authentication-Infrastruktur mit Entra ID / AD-Anbindung.
WHfB ist intrinsisch Multi-Faktor
Ein oft übersehener Punkt: WHfB ist von Natur aus MFA — weil es immer zwei Faktoren kombiniert:
| Faktor-Kategorie | Was? |
|---|---|
| Something you have | Das Gerät mit TPM + registriertem Key |
| Something you are (Biometrie-Modus) | Gesicht oder Fingerabdruck |
| Something you know (PIN-Modus) | Der lokale PIN |
Deshalb erkennt Entra ID WHfB als „strong authentication“ und fordert keine zusätzliche MFA mehr an (in den meisten CA-Policies).
Die 3 WHfB-Deployment-Modelle
| Modell | Identity-Backbone | Komplexität |
|---|---|---|
| Cloud-only (Entra-Joined) | Nur Entra ID | Einfach |
| Hybrid Cloud Kerberos Trust | AD on-prem + Entra | Mittel |
| Hybrid Key Trust (deprecated) | AD on-prem + Entra | Komplex, legacy |
| Hybrid Certificate Trust (deprecated) | AD on-prem + Entra + ADFS | Sehr komplex, legacy |
| On-Prem Only | Nur AD (kein Cloud-Tenant) | Spezialfall |
Empfehlung für Neu-Setups: Cloud-only wenn möglich. Für Hybrid-Szenarien: Cloud Kerberos Trust (das neueste Modell, seit 2022). Die älteren Trust-Modelle werden schrittweise abgeschaltet.
Windows Hello im AVD- und Windows-365-Kontext
WHfB für Cloud-PCs und AVD-Sessions funktioniert — aber nur wenn man die Mechanik versteht.
WHfB auf dem Endgerät, nicht im Cloud-PC
Die Biometrie (Gesicht, Fingerabdruck) wird auf dem lokalen Endgerät erfasst, nicht in der Cloud-Session. Das ist technisch bedingt: Die TPM-Chips, in denen die Keys liegen, sind lokal.
Wie das trotzdem nahtlos funktioniert
- User startet sein Endgerät, entsperrt mit Windows Hello (Biometrie → TPM → lokaler Key)
- Windows-Session auf dem Endgerät ist offen, Entra-Token vorhanden
- User startet AVD-Client oder Windows-365-App
- Durch SSO passiert der Login in den Cloud-PC automatisch — der lokale Entra-Token wird verwendet
Der User gibt also nie ein Passwort an den Cloud-PC weiter. Die Biometrie ist sicher auf dem lokalen Gerät geblieben.
SSO für RDP/AVD ist seit 2023 offiziell unterstützt. Mit Entra-Joined Session Hosts und „RDP Shortpath“ geht der Cloud-PC-Login direkt ohne Passwort-Prompt durch — das beste passwortlose DaaS-Erlebnis.
WHfB vs. FIDO2-Keys vs. Authenticator-App
| Method | Device-Abhängig | Phishing-resistent | User-Comfort |
|---|---|---|---|
| WHfB | Ja (gebunden an Gerät) | Ja | Sehr gut |
| FIDO2 Security Key | Ja (physischer USB/NFC-Key) | Ja | Gut (wenn Key verfügbar) |
| Microsoft Authenticator (Passwordless) | Ja (Smartphone) | Ja | Sehr gut |
| Passwort + SMS/TOTP MFA | Nein | Nein (SMS-Phishing) | Mittel |
Ideal ist oft eine Kombi: WHfB als Standard für tägliche Logins, FIDO2-Key als Break-Glass-Account-Backup, Authenticator für Smartphone-Logins.
Passwortlos in DaaS Maps
Die DaaS Maps zeigen Windows-Hello-Integration für passwortlose DaaS-Workflows. Für Architektur-Diskussionen zu passwortloser Authentifizierung findet ihr mich auf LinkedIn.