Passwortlose Windows-Infrastrukturen
Schluss mit Post-its
Veröffentlicht in Ausgabe 08/2025 - PRAXIS
Passwörter sind die Grundlage der allermeisten neuen Benutzer- accounts und somit die Basis für das Anmeldeverfahren. Erst später kommen gegebenenfalls weitere Methoden wie etwa Multifaktor-Authentifizierung (MFA) dazu. Und dies meist auch nur für privilegierte Benutzerkonten, die Zugriff auf kritische Daten haben. Dabei sollten IT-Verantwortliche nach regelmäßigen Meldungen zu kompromittierten Benutzerkonten und gestohlenen, privilegierten Accounts eines Besseren belehrt worden sein: Starke Anmeldeverfahren sollten überall und für alle Mitarbeiter verfügbar sein.
Die Akzeptanz-Hürde überspringen
Eines der Probleme von Projekten zur Modernisierung von Anmeldeverfahren ist die Benutzerakzeptanz. Gerade in MFA-Projekten tun sich Mitarbeiter schwer mit dem zusätzlichen Validierungsschritt ihrer Identität. Und das ist nachvollziehbar, denn die meisten MFA-Methoden sind darauf bedacht, einen zweiten Faktor neben dem Passwort als Hauptanmeldeverfahren zu etablieren. Sie dienen also als Verbesserung für die schlechte Anmeldemethode via Passwort. Dabei sollten IT-Verantwortliche doch bestrebt sein, sichere Anmeldeverfahren zu etablieren, die nicht zwei oder drei Schritte vom Endanwender erfordern – sondern vielmehr passwortlos und resistent gegen Phishing sind.
Die Einführung dieser modernen Credentials durchläuft mehrere Phasen. Zunächst müssen den Mitarbeitern gute und einfach zu bedienende, sichere Alternativen zur Verfügung gestellt werden, die für die Mehrzahl der verfügbaren Anwendungen gültig sind. Anschließend gilt es, Richtlinien zu definieren, die die neuen Credentials zur Pflicht machen sowie sinnvoll steuern, sodass das Passwort in den Hintergrund tritt. Sind die alternativen Verfahren attraktiv genug und möglichst einfach anzuwenden, ärgern sich die Endbenutzer schon bald über jede erneute manuelle Passworteingabe. Das bietet die Chance, diejenigen Anwendungen zu identifizieren, die weiterhin eine Passworteingabe erfordern. Diese Apps gilt es dann zu isolieren und zu modernisieren – am Ende wollen die Fachabteilungen, die die Anwendung betreiben, nicht hinten anstehen. Des Weiteren wird mit steigender Anzahl von modernen Benutzern das Auditieren des Passwort-Credentials deutlich einfacher und die Identifizierung der Mitarbeiter, die den Sprung bisher nicht geschafft haben.
Passwörter sind die Grundlage der allermeisten neuen Benutzer- accounts und somit die Basis für das Anmeldeverfahren. Erst später kommen gegebenenfalls weitere Methoden wie etwa Multifaktor-Authentifizierung (MFA) dazu. Und dies meist auch nur für privilegierte Benutzerkonten, die Zugriff auf kritische Daten haben. Dabei sollten IT-Verantwortliche nach regelmäßigen Meldungen zu kompromittierten Benutzerkonten und gestohlenen, privilegierten Accounts eines Besseren belehrt worden sein: Starke Anmeldeverfahren sollten überall und für alle Mitarbeiter verfügbar sein.
Die Akzeptanz-Hürde überspringen
Eines der Probleme von Projekten zur Modernisierung von Anmeldeverfahren ist die Benutzerakzeptanz. Gerade in MFA-Projekten tun sich Mitarbeiter schwer mit dem zusätzlichen Validierungsschritt ihrer Identität. Und das ist nachvollziehbar, denn die meisten MFA-Methoden sind darauf bedacht, einen zweiten Faktor neben dem Passwort als Hauptanmeldeverfahren zu etablieren. Sie dienen also als Verbesserung für die schlechte Anmeldemethode via Passwort. Dabei sollten IT-Verantwortliche doch bestrebt sein, sichere Anmeldeverfahren zu etablieren, die nicht zwei oder drei Schritte vom Endanwender erfordern – sondern vielmehr passwortlos und resistent gegen Phishing sind.
Die Einführung dieser modernen Credentials durchläuft mehrere Phasen. Zunächst müssen den Mitarbeitern gute und einfach zu bedienende, sichere Alternativen zur Verfügung gestellt werden, die für die Mehrzahl der verfügbaren Anwendungen gültig sind. Anschließend gilt es, Richtlinien zu definieren, die die neuen Credentials zur Pflicht machen sowie sinnvoll steuern, sodass das Passwort in den Hintergrund tritt. Sind die alternativen Verfahren attraktiv genug und möglichst einfach anzuwenden, ärgern sich die Endbenutzer schon bald über jede erneute manuelle Passworteingabe. Das bietet die Chance, diejenigen Anwendungen zu identifizieren, die weiterhin eine Passworteingabe erfordern. Diese Apps gilt es dann zu isolieren und zu modernisieren – am Ende wollen die Fachabteilungen, die die Anwendung betreiben, nicht hinten anstehen. Des Weiteren wird mit steigender Anzahl von modernen Benutzern das Auditieren des Passwort-Credentials deutlich einfacher und die Identifizierung der Mitarbeiter, die den Sprung bisher nicht geschafft haben.
Hello for Business ausrollen
Microsoft liefert mit Windows in der Professional- und Enterprise-Variante "Hello for Business" (HFB) als Bordmittel aus. Hello for Business ist ein Anmeldeverfahren, das entweder über Biometrie, wie beispielsweise Fingerabdruckscans oder Gesichtserkennung, aber auch über eine PIN-Eingabe funktioniert. Der Vorteil gegenüber traditionellen Passwörtern ist, dass sich Mitarbeiter nur mit ihrem Gesicht oder Fingerabdruck anmelden können, was nahezu automatisch funktioniert. Steht die Biometrie nicht zur Verfügung, dient der PIN als alternative, lokale Anmeldung am Computer. Da der PIN computerlokal gespeichert und ausgewertet wird und sich damit nicht im AD-Netzwerk oder mit der Cloud synchronisiert, hat er nur auf dem eigenen Rechner Gültigkeit.
Mit der Anmeldung über HFB entsperrt der Mitarbeiter einen Schlüssel im TPM-Chip des Geräts, der wiederum dazu dient, eine Registrierung am Windows-AD und Entra ID auszuführen. Das Einloggen in kritische Systeme erfolgt also nicht über die Biometrie oder den PIN, sondern über ein zuvor erstelltes Schlüsselpaar, dessen privater Schlüssel sicher auf dem Gerät generiert wurde. Für eine erfolgreiche Anmeldung sind daher das richtige Gerät sowie Biometrie oder PIN des Mitarbeiters erforderlich – also zwei Faktoren.
Hello for Business existiert in verschiedenen Deployment-Varianten, wobei die modernste nur noch eine Anmeldung mit Entra ID erfordert, das dann Anmelde-Token sowohl für das Active Directory als auch Entra ID ausstellt. Damit erhält ein Mitarbeiter mit HFB sowohl Single-Sign-on-Zugriff (SSO) auf AD-integrierte Kerberos-Ressourcen als auch auf in Entra ID integrierte Anwendungen inklusive Microsoft 365. Zudem gilt die HFB-Anmeldung als MFA, da neben Biometrie oder PIN auch das Gerät mit dem Schlüssel zugegen sein müssen.
Mit HFB schlagen Sie zwei Fliegen mit einer Klappe: Richtig konfiguriert erreichen Sie SSO ins lokale AD-Netzwerk ebenso wie in die Cloud nach Entra ID mit nur einer einfachen Anmeldung. Dies kann bereits das Hauptargument für die Mitarbeiter sein, denn wenn diese bisher Passwort plus MFA für den Zugriff auf Ressourcen benötigten, stellt die Anmeldung mit Hello for Business eine Vereinfachung dar.
Credentials registrieren lassen
Die Registrierung alternativer Anmeldeverfahren ist in der Microsoft-Welt überwiegend dem Mitarbeiter selbst überlassen. Entra ID stellt dafür ein Self-Service- Portal zur Verfügung, das den Usern bei der Registrierung und Verwaltung der Credentials unterstützt. Tenant-Admins können dabei steuern, welche Credentials für welche Benutzergruppen erlaubt sind. Damit reduzieren Sie schwache Credentials und MFA-Methoden wie etwa SMS und Textnachricht auf Ausnahmegruppen und erlauben gleichzeitig für den Großteil der Belegschaft moderne Verfahren.
Die erlaubten Anmeldemethoden konfigurieren Sie im Entra-Portal unter "Protection / Authentication Methods". Dort haben Sie alle Verfahren wie FIDO 2 (oder neu Passkeys), SMS-Nachrichten, die Authenticator-App oder zertifikatsbasierte Authentifizierung im Zugriff. Die meisten Credentials können Sie nicht nur verschiedenen Benutzern oder Gruppen zuweisen beziehungsweise verbieten, sondern verfügen auch über den "Configure"-Knopf, der Zusatzeinstellungen erlaubt.
Mitarbeiter registrieren ihre neuen Anmeldeverfahren über "mysignins.microsoft.com". Die Seite gibt im Reiter "Security Info" auch eine Übersicht über die existierenden Credentials und unterstützt beim Einrichten neuer Verfahren. Die Anwender verwalten hier alle Anmeldeverfahren – Konfiguration, Löschen oder Neuanlegen via "Add sign-in method" sind möglich.
Um Mitarbeiter zudem regelmäßig zu motivieren, moderne Credentials zu registrieren und zu benutzen, kennt Entra ID ein Feature, das User regelmäßig daran erinnert, beispielsweise die Authenticator-App zu registrieren. Die Erinnerungskampagne legen Sie unter "Authentication methods / Registration campaign" an. Von dort aus steuern Sie, welche Benutzer erinnert werden sollen, und, ob diese die Erinnerung pausieren und auf später verschieben können. Anwender erhalten die Erinnerung, wenn sie mit dem Browser eine erfolgreiche Anmeldung via Entra ID vollziehen. Ein Interrupt stoppt den Anmeldevorgang und bietet dem Benutzer die Registrierung des Credentials an. Dann geht es zum Registrierungsportal und falls der Mitarbeiter ablehnt, erfolgt das Sign-in im ursprünglichen Ziel und die Erinnerung wird in einigen Tagen wiederholt.
Anmeldungen nach Kritikalität definieren
Wenn Sie Anwendungen klassifizieren und nach Risiko bewerten, sollten Sie in Erwägung ziehen, für die zugewiesenen Risikoklassen ein entsprechend starkes Anmeldeverfahren zu erzwingen. Kein Mitarbeiter sollte für höchst kritische Applikationen mit einer Anmeldung via Passwort Zugriff erhalten. Sie gruppieren und klassifizieren Credentials im Entra-Portal über "Protection / Authentication methods / Authentication strengths". Dort finden Sie die drei vordefinierten Credential-Klassen "Phishing-resistant MFA", "Passwordless MFA" und "Multifactor authentication".
Für "Phishing-resistant MFA" hat Microsoft Windows Hello for Business Passkeys via FIDO2 und zertifikatsbasierte Authentifizierung zusammengefasst. Sollten Sie eine andere Gruppierung benötigen, legen Sie diese einfach individuell an. Die Gruppierung können Sie dann anstelle eines generischen "MFA-Zwangs" in Ihrer Conditional-Access-Regel anfordern, um Mitarbeitern Zugriff auf bestimmte Anwendungen zu gewähren.
Damit besitzen Sie mit Conditional Access ein Vehikel, mit dem Sie für bestimmte Anwendungsfälle und Mitarbeitergruppen bestimmte Credentials erzwingen können. Wer kein passendes Credential hat, kann nicht zugreifen. Die Konfiguration ist dabei schlau genug, zu erkennen, ob ein Mitarbeiter passende Anmeldedaten für vorherige Sign-ins genutzt hat. Ist das nicht der Fall, stoppt Entra ID das Aushändigen des Tokens und verlangt die Zugangsinformationen über einen Anmeldebildschirm.
Passwörter mit lokaler Policy eindämmen
Auch für lokale Umgebungen gibt es einige Ansätze, die die passwortlose Reise unterstützen. Benutzern, die bereits erfolgreich passwortlose und Phishing-resistente Credentials benutzen, untersagen Sie das Ändern des eigenen Passworts. Zeitgleich erstellen Sie einen Automatismus, der das Passwort, das wegen technischer Beschränkungen weiterhin im AD existieren muss, würfelt und regelmäßig erneuert. Eine eigens für passwortlose Benutzer erstellte Richtlinie sorgt dann dafür, dass extrem komplexe Vorgaben greifen, um es unattraktiv zu machen, selbst wenn das Passwort versehentlich zurückgesetzt wird. Zuletzt auditieren Sie im AD Events, bei denen Passwortanmeldung zum Einsatz kam oder in denen User Passwörter ersetzt oder zurückgesetzt haben.
Für alle diese Änderungen ist es hilfreich, die bereits passwortlosen, Phishing-resistenten Benutzer in einer AD-Gruppe einzusammeln. Wenn Sie Entra Connect für die Synchronisation von Benutzern und Gruppen einsetzen, erledigen Sie dies beispielsweise über "Group Write-back", das Cloudgruppen ins lokale AD zurückschreibt. Änderungen an der Gruppe erfolgen in der Cloud und werden mit der lokalen Infrastruktur synchronisiert. Damit könnten Sie die Benutzer basierend auf den Credentials in Gruppen sortieren und dann ins AD synchronisieren. In der PowerShell mit den Microsoft-Graph-CMDlets gelingt das wie folgt:
Connect-MgGraph -Scopes "User.Read.All","Group.ReadWrite. All","UserAuthenticationMethod. Read.All", "UserAuthenticationMethod.Read", "Group.ReadWrite.All
$group = Get-MgGroup -Filter "DisplayName eq 'PWDLESS_ Authenticator'"
Get-MgUser -All | %{ if((Get-MgUser-AuthenticationMicrosoftAuthenticatorMethod -UserID $_.Id).Count-gt 0) { New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $_.Id } }
Dabei verbinden Sie sich zunächst mit Graph und erfragen die notwendigen Scopes, um die Anmeldeverfahren der Benutzer auszulesen und Entra-ID-Gruppen lesen und schreiben zu können. Die Gruppe, die alle Mitarbeiter mit der Authenticator-App sammelt, lesen Sie danach in eine Variable ein. Das letzte Kommando iteriert durch alle Benutzerkonten in Entra ID und findet heraus, welche davon die "MicrosoftAuthenticatorMethod" nutzen. Diese User landen dann als Mitglied in der Gruppe.
Mit kleinen Änderungen am Code sammeln Sie alle Mitarbeiter ein, die ein bestimmtes Credential nicht besitzen – indem Sie "-gt" (für "greater than 0") durch "-eq 0" ("equals 0") ersetzen. Selbiges können Sie für weitere Anmeldedaten konfigurieren, die Sie als Alternativen für Passwörter betrachten. Die Gruppen synchro- nisieren Sie entweder ins AD oder übertragen die Gruppenmitgliedschaften via Skript manuell in AD-Gruppen. Von dort aus können Sie die User für weitere Richtlinien und Konfiguration bearbeiten.
AD-Trick für komplexe Kennwörter
Nun sind Sie in der Lage, für diese Personen das Passwort mit einem Zufallswert zu füllen, den die Mitarbeiter nicht kennen – und somit passwortlos bleiben. Dazu bauen Sie sich ein kleines Skript, das Sie täglich oder wöchentlich starten. Das Skript nutzt einen Trick im AD: Beim Setzen der Einstellung "Muss Smartcard für die interaktive Anmeldung nutzen" auf dem Benutzerkonto ersetzt Windows das Active-Directory-Passwort durch einen zufällige, lange Zeichenkette. Durch das Setzen und Zurücksetzen dieses Flags randomisieren Sie demnach das AD-Passwort:
Get-ADGroupMember PWDLESS_USERS | %{ Set-Aduser -Identity $_.objectGUID -SmartcardLogonRequired $true -CannotChangePassword $true -PasswordNeverExpires $true }
Get-ADGroupMember PWDLESS_USERS | %{ Set-Aduser -Identity $_.objectGUID -SmartcardLogonRequired $false }
Die anderen beiden Flags namens "Cannot Change Password" und "Password Never Expires" helfen, weiteren Missbrauch oder ein Zurücksetzen durch den Mitarbeiter zu verhindern. Der zweite PowerShell-Befehl geht durch alle Mitglieder der Gruppe "PWDLESS_USERS" und führt die gewünschten Schritte aus. Anschließend können Sie das SmartcardLogonRequired-Flag sofort mit demselben Skript auf "$false" zurücksetzen.
Haben Sie erst einmal verboten, dass der Benutzer das randomisierte Passwort selbst ändern darf, verschärfen Sie die Passwortrichtlinie so, dass nur noch sehr komplexe Kennwörter zur Anwendung kommen dürfen. Dafür sind "Fine-Grained Password Policies" geeignet, weil Sie diese Richtlinien nicht auf Domänenebene setzen, sondern auf Benutzer und Gruppen anwenden – wie in unserem Fall die PWDLESS_USERS-Gruppe.
Die Passwortrichtlinie, die die Rahmenbedingungen für Passwörter einschränkt, erstellen Sie einfach über das Active Directory Administrative Center, indem Sie über das Domänenobjekt nach "System" und "Password Settings Container" navigieren und dann via "New" ein neues Objekt mit den richtigen Einstellungen erstellen. In der Sektion "Directly Applies To" wählen Sie die AD-Gruppe der passwortlosen Benutzer aus. Mit der PowerShell erledigen Sie dies wie folgt:
New-ADFineGrainedPasswordPolicy -Name "Password Policy for passwordless users" -Precedence 20 -MinPasswordAge 07.00:00:00 -MaxPasswordAge 60.00:00:00 -PasswordHistoryCount 16 -ComplexityEnabled $true -ProtectedFromAccidentalDeletion $true -MinPasswordLength 32 -LockoutObservationWindow 00:00:00 -LockoutDuration 00:00:00 -LockoutThreshold 0 -ReversibleEncryptionEnabled $false
Add-ADFineGrainedPasswordPolicySubject -Identity "Password Policy for passwordless users" -Subjects "PWDLESS_USERS"
Anmeldebildschirm anpassen
Sind Sie wirklich alle Passwörter losgeworden, können Sie deren Eingabe im Windows-Anmeldebildschirm entfernen. Dafür sind die Registry, Gruppenrichtlinien oder eine Intune-Richtlinie geeignet. Die zuständige Gruppenrichtlinie ist in "Computer Configuration / Administrative Templates / System / Logon / Exclude credential providers" hinterlegt. Die Intune-Policy finden Sie unter "Device / Vendor / MSFT / Policy / Config / ADMX_CredentialProviders / ExcludedCredentialProviders". Der zu konfigurierende Wert ist jeweils "{60b78e88-ead8-445c-9cfd-0b87f74ea6cd}", also die GUID für den Passwort-Credential-Provider in Windows.
Setzen Sie diese Richtlinie, taucht die Frage nach dem Passwort nach einem Neustart nicht mehr im Anmeldebildschirm auf. Das Schlüsselsymbol, mit dem Mitarbeiter umschalten und sich per Passworteingabe anmelden konnten, ist nicht mehr verfügbar. Es sind nunmehr also alternative Credentials erforderlich – Hello for Business, FIDO2-Schlüssel oder Smart Cards.
Neue Mitarbeiter ohne Passwort
Doch was geschieht mit neuen Usern, die ihren Account-Lebenszyklus im AD beginnen, das ein Passwort für Benutzerkonten erfordert? Eine mögliche Lösung ist das Erstellen eines vertrauten Geräts, auf dem Sie dann Hello for Business einrichten. Zunächst wählen Sie dabei ein neues Device aus und registrieren es in Microsoft Intune. Erhält der neue Mitarbeiter seinen Rechner, ist das Einrichten von HFB Teil des Konfigurationsprozesses.
Da das Gerät vertraut ist und vorerst als "Trust Anchor" gilt, muss sich der neue Kollege nur noch mit einem Credential authentifizieren. Das kann in Entra ID das "Temporary Access Pass" (TAP) sein, das der Vorgesetzte, die IT-Abteilung oder der Werksschutz am ersten Arbeitstag aushändigt. Das TAP ist ein komplexes Passwort, das nur wenige Stunden oder Minuten gültig ist und sich in seiner Nutzung via Conditional Access einschränken lässt. Somit ist das TAP zum Beispiel nur für die Konfiguration von Hello for Business für 90 Minuten nutzbar, danach ist es ungültig.
Mit dem TAP gelingt dies, weil es als MFA-Methode gilt – unter der Annahme, dass beim Aushändigen die Identitätsverifikation über Offline- oder Alternativwege erfolgt. Etwa, weil der neue Mitarbeiter beim Werksschutz vorstellig wird und sich mit dem Ausweis identifiziert oder der Vorgesetzte das TAP auslöst. Ist Hello for Business konfiguriert und das Intune-Setup für das Gerät durchlaufen, ist der neue User im Besitz eines vertrauten Gerätes mit TPM und HFB-Credentials, die SSO für AD mit Kerberos und Entra ID mit Cloud-Apps liefern. Der Mitarbeiter muss dabei das Windows-Passwort nie kennenlernen.
Events einfangen
Haben Sie Passwörter zunehmend verbannt, sollten Sie Änderungsversuche daran im AD protokollieren. So erkennen Sie leichter, welche Anwendungen und Infrastrukturen versuchen, weiterhin mit Passwörtern zu arbeiten. Sie erkennen so auch, welche Mitarbeiter zurück zum Passwort wollen.
Im AD-Auditing protokollieren Sie die Events 4723 und 4724 ("An attempt was made to change an account’s password" und "An attempt was made to reset an account password"). Hierfür benutzen Sie Gruppenrichtlinien – entweder die "Default Domain Controllers Policy" oder eine GPO, die an der "Domain Controllers"-OU hängt: "Computer Configuration / Policies / Windows Settings/ Security Settings / Local Policies / Audit Policy: Audit account management" und prüfen auf "Success" und "Failure".
Fazit
Wir haben hier das Puzzle besprochen, dessen Teile die Modernisierung von Anmeldeverfahren in Unternehmen vervollständigen. Viele dieser Methoden zielen darauf ab, es den Mitarbeitern so einfach wie möglich zu machen, die modernen Credentials zu benutzen. Ob sie alle oder nur einige ausgewählte unserer Puzzleteile nutzen, ist Ihnen überlassen. Neben den technischen Möglichkeiten bleibt aber eine wichtige Disziplin übrig: Gut durchdachtes und kommuniziertes Changemanagement, das den Anwendern den Mehrwert der modernen Anmeldeverfahren näherbringt, die Vorteile erläutert sowie bei der Umstellung unterstützt und motiviert. Wenn Microsoft es noch schafft, Passworte ganz aus dem AD zu verbannen, sodass Windows-Benutzerkonten wirklich passwortlos arbeiten, wäre auch die lokale IT einen guten Schritt weiter.
(jp)