Die PIN-Anmeldung ist eine bequeme Möglichkeit, sich schnell zu authentifizieren und am Windows-10-PC anzumelden. IT-Administrator:innen, die Windows-Domänen verwalten, möchten aus Sicherheitsgründen aber vielleicht steuern, ob sich Benutzer:innen mit PIN unter Windows 10 anmelden dürfen.
Diese Schritt-für-Schritt-Anleitung zeigt, wie Sie die PIN-Anmeldung für Domänenbenutzer:innen in Windows 10 über Gruppenrichtlinien aktivieren oder deaktivieren. Außerdem erfahren Sie, welche Vorteile und Sicherheitsauswirkungen die PIN-Anmeldung im Vergleich zu anderen Windows-Anmeldeoptionen hat und wie Sie die Anmeldung von Domänenbenutzer:innen in Unternehmensumgebungen am besten verwalten.
PIN-Authentifizierung in Windows 10 und Windows Hello for Business
Windows Hello for Business bietet mehrere komfortable Wege, sich ohne Passwort an einer Windows-Domäne anzumelden. Dazu gehören biometrische Verfahren (Gesichts- oder Fingerabdruckerkennung) sowie die PIN-Authentifizierung für Domänenbenutzer:innen unter Windows 10.
Mit einer PIN melden Sie sich schnell an einem Windows-Gerät an, ohne jedes Mal ein Passwort eingeben zu müssen. Standardmäßig bestehen PINs aus vier Ziffern, können für mehr Sicherheit aber auch komplexer sein. Die Windows-Hello-Authentifizierung wird pro Gerät konfiguriert und nicht gemeinsam mit den Anmeldeinformationen der Benutzer:innen auf dem Domain-Controller gespeichert.
Das klingt zunächst widersprüchlich, macht die PIN-Authentifizierung aber sicherer als die Passwort-Authentifizierung, selbst wenn die PIN kürzer ist als das Passwort: Bei der Anmeldung per PIN wird das Passwort nicht eingegeben. Es kann also weder von Umstehenden mitgelesen noch von Keyloggern abgefangen werden, und es wird auch nicht an den Domain-Controller übertragen. Wird eine PIN kompromittiert, ist nur dieses eine Gerät betroffen. Das Passwort und alle damit geschützten Konten bleiben vertraulich.
Die Daten für die Windows-Hello-Anmeldung werden stark verschlüsselt und sicher in einem hardwarebasierten Trusted Platform Module (TPM) abgelegt. Sie sind damit nur schwer zu knacken und besser gegen Brute-Force-Angriffe geschützt.
Gründe für das Aktivieren oder Deaktivieren der PIN-Anmeldung für Domänenbenutzer:innen
Die PIN-Authentifizierung und Windows Hello für Domänenbenutzer:innen unter Windows 10 bieten folgende Vorteile:
- Mehr Sicherheit: Windows Hello mit biometrischer Authentifizierung oder PIN, abgesichert durch ein Hardware-TPM, verringert das Risiko, dass Passwörter gestohlen und auf anderen Systemen verwendet werden.
- Komfort für Benutzer:innen: PINs sind in der Regel deutlich kürzer als Passwörter und leichter zu merken. Dadurch lassen sie sich problemlos ändern und werden viel seltener vergessen.
- Multi-Faktor-Authentifizierung: Windows Hello und damit auch die PIN-Nutzung lässt sich mit weiteren Authentifizierungsmethoden kombinieren, die Active Directory oder Windows Entra ID unterstützen. So entsteht ein mehrstufiger Schutz, der für Benutzer:innen trotzdem bequem bleibt.
Technisch gesehen ist Windows Hello der klassischen Passwortanmeldung also sowohl in puncto Komfort als auch Sicherheit überlegen. Dennoch gibt es gute Gründe, warum Windows-Domänenadministrator:innen die PIN-Anmeldung deaktivieren:
- Compliance: Vorschriften oder interne Richtlinien können vorgeben, welche Anmeldemethoden erlaubt sind, etwa über Anforderungen an die Passwortkomplexität, die PINs ausschließen.
- Benutzerfreundlichkeit: Wer an klassische Anmeldeverfahren gewöhnt ist, kommt mit mehreren parallelen Anmeldeoptionen möglicherweise nicht zurecht und bevorzugt es, wenn PIN-Anmeldung und andere Windows-Hello-Funktionen deaktiviert sind.
- Hardware-Unterstützung: Windows Hello (einschließlich PIN-Authentifizierung) benötigt zwar kein TPM, um Verschlüsselungsschlüssel zu erzeugen und zu speichern. Systemadministrator:innen deaktivieren die Funktion aber unter Umständen lieber, wenn nicht alle von ihnen betreuten Geräte über ein TPM und damit über die zusätzliche Verschlüsselung und Sicherheit verfügen.
- Zentrale Kontrolle: Unternehmen, die die Zahl der unterstützten Anmeldeoptionen begrenzen und so die Fehlersuche vereinfachen möchten, setzen häufig ausschließlich auf die Passwortanmeldung.
Schritt für Schritt: PIN-Anmeldung für Domänenbenutzer:innen aktivieren oder deaktivieren
Die folgende Anleitung beschreibt, wie Sie die PIN-Anmeldung für Domänenbenutzer:innen in Windows 10 über Gruppenrichtlinien in Active Directory aktivieren oder deaktivieren. Sie müssen mit einem Administratorkonto in der Domäne angemeldet sein und Zugriff auf einen Domain-Controller mit der Gruppenrichtlinien-Verwaltungskonsole (GPMC) haben. Außerdem benötigen Sie Windows Server 2016 oder neuer, um Windows Hello for Business nutzen zu können.
So aktivieren Sie die PIN-Anmeldung unter Windows 10 für Domänenbenutzer:innen:
- Stellen Sie sicher, dass Sie mit einem Administratorkonto an einem Domain-Controller angemeldet sind
- Klicken Sie mit der rechten Maustaste auf die Schaltfläche Start und dann auf Ausführen
- Geben Sie gpmc.msc ein, um die Gruppenrichtlinien-Verwaltungskonsole zu öffnen
- Erstellen Sie ein Gruppenrichtlinienobjekt (GPO), das die Benutzer:innen, Gruppen oder Organisationseinheiten (OUs) umfasst, für die Sie die PIN-Anmeldung konfigurieren möchten
- Klicken Sie mit der rechten Maustaste auf das neu erstellte GPO und dann auf Bearbeiten
- Navigieren Sie im Gruppenrichtlinien-Editor zu Computerkonfiguration\Administrative Vorlagen\System\Anmelden
- Klicken Sie mit der rechten Maustaste auf die Einstellung Anmeldung mit Komfort-PIN einschalten und dann auf Bearbeiten
- Wählen Sie Aktiviert, um die PIN-Anmeldung für Domänenbenutzer:innen unter Windows 10 freizuschalten, und klicken Sie dann auf OK
- Starten Sie die von der Gruppenrichtlinie betroffenen Windows-PCs neu oder führen Sie auf jedem Rechner gpupdate /force in der Eingabeaufforderung aus, damit die Änderung wirksam wird
Um die PIN-Anmeldung für Domänenbenutzer:innen zu deaktivieren, gehen Sie genauso vor, schalten die entsprechende Option aber ab:
- Klicken Sie, nachdem Sie im Gruppenrichtlinien-Editor zu Computerkonfiguration\Administrative Vorlagen\System\Anmelden navigiert sind, mit der rechten Maustaste auf die Einstellung Anmeldung mit Komfort-PIN einschalten und dann auf Bearbeiten
- Wählen Sie Deaktiviert oder Nicht konfiguriert, um die PIN-Anmeldung für Domänenbenutzer:innen unter Windows 10 abzuschalten, und klicken Sie dann auf OK
- Starten Sie die von der Gruppenrichtlinie betroffenen Windows-PCs neu oder führen Sie auf jedem Rechner gpupdate /force in der Eingabeaufforderung aus, damit die Änderung wirksam wird
Wenn Ihre Änderungen an den Anmeldemöglichkeiten der Domänenbenutzer:innen nicht greifen, prüfen Sie, ob Sie die richtigen OUs adressiert haben und ob es widersprüchliche Richtlinien gibt. Bei einem Konflikt setzt sich immer die restriktivste Richtlinie durch.
Eine visuelle Demonstration des Vorgangs finden Sie in unserer Videoanleitung: So aktivieren und deaktivieren Sie die PIN-Anmeldung unter Windows 10.
Anwendungsfälle für die PIN-Authentifizierung in Domänenumgebungen
Über Gruppenrichtlinien zu steuern, ob sich Benutzer:innen mit PIN unter Windows 10 anmelden können, ist für Administrator:innen eine komfortable Möglichkeit, die Anmeldeoptionen zentral zu verwalten. Da sich Gruppenrichtlinienobjekte sehr granular zuweisen lassen, wirken sie ausschließlich auf die adressierten OUs und Benutzer:innen.
Die PIN-Anmeldung selbst ist praktisch für alle, die sich Arbeitsplätze teilen und sich schnell an- und abmelden müssen, etwa in Unternehmen oder im Bildungsbereich. Da PINs nur auf dem Gerät funktionieren, auf dem sie eingerichtet wurden, schützen sie außerdem vor Phishing: Selbst wenn jemand seine PIN versehentlich preisgibt, lässt sich damit kein Zugriff auf das Konto in der Windows-Domäne von einem anderen Rechner oder aus der Ferne erlangen.
Besonders nützlich ist die Authentifizierung über Windows Hello for Business auch in Offline-Szenarien: Da die Windows-Hello-Daten lokal gespeichert sind, können sich Benutzer:innen auch ohne Internetverbindung oder Verbindung zum Firmen-VPN authentifizieren.
Vergleich mit anderen Authentifizierungsmethoden
Die Authentifizierungsoptionen von Windows Hello for Business sind klassischen Passwörtern in puncto Sicherheit überlegen. Sowohl die PIN- als auch die biometrische Anmeldung sind gerätespezifisch. Werden sie offengelegt, bleiben andere Teile Ihrer IT-Infrastruktur davon unberührt.
Biometrie bietet, wo sie eingesetzt werden darf, ein höheres Sicherheitsniveau als PINs: Biometrische Anmeldeinformationen sind extrem schwer zu stehlen und lassen sich weder erraten noch per Brute Force ermitteln.
Sicherheitskonfigurationen mühelos verwalten
Ob sich Benutzer:innen mit PIN unter Windows 10 anmelden dürfen, ist nur eine von vielen Konfigurationsoptionen, die Sie für einen Teil Ihrer Domänenbenutzer:innen bereitstellen möchten (etwa um die Anmeldung zu vereinfachen) oder unternehmensweit (etwa um regulatorische Vorgaben zu erfüllen).
Windows-Domänen vereinfachen die Verwaltung ganzer Windows-Geräteflotten und der Menschen, die sie nutzen, erheblich. In großen Umgebungen mit Hunderten oder Tausenden Geräten ist es jedoch eine Herausforderung, den Überblick zu behalten, jedes Gerät abzusichern und gleichzeitig den individuellen Anforderungen der Benutzer:innen gerecht zu werden. Hinzu kommt: Windows Hello bringt zwar Sicherheitsvorteile mit sich, doch die auf einem Gerät verfügbaren Authentifizierungsmethoden allein garantieren noch keine Sicherheit.
Eine durchgängige Lösung für Mobile Device Management (MDM) von NinjaOne verschafft Ihnen den vollen Überblick über Ihre gesamte IT-Infrastruktur. Sie können damit Sicherheitskonfigurationen verwalten, verdächtige Aktivitäten überwachen sowie verlorene, gestohlene oder kompromittierte Geräte sperren und so die darauf gespeicherten Daten schützen, selbst wenn die Anmeldeinformationen der Besitzer:innen kompromittiert wurden.
