Windows-Hello-PIN „zu kurz“? Sie verlässt das Gerät nie
Die Hello-PIN wird nie übertragen und hängt am TPM mit Sperre gegen Durchprobieren. Das Passwort wandert zum Server. Kurz heißt hier nicht schwach.
Aufwand:
ca. 10 Min.
Voraussetzung:
Windows-Einstellungen › Konten › Anmeldeoptionen, Ein Microsoft-Konto oder Arbeitskonto (Microsoft Entra ID), Ein Gerät mit TPM
Gilt für:
Windows 11 und Windows 10 (Applies to laut Microsoft-Übersicht zu Windows Hello for Business, abgerufen 2026-10-14), Volle Schutzwirkung nur mit Microsoft-Konto oder Microsoft Entra ID; mit lokalem Konto ohne asymmetrisches Schlüsselpaar, Convenience-PIN in lokalen Active-Directory-Umgebungen ist ausdrücklich etwas anderes
Das Symptom
Windows bittet bei der Einrichtung um eine PIN, und der erste Reflex ist Misstrauen:
vier oder sechs Ziffern, wo das Kontopasswort doch sechzehn Zeichen hat. Also wird
die PIN übersprungen, weiter das lange Passwort getippt – oder eine zwanzigstellige
PIN vergeben, die man dann auf einen Zettel unter die Tastatur schreibt. In Firmen
hält mancher die alte Convenience-PIN für dasselbe wie Windows Hello for Business und
wundert sich, warum die Sicherheitsabteilung sie loswerden will.
Die „Layer 8“-Wahrheit
Der Vergleich zwischen PIN und Passwort wird intuitiv an der falschen Stelle geführt:
an der Länge. Microsoft führt ihn am Weg. Ein Online-Passwort reist bei jeder
Anmeldung zum Server, kann unterwegs abgefangen oder beim Anbieter abgegriffen werden
und funktioniert danach auf jedem Gerät der Welt. Die PIN von Windows Hello bleibt auf
dem Gerät, wird nirgendwohin übertragen und liegt auf keinem Server. Sie öffnet nur
einen privaten Schlüssel im TPM, und dieser Schlüssel signiert die Anmeldung. Wer die
PIN kennt, aber das Gerät nicht hat, besitzt eine Zahl ohne Schloss.
Microsoft sagt ausdrücklich, dass die Aussage, eine PIN sei stärker als ein Passwort, nichts
mit der Entropie der Ziffern zu tun hat, sondern damit, ob man weiter einen gemeinsamen
Schlüssel verwendet – das Passwort – oder nur noch lokal einen Schlüssel freigibt.
Gegen das Durchprobieren steht das TPM selbst: Nach wenigen Fehlversuchen verlangt
die Anmeldung eine Bestätigungsfolge, dann einen Neustart, dann Sperrzeiten, die mit
jedem weiteren Neustart länger werden. Eine Brute-Force-Liste mit zehntausend
Kombinationen ist so nicht abzuarbeiten.
Auch die Angst vor dem Blick über die Schulter beantwortet Microsoft nicht mit
Länge. Eine zwanzigstellige PIN, die man sich nicht merken kann, landet auf einem
Zettel und ist damit schlechter als jede kurze. Wer in Großraumbüro, Zug oder
Wartezimmer arbeitet und das Risiko ernst nimmt, ergänzt einen zweiten Faktor, den
ein Zuschauer nicht abschreiben kann – Microsoft nennt dafür die Funktion „trusted
signal unlock“, bei der Windows vor dem Desktop einen zusätzlichen Faktor verlangt.
Zwei Grenzen gehören dazu, und Microsoft nennt sie selbst. Mit einem lokalen Konto
fehlt das asymmetrische Schlüsselpaar; die Anmeldung ist bequem, aber nicht so gut
geschützt wie mit Microsoft-Konto oder Arbeitskonto. Und die Convenience-PIN aus
älteren Firmenumgebungen ist gar kein Schlüssel, sondern ein Kurzbefehl für das
zwischengespeicherte Passwort – sie ist genau das, was der Misstrauische fürchtet,
und Microsoft rät von ihr ab. Wer die Hello-PIN dagegen aus Sorge um ihre Kürze
meidet und stattdessen das Kontopasswort tippt, gibt den einen Vorteil auf, den er
hätte: dass das Geheimnis, das man eintippt, das Gerät nie verlässt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Die PIN einrichten und benutzen statt das Kontopasswort zu tippen
Unter Einstellungen › Konten › Anmeldeoptionen die PIN für Windows Hello einrichten. Beim Anlegen entsteht laut Microsoft ein asymmetrisches Schlüsselpaar; die PIN entsperrt nur den privaten Schlüssel im TPM, mit dem die Anmeldung beim Server signiert wird. Microsoft schreibt dazu: „The server doesn't have a copy of the PIN.“ Selbst der Windows-Client hat keine Kopie der aktuellen PIN.
2.
PIN und Kontopasswort nicht verwechseln
Die PIN gilt nur auf diesem einen Gerät. Das Passwort des Microsoft- oder Arbeitskontos bleibt bestehen und wird für andere Geräte und Online-Dienste weiter gebraucht. Eine abgegriffene PIN nützt einem Angreifer ohne das Gerät nichts; ein abgegriffenes Passwort dagegen funktioniert überall, wo das Konto gilt. Genau deshalb ist es keine gute Idee, als PIN das Kontopasswort zu wiederholen.
3.
Gegen Schultergucken nicht die PIN verlängern, sondern einen zweiten Faktor ergänzen
Wer befürchtet, dass jemand im Großraumbüro oder im Zug über die Schulter schaut, soll laut Microsoft nicht die PIN komplizierter machen: „rather than increase the complexity of the PIN, implement the trusted signal unlock feature.“ Damit verlangt Windows laut Microsoft einen zusätzlichen Faktor, bevor es den Desktop freigibt; die Anmeldung bleibt zweistufig, es kommt nur eine Bedingung hinzu. Für Privatgeräte ist Biometrie der näherliegende Weg – die PIN bleibt als Rückfall bestehen.
4.
Mit lokalem Konto die Grenze kennen
Wer Windows mit einem lokalen Konto betreibt, bekommt die bequeme Anmeldung, aber nicht das Schlüsselpaar: Microsoft schreibt, diese Konfiguration biete nicht dieselbe Sicherheit wie die schlüssel- oder zertifikatsbasierte Anmeldung mit Microsoft-Konto oder Microsoft Entra ID, und empfiehlt für mehr Sicherheit ein Microsoft-Konto oder einen Identitätsanbieter mit FIDO2-Unterstützung. Das ist eine Abwägung, kein Fehler.
5.
In Firmen: Convenience-PIN gegen Windows Hello for Business austauschen
Die ältere Convenience-PIN sieht für Anwender gleich aus, ist aber etwas anderes: Sie „still uses a password for authentication“ – Windows lädt bei richtiger PIN das zwischengespeicherte Passwort und meldet damit an. Microsoft sagt dazu unmissverständlich: „New Windows deployments should deploy Windows Hello for Business and not convenience PINs.“ Für Konten in Microsoft Entra ID wird die Convenience-PIN gar nicht unterstützt.
Häufige Fragen (FAQ)
?Vier oder sechs Ziffern – das errät doch jeder. Wie kann das sicherer sein als mein langes Passwort?
Weil Microsoft den Vergleich gar nicht über die Länge führt. Wörtlich: „The statement A PIN is stronger than a password is not directed at the strength of the entropy used by the PIN.“ Es geht um den Ort: Das Online-Passwort wird zum Server übertragen und kann unterwegs abgefangen oder beim Anbieter gestohlen werden. Die PIN ist dagegen „local to the device, never transmitted anywhere, and it isn't stored on the server“. Wer sie errät, braucht zusätzlich genau dieses Gerät.
?Was passiert, wenn jemand mein Notebook stiehlt und PINs durchprobiert?
Microsoft beschreibt die Abfolge für Windows Hello for Business: Nach drei falschen Versuchen verlangt die Anmeldung eine angezeigte Zeichenfolge, danach gibt es noch einen Versuch, dann bleibt nur der Neustart. Gehen die Fehlversuche weiter, sperrt sich das Gerät 1 Minute nach dem ersten Neustart, 2 Minuten nach dem vierten und 10 Minuten nach dem fünften, mit wachsender Dauer. Microsoft nennt das die Anti-Hammering-Funktion des TPM 2.0.
?Gilt das auch mit einem lokalen Konto ohne Microsoft-Konto?
Nur eingeschränkt, und Microsoft sagt das selbst: Mit lokalem Konto ist Windows Hello „isn't backed by asymmetric (public/private) key, so it doesn't offer the same level of security as key-based or certificate-based authentication“. Für Windows Hello for Business heißt es knapp: „not designed to work with local accounts“. Microsoft empfiehlt deshalb ein Microsoft-Konto oder einen Identitätsanbieter mit FIDO2. Einen Vorteil nennt die FAQ trotzdem: Windows bindet lokale Passwörter nicht an das TPM.
?Ich will die PIN abschalten und nur Gesicht oder Fingerabdruck nutzen. Geht das?
Nein. Die PIN ist laut Microsoft der Rückfallweg, wenn die Biometrie nicht funktioniert: „The PIN is the fallback mechanism. Disabling or hiding the PIN credential provider will disable the use of biometrics.“ Wer die PIN versteckt, verliert also Gesicht und Fingerabdruck gleich mit. Dazu kommt: Nach mehreren gescheiterten Biometrie-Versuchen wird die Methode vorübergehend gesperrt und lässt sich nur durch eine andere Anmeldung, etwa mit der PIN, wieder freischalten – ein Neustart hilft nicht.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Nach einem BIOS-Update oder Hardwaretausch fragt Windows den 48-stelligen BitLocker-Schlüssel? Das ist Schutz, kein Defekt — der Schlüssel liegt im Konto.