Sichere Anmeldung ist nur der erste Schritt
Die klassische Kombination aus Benutzername und Passwort hat in Unternehmen längst ausgedient. Moderne Authentifizierungsverfahren wie Windows Hello for Business, Passkeys und FIDO2 versprechen mehr Sicherheit, mehr Komfort und einen wirksamen Schutz vor Phishing. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Unternehmen den Einsatz moderner passwortloser Verfahren.
Doch genau hier entsteht häufig ein gefährlicher Irrtum: Viele Unternehmen setzen sichere Authentifizierung mit sicherem Zugriff gleich. Tatsächlich löst Windows Hello for Business jedoch nur einen Teil der Sicherheitsaufgabe. Die eigentliche Herausforderung beginnt erst danach – nämlich dann, wenn Mitarbeiter, Administratoren oder externe Dienstleister auf interne Anwendungen, Server oder besonders schützenswerte Netzwerke zugreifen müssen.
Gerade im Zeitalter von Homeoffice, hybriden Arbeitsplätzen und externen Dienstleistern reicht eine starke Anmeldung allein nicht mehr aus.
Das BSI weist auf wichtige Einschränkungen hin
In einem aktuellen Beitrag beschäftigt sich das BSI intensiv mit Windows Hello for Business und macht deutlich, dass die tatsächliche Sicherheit wesentlich von der eingesetzten Hardware abhängt. Besonders biometrische Verfahren wie Gesichtserkennung oder Fingerabdruck erreichen erst mit Microsofts Enhanced Sign-in Security (ESS) ihr volles Sicherheitsniveau.
Viele heute eingesetzte Business-Notebooks unterstützen diese erweiterten Sicherheitsfunktionen jedoch noch gar nicht vollständig. Fehlt ESS, empfiehlt das BSI unter Umständen sogar eine TPM-geschützte PIN anstelle biometrischer Verfahren.
Diese Einschätzung zeigt vor allem eines: Selbst moderne Authentifizierung ist kein Selbstläufer. Unternehmen müssen ihre Endgeräte sorgfältig auswählen und ihre Sicherheitsstrategie ganzheitlich betrachten.
Doch selbst wenn Windows Hello perfekt umgesetzt wurde, bleibt eine entscheidende Frage offen:
Wie gelangen berechtigte Benutzer anschließend sicher zu den Unternehmensressourcen?
Authentifizierung schützt die Identität – nicht den Zugriffsweg
Windows Hello beantwortet die Frage:
„Ist dieser Benutzer wirklich derjenige, der er vorgibt zu sein?“
Für moderne Unternehmensnetzwerke reicht diese Antwort jedoch längst nicht mehr aus.
Denn nach erfolgreicher Anmeldung müssen Benutzer häufig auf interne Anwendungen, Windows-Server, Linux-Systeme, SSH-Zugänge, Datenbanken oder Webanwendungen zugreifen. Genau an dieser Stelle entstehen die größten Sicherheitsrisiken.
Viele Unternehmen verwenden dafür noch immer klassische VPN-Verbindungen. Dadurch wird jedoch häufig nicht nur die gewünschte Anwendung erreichbar, sondern gleich ein ganzer Netzwerkbereich. Aus Sicht moderner Zero-Trust-Konzepte ist das problematisch. Jede zusätzliche Netzwerkverbindung erweitert potenziell die Angriffsfläche.
Deshalb entwickelt sich die Sicherheitsstrategie vieler Unternehmen weg vom Netzwerkzugriff und hin zum kontrollierten Anwendungszugriff.
Moderne Sicherheit endet nicht am Windows-Login
Ein erfolgreicher Login bedeutet nicht automatisch, dass ein Benutzer uneingeschränkten Zugriff auf alle Systeme erhalten sollte.
Gerade privilegierte Systeme wie Domänencontroller, Datenbanken, Produktionsserver oder Tier-0- und Tier-1-Netzwerke benötigen zusätzliche Schutzmechanismen.
Hier spielen Fragen eine Rolle wie:
- Wer darf welche Anwendung öffnen?
- Muss überhaupt ein Netzwerkzugriff erfolgen?
- Können Sitzungen protokolliert werden?
- Lassen sich Administratorzugriffe nachvollziehen?
- Können externe Dienstleister zeitlich begrenzt freigeschaltet werden?
Diese Aspekte werden von Windows Hello bewusst nicht abgedeckt.
Zero Trust bedeutet mehr als passwortloses Arbeiten
Zero Trust wird häufig auf Multifaktor-Authentifizierung oder Passkeys reduziert. Tatsächlich verfolgt das Konzept jedoch einen wesentlich umfassenderen Ansatz.
Nicht nur die Identität des Benutzers wird geprüft. Auch jede einzelne Verbindung zu einer Anwendung wird bewertet und kontrolliert.
Das Prinzip lautet:
Nicht dem Netzwerk vertrauen – sondern jeder einzelnen Verbindung.
Deshalb ersetzen moderne Sicherheitskonzepte zunehmend den klassischen VPN-Zugang durch browserbasierte Zugriffe auf einzelne Anwendungen.
Benutzer erhalten ausschließlich Zugriff auf genau die Ressourcen, die sie tatsächlich benötigen.
Mehr nicht.
Genau hier ergänzt Kyvion Secure Access Windows Hello for Business
Windows Hello for Business und Kyvion Secure Access verfolgen keine konkurrierenden Ziele – sie ergänzen sich ideal.
Windows Hello stellt sicher, dass sich ausschließlich berechtigte Benutzer anmelden können.
Kyvion Secure Access sorgt anschließend dafür, dass diese Benutzer ausschließlich auf die freigegebenen Anwendungen zugreifen können.
Dabei erfolgt der Zugriff vollständig browserbasiert, ohne installierten VPN-Client und ohne geöffnete Firewall-Ports in das interne Netzwerk. Statt komplette Netzwerke freizugeben, werden lediglich einzelne Anwendungen, Server oder Desktops bereitgestellt.
Für Administratoren bedeutet dies deutlich weniger Angriffsfläche.
Für Anwender bleibt der Zugriff einfach und komfortabel.
Für Unternehmen entsteht ein Sicherheitskonzept, das sowohl die Identität als auch den eigentlichen Zugriffsweg absichert.
Mehr über Kyvion Secure Access erfahren
Besonders interessant für Administratoren und kritische Infrastrukturen
Gerade Unternehmen mit erhöhten Sicherheitsanforderungen profitieren von dieser Kombination.
Administratoren können sich beispielsweise per Windows Hello oder Entra ID anmelden und anschließend über Kyvion Secure Access auf RDP-, SSH-, VNC- oder Webanwendungen zugreifen, ohne dass privilegierte Netzwerke direkt erreichbar werden.
Auch externe Dienstleister erhalten keinen generellen Netzwerkzugang mehr. Stattdessen werden ausschließlich die benötigten Anwendungen freigegeben. Jede Sitzung kann protokolliert, zeitlich begrenzt oder überwacht werden.
Gerade bei Tier-0- und Tier-1-Netzwerken entspricht dieser Ansatz deutlich stärker den aktuellen Empfehlungen moderner Zero-Trust-Architekturen.
Mehr über Kyvion Secure Access erfahren
Ganzheitliche Sicherheit entsteht erst durch die Kombination
Die Empfehlungen des BSI zeigen eindrucksvoll, wie wichtig eine starke Authentifizierung geworden ist. Windows Hello for Business ist ein bedeutender Schritt in Richtung passwortloses Arbeiten und bietet – richtig umgesetzt – ein sehr hohes Sicherheitsniveau.
Dennoch endet Cybersicherheit nicht mit der Anmeldung am Windows-PC.
Erst wenn auch der eigentliche Zugriff auf Unternehmensanwendungen kontrolliert, nachvollziehbar und auf das notwendige Minimum reduziert wird, entsteht ein wirklich modernes Sicherheitskonzept.
Genau darin liegt der entscheidende Unterschied zwischen sicherer Anmeldung und sicherem Zugriff.
Unternehmen, die beide Bereiche miteinander kombinieren, schaffen die Grundlage für eine Zero-Trust-Architektur, die heutigen Anforderungen an Datenschutz, Cybersecurity und Compliance gerecht wird – ohne die Komplexität klassischer VPN-Infrastrukturen.
