Windows Hello ESS jetzt für externe Fingerabdruckleser — so prüfen Sie, ob Ihre Desktops profitieren

Windows Hello Enhanced Sign-in Security (ESS) schützt die biometrische Anmeldung deutlich stärker als das normale Windows Hello — die Fingerabdruckdaten landen in einer isolierten VBS-Enklave, die selbst privilegierte Prozesse nicht direkt ansprechen können. Das Feature war bisher auf integrierte Sensoren beschränkt: Desktops mit externen USB-Fingerabdrucklesern gingen leer aus. Microsoft ändert das. Das klingt nach einem Detail — ist aber für Unternehmen, die passwortlose Anmeldung ausrollen, genau der fehlende Baustein für Desktop-Workstations.

Der Unterschied zwischen Windows Hello und ESS

Wer Windows Hello mit einem Standard-Fingerabdruckleser nutzt, authentifiziert sich bequemer und sicherer als mit Passwort. Was dabei oft unterschätzt wird: Ohne ESS verarbeitet Windows die biometrischen Daten im normalen Betriebssystem-Kontext. Das bedeutet, dass Malware mit ausreichenden Rechten theoretisch den Authentifizierungsprozess beeinflussen kann.

ESS schiebt einen zusätzlichen Riegel vor. Die Biometrie-Verarbeitung findet in einer VBS-Enklave (Virtualization-Based Security) statt — einem durch den Prozessor isolierten Speicherbereich, den weder Kernel-Code noch Treiber direkt ansprechen können. Microsoft setzt ESS bereits für Secured-Core-PCs und Geräte mit integrierten, ESS-zertifizierten Sensoren ein — bisher aber ausschließlich für solche.

Das Problem für Desktop-Nutzer: Wer auf passwortlose Anmeldung umstellen wollte und dabei ESS nicht opfern mochte, stand vor der Wahl — entweder Notebooks einführen oder das erhöhte Schutzniveau für Workstations akzeptieren. Externe USB-Fingerabdruckleser galten bisher als nicht ESS-fähig.

Was Microsoft jetzt ändert

Mit der neuen Erweiterung öffnet Microsoft ESS für kompatible externe Fingerabdruckleser. Hersteller können ihre Geräte für ESS zertifizieren lassen; Windows 11 erkennt und nutzt diese Geräte dann mit dem vollen ESS-Schutzniveau — ohne dass auf der Softwareseite grundlegend etwas neu konfiguriert werden müsste.

Für viele Unternehmen ist das eine direkt nutzbare Erweiterung: Wer Desktop-Nutzer bereits mit externen USB-Lesern und Standard-Windows-Hello ausgestattet hat, muss die Hardware nicht zwingend tauschen — sofern das vorhandene Gerät ESS-zertifiziert ist oder ein gleichwertiges zertifiziertes Modell angeschafft wird.

Was Administratoren prüfen sollten

Drei Bedingungen müssen zusammentreffen, damit eine Desktop-Workstation von ESS mit externem Leser profitiert:

1. Windows 11 — ESS ist ausschließlich auf Windows 11 verfügbar. Windows 10 bleibt außen vor.
2. ESS-zertifiziertes Lesegerät — nicht jeder externe Fingerabdruckleser erfüllt die Hardwareanforderungen. Hersteller müssen ihre Geräte explizit für ESS zertifizieren lassen; Microsoft veröffentlicht dazu eine Kompatibilitätsliste.
3. Passende Richtlinie — in Managed-Umgebungen steuern Gruppenrichtlinie oder MDM (z. B. Microsoft Intune), ob ESS für externe Geräte erlaubt wird. Prüfen Sie die „Windows Hello for Business“-Einstellungen in Ihrer Policy-Verwaltung.

Fehlt eine dieser drei Bedingungen, läuft Windows Hello weiterhin im Standard-Modus — ohne ESS-Enklave.

Unser Fazit

Aus unserer Sicht ist das eine sinnvolle Erweiterung, die lange überfällig war. Passwortlose Authentifizierung ohne das stärkere ESS-Schutzniveau einzuführen ist wie ein Türschloss mit gutem Griff, aber schwachem Zylinder. Wenn Desktop-Workstations — typischerweise die am stärksten eingesetzten Maschinen im Unternehmen — dasselbe Schutzniveau wie Notebooks erreichen können, sollte das bei der Rollout-Planung nicht ignoriert werden.

Was Sie jetzt tun sollten: Prüfen Sie Ihr Hardware-Inventar auf externe Fingerabdruckleser und gleichen Sie die Modelle mit Microsofts ESS-Kompatibilitätsliste ab. Planen Sie gerade einen Rollout auf passwortlose Anmeldung? Dann ist jetzt der richtige Moment, ESS für Desktop-Workstations einzuplanen — bevor Sie feststellen, dass die Hälfte Ihrer Geräte nicht das gewünschte Schutzniveau erreicht.

Quellen: Petri — „Windows Hello ESS External Fingerprint Readers“ (https://petri.com/windows-hello-ess-external-fingerprint-readers/)