Passwortlose Authentifizierung gilt als einer der wichtigsten Fortschritte der letzten Jahre. Technologien wie Windows Hello for Business (WHfB) und FIDO2-Passkeys schützen Benutzer vor Phishing, Credential Stuffing und vielen klassischen Passwortangriffen.
Die aktuelle Forschung von Security-Researcher Dirk-jan Mollema zeigt jedoch eindrucksvoll: Nicht immer ist die Kryptographie das schwächste Glied – häufig sind es die Identitäts- und Provisionierungsprozesse.
Windows Hello und FIDO2 – sicher, aber unterschiedlich
Windows Hello for Business und FIDO2 basieren beide auf asymmetrischer Kryptographie.
Statt eines Passworts existiert ein Schlüsselpaar:
- Der private Schlüssel verbleibt auf dem Gerät.
- Der öffentliche Schlüssel wird beim Identitätsanbieter registriert.
- Die Anmeldung erfolgt über eine kryptographische Signatur statt über ein Passwort.
Dennoch unterscheiden sich beide Technologien:
Windows Hello for Business ist eng mit Microsoft Entra ID, der Geräteidentität und dem Primary Refresh Token (PRT) verzahnt. Es dient nicht nur der Anmeldung am Gerät, sondern auch als Grundlage für Single Sign-on innerhalb der Microsoft-Welt.
FIDO2-Passkeys hingegen folgen dem offenen WebAuthn-/CTAP2-Standard und können auf Hardware-Sicherheitsschlüsseln, Smartphones oder Plattformen wie Windows, Android oder iOS gespeichert werden.
Beide gelten weiterhin als phishing-resistent. Genau diese Aussage wird durch die Forschung auch nicht widerlegt.
Der Angriff richtet sich nicht gegen die Kryptographie
Der Titel „Borrowing Windows Hello Keys“ ist bewusst provokant gewählt.
Tatsächlich werden keine TPM-geschützten Schlüssel ausgelesen oder gestohlen.
Auch die Kryptographie von Windows Hello oder FIDO2 wird nicht gebrochen.
Stattdessen nutzt der Angriff die Möglichkeit aus, einen neuen Authentifizierungsschlüssel im Namen eines Benutzers zu registrieren.
Damit verschiebt sich die Angriffsfläche von der eigentlichen Authentifizierung hin zur Identitätsverwaltung.
Die Schlüsselrolle des Primary Refresh Tokens
Im Mittelpunkt steht der Primary Refresh Token (PRT).
Ein PRT ist weit mehr als ein gewöhnlicher OAuth-Refresh-Token. Er bildet die Vertrauensbasis für:
- Single Sign-on
- Gerätezustand
- Windows Hello for Business
- Tokenanforderungen gegenüber Microsoft Entra ID
Kann ein Angreifer unter geeigneten Voraussetzungen einen gültigen PRT oder einen vergleichbaren Vertrauensstatus erlangen, lassen sich Microsoft-interne Registrierungsprozesse nutzen, um neue Authentifizierungsschlüssel zu hinterlegen.
Genau darin liegt die eigentliche Erkenntnis der Forschung.
Warum “Borrowing” treffender ist als “Stealing”
Der Begriff „Borrowing“ beschreibt den Angriff deutlich besser als „Stealing“.
Der ursprüngliche Windows-Hello-Schlüssel bleibt unverändert auf dem Gerät des Benutzers gespeichert.
Stattdessen registriert der Angreifer einen zusätzlichen Schlüssel für dasselbe Benutzerkonto.
Der legitime Benutzer kann sich weiterhin anmelden.
Gleichzeitig besitzt nun aber auch der Angreifer einen gültigen kryptographischen Nachweis für dieses Konto.
Aus Sicht von Microsoft Entra ID handelt es sich um einen legitim registrierten Authentifizierungsschlüssel.
Betrifft das auch FIDO2?
Hier lohnt sich eine differenzierte Betrachtung.
Der Angriff bricht nicht den FIDO2-Standard und kompromittiert auch keine bereits registrierten Hardware-Sicherheitsschlüssel.
Ein YubiKey oder ein anderer FIDO2-Token lässt sich dadurch weder klonen noch auslesen.
Allerdings zeigt die Forschung, dass nicht die Authentifizierung selbst, sondern der Registrierungsprozess neuer Credentials zum Angriffsziel werden kann.
Je nachdem, welche Microsoft-Authentifizierungsmethode verwendet wird – Windows Hello for Business oder Entra-Passkeys auf Basis von FIDO2 –, können ähnliche Provisionierungsmechanismen betroffen sein.
Die eigentliche Schwachstelle liegt also nicht im kryptographischen Verfahren, sondern in den Prozessen, mit denen neue Vertrauensbeziehungen geschaffen werden.
Warum das für Unternehmen relevant ist
Viele Organisationen konzentrieren sich verständlicherweise auf den Schutz der Endgeräte:
- TPM
- Secure Boot
- Biometrie
- FIDO2
- Multifaktor-Authentifizierung
Diese Schutzmaßnahmen bleiben wichtig.
Die Forschung macht jedoch deutlich, dass ebenso viel Aufmerksamkeit auf die Identitätsplattform gelegt werden muss.
Wer neue Geräte oder Authentifizierungsschlüssel registrieren darf, welche Token hierfür verwendet werden und wie diese Vorgänge überwacht werden, ist mindestens genauso entscheidend.
Empfehlungen für Administratoren
Unternehmen sollten insbesondere folgende Bereiche überprüfen:
- Conditional-Access-Richtlinien konsequent einsetzen.
- Registrierungen neuer Geräte überwachen.
- Neue Windows-Hello- und Passkey-Registrierungen protokollieren.
- Aktivitäten rund um Primary Refresh Tokens beobachten.
- Microsoft Defender for Identity und Microsoft Entra Audit Logs aktiv auswerten.
- Registrierungsprozesse regelmäßig überprüfen und unnötige Berechtigungen entfernen.
Fazit
Die Forschung von Dirk-jan Mollema zeigt keine Schwäche in Windows Hello oder FIDO2 selbst.
Stattdessen macht sie deutlich, dass moderne passwortlose Authentifizierung nur so sicher ist wie die Prozesse, mit denen neue Authentifizierungsschlüssel registriert und Vertrauensbeziehungen aufgebaut werden.
Für Unternehmen bedeutet das: TPM, Biometrie und FIDO2 bleiben zentrale Sicherheitsbausteine. Gleichzeitig müssen aber auch Identitätsplattformen wie Microsoft Entra ID, Primary Refresh Tokens und die Registrierung neuer Credentials genauso sorgfältig geschützt und überwacht werden.
Passwortlose Authentifizierung ist damit keineswegs unsicher – sie erfordert lediglich einen erweiterten Blick auf die gesamte Vertrauenskette.
Quellen und weiterführende Informationen
Die in diesem Artikel beschriebenen Erkenntnisse basieren auf der Forschung von Dirk-jan Mollema, einem renommierten Security Researcher im Bereich Microsoft Entra ID, Active Directory und Identity Security.
Originalartikel:
- Borrowing Windows Hello Keys – https://dirkjanm.io/borrowing-windows-hello-keys/
Weitere Informationen:
- Microsoft Learn: Windows Hello for Business
- Microsoft Learn: Microsoft Entra Passkeys (FIDO2)
- Microsoft Learn: Primary Refresh Tokens (PRT)