Windows-Anmeldung absichern: Konten, PIN und Mehrbenutzerbetrieb

Die Anmeldung ist die Stelle, an der alle anderen Schutzmaßnahmen zusammenlaufen. Ist sie schwach, hilft weder Verschlüsselung noch Bildschirmsperre – der Angreifer meldet sich einfach an. Vier Bausteine entscheiden, wie belastbar sie ist: die Kontotrennung, das Anmeldeverfahren, die Rechtevergabe und der Umgang mit mehreren Nutzern an einem Gerät.

Ein Konto pro Person

Das gemeinsam genutzte Konto ist der häufigste Fehler in Haushalten und kleinen Büros. Es sieht bequem aus und kostet drei Dinge:

• Trennung der Daten. Jeder sieht alles, was ein anderer abgelegt hat, auch versehentlich.
• Trennung der Zugangsdaten. Im Browser gespeicherte Anmeldungen gelten für alle, die das Konto benutzen.
• Nachvollziehbarkeit. Wenn etwas fehlt oder verändert wurde, lässt sich nicht mehr feststellen, in wessen Sitzung das passiert ist.

Getrennte Konten kosten einmalig fünf Minuten Einrichtung. Wer Kinder am Gerät hat, gewinnt zusätzlich die Möglichkeit, Rechte und Nutzungszeiten getrennt zu regeln.

Anmeldeverfahren im Vergleich

Merksatz: Die PIN wirkt schwächer, als sie ist. Sie ist an genau dieses Gerät und an einen dort hinterlegten Schlüssel gebunden. Vier Ziffern auf einem Gerät mit Sperrverzögerung sind schwerer zu überwinden als ein Kennwort, das jemand aus der Ferne durchprobieren kann.

Administratorrechte begrenzen

Das Konto, das bei der Ersteinrichtung entsteht, ist ein Administratorkonto. Damit dauerhaft zu arbeiten ist der zweite verbreitete Fehler. Der bessere Aufbau:

1. Ein Administratorkonto anlegen, mit eigenem starkem Kennwort, und es nicht für die tägliche Arbeit verwenden.
2. Das eigene Alltagskonto auf „Standardbenutzer“ herabstufen.
3. Wenn Windows für eine Installation nach Rechten fragt, die Zugangsdaten des Administratorkontos eingeben.

Die Abfrage ist kein Hindernis, sondern die eigentliche Funktion: Sie erscheint dann, wenn etwas tief ins System eingreifen will. Kommt sie unerwartet, ist das die nützlichste Warnung, die das System zu bieten hat.

Mehrere Nutzer an einem Rechner

Rechner, an denen sich Personen abwechseln – in der Werkstatt, an der Anmeldung, im Lager – sind der Fall, für den es früher Zusatzsoftware gab. Programme wie die MultiUser-Fassungen der USB-Schlüssel-Software erlaubten mehrere Sticks für mehrere Konten an einem Gerät. Diese Gattung ist auf aktuellen Windows-Versionen nicht mehr lauffähig. Was heute an ihre Stelle tritt:

• Getrennte Konten mit schnellem Benutzerwechsel. Sitzungen laufen parallel weiter, ein Wechsel dauert Sekunden.
• Windows Hello je Konto. Jede Person hinterlegt ihren eigenen Fingerabdruck oder ihre eigene PIN.
• Ein Sicherheitsschlüssel je Person. Für Umgebungen mit erhöhtem Schutzbedarf. Jeder Token gibt genau ein Konto frei.
• Automatische Sperre nach kurzer Untätigkeit. Am Wechselarbeitsplatz eine bis zwei Minuten statt der üblichen fünfzehn.

Sicherheitshinweis: Auf gemeinsam genutzten Rechnern gehört in jedes Konto die automatische Sperre, nicht nur ins Chefkonto. Ein einziges offenes Standardkonto reicht, um an gespeicherte Zugangsdaten im Browser zu kommen.

Anmeldung ohne Passwort

Windows kann inzwischen ganz ohne Kontokennwort auskommen: Die Anmeldung läuft über PIN, Biometrie oder Sicherheitsschlüssel, das Kennwort entfällt. Das schließt eine ganze Angriffsklasse aus, weil es nichts mehr gibt, das abgefischt oder wiederverwendet werden könnte.

Zwei Bedingungen sollten erfüllt sein, bevor Sie umstellen: Ein zweites Anmeldeverfahren muss eingerichtet und erprobt sein, und die Wiederherstellungsmöglichkeiten des zugehörigen Kontos müssen aktuell hinterlegt sein. Sonst tauschen Sie ein Sicherheitsproblem gegen ein Aussperrungsproblem.

Die Auswahl und Einrichtung von Token beschreibt Sicherheitsschlüssel nach FIDO2. Wie die Daten selbst geschützt werden, steht unter Festplatte verschlüsseln unter Windows. Die historische Vorstufe finden Sie unter StickSecurity.