Notebooks haben es meist eingebaut, Desktop-PCs so gut wie nie – die Anmeldung per Fingerabdruck oder Gesicht. Nachrüsten lässt sich beides – ein kleiner USB-Sensor oder eine Infrarot-Kamera genügt.
Das ist praktisch und macht den Windows-Login schneller. Am Desktop-Rechner ist der Weg dorthin meist unspektakulär: einstecken, PIN anlegen, Finger einlernen.
Es gibt allerdings einen Fall, in dem der Sensor im Geräte-Manager auftaucht und in den Anmeldeoptionen trotzdem nichts passiert. Schuld ist dann eine Schutzfunktion namens Enhanced Sign-in Security (ESS), die nicht-kompatible Sensoren ausblendet. Sie betrifft vor allem Notebooks mit eingebautem Sensor – und genau diese Unterscheidung fehlt in den meisten Anleitungen.
Nachfolgend geht es deshalb um beides – welche Hardware für welchen Weg taugt, und wann die Einrichtung glattgeht beziehungsweise woran sie hakt.
Vorraussetzungen für Windows Hello
Grundvoraussetzungen
Hart erforderlich sind nur drei Dinge, um sich per Sensor an Windows anzumelden:
- Windows 10 oder Windows 11
- ein passender Sensor – ein Fingerabdruckleser oder eine Windows Hello-taugliche Kamera
- eine eingerichtete PIN – Windows verlangt sie vor der Biometrie und legt sie bei Bedarf neu an
Die PIN ist keine Formalität, sondern die Rückfalloption. Nach mehreren erfolglosen Versuchen am Sensor fragt Windows sie ab – deshalb lässt sich Windows Hello ohne PIN gar nicht aktivieren.
Ein zweiter Finger lohnt sich übrigens von Anfang an.
Ist der eingelernte Finger verletzt oder verklebt, spart das den Umweg über die PIN.
ESS, TPM – nicht erforderlich, aber empfehlenswert
Windows Hello gibt es seit Windows 10.
Neu in Windows 11 ist lediglich Enhanced Sign-in Security – die Schutzschicht, um die es weiter unten geht. Unter Windows 10 existiert sie schlicht nicht, weshalb dort auch nichts einen externen Sensor ausblenden kann.
TPM ist empfehlenswert, aber keine harte Voraussetzung.
Microsoft beschreibt in der Richtlinie zum Sicherheitsgerät, dass TPM zwar bevorzugt wird, Geräte Windows Hello aber per Software einrichten, wenn kein funktionierendes TPM vorhanden ist. In der Dokumentation zu Windows Hello for Business steht derselbe Gedanke – Schlüsseloperationen dürfen in Software laufen, empfohlen wird die TPM-Hardware.
Ohne TPM fehlt der Bremsklotz gegen das systematische Durchprobieren der PIN – das TPM sperrt nach zu vielen Fehlversuchen. Und Enhanced Sign-in Security setzt ein TPM 2.0 zwingend voraus.
Wer also die stärkste Schutzstufe will, kommt am TPM nicht vorbei.
Eine Ausnahme bilden Hersteller-Lösungen: Dell etwa verlangt für seine ControlVault-Sensoren ausdrücklich Zugriff auf das TPM. Das ist eine Eigenheit dieser Implementierung, keine allgemeine Windows-Regel.
Geeignete USB-Sensoren
Fingerabdrucksensor per USB
Die unauffälligere und günstigere Variante. Die Sensoren sind kaum größer als ein USB-Stick, manche verschwinden fast vollständig im Anschluss.
Technisch unterscheiden sich die Modelle in einem Punkt, der später wichtig wird: Wo der Abgleich stattfindet.
Bei einfachen Sensoren wandert das Bild zur Auswertung an den Rechner. Bei besseren erledigt der Sensor den Vergleich in seinem eigenen Chip und meldet dem PC nur, ob er passt oder nicht.
Kensington nennt das Match-in-Sensor und setzt dafür Technik von Synaptics ein – der Fingerabdruck verlässt den Sensor nicht, an den Rechner geht nur ein Ja oder Nein.
Die Einstiegsmodelle erledigen den Windows-Login zuverlässig und kosten wenig:
- FeinTech FPS210 Fingerabdruck-Sensor (USB-C) (gelistet bei Amazon) – USB-C, bis zu zehn Fingerabdrücke, 360-Grad-Erkennung
- FeinTech FPS00200 USB Fingerabdruck-Sensor (gelistet bei Amazon) – USB-A, gleiche Sensorik, für Rechner ohne freien USB-C-Anschluss
- InLine USB Fingerabdruck Scanner (41360C) (gelistet bei Amazon) – kompakte Bauform, Windows-Hello-kompatibel
Teurer sind Modelle mit Match-in-Sensor, die zusätzlich als Sicherheitsschlüssel für Webdienste taugen:
- Kensington VeriMark IT Fingerabdruckscanner (gelistet bei Amazon) – Match-in-Sensor, FIDO2, auch für Windows Hello for Business zertifiziert
- Kensington VeriMark Desktop Fingerprint Key (gelistet bei Amazon) – gleiche Technik am Kabel, für Desktop-Rechner mit schlecht erreichbaren Anschlüssen
Match-in-Sensor ist übrigens nicht dasselbe wie ESS-Tauglichkeit. Der Abgleich im Chip ist eine von mehreren Bedingungen – dazu kommt ein bei der Fertigung eingebrachtes Microsoft-Zertifikat.
Kein Hersteller bewirbt derzeit ein konkretes Modell als ESS-fähig.
Reine Sicherheitsschlüssel mit Fingerabdruck – etwa die YubiKey-Bio-Reihe oder die VeriMark Guard – sind eine andere Produktklasse. Sie sind für Zwei-Faktor-Anmeldungen an Webdiensten gedacht.
Für den Windows-Login taugen sie nicht zwangsläufig. In Nutzerberichten wird gerade der Guard-Variante bescheinigt, dass Windows 11 sie nicht als Fingerabdruck-Scanner akzeptiert.
Wer also die Anmeldung am eigenen PC will, sollte auf die genaue Modellnummer achten und nicht auf die Produktfamilie. Innerhalb einer Reihe unterscheiden sich die Varianten funktional.
Gesichtserkennung per Infrarot-Kamera
Der bequemere Weg: Der Rechner erkennt einen, sobald man davor sitzt. Nichts anfassen, nichts eintippen.
Wichtig dabei – eine normale Webcam genügt nicht, auch keine gute. Windows Hello braucht eine Infrarot-Kamera, die zusätzlich zum Farbbild ein dreidimensionales Abbild des Kopfes liefert.
Erst damit lässt sich ein echtes Gesicht von einem vorgehaltenen Foto unterscheiden.
Weil zwei Bildströme gleichzeitig übertragen werden, setzen solche Kameras USB 3.0 voraus – anders als Fingerabdrucksensoren, denen USB 2.0 genügt.
Entsprechende Modelle tragen den Hinweis auf Windows Hello meist im Namen und vereinen zwei Geräte in einem: Webcam für Videokonferenzen, IR-Sensor für die Anmeldung.
- CSL HelloView Slim Windows Hello Kamera (gelistet bei Amazon) – schlanke Bauform mit RGB- und Infrarot-Tiefenkamera
- TOALLIN 2K QHD-Webcam mit Windows Hello (gelistet bei Amazon) – höhere Auflösung für Videokonferenzen, mit IR-Gesichtserkennung
- CSL HelloView v2 Compact (gelistet bei Amazon) – kompakte Variante mit Infrarot-Tiefenkamera
- NexiGo HelloCam (gelistet bei Amazon) – 1080p mit Mikrofon und mechanischer Abdeckung
Für den Schreibtisch mit ohnehin geplanter Webcam ist das die bessere Wahl – man kauft ein Gerät und bekommt zwei Funktionen.
Wer bereits eine Webcam (ohne Windows Hello-Kompatibilität) nutzt und nur die Anmeldung will, fährt mit dem Fingerabdrucksensor günstiger.
Enhanced Sign-in Security (ESS) – wann der Sensor nicht erkannt wird
Windows 11 bringt eine Schutzschicht namens Enhanced Sign-in Security (ESS) mit.
Sie schirmt biometrische Daten über virtualisierungsbasierte Sicherheit und das TPM ab, sodass der Abgleich in einem isolierten Bereich stattfindet.
Der entscheidende Satz steht in Microsofts Dokumentation: Ist die Funktion aktiv, arbeiten ausschließlich Sensoren, die sie unterstützen – alle anderen werden vom Biometrie-Framework von Windows gar nicht erst aufgeführt.
Wen ESS überhaupt betrifft
Hier lohnt der genaue Blick, denn ESS ist nicht einfach überall an.
Microsoft beschreibt in der zugehörigen Richtlinie, dass ESS auf geeigneten Systemen dann aktiv wird, wenn die erste biometrische Anmeldung eines Nutzers mit einem ESS-fähigen Gerät angelegt wurde.
Dieselbe Logik steht in der Anleitung zur Einrichtung: Zeigt Windows unter „Weitere Einstellungen“ den Eintrag „Enhanced sign-in security“ als ausstehend an, entscheidet der erste eingelernte Sensor über den Zustand. Ein ESS-Sensor zuerst bedeutet ESS an, ein gewöhnlicher Sensor zuerst bedeutet ESS aus.
Das bedeutet:
- Desktop-PC ohne eingebaute Biometrie – ESS ist in aller Regel nicht aktiv, der nachgerüstete Sensor funktioniert einfach
- Notebook mit eingebautem, ESS-fähigem Sensor, der bereits eingelernt ist – ESS ist an und blendet den zusätzlichen USB-Sensor oder die externe Kamera aus
- Copilot+-PC – ESS ist laut Microsoft ab Werk aktiviert
- Windows 10 – ESS existiert dort nicht, die Frage stellt sich also gar nicht
Wer also am Desktop-Rechner nachrüstet und trotzdem keinen Sensor in den Anmeldeoptionen sieht, sollte zuerst die naheliegenderen Ursachen prüfen – passiver USB-Hub, fehlender Treiber – statt gleich an ESS zu schrauben.
Welche Hardware ESS überhaupt unterstützt
Auf Systemseite verlangt ESS eine ganze Kette – virtualisierungsbasierte Sicherheit samt Device Guard, ein TPM 2.0, Secure Boot und eine CPU mit Virtualisierungsunterstützung. Bei Gesichtserkennung kommt eine vom Gerätehersteller hinterlegte Firmware-Tabelle hinzu.
Für Fingerabdrucksensoren nennt Microsoft zwei Bedingungen:
- der Abgleich muss im Chip des Sensors stattfinden
- ein bei der Fertigung eingebrachtes Microsoft-Zertifikat muss vorhanden sein, Treiber und Firmware müssen ESS unterstützen
Für externe Kameras gilt eine klare Aussage: ESS ist für sie nicht vorgesehen. Ist ESS auf dem Gerät aktiv, muss man es für die Anmeldung per Infrarot-Kamera also abschalten.
Neues Windows-Update – ESS auch mit peripheren Fingerabdrucksensoren
Bei den Fingerabdrucksensoren bewegt sich etwas. Die Möglichkeit, Windows Hello mit peripheren Fingerabdrucksensoren und eingeschaltetem ESS zu nutzen, kam mit KB5101684 vom 28.07.2026.
Drei Einschränkungen gehören dazu.
- Es handelt sich um ein optionales Vorschau-Update, das schrittweise ausgerollt wird – in den regulären Kanal wandert die Neuerung mit dem August-Update.
- Es gilt nur für Windows 11 in den Versionen 24H2 und 25H2.
- Es macht keinen beliebigen USB-Leser ESS-tauglich: Sensor, Treiber, PC-Hardware und Windows-Build müssen mitspielen.
Hinzu kommt die Marktlage. Microsoft veröffentlicht keine Kompatibilitätsliste, und kein Hersteller bewirbt bislang ein konkretes Modell als ESS-fähig. Wer heute nachrüstet, kauft also praktisch immer einen Sensor ohne ESS-Unterstützung – was am Desktop-PC nach dem oben Gesagten meist folgenlos bleibt.
Bei externen Kameras bewegt sich dagegen nichts. Für Kameramodule bleibt ESS laut Microsoft weiterhin ausgeschlossen.
Einrichtung Schritt für Schritt
Benötigte Zeit: 5 Minuten
Windows Hello mit externem Sensor einrichten
- Sensor oder Kamera anschließen
Sensor oder Kamera direkt an den Rechner anschließen – nicht über einen passiven USB-Hub, sondern an einen Anschluss am Gerät selbst.
- PIN einrichten
Einstellungen öffnen, dann Konten und Anmeldeoptionen. Ist noch keine PIN eingerichtet, zuerst eine anlegen.
- Sensor einrichten
In den Anmeldeoptionen sollte nun Fingerabdruckerkennung beziehungsweise Gesichtserkennung mit einer Schaltfläche zum Einrichten erscheinen. Ist das der Fall, direkt weiter zum nächsten Schritt – der ESS-Schritt entfällt dann.
- Nur falls kein Sensor auftaucht: ESS abschalten
Unter „Weitere Einstellungen“ nachsehen. Unter Windows 11 24H2 und neuer heißt der Schalter „Enhanced sign-in security“ und muss ausgeschaltet werden. Unter Windows 11 23H2 heißt er „Anmeldung mit einer externen Kamera oder einem Fingerabdruckleser“ und ist umgekehrt belegt – dort muss er eingeschaltet werden. Danach den Sensor einmal abziehen und neu einstecken.
- Fingerabdruck bzw. Gesicht scannen
Finger mehrfach und in leicht unterschiedlichen Winkeln auflegen, bis Windows den Vorgang bestätigt. Bei der Kamera genügt es, ins Bild zu schauen.
Ein Hinweis zum ESS-Schritt in umgekehrter Richtung: Wer ESS erstmals einschaltet, verliert bestehende Anmeldungen.
Microsoft entfernt dabei vorhandene Nicht-ESS-Registrierungen und die zugehörigen Anmeldedaten – ausdrücklich auch Passkeys. Das reine Abschalten von ESS kostet dagegen nichts.
Wissenswertes zur Einrichtung von Windows Hello
So lässt sich prüfen, ob der Sensor ESS-fähig ist
Da die Datenblätter dazu schweigen, bleibt der Blick ins System. Microsoft beschreibt zwei Wege.
Zum einen über die Registry. Im Geräte-Manager unter Biometrische Geräte den Sensor auswählen, dann Eigenschaften, Details und dort den Geräteinstanzpfad ablesen. In der Registry findet sich unter diesem Pfad ein Zweig Device Parameters\WinBio\Configurations. Steht dort ein Wert SecureFingerprint mit dem Inhalt 1 und liegen darunter zwei Unterordner, ist der Sensor grundsätzlich geeignet. Fehlt der Eintrag, ist er es nicht.
Das ist als Diagnose gedacht, nicht als Einladung, in der Registry etwas zu ändern.
Zum anderen über die Ereignisanzeige. Unter Anwendungs- und Dienstprotokolle, Microsoft, Windows, Biometrics, Operational protokolliert Windows jeden erkannten Sensor mit der Ereignis-ID 1108. Arbeitet er mit Enhanced Sign-in Security, ist er dort einem Virtual-Secure-Mode-Prozess zugeordnet – andernfalls einem gewöhnlichen Systemprozess.
Wer ohnehin nachsieht: Ob die virtualisierungsbasierte Sicherheit läuft, zeigt die Systeminformation unter Systemübersicht beim Eintrag zur virtualisierungsbasierten Sicherheit.
Wie sicher ist die nachgerüstete Anmeldung?
Also – die verbreitete Antwort „biometrisch ist sicherer als ein Passwort“ dürfte zu kurz greifen.
Ein nachgerüsteter Sensor arbeitet praktisch immer ohne Enhanced Sign-in Security – entweder weil das Gerät die Voraussetzungen nicht erfüllt, oder weil man die Funktion abschalten musste. Damit fehlt die stärkste Schutzschicht, die Windows Hello zu bieten hat. Der Abgleich läuft dann nicht im abgeschirmten Bereich.
Was genau das bedeutet, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) untersucht (siehe Analyse). Dabei hat sich das BSI Windows Hello for Business per Reverse Engineering vorgenommen.
Der Befund: Ohne Enhanced Sign-in Security liegen die biometrischen Vorlagen zwar verschlüsselt auf dem Gerät – lokale Administratoren können Schlüssel und Datenbank aber entschlüsseln. Erst mit aktiviertem Enhanced Sign-in Security wandert die Verarbeitung in die abgeschirmte VBS-Umgebung.
Wie praxisnah das ist, führten die beteiligten Forscher im August 2025 auf der Black-Hat-Konferenz vor. Ein Angreifer mit lokalen Administratorrechten spielte dort seinen eigenen, auf einem anderen Rechner aufgenommenen Gesichtsscan in die biometrische Datenbank des Zielsystems ein. Der Rechner entsperrte sich anschließend für ihn, als wäre er der eingetragene Nutzer.
Ihre Empfehlung fiel deutlich aus – auf Arbeitsgeräten, die Windows Hello ohne ESS nutzen, solle man die Biometrie ganz abschalten und stattdessen die PIN verwenden. Ein sauberer Patch sei ohne größeren Umbau kaum möglich, weil das Problem an der Architektur hängt.
Zwei weitere BSI-Punkte sind ebenfalls hilfreich:
- Erstens liefert Biometrie anders als eine PIN keine zusätzliche Entropie – sie ist ein lokaler Zugriffsmechanismus, alle für die Anmeldung relevanten Bestandteile bleiben auf dem Gerät.
- Zweitens empfiehlt das BSI, pro Gerät möglichst nur einen Nutzer für Windows Hello zu registrieren, da Administratoren fremde biometrische Vorlagen manipulieren könnten.
Letzteres passt zu Microsofts eigenem Hinweis, dass Enhanced Sign-in Security geräteweit gilt und auf Mehrbenutzer-Rechnern das niedrigste Schutzniveau greift.
Dass auch die Sensor-Seite ihre Schwächen haben kann, zeigt eine Untersuchung aus dem Jahr 2023.
Forscher umgingen die Windows-Hello-Anmeldung auf mehreren Laptops – indem sie ein USB-Gerät vorgaben, der Sensor zu sein, und eine erfolgreiche Prüfung meldeten.
Bemerkenswert ist der Grund. Microsoft hat für die Verbindung zwischen Sensor und System ein Schutzprotokoll vorgesehen, das Secure Device Connection Protocol.
Die Sensorhersteller setzten es jedoch unvollständig um. Wenn schon eingebaute Sensoren in Markennotebooks daran scheitern, ist bei einem einfachen USB-Sensor wohl nicht mehr zu erwarten.
Was das praktisch bedeutet – beide Angriffe setzen physischen Zugriff auf den Rechner voraus, der eine zusätzlich Administratorrechte, der andere vorbereitete Hardware. Für den Privatrechner am Schreibtisch ist das kein Alltagsrisiko – die Anmeldung per Fingerabdruck bleibt bequemer und im Alltag robuster als ein kurzes, oft getipptes Passwort.
Wer dagegen ein Notebook mit sensiblen Daten unterwegs nutzt, sollte anders rechnen. Dort ist ein Gerät mit eingebautem, ESS-fähigem Sensor die bessere Wahl als ein nachgerüsteter Dongle – und die PIN bleibt ohnehin das Rückgrat der Anmeldung.
Häufige Probleme und was dagegen hilft
| Symptom | Ursache | Was hilft |
|---|---|---|
| Sensor wird gar nicht erkannt | Anschluss über passiven USB-Hub | Direkt an einen Anschluss am Rechner stecken |
| Gerät als unbekannt geführt | Treiber wurde unter Windows 11 nicht automatisch installiert | Treiber im Geräte-Manager entfernen, neu starten, gegebenenfalls Hersteller-Treiber manuell installieren |
| Sensor im Geräte-Manager, aber nicht in den Anmeldeoptionen | Enhanced Sign-in Security ist aktiv und blendet ihn aus – typisch für Notebooks mit eingebautem Sensor | Funktion abschalten, Sensor neu einstecken |
| Meldung, es sei kein kompatibler Scanner gefunden worden | Sensor wird nicht als Windows Hello-Gerät geführt | Vorhandene Registrierung entfernen und neu anlegen |
| Erkennung funktioniert an einem Rechner, am anderen nicht | unterschiedlicher ESS-Zustand der Rechner | Einstellung auf beiden Geräten vergleichen |
| Biometrie bleibt trotz allem inaktiv | Biometriedienst hängt | PIN entfernen, dann den Dienst wbiosrvc neu starten und PIN neu setzen |
Der Treiberpunkt verdient eine Ergänzung, weil er so häufig auftritt.
Unter Windows 10 installierte Windows die Treiber für solche Sensoren meist von allein. Unter Windows 11 ist das nicht mehr verlässlich der Fall. Kensington stellt z.B. für Windows 11 eigene Anleitungen samt manuell zu installierendem Treiber bereit.
Nicht auf der Liste steht das TPM. Ein abgeschaltetes TPM verhindert die Einrichtung nicht – Windows weicht dann auf eine Schlüsselablage in Software aus.
Wer es trotzdem im BIOS aktiviert, gewinnt allerdings den Schutz gegen das systematische Durchprobieren der PIN.
Lohnt sich das Nachrüsten?
Für den Alltag am Desktop-Rechner: ja.
Der Zugewinn an Bequemlichkeit ist erheblich, die Kosten sind gering, und die Einrichtung ist in wenigen Minuten erledigt – dort ist ESS meist gar nicht im Weg.
Am Notebook mit eingebautem Sensor sieht es anders aus. Dort kann ESS aktiv sein und den externen Sensor ausblenden – und wer die Funktion abschaltet, um ihn zu nutzen, tauscht Sicherheit gegen Komfort.
Die Wahl zwischen den beiden Wegen richtet sich am besten nach dem Schreibtisch. Wer ohnehin eine Webcam braucht, nimmt die Infrarot-Variante und erledigt beides mit einem Gerät. Wer nur die Anmeldung will, greift zum Fingerabdrucksensor.
Nüchtern bleibt festzuhalten, dass nachgerüstete Sensoren nicht das Schutzniveau eines eingebauten, ESS-fähigen Sensors erreichen. Für die Anmeldung am privaten Rechner ist das ein vertretbarer Tausch, für ein Arbeitsgerät mit sensiblen Daten eher nicht.
Und wer heute kauft, sollte im Hinterkopf behalten, dass die ESS-Unterstützung für externe Fingerabdrucksensoren gerade erst anläuft. Ein Modell, das sie mitbringt, dürfte die langlebigere Anschaffung sein – sobald es eines gibt.
Häufige Fragen zum Nachrüsten von Windows Hello
In den meisten Fällen ja. Nötig sind Windows 10 oder Windows 11, ein passender Sensor per USB und eine eingerichtete PIN. Ohne PIN lässt sich Windows Hello nicht aktivieren, weil sie als Rückfalloption dient. Ein TPM ist dagegen keine Voraussetzung – Microsoft beschreibt ausdrücklich, dass Windows Hello auch per Software eingerichtet wird, wenn kein funktionierendes TPM vorhanden ist. Empfehlenswert bleibt es trotzdem.
Nein, nicht zwingend. Microsoft bevorzugt ein TPM, weil dort abgelegte Daten sich nicht auf anderen Geräten verwenden lassen – richtet Windows Hello aber per Software ein, wenn kein funktionierendes TPM vorhanden oder es abgeschaltet ist. Ohne TPM fehlt allerdings die Sperre gegen das systematische Durchprobieren der PIN. Und Enhanced Sign-in Security, die stärkste Schutzstufe, setzt ein TPM 2.0 zwingend voraus. Einzelne Hersteller-Lösungen wie Dells ControlVault verlangen zusätzlich TPM-Zugriff für ihre eigenen Sensoren.
Ja. Microsoft führt seine Anleitung zu Windows Hello ausdrücklich für Windows 10 und Windows 11 und verweist dabei auch auf Sensoren, die sich per USB nachkaufen lassen. Unter Windows 10 ist es sogar unkomplizierter: Enhanced Sign-in Security gibt es dort nicht, also kann auch nichts einen externen Sensor ausblenden. Hinzu kommt, dass Windows 10 die Treiber solcher Sensoren meist noch automatisch installiert hat.
Der Fingerabdrucksensor ist günstiger, unauffälliger und funktioniert unabhängig von Licht und Blickwinkel. Er genügt sich mit USB 2.0. Die Infrarot-Kamera meldet an, sobald man vor dem Rechner sitzt, ohne etwas zu berühren – braucht aber Platz am Monitor und einen USB-3.0-Anschluss. Wer schon eine Webcam nutzt, ersetzt sie durch die IR-Variante und gewinnt beides.
Windows Hello Gesichtserkennung braucht eine Infrarot-Kamera. Sie liefert zusätzlich zum Farbbild ein dreidimensionales Abbild des Kopfes und unterscheidet damit ein echtes Gesicht von einem Foto. Eine gewöhnliche Webcam liefert nur ein Farbbild und wird von Windows Hello nicht als Anmeldegerät akzeptiert – unabhängig von ihrer Auflösung.
Am Desktop-PC sind die häufigsten Ursachen ein passiver USB-Hub statt eines Anschlusses direkt am Rechner und ein Treiber, der unter Windows 11 manuell nachinstalliert werden muss. Enhanced Sign-in Security ist dort meist gar nicht aktiv, weil sie einen ESS-fähigen Sensor voraussetzt. Anders sieht es am Notebook mit eingebautem Sensor aus: Ist Enhanced Sign-in Security dort aktiv, blendet Windows alle Sensoren aus, die sie nicht unterstützen – der Leser erscheint dann im Geräte-Manager, aber nicht in den Anmeldeoptionen. Abhilfe: die Funktion unter Einstellungen, Konten, Anmeldeoptionen, Weitere Einstellungen abschalten und den Sensor neu einstecken.
Eine Schutzschicht von Windows 11, die biometrische Daten mit virtualisierungsbasierter Sicherheit und einem TPM 2.0 abschirmt. Sie setzt Fingerabdrucksensoren voraus, die den Abgleich im eigenen Chip erledigen und ein bei der Fertigung eingebrachtes Microsoft-Zertifikat mitbringen. Sie wird nur dann aktiv, wenn die erste biometrische Anmeldung auf dem Gerät mit einem solchen Sensor angelegt wurde – an einem Desktop-PC ohne eingebaute Biometrie ist das in der Regel nicht der Fall. Seit dem Vorschau-Update KB5101684 vom 28. Juli 2026 unterstützt Windows 11 in den Versionen 24H2 und 25H2 auch externe Fingerabdrucksensoren; für externe Kameramodule bleibt Enhanced Sign-in Security ausgeschlossen.
Für den Alltag am Privatrechner ist er eine sinnvolle Bequemlichkeit, ein Hochsicherheitsmerkmal ist er nicht. Nachgerüstete Sensoren arbeiten praktisch immer ohne Enhanced Sign-in Security, also ohne die stärkste Schutzschicht von Windows Hello. Das BSI hat dazu festgestellt, dass biometrische Vorlagen ohne diese Schutzschicht zwar verschlüsselt gespeichert werden, lokale Administratoren Schlüssel und Datenbank aber entschlüsseln können. Auf der Black-Hat-Konferenz 2025 führten Forscher vor, wie sich damit ein fremder Gesichtsscan in die Datenbank einspielen lässt. Ein Angriff setzt also Zugriff auf den Rechner und Administratorrechte voraus – für den privaten Schreibtisch ein vertretbarer Tausch, für ein Arbeitsgerät mit sensiblen Daten eher nicht.
Ja, und das wird leicht überlesen. Microsoft weist darauf hin, dass beim Wechsel auf Enhanced Sign-in Security bestehende Anmeldungen und zugehörige Anmeldedaten entfernt werden – ausdrücklich auch Passkeys. Sie lassen sich danach neu einrichten. Vor dem Umschalten sollte man deshalb wissen, welche Passkeys auf dem Gerät liegen. Wer die Funktion nur abschaltet, verliert dagegen nichts.
Besser nicht. Das BSI empfiehlt, pro Gerät möglichst nur einen Nutzer für Windows Hello zu registrieren, weil Administratoren fremde biometrische Vorlagen manipulieren könnten. Dazu kommt, dass Enhanced Sign-in Security geräteweit gilt: Auf einem Rechner mit mehreren Nutzern setzt sich das niedrigste Schutzniveau durch.
Windows erlaubt mehrere Finger, üblich sind beide Zeigefinger. Microsoft nennt als Grenze zehn Anmeldungen pro Gerät – jede davon darf ein Gesicht und bis zu zehn Fingerabdrücke umfassen. Für den Alltag empfiehlt sich mindestens ein zweiter Finger – falls der erste einmal verletzt oder verklebt ist.
