Profileinstellungen für Identitätsschutz in Intune für Windows Hello for Business

In diesem Artikel werden die Einstellungen in Windows Hello for Business beschrieben, die Sie mit einem Identitätsschutzprofil verwalten können. Identitätsschutzprofile sind Teil der Gerätekonfigurationsrichtlinie in Microsoft Intune. Ab Juli 2024 werden die Gerätekonfigurationsprofile für den Identitätsschutz jedoch durch Endpunktsicherheitsprofile für den Kontoschutz ersetzt. Sie können zwar weiterhin zuvor erstellte Identitätsschutzprofile verwenden, Intune unterstützt jedoch nicht mehr das Erstellen neuer Instanzen. Verwenden Sie stattdessen zum Verwalten der Einstellungen für den Identitätsschutz eine Richtlinie zum Schutz von Endpunktsicherheitskonten.

Mit einem Identitätsschutzprofil können Sie Einstellungen auf separaten Gruppen von Windows-Geräten konfigurieren. Informationen zum Konfigurieren von Windows Hello for Business im Rahmen der Geräteregistrierung finden Sie unter Erstellen einer Windows Hello for Business-Richtlinie unter Integrieren von Windows Hello for Business in Microsoft Intune.

In diesem Artikel werden die Einstellungen für die Registrierungsrichtlinie beschrieben.

Weitere Informationen zu diesen Einstellungen finden Sie unter Konfigurieren der Richtlinieneinstellungen für Windows Hello for Business in der Dokumentation zu Windows Hello.

Windows Hello for Business

Die folgenden Einstellungsdetails gelten nur für die Gerätekonfigurationsprofilvorlage für den Identitätsschutz, die im Juli 2024 veraltet ist.

• Konfigurieren von Windows Hello for Business:

  • Nicht konfiguriert (Standard): Wählen Sie diese Einstellung aus, wenn Sie Intune nicht zum Steuern von Windows Hello for Business verwenden möchten. Vorhandene Windows Hello for Business Einstellungen auf Windows-Geräten werden nicht geändert. Alle anderen Einstellungen in dem Bereich sind nicht verfügbar.

  • Deaktivieren – Wenn Sie Windows Hello for Business nicht verwenden möchten, wählen Sie diese Einstellung aus. Alle anderen Einstellungen auf dem Bildschirm sind dann nicht verfügbar.

  • Aktivieren – Wählen Sie diese Einstellung aus, wenn Sie Einstellungen für Windows Hello for Business konfigurieren möchten.

  Wenn die Option "Aktivieren" festgelegt ist, sind die folgenden Einstellungen verfügbar:

  • PIN-Mindestlänge
    Geben Sie eine Mindestlänge für die PIN für Geräte von 4 bis 127 Zeichen an. Standardmäßig ist diese Einstellung nicht konfiguriert.

  • Höchstlänge für PIN
    Geben Sie eine maximale PIN-Länge für Geräte von vier bis 127 Zeichen an. Standardmäßig ist diese Einstellung nicht konfiguriert.

  • Kleinbuchstaben in PIN
    Falls erforderlich, muss die Benutzer-PIN mindestens einen Kleinbuchstaben enthalten. Standardmäßig ist diese Einstellung nicht konfiguriert.

    • Nicht zulässig – Blockieren Sie die Verwendung von Kleinbuchstaben in der PIN von Benutzern. Dieses Verhalten tritt auch auf, wenn die Einstellung nicht konfiguriert ist.
    • Zulässig – Benutzern die Verwendung von Kleinbuchstaben in der PIN gestatten, dies ist jedoch nicht erforderlich.
    • Erforderlich – Benutzer müssen mindestens einen Kleinbuchstaben in der PIN enthalten. Beispielsweise ist es üblich, die Verwendung mindestens eines Großbuchstabens und eines Sonderzeichens vorzuschreiben.

  • Großbuchstaben in PIN
    Falls erforderlich, muss die Benutzer-PIN mindestens einen Großbuchstaben enthalten. Standardmäßig ist diese Einstellung nicht konfiguriert.

    • Nicht zulässig – Blockieren Sie die Verwendung von Großbuchstaben in der PIN für Benutzer. Dieses Verhalten tritt auch auf, wenn die Einstellung nicht konfiguriert ist.
    • Zulässig – Benutzern die Verwendung von Großbuchstaben in der PIN gestatten, dies ist jedoch nicht erforderlich.
    • Erforderlich – Benutzer müssen mindestens einen Großbuchstaben in der PIN enthalten. Beispielsweise ist es üblich, die Verwendung mindestens eines Großbuchstabens und eines Sonderzeichens vorzuschreiben.

  • Sonderzeichen in PIN
    Falls erforderlich, muss die Benutzer-PIN mindestens ein Sonderzeichen enthalten. Sonderzeichen sind: ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { | } ~

    • Nicht zulässig (Standard) – Blockieren Sie die Verwendung von Sonderzeichen in der PIN. Dieses Verhalten tritt auch auf, wenn die Einstellung nicht konfiguriert ist.
    • Zulässig – Benutzern die Verwendung von Großbuchstaben in der PIN gestatten, dies ist jedoch nicht erforderlich.
    • Erforderlich – Benutzer müssen mindestens einen Großbuchstaben in der PIN enthalten. Beispielsweise ist es üblich, die Verwendung mindestens eines Großbuchstabens und eines Sonderzeichens vorzuschreiben.

  • PIN-Ablauf (Tage)
    Wenn konfiguriert, wird der Benutzer gezwungen, seine PIN nach der festgelegten Anzahl von Tagen zu ändern. Der Benutzer kann seine PIN vor Ablauf weiterhin proaktiv ändern. Standardmäßig ist diese Einstellung nicht konfiguriert.

  • PIN-Verlauf speichern
    Wenn dies konfiguriert ist, kann der Benutzer diese Anzahl früherer PINs nicht wiederverwenden. Standardmäßig ist diese Einstellung nicht konfiguriert.

  • Aktivieren Sie die PIN-Wiederherstellung
    Ermöglicht Benutzern die Verwendung des PIN-Wiederherstellungsdiensts von Windows Hello for Business.

    • Aktivieren – Das Geheimnis für die PIN-Wiederherstellung wird auf dem Gerät gespeichert, und der Benutzer kann seine PIN bei Bedarf ändern.
    • Nicht konfiguriert (Standard): Das Geheimnis für die Wiederherstellung wird nicht erstellt oder gespeichert.

  • Verwenden eines Trusted Platform Module (TPM)
    Ein TPM-Chip bietet eine zusätzliche Sicherheitsebene für Daten.

    • Aktivieren – Nur Geräte mit einem zugänglichen TPM können Windows Hello for Business bereitstellen.
    • Nicht konfiguriert (Standard): Geräte verwenden zuerst ein TPM. Wenn kein TPM verfügbar ist, können sie die Softwareverschlüsselung verwenden.

  • Biometrische Authentifizierung zulassen
    Wenn zulässig, kann Windows Hello for Business sich mit Gesten wie Gesichtserkennung und Fingerabdruck authentifizieren. Benutzer müssen im Falle eines Fehlers weiterhin eine PIN konfigurieren.

    • Aktivieren – Windows Hello for Business ermöglicht die biometrische Authentifizierung.
    • Nicht konfiguriert (Standard) – Windows Hello for Business verhindert die biometrische Authentifizierung (für alle Kontotypen).

  • Verwenden der erweiterten Spoofingbekämpfung, falls verfügbar
    Wenn diese Option aktiviert ist, verwenden Geräte die erweiterte Spoofingbekämpfung, sofern verfügbar (z. B. Erkennung eines Gesichtsfotos anstelle eines echten Gesichts).

    • Aktivieren – Windows verlangt von allen Benutzern, dass sie Spoofingbekämpfung für Gesichtsmerkmale verwenden, wenn dies unterstützt wird.
    • Nicht konfiguriert (Standard): Windows berücksichtigt die Antispoofingkonfigurationen auf dem Gerät.

  • Zertifikat für lokale Ressourcen

    • Aktivieren – Ermöglicht Windows Hello for Business die Verwendung von Zertifikaten zur Authentifizierung bei lokalen Ressourcen.
    • Nicht konfiguriert (Standard): Verhindert, dass Windows Hello for Business Zertifikate zur Authentifizierung bei lokalen Ressourcen verwendet. Stattdessen verwenden die Geräte das Standardverhalten der lokalen Authentifizierung mit Schlüsselvertrauen. Weitere Informationen finden Sie unter "Benutzerzertifikat für die lokale Authentifizierung" in der Dokumentation zu Windows Hello.

• Verwenden von Sicherheitsschlüsseln für die Anmeldung
  Diese Einstellung ist für Geräte verfügbar, auf denen Windows 10 Version 1903 oder höher oder Windows 11 ausgeführt wird. Verwenden Sie diese Option, um die Unterstützung für die Verwendung von Windows Hello-Sicherheitsschlüsseln für die Anmeldung zu verwalten.

  • Aktivieren – Benutzer können einen Windows Hello-Sicherheitsschlüssel als Anmeldeinformationen für PCs verwenden, auf die diese Richtlinie abzielt.
  • Nicht konfiguriert – Sicherheitsschlüssel sind deaktiviert, und Benutzer können sich nicht bei PCs anmelden.

  Wichtig

  Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Nächste Schritte

Profil zuweisen und seinen Status überwachen