StartLeistungenIT-SicherheitMFA für die Windows-Anmeldung

MFA für die Windows-Anmeldung: PC, Server und Remotedesktop mit zweitem Faktor absichern

MFA für die Windows-Anmeldung ist ein Verfahren, das den zweiten Faktor schon beim Anmelden am PC, Notebook oder Terminalserver verlangt, nicht erst beim Öffnen von Microsoft 365 oder einer Cloud-Anwendung. Ein erbeutetes Kennwort reicht dann nicht mehr, um sich an einem Rechner in Ihrem Netz anzumelden. IT-Service Johannsen richtet das mit Windows Hello for Business, FIDO2-Sicherheitsschlüsseln oder REINER SCT Login ein, betreut von unseren Standorten in Hamburg und Schleswig.

Kontaktieren Sie uns
4,9Google-Bewertungen (27)4,9Google-Bewertungen (27)4,9Google-Bewertungen (27)4,9Google-Bewertungen (27)

Ausgangslage

Warum die Windows-Anmeldung eine eigene Absicherung braucht

Die Windows-Anmeldung öffnet Dateiserver, DATEV, Praxissoftware und alle Daten im lokalen Netz. MFA in Microsoft 365 schützt diesen Weg nicht. Angreifer nutzen genau diese Lücke: Mit einem abgefangenen Kennwort melden sie sich per Remotedesktop an und arbeiten sich von dort durchs Netz.

Grundlagen zu Faktortypen, Microsoft 365 und Conditional Access stehen auf unserer Seite zur Multi-Faktor-Authentifizierung für Unternehmen. Hier geht es um den Arbeitsplatz.

Anmeldewege

Diese Anmeldungen sichern wir ab

  • Lokale und Domänenanmeldung an PCs und Notebooks im Active Directory
  • Remotedesktop (RDP) und Terminalserver, auch über ein Remotedesktop-Gateway
  • VPN-Zugänge für Homeoffice und Außendienst
  • Administratorkonten auf Servern und Domänencontrollern

Einstieg

Klein anfangen: zuerst die Administratorkonten

MFA im Active Directory lohnt sich schon, wenn Sie es nur für Administratoren und administrative Benutzer einführen. Diese Konten suchen Angreifer zuerst, weil sie damit das ganze Netz übernehmen können. Ein paar Token für wenige Konten machen diesen Weg dicht, bei überschaubarem Aufwand.

Das BSI empfiehlt im IT-Grundschutz-Baustein ORP.4 (Anforderung A10), Kennungen mit weitreichenden Berechtigungen per Mehr-Faktor-Authentisierung zu schützen. Die übrige Belegschaft kann danach in Wellen folgen.

Verfahren

Vier Wege zum zweiten Faktor an der Windows-Anmeldung

VerfahrenVoraussetzungPhishingresistentAufwandGeeignet für
Windows Hello for Business (PIN oder Biometrie, an das Gerät gebunden)Geräte in Microsoft Entra ID oder hybrid eingebunden; rein lokal nur mit eigener Zertifikats- oder SchlüsselinfrastrukturJa (laut Microsoft)MittelFest zugeordnete PCs und Notebooks
FIDO2-Sicherheitsschlüssel, z. B. REINER SCT FIDO Stick ProGeräte in Microsoft Entra ID oder hybrid eingebundenJa (laut Microsoft)MittelAdministratoren, gemeinsam genutzte PCs
REINER SCT Login mit REINER SCT Authenticator oder Authenticator mini (Einmalcode-Token)Active-Directory-Domäne, Serverkomponente im eigenen NetzNein, ein Einmalcode lässt sich abfangenMittelLokales Active Directory, Arbeitsplätze ohne Smartphone
REINER SCT Login mit REINER SCT Authenticator AppActive-Directory-Domäne, DiensthandyLaut Hersteller ja, nicht unabhängig geprüftGering bis mittelBüros mit Diensthandys

Passkeys in der Microsoft-Authenticator-App eignen sich laut Microsoft nicht für die Anmeldung am Windows-Gerät selbst. Für verwaltete Geräte empfiehlt Microsoft Windows Hello for Business.

Microsoft Entra ID

Windows Hello for Business

Windows Hello for Business passt, wenn Ihre Geräte in Microsoft Entra ID eingebunden sind und über Intune verwaltet werden. Der Schlüssel liegt auf dem Gerät, die Anmeldung läuft per PIN oder Biometrie.

Viele Kunden kombinieren: Windows Hello for Business für die Belegschaft, FIDO2-Sicherheitsschlüssel für Administratoren. Wie sich Windows-MFA in Ihr Rollen- und Rechtekonzept einfügt, beschreiben wir auf unserer Seite zu Identity & Access Management.

Lokales Active Directory

REINER SCT Login

REINER SCT Login ergänzt die Windows-Anmeldung im Active Directory um einen zweiten Faktor. Das passt, wenn Sie ein rein lokales Active Directory betreiben oder Arbeitsplätze ohne Smartphone absichern müssen. Laut Hersteller laufen die Komponenten im eigenen Netz. Dazu gibt es ein Plugin für das Remotedesktop-Gateway und ein RADIUS-Plugin für den Microsoft Network Policy Server, über das sich VPN-Zugänge einbinden lassen.

Wir sind Security Partner und Distributor von REINER SCT für REINER SCT Login.

Praxis

Typische Ausgangslagen

Diese Fälle begegnen uns in Hamburg und Schleswig-Holstein regelmäßig. Sie zeigen, wie die Wahl des Verfahrens von der Umgebung abhängt.

  • Steuerkanzlei mit lokalem Active Directory und DATEV. Server und Arbeitsplätze stehen im Haus, Microsoft 365 dient nur für E-Mail. REINER SCT Login mit Hardware-Token sichert Anmeldung und Terminalserver ab, ohne die DATEV-Umgebung umzubauen.
  • Arztpraxis mit gemeinsam genutzten Empfangs-PCs. Mehrere Personen arbeiten am selben Rechner. Persönliche FIDO2-Schlüssel oder Token machen jede Anmeldung einer Person zuordenbar. Das hilft auch bei der KBV-IT-Sicherheitsrichtlinie.
  • Produktion mit Schicht-PCs. Private Smartphones sind in der Halle tabu. Hardware-Token wie der REINER SCT Authenticator mini kommen ohne App aus.

Notfallprozess

Wenn der Token fehlt

Ein MFA-Projekt ist erst fertig, wenn feststeht, was bei Verlust, Defekt oder Ausfall passiert. Diese Regeln legen wir mit Ihnen fest und dokumentieren sie.

  • Verlust oder Defekt. Wir sperren den alten Token, geben nach Identitätsprüfung einen befristeten Ersatzzugang frei und tauschen den Token aus.
  • Token vergessen. Ein Ersatzverfahren mit kurzer Gültigkeit, das die IT nur nach Rückruf freischaltet.
  • Notfallkonten (Break-Glass). Zwei Administratorkonten mit getrennt verwahrten Zugangsdaten für den Fall, dass die MFA-Infrastruktur ausfällt.
  • Offline-Anmeldung. Eine Regel für Notebooks ohne Netzverbindung, passend zum gewählten Verfahren.

Ablauf

So führen wir MFA an der Windows-Anmeldung ein

  1. 1
    Bestandsaufnahme

    Wir prüfen Active Directory, die Einbindung in Entra ID, Remotedesktop- und VPN-Zugänge sowie Ihre vorhandenen Microsoft-365-Lizenzen.

  2. 2
    Pilotgruppe

    Administratoren und eine Fachabteilung testen das gewählte Verfahren im Alltag.

  3. 3
    Rollout

    Umstellung in Wellen: Server und Domänencontroller zuerst, danach die Arbeitsplätze.

  4. 4
    Schulung

    Eine kurze Einweisung für alle Mitarbeitenden und ein einseitiges Merkblatt für den Notfall.

  5. 5
    Dokumentation

    Verfahrensbeschreibung und Übersicht der abgesicherten Konten als Nachweis für NIS-2, Datenschutz und Cyberversicherung.

Pflichten

NIS-2, BSI und Cyberversicherung

§ 30 Abs. 2 Nr. 10 BSIG verlangt von Einrichtungen im Anwendungsbereich von NIS-2 die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“. Die Vorschrift gilt seit dem 6. Dezember 2025 für wichtige und besonders wichtige Einrichtungen. Ob Sie dazugehören, klären wir in der NIS-2-Beratung.

Auch Cyberversicherer fragen in ihren Risikofragebögen häufig nach MFA für Fernzugriff und Administratorkonten. Ein dokumentierter Rollout liefert Ihnen dafür den Nachweis.

Ihre Vorteile

Warum IT-Service Johannsen

Seit 1999 IT-Betreuung in Hamburg und Schleswig-Holstein, mit zwei eigenen Standorten

Wir kennen die Umgebungen, in denen Windows-MFA eingeführt wird: Kanzleien mit DATEV, Praxen mit Praxissoftware, Betriebe mit Terminalservern

Herstellerneutral: Windows Hello for Business, FIDO2 oder REINER SCT Login, je nachdem, was zu Ihrer Umgebung passt

Security Partner und Distributor von REINER SCT für REINER SCT Login

Bei kritischen Ausfällen reagieren wir werktags innerhalb von 2 Stunden, etwa wenn sich niemand mehr anmelden kann

Nach ISO/IEC 27001 zertifiziert (Standort Hamburg)

Ihr nächster Schritt

Sprechen Sie mit unseren Experten.

Wir beraten Sie persönlich – vor Ort in Hamburg und Schleswig-Holstein oder per Fernwartung.

Kontaktieren Sie uns
Kontakt

Reden wir
Klartext.

Ein Anruf, eine Mail, ein Formular – suchen Sie sich aus, wie Sie uns erreichen. Wir melden uns innerhalb eines Arbeitstages.

E-Mail
info@its-johannsen.de

Wir verarbeiten Ihre Angaben zur Bearbeitung Ihrer Anfrage und nutzen dafür Microsoft 365. Die Formularseite wird mitgesendet, bis zu drei vorherige Seiten nur mit Ihrer Freigabe für „Anfragekontext“. Informationen zu Verarbeitung, Spamschutz und Ihren Rechten finden Sie in unserer Datenschutzerklärung.

Kundenstimmen

Echte
Erfolgsgeschichten.

Wir helfen mittelständischen Unternehmen, Organisationen, Kanzleien und Praxen bei der Digitalisierung und schützen ihre IT vor Ausfallzeiten. Unsere Kunden bewerten uns auf Google mit 4,9 von 5 Sternen aus 27 Rezensionen.

Endlich ein IT-Partner, bei dem wir persönliche Ansprechpartner haben – und keine anonyme Hotline. Reaktionszeit stimmt, Kommunikation ist auf den Punkt.
Katrin B.
Steuerkanzlei · Hamburg
Google-Rezension
Die Migration in die Cloud lief geräuschlos. Wir konnten am nächsten Morgen einfach weiterarbeiten – so muss IT-Beratung sein.
Sven H.
IT-Verantwortlicher · Schleswig-Holstein
Google-Rezension
Wir haben mit ITS zum ersten Mal das Gefühl, dass jemand unser Geschäft wirklich versteht – nicht nur unsere Server.
Dr. Miriam K.
Geschäftsführung · Hamburg
Google-Rezension

Standorte in Hamburg und Schleswig-Holstein

Zwei Häfen.
Ein Team.

Wir können zwar auch Fernwartung, aber wenn Hilfe vor Ort nötig ist, sind wir genau da, wo Sie sind – und zwar schnell. Erreichbar, wenn andere Mittagspause machen: durchgehend Mo–Fr von 8:30 bis 18:00 Uhr.

Blick über die Hamburger Innenstadt mit Alster
Standort

Hansestadt Hamburg

Steilshooper Allee 80 · 22309 Hamburg040 / 88 16 597 – 0
Mo–Fr 8:30–18:00 Uhr
Historische Altstadt von Schleswig an der Schlei
Standort

Schleswig-Holstein

Lutherstraße 2A · 24837 Schleswig04621 / 530 92 – 0
Mo–Fr 8:30–18:00 Uhr

Aktuelles

Neues aus dem Ratgeber zu IT-Sicherheit.

Alle Beiträge ansehen →

Wissenswertes

Häufige
Fragen.

Nein. FIDO2-Sicherheitsschlüssel funktionieren an der Windows-Anmeldung nur auf Geräten, die in Microsoft Entra ID eingebunden sind. Windows Hello for Business geht auch in einem rein lokalen Active Directory, braucht dann aber zusätzliche Infrastruktur wie eine eigene Zertifizierungsstelle. Für ein rein lokales Active Directory ist REINER SCT Login meist der einfachere Weg: Hardware-Token oder die REINER SCT Authenticator App, die Serverkomponenten laufen laut Hersteller im eigenen Netz.Link zu dieser Frage und Antwort

Als Anfang ja. Angreifer suchen gezielt nach Konten mit weitreichenden Rechten. Wer Administratoren und administrative Benutzer im Active Directory mit einem zweiten Faktor schützt, schließt den gefährlichsten Weg mit wenigen Token und wenig Aufwand. Die übrige Belegschaft kann danach in Wellen folgen.Link zu dieser Frage und Antwort

Nein. Ein sechsstelliger Einmalcode lässt sich auf einer gefälschten Seite abfragen und sofort weiterverwenden. Phishingresistent sind laut Microsoft Windows Hello for Business, FIDO2-Sicherheitsschlüssel, Passkeys und die zertifikatsbasierte Anmeldung. Für die Windows-Anmeldung im lokalen Netz ist ein TOTP-Token trotzdem ein großer Fortschritt gegenüber dem Kennwort allein.Link zu dieser Frage und Antwort

Das hängt vom Verfahren ab. Windows Hello for Business arbeitet nach der Ersteinrichtung auch ohne Netzverbindung, weil der Schlüssel auf dem Gerät liegt. Bei anderen Verfahren regeln wir die Offline-Anmeldung für Notebooks im Außendienst ausdrücklich im Konzept. Welche Variante bei Ihnen greift, klären wir in der Bestandsaufnahme vor dem Rollout.Link zu dieser Frage und Antwort

Dafür legen wir vorab ein Ersatzverfahren fest. Nach Rückruf und Identitätsprüfung schaltet die IT einen Zugang mit kurzer Gültigkeit frei. Das Ersatzverfahren wird protokolliert und läuft automatisch ab. So bleibt niemand einen Tag lang ausgesperrt, und es entsteht keine Hintertür.Link zu dieser Frage und Antwort

Ja. REINER SCT Login bringt laut Hersteller ein Plugin für das Remotedesktop-Gateway mit, das Anmeldungen an Terminalserver-Farmen mit zweitem Faktor schützt. In Microsoft-Umgebungen hängt die RDP-Anmeldung mit Windows Hello for Business vom gewählten Vertrauensmodell ab. Wir prüfen Ihre RDP-Zugänge in der Bestandsaufnahme und schließen offene Wege zuerst.Link zu dieser Frage und Antwort

§ 30 Abs. 2 Nr. 10 BSIG verlangt Lösungen zur Multi-Faktor-Authentifizierung, schreibt aber kein bestimmtes System vor. Wer Administratoren, Fernzugriff und Server nur per Kennwort schützt, wird das schwer begründen können. Betroffen sind wichtige und besonders wichtige Einrichtungen. Ob Ihr Unternehmen dazugehört, klären wir in der NIS-2-Beratung.Link zu dieser Frage und Antwort

Weiterführende Leistungen

Passend zum Thema.

Identity & Access Management
Rollen, Rechte und Anmeldungen für Belegschaft, Kunden und Partner.
Mehr
Multi-Faktor-Authentifizierung
Faktortypen, Microsoft 365 und Conditional Access.
Mehr
Password-Management
Starke, eindeutige Kennwörter zentral verwalten.
Mehr
Mobile Device Management
Windows-Geräte mit Intune verwalten, Voraussetzung für Windows Hello for Business.
Mehr
NIS2-Beratung
MFA als geforderte Mindestmaßnahme.
Mehr
Partner & Zertifizierungen
REINER SCT, Bare.ID und unsere weiteren Partnerschaften.
Mehr