Man schaltet einen PC mit Windows ein, gibt sein Passwort ein, und ein Fenster erscheint, um einen Sicherheitscode zu erstellen. Die Versuchung, auf “Ignorieren” zu klicken, ist groß. Dieser Microsoft-Sicherheitscode, oft mit einer einfachen Bank-PIN verwechselt, erfüllt eine ganz andere Sicherheitsfunktion als das klassische Passwort.
Windows Hello Sicherheitscode: Ein Geheimnis, das die Maschine nie verlässt
Das häufigste Missverständnis betrifft die Natur dieses Codes. Man stellt sich eine vierstellige PIN vor, die über die Server von Microsoft übertragen wird, wie ein verkürztes Passwort. Die technische Realität ist jedoch das Gegenteil.
Der Sicherheitscode bleibt lokal auf dem Gerät gespeichert. Er dient dazu, einen kryptografischen Schlüssel zu entsperren, der mit der Hardware verbunden ist (der TPM-Chip des PCs), nicht um sich direkt bei den Microsoft-Servern zu authentifizieren. Konkret bedeutet das, wenn jemand diesen Code im Netzwerk abfängt, kann er damit nichts anfangen, ohne physischen Zugang zur Maschine zu haben.
Diese Architektur erklärt, warum Windows so sehr darauf besteht, dass man ihn konfiguriert. Das Passwort des Microsoft-Kontos wird bei jeder Anmeldung über das Internet übertragen. Das Verständnis des Funktionsweise des Microsoft-Sicherheitscodes ermöglicht es zu erkennen, warum er besser gegen Phishing-Angriffe schützt als ein Passwort, egal wie lang es ist.
Man kann übrigens einen Sicherheitscode wählen, der nicht auf Zahlen beschränkt ist. Windows Hello akzeptiert Buchstaben, Sonderzeichen und alphanumerische Kombinationen. Der Begriff “PIN” ist irreführend: Man ist näher an einem lokalen Passwort als an einem Kreditkarten-Code.
Microsoft-Sicherheitscode und Passwort: Was sich im Falle eines Angriffs ändert
Ein Passwort, das bei einem Datenleck gestohlen wurde, gewährt Zugriff auf das Konto von jedem Gerät weltweit. Das ist das klassische Szenario bei großflächigen Hacks.
Der Sicherheitscode birgt dieses Risiko nicht. Selbst wenn er exponiert ist, ist er ohne das physische Gerät, mit dem er verbunden ist, unbrauchbar. Man kann den Unterschied in einem Satz zusammenfassen: Ein Passwort schützt ein Konto, ein Sicherheitscode schützt ein Gerät.
Diese Unterscheidung hat praktische Konsequenzen für Unternehmen. In einer von Microsoft Entra (ehemals Azure AD) verwalteten Arbeitsumgebung behandelt Windows Hello for Business den Sicherheitscode als einen Faktor für starke Authentifizierung. Er wird sogar in bestimmten Szenarien als selbstregistrierter Schlüssel betrachtet, was die Hinzufügung eines separaten zweiten Faktors überflüssig machen kann.
Die Grenzen, die man im Hinterkopf behalten sollte
Der Sicherheitscode ersetzt nicht alle Sicherheitsschichten. Wenn man das Gerät verliert und der Code zu kurz ist (zum Beispiel vier einfache Ziffern), bleibt ein physischer Zugriff in Kombination mit Brute-Force theoretisch möglich, auch wenn der TPM-Chip die Anzahl der Versuche begrenzt.
Die Rückmeldungen zu diesem Punkt variieren je nach Hardwarekonfiguration: Nicht alle PCs verfügen über einen aktuellen TPM-Chip, und auf älteren Maschinen ist der Schutz weniger robust.
Konfigurieren und Zurücksetzen des Windows Hello Sicherheitscodes
Die Erstellung des Sicherheitscodes erfolgt über die Windows-Einstellungen. Hier sind die konkreten Schritte:
- Öffnen Sie die Einstellungen, dann Konten, dann Anmeldeoptionen (in Windows 11 heißt der Abschnitt “Windows Hello Sicherheitscode”).
- Klicken Sie auf Hinzufügen und geben Sie zunächst das Passwort des Microsoft-Kontos ein, um die Identität zu überprüfen.
- Wählen Sie einen Sicherheitscode und aktivieren Sie gegebenenfalls das Kästchen “Buchstaben und Symbole einbeziehen”, um die Sicherheit zu erhöhen.
Für das Zurücksetzen gibt es zwei Szenarien. Wenn man den Code vergessen hat, aber noch Zugriff auf das Microsoft-Konto hat, ermöglicht die Option “Ich habe meinen Sicherheitscode vergessen” in den Anmeldeeinstellungen, ihn nach Identitätsüberprüfung neu zu erstellen. Wenn der Zugriff auf das Konto ebenfalls blockiert ist, muss man den Wiederherstellungsprozess für das Microsoft-Konto selbst durchlaufen.
Passkeys und das Ende von SMS: Wohin Microsoft seine Nutzer lenkt
Der Windows Hello Sicherheitscode ist Teil einer umfassenderen Strategie. Microsoft wechselt schrittweise zu Passkeys als Standardanmeldemethode, sowohl für persönliche Konten als auch für von Entra ID verwaltete Geschäftskonten.
Parallel dazu werden SMS-Bestätigungscodes und Sprachanrufe in bestimmten Geschäftsszenarien zurückgezogen. Ein Übergangszeitplan wurde bekannt gegeben, mit einem angekündigten Ende dieser telefonischen Methoden im Entra-Ökosystem.
Dieser Schritt hat eine klare technische Logik:
- SMS sind anfällig für SIM-Swapping (Abfangen von SIM-Karten), was sie zu einem zunehmend kritisierten Authentifizierungsfaktor macht.
- Passkeys, wie der Windows Hello Sicherheitscode, basieren auf asymmetrischer Kryptografie, die mit dem Gerät verbunden ist, ohne ein geheimes Teilen mit einem entfernten Server.
- Windows 11 hat zudem die Option für Bildpasswörter entfernt, um die Nutzer zu einem Sicherheitscode, klassischen Passwörtern und Biometrie zu drängen.
Der Sicherheitscode ist also kein vorübergehendes Relikt. Er bildet das Fundament der lokalen Authentifizierung im Microsoft-Ökosystem, das den Passkey oder den Windows Hello Schlüssel, der in der Hardware gespeichert ist, entsperrt.
Xbox Sicherheitscode: Eine andere Nutzung, die gleiche Logik
Auf der Xbox erfüllt der Sicherheitscode eine andere, aber ergänzende Rolle. Er schützt das Profil vor versehentlichen Käufen und unbefugtem Zugriff durch andere Mitglieder des Haushalts. Dieser sechsstellige Code verhindert, dass ein Kind oder ein Gast einen Kauf ohne Genehmigung abschließt.
Die Verwaltung erfolgt über die Einstellungen der Konsole (Allgemein, dann Online-Sicherheit und Familie). Man kann ihn jederzeit erstellen, ändern oder löschen. Das Prinzip bleibt identisch mit dem Windows Hello Code: ein lokaler Schutz, der mit der Konsole verbunden ist, nicht mit dem Microsoft-Konto selbst.
Der Microsoft-Sicherheitscode, egal ob er einen PC oder eine Xbox schützt, basiert auf der gleichen Idee: das Geheimnis auf dem Gerät zu bewahren, anstatt auf einem Server. Mit dem schrittweisen Rückzug von Bestätigungs-SMS und dem Aufstieg der Passkeys wird dieser lokale Mechanismus zur Grundlage der Authentifizierung bei Microsoft, kein optionales Gadget, das man beim ersten Start ignorieren kann.
