Der ungesperrte Bildschirm ist Ihr größtes Datenschutzrisiko – wie Windows Hello den Kanzleialltag absichert

Die Szene kennt jede Kanzlei: Die Kollegin geht kurz zum Drucker, der Kollege holt sich einen Kaffee, jemand öffnet die Tür für den Boten. Der Bildschirm bleibt an – offen liegt die Mandantenakte, die E-Mail des Gegners, der Entwurf des Vergleichs. Niemand handelt hier fahrlässig. Der Grund ist banal und menschlich: Wer sich zehnmal am Tag mit einem 14-stelligen Kennwort neu anmelden muss, sperrt den Rechner irgendwann nicht mehr.

Genau an dieser Stelle scheitern in der Praxis viele gut gemeinte Sicherheitskonzepte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist regelmäßig darauf hin, dass die Absicherung der „digitalen Fenster und Türen“ zu den Grundlagen gehört. Für Kanzleien kommt hinzu, dass der Zugriffsschutz nicht nur eine IT-Frage ist, sondern unmittelbar an die anwaltliche Verschwiegenheitspflicht (§ 43a Abs. 2 BRAO) und die Anforderungen der DS-GVO an technisch-organisatorische Maßnahmen rührt.

Sicherheit muss bequem sein, sonst wird sie umgangen

Windows Hello ist seit Jahren fester Bestandteil von Windows 10 und Windows 11 – und in vielen Kanzleien schlicht nicht aktiviert. Dabei löst es genau das Problem, an dem die Kennwortdisziplin scheitert: Gesichtserkennung oder Fingerabdruck entsperren den Arbeitsplatz in unter einer Sekunde. Damit wird konsequentes Sperren zur Gewohnheit statt zur Zumutung.

Technisch erkennt eine kompatible Infrarotkamera das Gesicht; alternativ genügt ein Fingerabdrucksensor. Die biometrischen Erkennungsdaten verbleiben nach Angaben von Microsoft lokal auf dem Gerät – sie wandern nicht in eine Cloud. Für die datenschutzrechtliche Bewertung in der Kanzlei ist das ein wesentlicher Punkt.

Worauf es bei der Hardware ankommt

Viele Business-Notebooks bringen bereits eine Windows-Hello-kompatible Infrarotkamera oder einen Fingerabdrucksensor mit. Ob Ihr Gerät geeignet ist, sehen Sie unter Einstellungen → Konten → Anmeldeoptionen.

Wichtig für die Beschaffung: Eine gewöhnliche Webcam genügt nicht. Achten Sie beim Kauf ausdrücklich auf die Kennzeichnung „Windows Hello-kompatibel“ beziehungsweise „Works with Windows Hello“. Für vorhandene Desktop-Arbeitsplätze lassen sich passende externe USB-Kameras oder Fingerabdrucksensoren nachrüsten – das ist in aller Regel günstiger, als einen funktionierenden Rechner zu ersetzen.

Die PIN ist nicht das kleine Kennwort – sie ist die bessere Alternative

Wo biometrische Anmeldung nicht möglich ist, dient die Windows-Hello-PIN als Rückfalloption. Hier hält sich ein hartnäckiges Missverständnis: Eine vierstellige PIN klinge doch viel unsicherer als ein komplexes Kennwort.

Der entscheidende Unterschied liegt in der Bindung. Anders als ein Anmeldekennwort ist die PIN an genau diesen einen PC gebunden. Sie entsperrt ausschließlich den geschützten Sicherheitsschlüssel dieses Geräts und lässt sich an keinem anderen Rechner verwenden. Ein abgefangenes Kennwort können Angreifer aus der Ferne einsetzen – eine abgefangene PIN ist ohne das physische Gerät wertlos.

Ein weiterer Punkt spricht für die biometrische Anmeldung: Sie lässt sich nicht weitergeben. Der Zettel unter der Tastatur, das gemeinsam genutzte Kennwort im Sekretariat, die schnelle Anmeldung „unter dem Konto der Kollegin, weil es gerade eilig war“ – all das sind Praktiken, die jede Protokollierung wertlos machen und im Schadensfall kaum zu erklären sind. Wer sich mit Gesicht oder Fingerabdruck anmeldet, meldet sich zwangsläufig als er selbst an. Das ist weniger eine technische als eine organisatorische Verbesserung, und sie wiegt im Kanzleialltag oft schwerer.

Fünf Empfehlungen für den Kanzleialltag

1. Gesichtserkennung oder Fingerabdruck an allen geeigneten Arbeitsplätzen einrichten.
2. Für jede Person ein eigenes Windows-Benutzerkonto – Sammelkonten machen jede Nachvollziehbarkeit unmöglich und sind datenschutzrechtlich kaum haltbar.
3. Bildschirm beim Verlassen sperren mit Windows-Taste + L. Dieser Reflex lässt sich im Team in wenigen Tagen etablieren, sobald das Entsperren nicht mehr schmerzt.
4. Windows-Hello-PIN als persönliche Rückfalloption einrichten.
5. Aktuelle und unterstützte Windows-Versionen einsetzen – ein Gerät ohne Sicherheitsupdates entwertet jede Anmeldelösung.

Auch in RDP- und Terminalserver-Umgebungen lässt sich Windows Hello grundsätzlich einsetzen – ein Punkt, der gerade für Kanzleien mit zentraler Serverstruktur oder Cloud-Konzept relevant ist. Die konkrete Umsetzung hängt allerdings von der jeweiligen Konfiguration ab und sollte vor dem Rollout geprüft werden.

Wir richten das für Ihre Kanzlei ein

Als RA-MICRO und DictaNet Partner aus Hannover betreuen wir Kanzleien von der Einzelkanzlei bis zur Sozietät mit Terminalserver und mehreren Standorten. Für das Thema Anmeldesicherheit bieten wir Ihnen an:

• Bestandsaufnahme Ihrer Arbeitsplätze: Wir prüfen, welche Geräte Windows Hello bereits unterstützen und wo eine Nachrüstung sinnvoll ist.
• Einrichtung und Rollout: Benutzerkonten, biometrische Anmeldung, PIN-Richtlinien und automatische Bildschirmsperre – sauber konfiguriert statt an jedem Arbeitsplatz einzeln zusammengeklickt.
• Beratung zu Terminalserver und Cloud: Damit die Anmeldelösung auch im Homeoffice und bei mobilen Arbeitsplätzen trägt.
• Dokumentation für Ihr Datenschutzkonzept: Ein nachweisbar umgesetzter Zugriffsschutz hilft Ihnen gegenüber Mandanten, Aufsicht und Cyberversicherern.

Der Aufwand ist überschaubar, der Effekt im Alltag spürbar: Ein Team, das den Rechner gerne sperrt, ist sicherer als jede Richtlinie, die niemand einhält.

Sprechen Sie uns an – wir beraten Sie gern:

Telefon: 0511 / 999 88 40
E-Mail: frank.pelaccia@ius-systemhaus.de

ius Systemhaus – Ihr RA-MICRO und DictaNet Partner aus Hannover.