Windows 11/10: Domänenbenutzer PIN-Anmeldung aktivieren/deaktivieren

Aktivieren oder deaktivieren Sie die PIN-Anmeldung für Domänenbenutzer unter Windows 11 und Windows 10 per Gruppenrichtlinie oder Registry – Schritt für Schritt erklärt.

Domänenbenutzer können sich unter Windows 11 und Windows 10 standardmäßig nicht per PIN anmelden, da diese Funktion in Unternehmensnetzwerken zunächst über eine Gruppenrichtlinie oder die Registrierung freigeschaltet werden muss.

Zudem lässt sich die PIN-Anmeldung ebenso gezielt wieder deaktivieren. Im Folgenden erfahren Sie Schritt für Schritt, wie Sie beide Varianten in Active Directory und lokal umsetzen.

Was bedeutet PIN-Anmeldung für Domänenbenutzer?

Die PIN-Anmeldung gehört zur Windows Hello-Technologie von Microsoft und ersetzt die klassische Eingabe von Benutzername und Kennwort. Anstelle des Passworts geben Sie eine kurze, gerätegebundene Zahlenfolge ein, die ausschließlich auf dem jeweiligen Rechner funktioniert.

Dabei unterscheiden Microsoft-Systeme zwei technische Ausprägungen:

• Komfortable PIN (Convenience PIN): Eine einfache, lokal gespeicherte PIN ohne zusätzliche kryptografische Absicherung. Sie eignet sich für kleinere Umgebungen und Einzelgeräte.
• Windows Hello for Business (WHfB): Eine unternehmenstaugliche, zertifikats- oder schlüsselbasierte PIN, die an das TPM-Modul (Trusted Platform Module) des Geräts gebunden ist und deutlich höhere Sicherheitsstandards erfüllt.

Für Domänenumgebungen empfiehlt Microsoft grundsätzlich Windows Hello for Business, da die Convenience-PIN seit einigen Windows-Versionen in Domänen-Kontexten schrittweise zurückgedrängt wird. Dennoch lässt sich die einfache Variante weiterhin per Registrierungseintrag aktivieren, sofern die Unternehmensrichtlinie dies zulässt.

Warum ist die PIN standardmäßig deaktiviert?

In Arbeitsgruppen und bei lokalen Konten aktiviert Windows die PIN-Anmeldung automatisch über die Einstellungen-App. Bei domänengebundenen Geräten greift hingegen eine strengere Sicherheitslogik, da IT-Administratoren die Kontrolle über Anmeldemethoden zentral steuern möchten.

Folglich blendet Windows die Option PIN (Windows Hello) unter „Konten“ > „Anmeldeoptionen“ so lange aus, bis eine entsprechende Richtlinie sie freigibt. Somit verhindert Microsoft, dass Benutzer eigenmächtig eine potenziell schwächere Anmeldemethode einrichten, ohne dass die IT-Abteilung dies steuern kann.

Voraussetzungen für die PIN-Anmeldung in der Domäne

Bevor Sie mit der Einrichtung beginnen, sollten Sie folgende Punkte prüfen:

• Administratorrechte: Sie benötigen lokale Administratorrechte auf dem Zielgerät oder Domänenadministratorrechte für die zentrale Verteilung.
• Windows-Edition: Windows Hello for Business steht in Windows 11/10 Pro, Enterprise und Education zur Verfügung; die Home-Edition unterstützt keine Domänenanbindung.
• TPM-Chip: Für Windows Hello for Business ist idealerweise ein TPM 2.0-Modul vorhanden, wobei sich diese Anforderung per Richtlinie ebenfalls lockern lässt.
• Gruppenrichtlinien-Verwaltungskonsole (GPMC): Für die domänenweite Verteilung benötigen Sie Zugriff auf einen Domänencontroller oder eine Remoteserver-Verwaltungstools-Installation (RSAT).
• Netzwerkverbindung zum Domänencontroller: Beim erstmaligen Einrichten der PIN muss das Gerät mit der Domäne kommunizieren können.

Sind diese Voraussetzungen erfüllt, können Sie zwischen zwei Wegen wählen: der lokalen Gruppenrichtlinie für einzelne Geräte oder der domänenweiten Gruppenrichtlinie über den Domänencontroller.

PIN-Anmeldung über die Gruppenrichtlinie aktivieren

Der zuverlässigste und von Microsoft empfohlene Weg führt über den Editor für lokale Gruppenrichtlinien (gpedit.msc) beziehungsweise über die Gruppenrichtlinien-Verwaltungskonsole, sofern Sie die Einstellung für mehrere Geräte gleichzeitig ausrollen möchten.

Schritt-für-Schritt: Convenience-PIN per GPO aktivieren

1. Gruppenrichtlinien-Editor öffnen: Drücken Sie „Windows + R“, geben Sie gpedit.msc ein und bestätigen Sie mit „OK“. Bei einer domänenweiten Verteilung öffnen Sie stattdessen die GPMC auf dem Domänencontroller und bearbeiten das gewünschte Gruppenrichtlinienobjekt.
2. Zum richtigen Pfad navigieren: Wechseln Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „System“ > „Anmelden“.
3. Richtlinie „Komfortable PIN-Anmeldung aktivieren“ öffnen: Im englischen Original heißt diese Richtlinie „Turn on convenience PIN sign-in“. Doppelklicken Sie darauf.
4. Option „Aktiviert“ auswählen: Setzen Sie den Schalter auf „Aktiviert“ und bestätigen Sie mit „OK“.
5. Richtlinien aktualisieren: Öffnen Sie eine erhöhte Eingabeaufforderung und führen Sie den Befehl gpupdate /force aus, damit die Änderung sofort wirksam wird.

Anschließend steht die PIN-Option in den Anmeldeoptionen zur Verfügung. Allerdings müssen sich Domänenbenutzer zunächst einmal mit ihrem Kennwort anmelden, bevor sie eine PIN einrichten können.

PIN-Anmeldung über Windows Hello for Business per GPO

Möchten Sie stattdessen die sicherere Windows Hello for Business-PIN aktivieren, gehen Sie folgendermaßen vor:

1. Navigieren Sie im Gruppenrichtlinien-Editor zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „Windows-Komponenten“ > „Windows Hello for Business“.
2. Öffnen Sie die Richtlinie „Windows Hello for Business verwenden“ (englisch: „Use Windows Hello for Business“).
3. Wählen Sie „Aktiviert“ aus.
4. Legen Sie zusätzlich fest, ob ein Hardwaregerät (TPM) zwingend erforderlich sein soll, indem Sie die Option entsprechend setzen.
5. Bestätigen Sie mit „Übernehmen“ und „OK“.
6. Führen Sie erneut gpupdate /force aus und starten Sie das Gerät bei Bedarf neu.

Beim nächsten Anmeldevorgang durchläuft der Benutzer automatisch den Einrichtungsassistenten für Windows Hello, in dem die neue PIN festgelegt wird.

PIN-Anmeldung über die Registrierung aktivieren

Sofern kein Zugriff auf die Gruppenrichtlinien besteht oder Sie eine schnelle Einzelplatzlösung benötigen, lässt sich die PIN-Anmeldung ebenso über die Registrierung (Registry) freischalten.

1. Öffnen Sie den Registrierungs-Editor, indem Sie „Windows + R“ drücken, regedit eingeben und mit „OK“ bestätigen.
2. Navigieren Sie zum Schlüssel:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System
3. Existiert der Schlüssel „System“ nicht, legen Sie ihn zunächst manuell an.
4. Erstellen Sie darin einen neuen DWORD-Wert (32-Bit) mit dem Namen AllowDomainPINLogon.
5. Setzen Sie den Wert auf 1, um die PIN-Anmeldung freizugeben. Der Wert 0 deaktiviert die Funktion wieder.
6. Schließen Sie den Registrierungs-Editor und starten Sie den Computer neu, damit die Änderung greift.

Wichtig zu wissen: Dieser Registrierungseintrag entspricht technisch derselben Einstellung wie die zuvor beschriebene Gruppenrichtlinie. Deshalb reicht es aus, einen der beiden Wege zu nutzen – eine Kombination ist nicht notwendig.

PIN-Komplexität und Mindestlänge festlegen

Sobald die PIN-Anmeldung grundsätzlich aktiviert ist, sollten Sie zusätzlich die PIN-Komplexität konfigurieren, um schwache PINs wie „1234″ zu verhindern.

1. Öffnen Sie erneut den Gruppenrichtlinien-Editor.
2. Navigieren Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „System“ > „PIN-Komplexität“.
3. Konfigurieren Sie unter anderem folgende Optionen:
   • Minimale PIN-Länge: Legt die kleinste zulässige Zeichenanzahl fest, üblicherweise mindestens 6 Zeichen.
   • Maximale PIN-Länge: Begrenzt die PIN nach oben, standardmäßig auf 127 Zeichen.
   • Großbuchstaben zulassen, Kleinbuchstaben zulassen, Sonderzeichen zulassen: Erhöhen bei Aktivierung die Komplexität, verlangen vom Benutzer jedoch mehr Aufwand bei der Erstellung.
   • Ablauf der PIN (Tage): Erzwingt eine regelmäßige PIN-Änderung, ähnlich der klassischen Kennwortrichtlinie.
   • PIN-Verlauf: Verhindert die Wiederverwendung zuletzt genutzter PINs.
4. Übernehmen Sie die Einstellungen und führen Sie gpupdate /force aus.

Beachten Sie zudem, dass eine zu strenge Komplexitätsrichtlinie in der Praxis gelegentlich zu Anzeigefehlern führt, bei denen die tatsächlich geforderte Mindestlänge nicht mit dem eingestellten Wert übereinstimmt. In solchen Fällen hilft es häufig, sämtliche relevanten Richtlinien – also „Komfortable PIN-Anmeldung“, „PIN-Komplexität“ und „Windows Hello for Business verwenden“ – gemeinsam zu konfigurieren, da diese Richtlinien in der Praxis voneinander abhängen.

PIN für Domänenbenutzer manuell einrichten

Nachdem die Richtlinie aktiv ist, kann jeder Domänenbenutzer seine persönliche PIN selbst einrichten. Gehen Sie dazu wie folgt vor:

1. Öffnen Sie „Einstellungen“ über das Startmenü oder mit der Tastenkombination „Windows + I“.
2. Klicken Sie auf „Konten“ und anschließend auf „Anmeldeoptionen“.
3. Wählen Sie unter „PIN (Windows Hello)“ die Option „Einrichten“ aus.
4. Bestätigen Sie zunächst Ihr aktuelles Domänenkennwort.
5. Geben Sie eine neue PIN ein und bestätigen Sie diese ein zweites Mal.
6. Klicken Sie auf „OK“, um die Einrichtung abzuschließen.

Ab diesem Zeitpunkt erscheint die PIN-Option direkt auf dem Anmeldebildschirm, sodass sich der Benutzer künftig ohne vollständige Kennworteingabe anmelden kann.

PIN-Anmeldung für Domänenbenutzer deaktivieren

Möchten Sie die Funktion aus Sicherheits- oder Compliance-Gründen wieder abschalten, stehen Ihnen ebenfalls zwei Methoden zur Verfügung.

Deaktivierung über die Gruppenrichtlinie

1. Öffnen Sie den Gruppenrichtlinien-Editor mit gpedit.msc oder die GPMC für die domänenweite Verwaltung.
2. Navigieren Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „System“ > „Anmelden“.
3. Öffnen Sie die Richtlinie „Komfortable PIN-Anmeldung aktivieren“.
4. Setzen Sie den Schalter auf „Deaktiviert“ oder „Nicht konfiguriert“, je nachdem, ob Sie die Standardeinstellung wiederherstellen möchten.
5. Falls zusätzlich Windows Hello for Business genutzt wird, deaktivieren Sie ebenso die Richtlinie „Windows Hello for Business verwenden“ unter „Windows-Komponenten“.
6. Führen Sie gpupdate /force aus und starten Sie das Gerät neu.

Deaktivierung über die Registrierung

1. Öffnen Sie den Registrierungs-Editor über regedit.
2. Navigieren Sie zu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System.
3. Setzen Sie den Wert AllowDomainPINLogon auf 0, oder löschen Sie den Eintrag vollständig.
4. Starten Sie den Computer neu.

Nach der Deaktivierung verschwindet die PIN-Option aus den Anmeldeoptionen, und betroffene Benutzer müssen sich künftig wieder ausschließlich mit ihrem Domänenkennwort anmelden. Bereits eingerichtete PINs werden dabei in der Regel automatisch entfernt beziehungsweise unbrauchbar gemacht.

Unterschied zwischen Windows 11 und Windows 10

Grundsätzlich funktionieren die beschriebenen Schritte sowohl unter Windows 11 als auch unter Windows 10 nahezu identisch, da beide Betriebssysteme auf derselben Windows-Hello-Architektur basieren. Dennoch gibt es einige kleinere Unterschiede:

• Menüführung: Windows 11 zeigt die Anmeldeoptionen in einem überarbeiteten „Einstellungen“-Design, während Windows 10 das klassische Layout verwendet. Die zugrunde liegenden Richtlinienpfade bleiben jedoch gleich.
• Standardverhalten bei Neuinstallationen: Windows 11 fordert Benutzer in bestimmten Konfigurationen aktiver zur Einrichtung einer PIN auf, sobald diese per Richtlinie erlaubt ist.
• Unterstützung neuerer Sicherheitsfunktionen: Windows 11 bietet zusätzliche Optionen wie „Cloud Kerberos Trust“ für die Authentifizierung mit lokalen Ressourcen, die in älteren Windows-10-Versionen nicht vollständig verfügbar sind.

Insgesamt lässt sich festhalten, dass Administratoren dieselbe Gruppenrichtlinien-Infrastruktur für beide Versionen nutzen können, sofern die passenden ADMX-Vorlagen für die jeweilige Windows-Version im zentralen Speicher (Central Store) hinterlegt sind.

Häufige Probleme bei der PIN-Anmeldung in der Domäne beheben

In der Praxis treten trotz korrekter Konfiguration gelegentlich Probleme auf. Nachfolgend finden Sie die häufigsten Ursachen sowie passende Lösungsansätze.

Problem: Die PIN-Option erscheint trotz aktivierter Richtlinie nicht.
Prüfen Sie zunächst, ob die Richtlinie tatsächlich auf dem betroffenen Gerät angewendet wurde. Führen Sie dazu gpresult /r in einer Eingabeaufforderung aus, um die wirksamen Richtlinien einzusehen. Zusätzlich sollten Sie sicherstellen, dass keine widersprüchliche Richtlinie auf einer höheren Organisationseinheit die PIN-Anmeldung explizit blockiert.

Problem: Die geforderte PIN-Mindestlänge weicht von der konfigurierten Länge ab.
Dieses bekannte Verhalten tritt häufig auf, wenn die Richtlinie „PIN-Komplexität“ ohne gleichzeitige Aktivierung von „Windows Hello for Business verwenden“ konfiguriert wurde. Aktivieren Sie deshalb zusätzlich die entsprechende Windows-Hello-for-Business-Richtlinie und führen Sie gpupdate /force erneut aus.

Problem: Nach der Aktivierung fragt Windows weiterhin ausschließlich nach dem Kennwort.
In diesem Fall hat der Benutzer möglicherweise noch keine PIN eingerichtet. Öffnen Sie „Einstellungen“ > „Konten“ > „Anmeldeoptionen“ und richten Sie die PIN manuell ein, wie im entsprechenden Abschnitt oben beschrieben.

Problem: Fehlermeldung „Es ist etwas schiefgelaufen“ bei der PIN-Einrichtung.
Diese Meldung deutet häufig auf ein Problem mit der Verbindung zum Domänencontroller hin. Stellen Sie sicher, dass das Gerät während der Einrichtung mit dem Firmennetzwerk oder per VPN verbunden ist, da die PIN-Erstellung eine Kommunikation mit dem Domänencontroller voraussetzt.

Problem: Die PIN funktioniert nach einem Neustart nicht mehr.
Überprüfen Sie in diesem Fall den Zustand des TPM-Moduls über die Eingabe von tpm.msc. Ist das TPM deaktiviert oder fehlerhaft, kann dies die gespeicherten Windows-Hello-Schlüssel beeinträchtigen.

Sicherheitsaspekte der PIN-Anmeldung in Unternehmen

Aus Sicherheitssicht bietet die PIN gegenüber dem klassischen Kennwort mehrere Vorteile, weshalb Microsoft diese Methode aktiv fördert.

• Gerätebindung: Eine PIN funktioniert ausschließlich auf dem Gerät, auf dem sie eingerichtet wurde. Selbst wenn Angreifer die PIN kennen, benötigen sie zusätzlich physischen Zugriff auf das jeweilige Gerät.
• Schutz vor Netzwerkangriffen: Da die PIN niemals über das Netzwerk übertragen wird, bietet sie Schutz vor klassischen Phishing- und Replay-Angriffen, die auf abgefangene Kennwörter abzielen.
• TPM-Absicherung: Bei Windows Hello for Business werden die kryptografischen Schlüssel im TPM-Chip gespeichert, wodurch ein Auslesen der Zugangsdaten erheblich erschwert wird.
• Reduzierte Angriffsfläche für Credential-Diebstahl: Da kein Domänenkennwort im Arbeitsspeicher zwischengespeichert werden muss, sinkt gleichzeitig das Risiko klassischer Pass-the-Hash-Angriffe.

Allerdings sollten Administratoren dennoch eine ausreichende PIN-Komplexität erzwingen, da triviale PINs wie fortlaufende Zahlenreihen trotz Gerätebindung ein Restrisiko darstellen. Zusätzlich empfiehlt sich die Kombination mit biometrischen Verfahren wie Fingerabdruck oder Gesichtserkennung, sofern die vorhandene Hardware dies unterstützt.

PIN-Anmeldung per Intune verwalten

Setzt Ihr Unternehmen auf eine Cloud-Verwaltung über Microsoft Intune anstelle klassischer Domänen-Gruppenrichtlinien, lässt sich die PIN-Anmeldung ebenso zentral steuern.

1. Öffnen Sie das Microsoft Intune Admin Center.
2. Navigieren Sie zu „Geräte“ > „Registrierung“ > „Windows Hello for Business einrichten“.
3. Setzen Sie „Windows Hello for Business konfigurieren“ auf „Aktiviert“.
4. Konfigurieren Sie zusätzlich Werte wie PIN-Mindestlänge, TPM erforderlich sowie Biometrie zulassen entsprechend den Sicherheitsanforderungen Ihres Unternehmens.
5. Weisen Sie die Konfiguration der gewünschten Benutzer- oder Gerätegruppe zu.

Alternativ lässt sich dieselbe Einstellung über ein Konfigurationsprofil mit der Vorlage „Identitätsschutz“ beziehungsweise über das Einstellungskatalog (Settings Catalog) und die entsprechende PassportForWork-CSP umsetzen. Diese Methode eignet sich besonders für hybride oder reine Cloud-Umgebungen ohne klassischen Domänencontroller.

Tipps für eine reibungslose Einführung im Unternehmen

Damit die Umstellung auf die PIN-Anmeldung möglichst reibungslos verläuft, empfiehlt sich ein strukturiertes Vorgehen:

• Pilotgruppe definieren: Testen Sie die Richtlinie zunächst mit einer kleinen Benutzergruppe von etwa 20 bis 50 Personen, bevor Sie die Funktion unternehmensweit ausrollen.
• Schulung der Mitarbeiter: Informieren Sie Benutzer vorab darüber, dass die PIN geräteabhängig ist und bei einem neuen Gerät erneut eingerichtet werden muss.
• Helpdesk vorbereiten: Stellen Sie sicher, dass der Support die Funktionsweise sowie mögliche Fehlerquellen kennt, um Rückfragen effizient beantworten zu können.
• PIN-Wiederherstellung aktivieren: Konfigurieren Sie zusätzlich die Richtlinie „PIN-Wiederherstellung verwenden“ (Use PIN recovery), damit Benutzer eine vergessene PIN eigenständig über eine starke Authentifizierung zurücksetzen können.
• Monitoring einrichten: Überwachen Sie nach der Einführung die Anmeldezeiten sowie die Anzahl der Support-Tickets, um den Erfolg der Umstellung zu bewerten.

Häufige Fragen zur PIN-Anmeldung für Domänenbenutzer

Warum kann ich mich als Domänenbenutzer nicht per PIN anmelden?

In den meisten Fällen ist die zuständige Gruppenrichtlinie „Komfortable PIN-Anmeldung aktivieren“ oder „Windows Hello for Business verwenden“ noch nicht aktiviert. Überprüfen Sie zunächst die wirksamen Richtlinien mit dem Befehl gpresult /r und aktivieren Sie anschließend die passende Richtlinie wie oben beschrieben.

Ist die PIN wirklich sicherer als ein Passwort?

Ja, da die PIN ausschließlich lokal auf dem jeweiligen Gerät gültig ist und niemals über das Netzwerk übertragen wird. Somit ist eine gestohlene PIN für Angreifer ohne physischen Zugriff auf das Gerät weitgehend nutzlos.

Muss ich für jedes Gerät eine neue PIN einrichten?

Ja, da die PIN grundsätzlich gerätegebunden ist. Melden Sie sich also an einem zweiten Computer an, müssen Sie dort ebenso eine eigene PIN erstellen.

Funktioniert die PIN-Anmeldung auch ohne TPM-Chip?

Bei der einfachen Convenience-PIN ist kein TPM erforderlich. Für Windows Hello for Business empfiehlt Microsoft hingegen ein TPM 2.0-Modul, wobei sich diese Voraussetzung per Richtlinie „Hardwaregerät erforderlich“ gegebenenfalls deaktivieren lässt.

Was passiert, wenn ich meine PIN vergesse?

Haben Sie zuvor die Richtlinie „PIN-Wiederherstellung verwenden“ aktiviert, können Sie die PIN über die Option „Ich habe meine PIN vergessen“ unter den Anmeldeoptionen mithilfe einer starken Authentifizierung zurücksetzen. Ohne diese Richtlinie muss die IT-Abteilung die PIN üblicherweise manuell zurücksetzen.

Kann ich die PIN-Anmeldung nur für bestimmte Benutzergruppen aktivieren?

Ja, dazu verknüpfen Sie das entsprechende Gruppenrichtlinienobjekt gezielt mit der gewünschten Organisationseinheit (OU) in Active Directory oder nutzen bei Intune eine spezifische Zielgruppenzuweisung.

Warum zeigt Windows trotz Aktivierung eine höhere PIN-Mindestlänge an, als konfiguriert wurde?

Dieses Verhalten entsteht meist, wenn ausschließlich die Richtlinie „PIN-Komplexität“ gesetzt wurde, jedoch nicht gleichzeitig „Windows Hello for Business verwenden“. Aktivieren Sie deshalb beide Richtlinien gemeinsam und führen Sie gpupdate /force erneut aus.

Lässt sich die PIN-Anmeldung remote per Skript deaktivieren?

Ja, dazu genügt es, den Registrierungswert AllowDomainPINLogon unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System per Skript oder über eine zentrale Softwareverteilung auf 0 zu setzen.

Unterscheidet sich die Vorgehensweise zwischen Windows 10 und Windows 11?

Nein, die Richtlinienpfade sowie die Registrierungseinstellungen sind auf beiden Systemen identisch. Lediglich das Erscheinungsbild der „Einstellungen“-App unterscheidet sich optisch zwischen den beiden Versionen.

Kann die PIN-Anmeldung mit biometrischen Verfahren kombiniert werden?

Ja, sofern die vorhandene Hardware dies unterstützt, lassen sich PIN, Fingerabdruck und Gesichtserkennung parallel als gleichwertige Anmeldeoptionen unter Windows Hello aktivieren.

Fazit

Die PIN-Anmeldung für Domänenbenutzer lässt sich unter Windows 11 und Windows 10 sowohl per Gruppenrichtlinie als auch per Registrierungseintrag AllowDomainPINLogon zuverlässig aktivieren oder deaktivieren.

Wichtig ist dabei stets, die Richtlinien „Komfortable PIN-Anmeldung“, „PIN-Komplexität“ und „Windows Hello for Business verwenden“ aufeinander abzustimmen, damit die Funktion im gesamten Unternehmensnetzwerk reibungslos und sicher funktioniert.