[urphate]

Wie ja vermutlich das ganze Forum weiß, habe ich einen neuen PC

Bei dem Vorgänger ist für den Benutzer urphate ein Microsoft Konto angelegt, verknüpft mit einem Passwort, welches beim Start abgefragt wird.

Bei der Einrichtung von Windows 10 hatte ich seinerzeit noch die Wahl zwischen einem selbsterstellten PW und eine (auch selbst erstellten) 4 stelligen PIN.

Bei der Einrichtung von Win 10 auf dem neuen PC wurde mir die PIN quasi aufgezwungen. Ich hätte gerne wieder ein PW verwendet, hab aber dazu keine Möglichkeit gefunden.

Ich will das jetzt auch nicht zwingend ändern, aber mich würde schon interessieren, ob es da Gründe gibt.

[foobar]

Für einen Einzelplatz-Rechner spielt es keine Rolle. Einen Unterschied macht es in Unternehmensumgebungen, in denen du beispielsweise ein Login (Username + Passwort) hast, welches zentral für den gesamten Betrieb im Active Directory gespeichert wird und damit auf jedem Rechner in der Domäne funktioniert. Demgegenüber wird die PIN immer auf der jeweiligen Maschine gespeichert, so dass, wenn ein Angreifer sie irgendwie in die Finger kriegt, er damit trotzdem nur diesen einen Rechner angreifen kann und nicht andere Windows-Maschinen in der Domäne.

Angeblich speichert Windows Hello die PIN auch im TPM und nicht im normalen Dateisystem. Inwieweit das ein echter Sicherheitsgewinn ist... ich habe meine Zweifel.

Aber auf einem normalen Einzelplatz-Rechner werden (bei einem lokalen Konto) in jedem Fall sowohl Passwort als auch PIN lokal auf der Maschine gespeichert und es macht defakto keinen Unterschied, was man nimmt. Außer, man will auch biometrisches Login nutzen, da verlangt Windows Hello zwingend auch eine PIN als Fallback (allerdings nicht aus sicherheitstechnischen Gründen, sondern halt einfach so).

Bei einem Online-Konto ist die PIN dann wieder im Vorteil, weil da natürlich der Passwort-Hash auch bei Microsoft landet, während die PIN (angeblich) auf dem Rechner bleibt. Aber ein Online-Konto will man eh nicht. Und theoretisch könnte man ein langes und damit sicheres Passwort nehmen, um Netzwerkfreigaben abzusichern und dann eine kurze, bequem einzutippende PIN für die Benutzeranmeldung. Aber auf Einzelplatz-Maschinen hat man i.d.R. eh keine Freigabe laufen.

[urphate]

Alles klar, vielen Dank für die ausführliche Erklärung.

Wobei ich zwischen den Zeilen lese, dass ich mal wieder der einzige Depp bin, der ein Konto bei Microsoft hat