Windows 11: Domänenkennwort zulassen und Windows Hello für iCloud-Passwörter behalten

Veröffentlicht am 27. Juli 2026 · zuletzt aktualisiert am 6. Oktober 2026 / in Technik

Einordnung: Dieser Beitrag beschreibt die Lösung eines konkreten Windows-11-Anmeldefalls. Eine geprüfte Windows-Buildnummer ist im Bericht nicht ausgewiesen; die Schritte sind deshalb keine pauschale Kompatibilitätszusage für jede Windows-Version oder jede Domänenumgebung.

Kurz gesagt

Auf einem Windows-11-Arbeitsplatz wurde bei der Anmeldung nur noch die Windows-Hello-PIN angeboten. Der Rechner gehörte jedoch weiterhin zu einer klassischen Windows-Domäne und sollte auch die Anmeldung mit dem Domänenkennwort ermöglichen. Gleichzeitig durfte Windows Hello nicht entfernt werden, weil die PIN auf diesem Arbeitsplatz zum Entsperren von iCloud-Passwörter gebraucht wird.

Die passende Lösung war deshalb kein Austausch der einen Anmeldung gegen die andere: Die Kennwortanmeldung wurde zusätzlich zugelassen, während Windows Hello und die vorhandene PIN erhalten blieben.

Geeignet für: Windows-11-Arbeitsplätze in einer klassischen lokalen Domäne sowie Einzelrechner mit lokalem Konto.
Lesezeit: ca. 7 Minuten

Das Ziel: Domänenkennwort und Windows-Hello-PIN sollen parallel nutzbar sein. Die PIN bleibt für lokale Sicherheitsfunktionen erhalten; das Kennwort steht wieder als reguläre Windows-Anmeldeoption zur Verfügung.

Das beobachtete Problem

Der Arbeitsplatzrechner startete normal, auf dem Windows-Anmeldebildschirm wurde aber vorrangig die PIN abgefragt. Gewünscht war stattdessen die Möglichkeit, sich mit dem normalen Kennwort des Domänenkontos anzumelden.

Auf den ersten Blick klingt das nach einer einfachen Umstellung von PIN auf Kennwort. In der Praxis sind jedoch mehrere Dinge miteinander verbunden:

• Das Windows-Benutzerkonto gehört zu einer lokalen Windows-Domäne.
• Das Domänenkennwort wird zentral in dieser Domäne verwaltet.
• Die Windows-Hello-PIN ist an den konkreten Rechner gebunden.
• iCloud-Passwörter verwendet auf diesem Arbeitsplatz Windows Hello zur lokalen Freigabe.

Würde man die PIN vorschnell entfernen oder Windows Hello vollständig deaktivieren, wäre zwar möglicherweise das Kennwort wieder sichtbarer, zugleich könnte aber eine benötigte lokale Sicherheitsfunktion verloren gehen. Deshalb musste zunächst geklärt werden, welche Rolle jede Anmeldeart erfüllt.

Vier Begriffe, die getrennt werden müssen

Domänenkennwort

Das Domänenkennwort gehört zu einem Benutzerkonto in einer klassischen Windows-Domäne. Das Konto wird nicht nur auf dem einzelnen PC verwaltet, sondern durch die Domänenumgebung. Mit diesem Kennwort kann sich der Benutzer am Arbeitsplatz anmelden und – abhängig von den erteilten Rechten – auf weitere Ressourcen der Domäne zugreifen.

Ändert sich das Kennwort in der Domäne, betrifft die Änderung das Domänenkonto und nicht nur diesen einen Rechner.

Lokales Kennwort

Ein lokales Benutzerkonto existiert ausschließlich auf dem jeweiligen Windows-Rechner. Sein Kennwort wird dort verwaltet und gilt nicht automatisch auf anderen Computern oder für Ressourcen einer Domäne.

Die Schreibweise auf dem Anmeldebildschirm macht den Unterschied sichtbar:

Der Punkt vor dem umgekehrten Schrägstrich steht dabei für den lokalen Computer.

Microsoft-, Azure- oder Entra-Konto

Ein privates Microsoft-Konto und ein Microsoft-Entra-ID-Konto sind weitere Kontoarten. Sie spielen in diesem Praxisfall jedoch nicht die entscheidende Rolle. Der Arbeitsplatz verwendet eine klassische lokale Windows-Domäne.

Das ist wichtig, weil Anleitungen im Internet häufig automatisch von einem Microsoft-Konto, Azure AD oder Entra ID ausgehen. Eine solche Anleitung kann technisch ähnlich aussehen, beschreibt aber nicht zwingend dieselbe Kontoumgebung.

Windows-Hello-PIN

Die Windows-Hello-PIN ist kein zweites Domänenkennwort. Sie ist an das eingerichtete Gerät gebunden und dient dazu, die lokale Windows-Hello-Anmeldung beziehungsweise einen auf dem Gerät geschützten Schlüssel freizugeben.

Wer die PIN kennt, besitzt dadurch nicht automatisch das Domänenkennwort. Umgekehrt ersetzt die Kenntnis des Domänenkennworts nicht jede lokale Windows-Hello-Freigabe.

Microsoft erläutert diesen Unterschied in der Dokumentation zur Windows-Hello-PIN.

Domänenkonto ohne Azure oder Entra ID

Der hier beschriebene Rechner ist Mitglied einer klassischen Windows-Domäne. Die Anmeldung erfolgt damit grundsätzlich über das Domänenkonto. Azure AD beziehungsweise die heutige Bezeichnung Microsoft Entra ID ist dafür nicht erforderlich.

Eine klassische Domäne und Windows Hello schließen sich nicht gegenseitig aus. Windows Hello kann zusätzlich auf dem Arbeitsplatz eingerichtet sein, obwohl das zugrunde liegende Konto aus der lokalen Domäne stammt.

Die beiden Ebenen erfüllen unterschiedliche Aufgaben:

Genau diese Rollenverteilung erklärt, warum die PIN beibehalten und das Domänenkennwort trotzdem wieder angeboten werden kann.

Warum die PIN nicht entfernt werden sollte

Auf diesem Arbeitsplatz wird die Windows-Hello-PIN nicht nur für den Windows-Start verwendet. Sie wird auch benötigt, um iCloud-Passwörter lokal zu entsperren.

iCloud für Windows ermöglicht den Zugriff auf Passwörter aus dem iCloud-Schlüsselbund und stellt dafür die App sowie Erweiterungen für unterstützte Browser bereit. Apple beschreibt Einrichtung und Voraussetzungen in der Anleitung iCloud-Passwörter auf einem Windows-Computer einrichten.

In der konkreten Installation erfolgt die lokale Freigabe über Windows Hello. Eine Entfernung der PIN hätte deshalb eine Nebenwirkung außerhalb der eigentlichen Windows-Anmeldung.

Praxisregel: Vor dem Entfernen einer Windows-Hello-PIN prüfen, welche Anwendungen und Sicherheitsfunktionen sie ebenfalls verwenden. Eine PIN kann mehr absichern als nur den Windows-Anmeldebildschirm.

Deshalb blieb Windows Hello vollständig eingerichtet. Geändert wurde nur die Vorgabe, die ausschließlich Windows-Hello-Anmeldearten anzeigen ließ.

Die passende Lösung: beide Anmeldewege behalten

Die Aufgabenverteilung sieht nach der Änderung so aus:

Die Kennwortanmeldung wird also nicht zur einzigen möglichen Anmeldung gemacht. Sie wird zusätzlich zur PIN wieder sichtbar und nutzbar.

Das ist auch der sicherere Rückweg: Sollte Windows Hello einmal nicht funktionieren, steht weiterhin das bekannte Domänenkennwort zur Verfügung. Sollte das Domänenkennwort gerade nicht gewünscht sein, kann die schnelle gerätegebundene PIN verwendet werden.

Vorgehen unter Windows 11

Der normale Weg führt über:

1. Einstellungen öffnen.
2. Konten wählen.
3. Anmeldeoptionen öffnen.
4. Unter den zusätzlichen Einstellungen die Vorgabe deaktivieren, die auf diesem Gerät ausschließlich Windows-Hello-Anmeldungen zulässt.
5. Den Rechner mit Windows-Taste + L sperren.
6. Auf dem Anmeldebildschirm Anmeldeoptionen wählen.
7. Über das Schlüsselsymbol die Kennwortanmeldung auswählen.
8. Das Domänenkennwort einmal erfolgreich testen.

Der genaue Wortlaut der Einstellung kann sich mit einer Windows-Version ändern. Entscheidend ist ihre Wirkung: Die Kennwort-Anmeldeinformationsanbieter dürfen nicht durch eine „nur Windows Hello“-Vorgabe ausgeblendet werden.

Wichtig: Die PIN erst dann verändern oder entfernen, wenn das Kennwort erfolgreich getestet wurde und feststeht, dass keine Anwendung Windows Hello benötigt. Im hier beschriebenen Fall bleibt die PIN ausdrücklich erhalten.

Wenn die Kennwortoption nicht angezeigt wird

Auf verwalteten Windows-Systemen kann die Einstellung ausgegraut sein oder nach einer Änderung wieder zurückkehren. Dann kommen mehrere Ursachen infrage:

• eine lokale Sicherheitsrichtlinie,
• eine Gruppenrichtlinie der Windows-Domäne,
• eine vom Administrator festgelegte Windows-Hello-Konfiguration,
• eine Windows-Version, in der die Oberfläche die Option anders bezeichnet oder nicht anzeigt.

Auf dem beschriebenen Windows-11-Enterprise-Arbeitsplatz war die Kennwortanzeige durch die lokale Passwordless-Einstellung eingeschränkt. Nach einer administrativen Änderung wurde die Kennwortanmeldung wieder angeboten, ohne Windows Hello zu entfernen.

Die zugrunde liegende Einstellung lautet:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\PasswordLess\Device
DevicePasswordLessBuildVersion

In diesem konkreten Fall stand der Wert auf 2. Mit dem Wert 0 wurde die Kennwortanmeldung wieder zugelassen.

Diese Registrierungsänderung ist kein pauschales Rezept für jeden Firmenrechner. Sie benötigt Administratorrechte, kann durch eine Gruppenrichtlinie überschrieben werden und sollte nur nach Prüfung der tatsächlichen Kontoumgebung vorgenommen werden. Auf zentral verwalteten Arbeitsplätzen gehört die Änderung in die Verantwortung des zuständigen Administrators.

Prüfung und typische Fehler

Eine erfolgreiche technische Änderung ist erst dann abgeschlossen, wenn beide benötigten Wege praktisch funktionieren.

Kennwortanmeldung prüfen

• Rechner sperren.
• Unter Anmeldeoptionen das Schlüsselsymbol auswählen.
• Auf die angezeigte Kontoart achten.
• Domänenkennwort eingeben.
• Prüfen, ob tatsächlich das Domänenkonto und nicht versehentlich ein lokales Konto verwendet wurde.

Windows Hello und iCloud-Passwörter prüfen

• Windows erneut sperren.
• Anmeldung mit der vorhandenen PIN testen.
• iCloud-Passwörter öffnen beziehungsweise einen gespeicherten Eintrag im Browser verwenden.
• Prüfen, ob die lokale Freigabe über Windows Hello weiterhin funktioniert.

Typische Fehler

Nicht empfehlenswert:
✗ Die Windows-Hello-PIN sofort entfernen.
✗ Den Windows-Hello-Datenspeicher manuell löschen.
✗ Domänenkonto und lokales Konto verwechseln.
✗ Eine Registry-Einstellung ohne Prüfung als allgemeine Lösung verteilen.
✗ Eine zentrale Gruppenrichtlinie eigenmächtig umgehen.

Sinnvoll:
✓ Zuerst die Kontoart feststellen.
✓ Kennwortanmeldung zusätzlich sichtbar machen.
✓ Das Domänenkennwort praktisch testen.
✓ Windows Hello für iCloud-Passwörter erhalten.
✓ Beide Anmeldewege nach der Änderung kontrollieren.

Das nehme ich mit

PIN und Kennwort sind keine zwei Schreibweisen für dieselbe Anmeldung. Das Domänenkennwort gehört zur zentral verwalteten Identität. Die Windows-Hello-PIN ist gerätegebunden und kann zusätzlich von Anwendungen für eine lokale Sicherheitsfreigabe genutzt werden.

Auf diesem Arbeitsplatz war deshalb nicht die Entfernung von Windows Hello die richtige Lösung. Richtig war, die Kennwortanmeldung wieder zuzulassen und die PIN gleichzeitig zu behalten.

Der übertragbare Grundsatz lautet: Erst die Rollen der Anmeldeverfahren klären, dann nur die Einschränkung ändern, die tatsächlich stört. So bleibt die benötigte iCloud-Funktion erhalten und das Domänenkennwort steht trotzdem wieder als reguläre Windows-Anmeldung bereit.

Weiterführend

• KeePass in Reinform
• Sicherheitsstruktur im Alltag