Windows-Login und DATEV mIDentity Smartcard

[#1]

Seit einiger Zeit gibt es ein Problem mit dem Windows-Login an einem DATEV-Arbeitsplatz, welches scheinbar mit der Authentifizierung über DATEV mIDentity Smartcard zusammenhängt.

Hier unsere Umgebung:

DATEV-Kommunikationsserver mit Betriebsstätten-mIdentity Smartcard Stick

Client mit DATEV Arbeitsplatz und mIDentity Smartcard Stick für User Authentifizierung

Problem:

Solange man mit dem DATEV-Arbeitsplatz arbeitet, ohne Funktionen, welche eine mIDentity Authentifizierung benötigen zu nutzen ODER wenn man eine entsprechende Authentifizierung über DATEV Online nutzt, läuft alles normal und ohne Probleme.

Wenn man jedoch mit dem DATEV Arbeitsplatz eine Funktion nutzt, bei der die PIN für die Authentifizierung abgefragt wird, beispielsweise weil man die RZ-Kommunikation über den Kommunikations-Server nutzt, passiert folgendes:

Beim nächsten Login über den Windows Sperrbildschirm wird kein biometrisches Windows-Login mehr angeboten, auch kein Windows-Login über PIN, sondern nur noch Windows-Login über Kennwort oder seltsamerweise Smartcard (obwohl wir keinerlei Smartcard für Windows-Login nutzen). Schaut man dann in den Windows-Einstellungen unter Konto->Anmeldeoptionen, scheint keinerlei PIN konfiguriert (welche Grundlage für das biometrische Login ist). Nach einem Neustart ist aber alles wieder da bzw. wie es sein soll (biometisches Windows-Login, PIN, Kennwort, keine Smartcard).

Scheinbar greift die DATEV-Authentifizierung über den DATEV-Arbeitsplatz in die Windows-Login Konfiguration (Windows Hello?) ein. Das sollte irgendwie verhindert werden...

Hat jemand das gleiche oder ein ähnliches Problem und vielleicht ja eine Lösung?

Liebe Grüße

OliverB

[#2]

Hallo @oliverb,

grundsätzlich wird von uns nicht in Windows Hello eingegriffen. Es sind dazu auch keine Probleme bekannt, noch gab es Änderungen in die Richtung. Eine Windows-Anmeldung mittels DATEV SmartCard gibt es schon seit Jahren nicht mehr.

Windows Hello taucht aber grundsätzlich auch immer als Smartcard-Leser auf und die verwendete Oberfläche in Windows für Windows Hello und Smartcard-Zugriffe dürfte auch sehr ähnlich oder identisch sein - daher würde ich jetzt einen Zusammenhang nicht ausschließen. Aber wenn Windows Hello nicht mehr richtig funktioniert wäre Microsoft der richtige Ansprechpartner um die Ursache zu finden. Vielleicht gibt es auch irgendwelche Fehler in der Ereignisanzeige, die zur Fehlersuche beitragen.

[#3]

Hallo@Andreas_Bär 

Vielen Dank für die Antwort.

Wir haben das Problem inzwischen recht gut analysiert, aber leider noch keine Lösung gefunden.

Auslöser ist ganz klar DATEV (Sicherheitspaket, mIDentity), welches irgendwie Windows Hello zum Absturz zu bringen scheint.

Arbeitet man mit dem DATEV Arbeitsplatz oder mit DATEV Online (dort auch gerne mit Authentifizierung) ist alles OK und alles geht ohne Probleme.

Der Auslöser ist die Nutzung des DATEV Sicherheitspaketes in Verbindung mit mIDentitiy. 

Sobald im DATEV Arbeitsplatz die Authentifizierung angesprochen wird (mIDentity PIN Abfrage oder auch SmartVerify) gehen die Probleme nach ca. 10 Minuten Zeitverzögerung los.

In der Ereignisanzeige sieht man, dass die ucrtbase.dll scheinbar bei einer Speicherabfrage abstürzt und den "Microsoft Passport-Container"-Dienst mitreißt, der dann auch trotz dreimaligem Versuch nicht wieder hockommt

Error ID 1000

Fehlerhafter Anwendungsname svchost.exe_NqcCtnrSvr, Version: 10.0.26100.7705 Fehlerhafter Modulname: ucrtbase.dll Ausnahmecode: 0x0000005 Fehleroffset: 0c00000000000ee105usw.

Error ID 7031

"Der Dienst 'Microsoft Passport-Container' wurde unerwartet beendet.

Gefolgt von nochmal ID 1000, ID 7031, ID 1000 bis dann final folgender Error kommt:

Error ID 7034

"Dienst 'Microsoft Passport-Container' wurde unerwartet beendet. Dies ist bereits 3 Mal passiert."

Danach hilft nur noch ein Neustart um sich wieder mit Biometrie oder PIN unter Windows (Windows 11 25H2) am Notebook anmelden zu können. 

Egal welchen Dienst wir wieder starten bzw. Neustarten, das Problem verschwindet scheibar nicht mehr bevor man nicht neu bootet. Zwar sind alle Informationen für Biometrie und PIN-Anmeldung bei Windows noch da (weil sie nach einem Neustart wieder da sind), aber es sieht nach Eintritt des Problems so aus, als ob z.B. keinerlei PIN bei Windows eingerichtet wäre usw (im Gegensatz zu vorher).

Das Notebook scheint sich also in einem inkonsistenten Zustand zu befinden, zumindest was Authentifizierung und/oder Login angeht und das eben immer nur dann, wenn DATEV mit dem Sicherheitspaket und mIDentitiy ins Spiel kommt.

Vielleicht haben Sie ja eine Idee, wie wir dem Ganzen Herr werden können.

Viele Grüße

OliverB

[#4]

Hallo @oliverb,

ich weiß nicht, ob seitens Sicherheitspaket dazu was ersichtlich sein kann, aber machen Sie mal folgendes:

- Logs vom Sicherheitspaket auf ausführlich stellen: Logdateien des DATEV Sicherheitspakets an DATEV senden - DATEV Hilfe-Center

- Fehler reproduzieren

- Sicherheitspakets Logs + Ereignisanzeige (Windows Ereignisanzeige (Eventlog) zur Analyse an DATEV übermitteln - DATEV Hilfe-Center) + Fehlerzeitpunkt und Fehlerbeschreibung an uns schicken (Logdateien des DATEV Sicherheitspakets an DATEV senden - DATEV Hilfe-Center)

Vielleicht ist ja irgendwas auffälliges sichtbar, aber versprechen kann ich nichts und es könnte länger dauern.

[#5]

Hallo @Andreas_Bär ,

vielen lieben Dank für das tolle Angebot.

Darauf werde ich gerne zurückkommen.

Seltsamerweise tritt das Problem scheinbar seit Freitag nicht mehr auf, obwohl wir nichts verändert haben.

Ich werde das noch ein paar Tage Beobachten.

Herzliche Grüße

OliverB

[#6]

Hallo @Andreas_Bär 

OK, kaum schreibt man es auf, schon titt der Fehler wieder auf.

Ich habe jetzt mal die Logs gesammelt und schicke das Ganze gleich mal ein.

Bin sehr gespannt ob ihr etwas herausfinden könnt.

Vielen Dank nochmals!

Liebe Grüße

OliverB

[#7]

Haben Sie dort etwas rausgefunden? Wir haben das Problem auch teilweise.

[#8]

Hallo!

Ja, wir hatten Kontakt mit dem DATEV-Support. Das scheint ein Bug zu sein.

Als Workaround kann man in der Datei  \Program Files (x86)\DATEV\KONFIG\SiPaCompact\B0000524.xml die Sektion für <plugin description="smartcard laufzeitverlängerung" type="dll" level="1">...</plugin>" auskommentieren,  speichern und neu starten.

Danach ist bei uns das Problem nicht mehr aufgetreten.

Dadurch schaltet man jedoch die Überprüfung der Smartcard-Laufzeit ab.

Nach DATEV-Updates kann das dann aber auch wieder überschrieben werden, daher müsste man den Workaround nach Updates nochmal machen.

Mal gespannt ob DATEV das Problem in einem der nächsten Updates beheben kann.

[#9]

Vielen Dank für die schnelle Rückmeldung. Das werden wir auf jeden Fall ausprobieren.

Wäre natürlich schön, wenn die DATEV das Problem in Zukunft behebt.