„Sie haben zu oft eine falsche PIN eingegeben“ bei Windows Hello PIN Anmeldung in Kombination mit Citrix

Vor kurzem habe ich meine Windows 10 Anmeldung von Passwort auf PIN umgestellt. An den darauffolgenden Tagen hatte ich dann wiederholt das Problem, dass ich nach kurzen Pausen bei denen der Bildschirmschone aktiv wurde, und ich mich dadurch erneut authentifizieren musste, das Problem, dass Windows mich direkt mit der Meldung „Sie haben zu oft eine falsche PIN eingegeben“ und „Starten Sie Ihr Gerät neu, um es noch einmal zu versuchen“ begrüßte hat, und zwar ohne dass überhaupt eine PIN von mir falsch eingegeben wurde.

Nach einigen Tagen die ich das Problem beobachtet hatte viel mir auf, dass das Problem nur bestand wenn ich auch eine Citrix Verbindung genutzt habe. Weitere Recherchen haben dann ergeben, dass die Windows Hello PIN Anmeldung mit einer virtuellen Smartcard arbeitet, und diese virtuelle Smartcard wird von der Citrix Workspace App in die Citrix Sitzung durch die Citrix Smartcard Redirection durchverbunden, und dies scheint Teil vom Problem zu sein.

Diesen virtuellen Smartcard Leser incl. virtueller Smartcard sieht man wenn man in der Eingabeaufforderung „certuil.exe -scinfo“ aufruft als „Windows Hello for Business 1“, man sieht dies sowohl am lokalen Rechner, als auch innerhalb der Citrix Sitzung wenn die Smartcard Redirection aktiv ist, hier ein Beispiel:

Mein aktueller Workaround besteht darin, dass ich mir die Citrix Workspace App mittels lokaler Gruppenrichtlinie und der receiver.admx Datei so konfiguriert habe, dass Smartcards nicht mehr von meinem Rechner aus in Citrix Sitzung durchverbunden werden. Dies hat das Problem für mich umgangen. Es ist aber natürlich nur ein Workaround, das Problem ist damit nur umgangen, aber nicht gelöst. Der Workaround funktioniert natürlich nur, wenn man nicht anderweitige Smartcards bewusst in die Citrix Sitzung verbinden will.

Mit diesem Beitrag möchte ich zum einen andere informieren die auch über diese Problematik stolpern und Informationen dazu suchen. Auf der anderen Seite bin ich mir aber auch darüber bewusst, dass mein Workaround etwas unbefriedigend ist, und ich würde das Problem gerne besser lösen, von daher würde ich mich auch über Rückmeldung von anderen freuen die das hier lesen, und evtl. andere Lösungsansätze haben.