Windows 11: „PIN nicht verfügbar“ – Ursache finden und Windows Hello sicher zurücksetzen
Wenn Windows 11 meldet, dass die PIN nicht verfügbar ist oder etwas schiefgelaufen sei, sind in der Regel nur die Windows-Hello-Daten der PIN gestört, Ihre Dateien sind nicht betroffen. Melden Sie sich mit dem Kontopasswort an und richten Sie die PIN neu ein. Hilft das nicht, kommt es auf die Ursache an: Update, geändertes TPM, Kontotyp oder ein beschädigter Windows-Hello-Ordner (NGC). Dieser Ratgeber ordnet Meldungen und Fehlercodes der Ursache zu und zeigt die Schritte vom harmlosen zum tiefen Eingriff.
Stand 12.11.2026. Grundlage: Microsoft Learn (Windows Hello for Business, TPM, PowerShell-Referenz), Microsoft-Support-Seite zu KB5055523 und Microsoft-Q&A-Antworten zum NGC-Ordner.
- Kurze Antwort: erst Passwort, dann neue PIN
- Woran Sie das Problem erkennen
- Die häufigsten Ursachen, sortiert
- Lösung in der richtigen Reihenfolge
- Entscheidungsbaum: Meldung, Ursache, Maßnahme
- Befehlsfolge: TPM prüfen, Windows-Hello-Ordner zurücksetzen
- Betriebe: Arbeitskonto, Richtlinie und Admin-Rechte
- Vorbeugen: Das sollten Sie vor Änderungen tun
Kurze Antwort: erst Passwort, dann neue PIN
Die PIN in Windows 11 ist an das Gerät gebunden. Windows legt dazu Schlüssel an, die in der Regel im TPM-Chip geschützt sind, und die PIN schaltet diese Schlüssel frei (Microsoft Learn, Windows Hello for Business FAQ). Passt dieser Zusammenhang nicht mehr, etwa nach einem Update, einem Zurücksetzen des PCs oder einem Hardwaretausch, meldet Windows die PIN als nicht verfügbar. Das Passwort Ihres Kontos bleibt gültig.
Der einfache Weg zuerst: Unter Anmeldeoptionen auf dem Anmeldebildschirm das Passwort wählen, anmelden, dann die PIN neu einrichten. Das löst viele Fälle in wenigen Minuten. Nur wenn die PIN danach wieder ausfällt oder sich gar nicht anlegen lässt, lohnt der Blick auf TPM, Kontotyp und den NGC-Ordner.
Wichtige Dateien sichern, den BitLocker-Wiederherstellungsschlüssel bereithalten und prüfen, ob unter Einstellungen > Konten > Passkeys Einträge liegen. Das Zurücksetzen des Windows-Hello-Containers kann Passkeys auf dem Gerät mit entfernen (Microsoft Learn).
Woran Sie das Problem erkennen
Der Wortlaut variiert je nach Windows-Version und Sprache. Typisch sind diese Bilder:
- „Etwas ist schiefgelaufen, Ihre PIN ist nicht verfügbar“, oft mit dem Hinweis, die PIN erneut einzurichten. Microsoft führt diese Meldung in der englischen Fassung („Something happened and your PIN isn't available. Click to set up your PIN again“) bei einem bekannten Fehler nach dem Update KB5055523 auf.
- PIN-Feld fehlt oder die PIN-Anmeldung steht nicht zur Auswahl. Im abgesicherten Modus ist Windows Hello PIN grundsätzlich nicht verfügbar, das ist dann kein Fehler.
- Hinweis auf Fehleingaben: Nach drei falschen PINs zeigt Windows einen Kurztext zur Wiederholung, im Microsoft-Beispiel „A1B2C3“. Geben Sie diesen Text ein, erhalten Sie einen weiteren Versuch. Scheitert er, bleibt nur ein Neustart, und bei weiteren Fehlversuchen wächst die Sperrzeit (Microsoft Learn).
- Fehlercode beim Einrichten der PIN, etwa 0x80090029 oder 0x80090011. Diese Codes sind in der Tabelle weiter unten zugeordnet.
Entscheidend ist die Frage: Funktioniert das Passwort? Wenn ja, ist das Problem lösbar, ohne das Konto zu ersetzen. Wenn nein, geht es um ein Passwortthema, das dieser Artikel nicht behandelt.
Die häufigsten Ursachen, sortiert
Update oder Zurücksetzen des PCs
Nach dem Update KB5055523 vom 8. April 2025 (Build 26100.3775) konnte die Anmeldung per Windows Hello ausfallen. Laut Microsoft betraf das Geräte, bei denen System Guard Secure Launch oder DRTM erst nach der Installation des Updates aktiviert wurde, und zwar nach einem Zurücksetzen mit der Option „Eigene Dateien behalten“ und lokaler Installation. Korrigiert wurde das mit KB5055627 vom 25. April 2025. Die Presse stufte Microsofts Angabe als Einzelfall bestimmter Konfigurationen ein (Giga). Wer Windows heute aktuell hält, sollte diesen Auslöser nicht mehr antreffen; das Fehlerbild kann aber auch andere Auslöser haben.
Änderung am TPM oder an der Firmware
Ein UEFI-Update oder -Reset, ein zurückgesetztes TPM oder abgeschaltetes Secure Boot lassen die gespeicherten Schlüssel oft nicht mehr zur PIN passen (woshub.com, Praxisbeschreibung, keine Herstellerdoku). Das gilt auch nach einem Mainboardtausch, weil die Schlüssel an das alte TPM gebunden waren. Nach einem solchen Tausch ist ein Neuaufbau der Hello-Daten der erwartbare Weg.
Kontotyp
- Microsoft-Konto: Zurücksetzen über „Ich habe meine PIN vergessen“ mit Bestätigungscode.
- Lokales Konto: Hier ist die PIN eine sogenannte Komfort-PIN. Sie ist für lokale Konten und für Active Directory unterstützt, nicht aber für die Anmeldung gegenüber Microsoft Entra ID (Microsoft Learn).
- Arbeits- oder Schulkonto (Microsoft Entra ID): Hier gilt Windows Hello for Business. Das Zurücksetzen verlangt Anmeldung samt Mehrfaktor-Prüfung, und bei Hybrid-Geräten teils eine Verbindung zum Firmennetz (Microsoft Learn, PIN reset).
Beschädigte oder verwaiste Hello-Daten (NGC)
Die Schlüssel und Zertifikate der PIN liegen im Ordner NGC. Ist er beschädigt oder nicht mehr dem Profil zugeordnet, scheitert PIN-Einrichtung oder -Anmeldung, auch mit Meldungen wie „we weren't able to set up your pin“ (Microsoft Q&A).
Dienste, Richtlinie, Hardware
Die Dienste KeyIso (CNG-Schlüsselisolation) und VaultSvc (Anmeldeinformationsverwaltung) müssen laufen, und der Legacy-/CSM-Modus im UEFI kann die PIN-Anmeldung stören (woshub.com). Die Quelle empfiehlt, CSM abzuschalten und nativ per UEFI zu booten. Das ist nur sinnvoll, wenn Windows im UEFI-Modus auf einem GPT-Datenträger installiert ist (msinfo32: BIOS-Modus = UEFI). Bei einer Installation im Legacy-/MBR-Modus startet Windows nach dem Abschalten von CSM in der Regel nicht mehr. Halten Sie vorher den BitLocker-Wiederherstellungsschlüssel bereit, denn eine Änderung an Secure Boot oder CSM kann die Wiederherstellungsabfrage auslösen. Eine Richtlinie kann außerdem ein TPM verlangen, das nicht vorhanden ist (Fehler 0x80090035).
Lösung in der richtigen Reihenfolge
Gehen Sie die Schritte von oben nach unten durch und brechen Sie ab, sobald die PIN wieder funktioniert.
- Neu starten und warten. Bei einer Sperre durch Fehleingaben vergisst ein TPM 2.0 einen Fehlversuch nach 10 Minuten. Windows sperrt standardmäßig nach 32 Fehlversuchen (Microsoft Learn, TPM fundamentals). Lassen Sie den PC dabei eingeschaltet: Windows verlangt das Vergessen von Fehlversuchen im laufenden Betrieb und im Energiesparmodus, nicht aber bei ausgeschaltetem PC oder im Ruhezustand.
- Mit Passwort anmelden. Auf dem Anmeldebildschirm „Anmeldeoptionen“ und dann das Passwort wählen (ASUS-Support, deutschsprachige Anleitung).
- PIN über „Ich habe meine PIN vergessen“ neu setzen. Diese Funktion gibt es in den Einstellungen und auf dem Sperrbildschirm. Bei einem Microsoft-Konto fordert Windows einen Bestätigungscode an.
- PIN entfernen und neu anlegen. Einstellungen > Konten > Anmeldeoptionen > PIN (Windows Hello) > Entfernen, mit dem Kontopasswort bestätigen, danach neu einrichten. Fingerabdruck oder Gesicht gegebenenfalls ebenfalls neu einlernen. Ist „Entfernen“ ausgegraut, kann unter „Zusätzliche Einstellungen“ die Option „Für mehr Sicherheit nur die Windows Hello-Anmeldung für Microsoft-Konten auf diesem Gerät zulassen“ eingeschaltet sein. Schalten Sie sie aus und versuchen Sie es erneut. Hilft das nicht, nutzen Sie den Weg über „Ich habe meine PIN vergessen“ aus Schritt drei (Microsoft Q&A).
- TPM-Zustand prüfen (tpm.msc oder Get-Tpm, siehe Befehlsfolge). Erst dann, wenn das TPM nicht bereit ist oder Fehlercodes dazu verweisen, weiter.
- Hello-Container des aktuellen Kontos zurücksetzen mit
certutil.exe -deleteHelloContainer(Schritt B der Befehlsfolge). Der Befehl wirkt auf das aktuelle Konto und ist damit milder als das Leeren des NGC-Ordners, der alle Benutzer betrifft. Er entfernt auf aktuellen Windows-11-Ständen auch Passkeys auf dem Gerät. - Windows-Hello-Ordner (NGC) leeren, falls die PIN trotz bereitem TPM nicht einrichtbar ist. Das ist der gründlichste Eingriff, ohne Windows neu zu installieren. Er betrifft alle Benutzer des Geräts, auch deren Passkeys.
- TPM löschen nur als letzter Hardwareschritt, etwa bei Fehler 0x80090031 nach Neustart.
Ihre Dokumente, Programme und Einstellungen bleiben bei den Schritten eins bis sieben unberührt. Verloren gehen Hello-Daten: PIN, hinterlegte Gesichts- und Fingerabdruckprofile und möglicherweise Passkeys, die im selben Container liegen.
Entscheidungsbaum: Meldung, Ursache, Maßnahme
Die Tabelle bündelt die Fälle. Lesen Sie von links nach rechts: Was zeigt Windows, was steckt dahinter, was tun Sie, und welche Rechte braucht der Schritt?
| Meldung oder Code | Wahrscheinliche Ursache | Maßnahme | Rechte |
|---|---|---|---|
| „PIN nicht verfügbar“ nach Update oder PC-Reset | Hello-Daten passen nicht mehr zum System; bekannter Fehler bei KB5055523 mit Secure Launch/DRTM | Mit Passwort anmelden, PIN neu einrichten, Windows aktualisieren | Eigenes Konto |
| Dieselbe Meldung nach Mainboard-, UEFI- oder TPM-Änderung | Schlüssel gehören zum alten TPM-Zustand | Get-Tpm und tpm.msc prüfen; Secure Boot an und Legacy/CSM aus nur, wenn Windows im UEFI-Modus auf einem GPT-Datenträger installiert ist (msinfo32: BIOS-Modus = UEFI), vorher BitLocker-Wiederherstellungsschlüssel bereithalten; dann NGC leeren | Administrator |
| Kurztext „A1B2C3“ oder PIN zeitweise deaktiviert | Zu viele Fehleingaben, TPM-Schutz greift | Kurztext eingeben, warten, Neustart, Passwort nutzen | Keine besonderen |
| 0x80090029 | TPM ist nicht eingerichtet | tpm.msc öffnen, Aktion zum Vorbereiten des TPM (englisch „Prepare the TPM“) wählen | Administrator |
| 0x80090031 | NTE_AUTHENTICATION_IGNORED | Neustart; bei Wiederholung TPM zurücksetzen (Clear-Tpm) | Administrator, BitLocker-Schlüssel sichern |
| 0x80090035 | Richtlinie verlangt TPM, Gerät hat keins | Richtlinie für Windows Hello for Business ändern | Admin / Gruppenrichtlinie oder MDM |
| 0x80090005, 0x8009000F, 0x80090011, 0x801C044D | Container oder Schlüssel fehlt bzw. ist doppelt; Token ohne Geräte-ID | Arbeitsgerät: Gerät von Microsoft Entra ID trennen und neu verbinden. Privatgerät mit Microsoft-Konto: PIN entfernen und neu einrichten, bei Bedarf den NGC-Ordner leeren (Schritt C) | Arbeitskonto, ggf. Admin; privat: Administrator |
| 0x801C000E | Geräteregistrierungs-Limit erreicht | Anderes Gerät desselben Kontos entfernen oder Limit erhöhen | Entra-Admin |
| 0xC00000BB „PIN vorübergehend nicht verfügbar“ | Domänencontroller unterstützt das Anmeldeverfahren nicht; meist fehlt dem KDC ein passendes Zertifikat oder der Client kann dessen Sperrliste (CRL) nicht prüfen | Anderes Anmeldeverfahren nutzen, Domänenadmin hinzuziehen | Domänenadmin |
| Weitere Codes, etwa 0x80090027, 0x80090020 | Von Microsoft ohne Maßnahme gelistet | Microsoft Support kontaktieren | – |
Die Codes stammen aus Microsofts Liste zu Fehlern bei der PIN-Erstellung. Tritt ein Code auf, der dort fehlt, nennt Microsoft keinen eigenen Lösungsweg.
Befehlsfolge: TPM prüfen, Windows-Hello-Ordner zurücksetzen
Schritt A: TPM prüfen
Öffnen Sie eine PowerShell als Administrator. Die Dokumentation zu Get-Tpm nennt keine Rechte ausdrücklich; die Verwaltungskonsole tpm.msc verlangt dagegen Mitgliedschaft in der lokalen Administratorgruppe.
Get-Tpm
Get-Service KeyIso, VaultSvc- TpmPresent = False: Windows sieht kein TPM. Prüfen Sie im UEFI, ob die TPM-Funktion aktiv ist.
- TpmReady = False: TPM nicht einsatzbereit. In tpm.msc die Vorbereitung des TPM auslösen (Fehler 0x80090029).
- LockedOut = True: TPM gesperrt. LockoutHealTime nennt die Wartezeit.
- OwnerClearDisabled: Steht der Wert auf True, lässt sich das TPM nicht über das Betriebssystem mit dem Besitzerkennwort löschen.
- Gestoppte Dienste KeyIso oder VaultSvc: Beide haben standardmäßig den Starttyp „Manuell“, „Gestoppt“ ist allein also noch kein Fehler. Läuft ein Dienst bei Problemen mit der PIN nicht, prüfen Sie den Starttyp und starten ihn.
Schritt B: Hello-Container zurücksetzen (Microsoft-Weg)
Microsoft nennt für das Löschen des Windows-Hello-Containers diesen Befehl in der Eingabeaufforderung. Er wirkt auf das aktuelle Konto und ist damit milder als das Leeren des NGC-Ordners in Schritt C, der alle Benutzer betrifft. Auf aktuellen Windows-11-Ständen entfernt er auch Passkeys auf dem Gerät. Richten Sie diese vorher auf einem anderen Gerät ein.
certutil.exe -deleteHelloContainerSchritt C: NGC-Ordner leeren (aus der Wiederherstellungsumgebung)
Der Ordner liegt unter C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\NGC. Er gehört dem System, deshalb sind Administratorrechte nötig, und im laufenden Betrieb lässt er sich oft nicht löschen. Starten Sie mit gedrückter Umschalttaste neu (Energie > Neu starten), wählen Sie Problembehandlung > Erweiterte Optionen > Eingabeaufforderung. Die Eingabeaufforderung kann dort nach einem Administratorkonto und dessen Passwort fragen. Dort hat das Windows-Laufwerk häufig einen anderen Buchstaben als C:, prüfen Sie das zuerst: Mit diskpart und list volume sehen Sie die Laufwerke, mit exit verlassen Sie diskpart wieder. Das Beispiel nimmt C: an.
Ist das Laufwerk mit BitLocker verschlüsselt, ist es in der Wiederherstellungsumgebung in der Regel gesperrt und muss zuerst mit dem Wiederherstellungsschlüssel entsperrt werden (Microsoft Learn, manage-bde unlock):
manage-bde -unlock C: -RecoveryPassword xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxxDanach folgen diese Befehle:
diskpart
list volume
exit
takeown /f C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /r
icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant *S-1-5-32-544:F /t
RD /S /Q C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
MD C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /T /Q /C /RESETDer Schalter /d fehlt bei takeown mit Absicht: Sein Wert hängt von der Systemsprache ab. Fragt takeown nach einer Bestätigung, antworten Sie mit dem Wert, den die Abfrage vorgibt. Welche Werte gelten, zeigt takeown /?. Die diskpart-Zeilen dienen nur dem Auffinden des Laufwerks; weicht der Buchstabe von C: ab, ersetzen Sie ihn in allen folgenden Zeilen.
Danach neu starten, mit dem Passwort anmelden und die PIN neu anlegen. Der Vorgang setzt die Hello-Schlüssel aller Benutzer des Geräts zurück (woshub.com). Damit gehen auch die Passkeys aller Benutzer des Geräts verloren, nicht nur die des eigenen Kontos. Löschen Sie nur den Inhalt oder den Unterordner NGC, nicht den übergeordneten Ordner Microsoft.
Schritt D: TPM löschen (letzte Stufe)
Clear-Tpm setzt das TPM auf den Ursprungszustand und entfernt das Besitzerkennwort und alle im TPM gespeicherten Schlüssel; ein Neustart ist nötig und kann eine Bestätigung am Gerät verlangen (Microsoft Learn). Bei aktivem BitLocker vorher den Wiederherstellungsschlüssel sichern, sonst kann der Zugriff auf Laufwerke verloren gehen. Alternativ führt in Windows Sicherheit > Gerätesicherheit der Punkt zur Fehlerbehebung des Sicherheitsprozessors zum Löschen (Microsoft Q&A).
Betriebe: Arbeitskonto, Richtlinie und Admin-Rechte
Bei Geräten mit Arbeitskonto entscheidet die Verwaltung mit. Drei Punkte zählen:
- Zurücksetzen ist nicht gleich Zurücksetzen. Das Standardverfahren löscht die alte PIN samt der Schlüssel und Zertifikate im Hello-Container und richtet neue ein (destruktiv). Eine zerstörungsfreie Variante, die den Container erhält, erfordert den Microsoft-PIN-Reset-Dienst und eine Richtlinie „Enable Pin Recovery“ bzw. in der Gruppenrichtlinie „Use PIN Recovery“. Welcher Modus aktiv ist, zeigt
dsregcmd /statusim Feld CanReset (Microsoft Learn, PIN reset). - Netzwerk. Bei Hybrid-Geräten braucht das destruktive Zurücksetzen eine Verbindung zum Domänencontroller. Ein Zurücksetzen vom Sperrbildschirm kann an derselben Einschränkung scheitern wie die Kennwortrücksetzung per Self-Service.
- Richtlinie. Fehler 0x80090035 weist auf eine Richtlinie, die ein TPM verlangt. Ob Sie die Richtlinie ändern oder das Gerät austauschen, ist eine Sicherheitsentscheidung, nicht nur eine technische.
Praktisch: Testen Sie Änderungen an einem einzelnen Gerät, bevor Sie eine Richtlinie breit ausrollen. Wenn ein Windows-Update als Auslöser infrage kommt, hilft der Artikel Windows-Update-Fehler beheben. Wer Rechner im Zuge eines Versionswechsels neu aufsetzt, findet unter Windows-Upgrade den Rahmen dazu.
Vorbeugen: Das sollten Sie vor Änderungen tun
- Vor einem UEFI-Update, Mainboardtausch oder TPM-Reset: Kontopasswort kennen, BitLocker-Wiederherstellungsschlüssel sichern, Passkeys auf einem zweiten Gerät einrichten.
- Beim Zurücksetzen des PCs mit „Eigene Dateien behalten“ danach damit rechnen, dass die PIN neu eingerichtet werden muss.
- Ein zweites Anmeldeverfahren behalten, etwa das Passwort. Die PIN ist laut Microsoft der Rückfall für Biometrie, daher bringt das Abschalten der PIN-Anmeldung auch Gesicht und Fingerabdruck zum Ausfall.
- Windows aktuell halten, damit bekannte Hello-Fehler wie der von KB5055523 behoben sind.
Wenn nach dem PIN-Fehler weitere Windows-Probleme auftreten und Sie die Ursache einordnen wollen, hilft die Windows-Diagnose als eigenes Werkzeug beim Sortieren von Meldungen und Fehlercodes.
Mehr dazu: Windows-Diagnosen als eigenes Werkzeug
Quellen
- Microsoft Learn: Windows Hello for Business FAQ, learn.microsoft.com
- Microsoft Learn: Windows Hello errors during PIN creation, learn.microsoft.com
- Microsoft Learn: PIN reset, learn.microsoft.com
- Microsoft Learn: Get-Tpm, learn.microsoft.com
- Microsoft Learn: Clear-Tpm, learn.microsoft.com
- Microsoft Learn: TPM fundamentals (Anti-hammering), learn.microsoft.com
- Microsoft Learn: Manage TPM commands (tpm.msc), learn.microsoft.com
- Microsoft Learn: manage-bde unlock, learn.microsoft.com
- Microsoft Support: KB5055523 (8. April 2025), support.microsoft.com
- Microsoft Q&A: Windows Hello PIN lässt sich nicht einrichten (NGC-Ordner), learn.microsoft.com
- Microsoft Q&A: Windows Hello, Entfernen der PIN ausgegraut, learn.microsoft.com
- ASUS Support: Fehlerbehebung PIN-Anmeldung fehlgeschlagen, www.asus.com
- Windows OS Hub: PIN isn't available when signing in to Windows, woshub.com
Alle Quellen gelesen am 12.11.2026.
Erstellt von der Redaktion Die Netzhandwerker mit KI-Unterstützung. Die Sachangaben wurden vor der Veröffentlichung automatisch gegen die genannten Quellen geprüft.