Passwortrichtlinie ASP Server - Ablauf Kennwort

[#1]

Hallo zusammen,

ich weiß zwar nicht ob ich mit meiner Fragestellung hier richtig bin, aber ich versuche es einfach:

Auf unserem ASPServer gibt es eine Passwortrichtline mit automatischem Ablauf der User-Passwörter. 5 Tage vor Ablauf des User-Passwortes kommt ein Hinweis beim User, dass das Kennwort geändert werden muss.

Kann der Hinweis zum Ändern des Passwortes auch schon 15 Tage vor Ablauf angezeigt werden? Ist der Zeitpunkt für die Erinnerung frei wählbar?

Meiner Meinung nach ist die Zeitspanne zur Passwortänderung (5 Tage) zu kurz gewählt. Im Falle von Krankheit oder Urlaub kann es sein, dass Passwörter ablaufen und die User keine Möglichkeit mehr haben sich hiernach anzumelden.

Gibt es hierfür andere Lösungen? Ich bitte um Eure Eischätzung.

Vielen Dank vorab!

[#2]

Mit Windows Bordmitteln nicht. Eine Option wäre in kürzer werdenden Intervallen per E-Mail durch ein PowerShell Script zu erinnern oder - total einfach - auf den Kennwortwechselzwang einfach zu verzichten. Selbst das BSI sieht / rät mittlerweile davon ab.

[#3]

Vielen Dank für die schnelle Rückmeldung.

Handelt es sich bei den 5 Tagen um einen Windows Standard oder weshalb kann der Zeitpunkt der Erinnerung nicht beeinflusst werden?

Ich will einfach nicht glauben, dass so triviale Sachverhalte im Zeitalter von KI nicht individuell gesteuert werden können. Da möchte man sich doch nicht mit Outlook Erinnerungen oder sonstigen Workarounds behelfen.

Vielen Dank!

[#4]

Ich muss meine Aussage teilweise revidieren. 🙂 Man kann es auf einen höheren Wert setzen. Fünf ist nur der Default: Interactive log-on prompt user to change password before expiration - Windows 10 | Microsoft Learn

Es gab aber AFAIK ein "Problem", weshalb wir bei aktivem Passwortablauf immer auf PowerShell Script und E-Mail setzen. (Bzw. ich generell den Ablauf von Passwörtern halt generell überdenken würde. Ein zweiter Faktor wäre mir da viel viel mehr Wert als regelmäßig geänderte / "hochgezählte" Kennwörter.)

[#5]

---

@Industrial_Engineer  schrieb:

Meiner Meinung nach ist die Zeitspanne zur Passwortänderung (5 Tage) zu kurz gewählt. Im Falle von Krankheit oder Urlaub kann es sein, dass Passwörter ablaufen und die User keine Möglichkeit mehr haben sich hiernach anzumelden.

---

Wenn man die Zeitspanne verpasst, muss man bei der ersten Anmeldung nach Ablauf der 5 Tage gleich ein neues Passwort vergeben. Das funktioniert dann immer noch, so dass eine Anmeldung weiterhin möglich ist (zumindest bei DATEVasp).

[#6]

---

@Industrial_Engineer  schrieb:

Kann der Hinweis zum Ändern des Passwortes auch schon 15 Tage vor Ablauf angezeigt werden? Ist der Zeitpunkt für die Erinnerung frei wählbar?

Meiner Meinung nach ist die Zeitspanne zur Passwortänderung (5 Tage) zu kurz gewählt. Im Falle von Krankheit oder Urlaub kann es sein, dass Passwörter ablaufen und die User keine Möglichkeit mehr haben sich hiernach anzumelden.

Gibt es hierfür andere Lösungen? Ich bitte um Eure Eischätzung.

Ja, es gibt eine passende AD Richtlinie hierfür.

Ich würde dieses System allerdings grundsätzlich überdenken. Heute fordert man keine regelmäßigen Kennwortwechsel mehr. Längere Kennwörter, SSO und MFA sind da eher das Mittel der Wahl.

Evtl. greifen allerdings auch Azure AD Richtlinien.

[#7]

ich beiße bei unserem IT-Dienstleister schon seit anderthalb Jahren auf Granit.
Passwortwechsel alle 3 Monate, die letzten x Passwörter sind blockiert, wir haben nur 3 Tage Vorlauf mit der Ankündigung und wir können dann nicht direkt bei der Anmeldung das PW wechseln, sondern ein Admin muss uns freischalten.
Führt jetzt halt zu den netten Zettelchen unter der Tastatur.
Ich habe mir einen Termin gesetzt und änder dann immer selbständig vor Ablauf der Zeit ...

[#8]

Es gab einmal eine Zeit, da hatten wir schwache Windows- Kennwörter, so daß der Admin den Desktop einrichten konnte, Mail- Vertretungen gingen, usw.

Für DATEV gab es dann das starke NuKo- Kennwort, welches nur der Mitarbeiter kannte.

Leider sind diese Zeiten vorbei und wenn eine App eine Datei ins Home- Verzeichnis vom Anwender scannen möchte, benötigt sie Admin- Rechte oder das User- Passwort.
Ja, einfach beim Kopierer den eigenen Namen aufrufen, scannen, und die Datei liegt auf h:\ Perfekter Workflow...

[#9]

---

@roteMauerbiene  schrieb:

ich beiße bei unserem IT-Dienstleister schon seit anderthalb Jahren auf Granit.

---

Was sagt der Dienstleister denn dazu bzw. warum macht er das? Evtl. mal diesen Artikel aus 2020 zeigen: Passwörter: BSI verabschiedet sich vom präventiven, regelmäßigen Passwort-Wechsel | heise online

Evtl. auch einfach mal nachfragen, ob auf die Kennwortänderung verzichtet werden kann, wenn ihr eine MFA Lösung einführt.

(Und das BSI hat sich lange Zeit gelassen, auf die regelmäßige Änderung von Kennworten zu verzichten.)

[#10]

... ich fand den erzwungenen Passwortwechsel auch immer eher als 'lästig' anstatt als 'sicher'

Der 'Einfachheit' halber wurde gerne ein ziemlich leicht merkbares Schlüsselwort genommen, das hochgezählt wurde ...

z.B. à la "Passwort_017", "Passwort_018",  "Passwort_019" etc.

Als 'intelligent' oder 'sicher' kann man ein solches System nicht bezeichnen 😎