So beheben Sie Probleme mit der Active Directory Kennwortkomplexität

Fehler bei der Active Directory Kennwortkomplexität entstehen häufig durch ungelöste oder verborgene Konflikte zwischen der Default Domain Policy und differenzierten Kennwortrichtlinien. Dieser kompakte Leitfaden hilft IT-Fachleuten dabei, die wirksame Richtlinie schnell zu ermitteln und Rangfolgeprobleme zu beheben, damit Fehler bei der Kennwortkomplexität nicht immer wieder auftreten.

In 4 Schritten AD-Fehler bei der Kennwortkomplexität beheben

Stellen Sie vor der Fehlersuche sicher, dass die nötigen Zugriffsrechte und Werkzeuge vorhanden sind.

• Domänenadministrator-Rechte oder delegierte Rechte zum Lesen und Ändern von Kennwortrichtlinien
• Remote Server Administration Tools (RSAT) mit der Gruppenrichtlinien-Verwaltungskonsole (GPMC) und dem Active Directory Administrative Center (ADAC)
• PowerShell-Module für Active Directory
• Zentraler Zugriff auf Sicherheitsereignisprotokolle zur Überprüfung

Mit diesen Voraussetzungen können Sie die folgenden Schritte ohne Unterbrechung durchlaufen.

1. Die wirksame Kennwortrichtlinie ermitteln

Am Anfang steht die Frage, welche Richtlinie die Kennwortanforderungen der betroffenen Person tatsächlich steuert. Zum Beispiel:

1.1 Default Domain Policy prüfen

Öffnen Sie die GPMC und navigieren Sie zu Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien → Kennwortrichtlinie, um die aktuellen Einstellungen zu überprüfen.

1.2 Differenzierte Kennwortrichtlinien (FGPPs) auflisten

Navigieren Sie im ADAC zu System → Password Settings Container, um sich alle FGPPs und die jeweils adressierten Gruppen anzusehen.

1.3 Vergleich per PowerShell

Führen Sie die folgenden Befehle aus, um die domänenweite Richtlinie und vorhandene FGPPs anzuzeigen:

Get-ADDefaultDomainPasswordPolicy
Get-ADFineGrainedPasswordPolicy -Filter * |
Select Name, Precedence, MinPasswordLength, PasswordHistoryCount, ComplexityEnabled
Get‑ADDefaultDomainPasswordPolicy gibt die in der Default Domain Policy definierten Kennworteinstellungen zurück, während Get‑ADFineGrainedPasswordPolicy die FGPPs auflistet, inklusive ihrer Rangfolge und zentraler Parameter wie Mindestlänge und Komplexität.

Gehört eine Person mehreren FGPP-Zielgruppen an, greift die Richtlinie mit dem niedrigsten Precedence-Wert. Beachten Sie: FGPPs gelten nur für Benutzer:innen, nicht für Computer. Wenn Sie die problematische Richtlinie genau bestimmen, können Sie gezielt die eigentliche Ursache des Komplexitätsfehlers beheben.

2. Rangfolge und Geltungsbereich prüfen und Konflikte bereinigen

Sobald die wirksame Richtlinie feststeht, prüfen Sie anhand der Rangfolge, welche differenzierte Richtlinie greift (der niedrigste Wert gewinnt).

Adressieren mehrere Richtlinien dieselbe Person, passen Sie die Rangfolge an oder verschieben Sie die Person in die passende Gruppe, damit die gewünschte Richtlinie wirksam wird. Entfernen Sie anschließend zusätzliche Alt- oder Testrichtlinien, die die gewünschten Einstellungen überschreiben könnten.

Nutzen Sie die Default Domain Policy als einheitliche, domänenweite Basis für alle Benutzer:innen, die nicht von differenzierten Kennwortrichtlinien erfasst werden, und behandeln Sie FGPPs als gezielte Ausnahmen, nicht als Ersatz.

Hinweis: Differenzierte Kennwortrichtlinien sind für Ausnahmen von der Default Domain Policy gedacht, nicht als deren Ersatz. Lokale Kennwortrichtlinien eignen sich in der Regel nur für eigenständige Systeme und sollten nicht zur Verwaltung von Domänenbenutzerkonten eingesetzt werden.

3. Die Lösung testen und nachweisen

Um die Anwendung der FGPP zu überprüfen, sehen Sie sich die wirksame Richtlinie über ADAC oder PowerShell an. Vergewissern Sie sich, dass die vorgesehene differenzierte Richtlinie für die richtige Person oder Gruppe gilt und ihre Einstellungen den erwarteten Kennwortanforderungen entsprechen.

Parallel dazu können Sie gpresult /h auf einem Testrechner ausführen, um die wirksamen Gruppenrichtlinien-Baselines zu bestätigen.

Testen Sie zusätzlich eine Kennwortänderung lokal (über Active Directory-Benutzer und -Computer) sowie von einem in die Domäne eingebundenen Client aus, um den Erfolg zu überprüfen. Sehen Sie sich dazu beispielsweise im Sicherheitsereignisprotokoll die relevanten IDs für Kennwortänderungen an (z. B. 4723, 4724), um den erfolgreichen Vorgang zu bestätigen.

4. Gegen schwache oder wiederverwendete Kennwörter absichern

Erzwingen Sie eine Kennwortchronik (mindestens 24 frühere Kennwörter) und eine Mindestlänge von 12 Zeichen, und aktivieren Sie die Komplexitätsanforderungen sowohl in der Default Domain Policy als auch in allen differenzierten Richtlinien. Führen Sie regelmäßig PowerShell-Prüfungen durch, um Konten mit schwachen, nie ablaufenden oder veralteten Kennwörtern aufzuspüren, und setzen Sie Kennwörter bei Bedarf zurück, um die Umgebung sicher zu halten.

NinjaOne-Lösungen für die AD-Kennwortverwaltung

NinjaOne bietet eine einheitliche Plattform, die das Management der Active Directory Kennwortkomplexität unterstützt: Domänen-Anmeldeinformationen werden sicher verwaltet, der Berechtigungsaustausch erfolgt verschlüsselt, und Single Sign-on wird für Identitätsanbieter wie Azure und Okta unterstützt. Die RMM-Plattform sorgt zudem für zentrale Transparenz und administrative Kontrolle und hilft Unternehmen so, Workflows für Kennwortrichtlinien in der gesamten Umgebung konsistent, nachvollziehbar und Compliance-konform zu halten.

Verwandte Themen:

• Active Directory-Authentifizierung: Eine vollständige Übersicht
• So helfen Sie KMU-Kund:innen bei der Wahl der richtigen Kennwortrichtlinie
• Was ist Credential Management? Definition und Best Practices
• So legen Sie IT-Standardrichtlinien für KMU-Kund:innen ohne formale Dokumentation fest
• So aktualisieren Sie Windows-Kennwortrichtlinien mit PowerShell