Die wichtigsten Punkte
- Kennwortablauf in Windows 11 über die GUI konfigurieren: Nutzen Sie „Lokale Benutzer und Gruppen“ (lusrmgr.msc) in den Editionen Pro/Enterprise.
- Kennwortablauf in Windows 11 mit Set-LocalUser verwalten: Führen Sie
„Set-LocalUser -Name „USERNAME“ -PasswordNeverExpires $false“ aus. - Status des Kennwortablaufs in Windows 11 prüfen: Verwenden Sie „net user [USERNAME]“. Die Ausgabe zeigt „Kennwort läuft ab“ und gibt „Nie“ aus, wenn der Ablauf deaktiviert ist.
- Richtlinien zum Kennwortalter konfigurieren: Legen Sie das minimale und maximale Kennwortalter mit „secpol.msc“ oder „net accounts /maxpwage“ und „net accounts /minpwage“ fest.
- Standardverhalten der Kennwortrichtlinie in Windows 11 verstehen: NIST 800-63B empfiehlt keinen routinemäßigen Kennwortwechsel mehr, sofern er nicht aus Compliance-Gründen erforderlich ist.
- Gruppenrichtlinien oder MDM nutzen: In Domänenumgebungen konfigurieren Sie den Kennwortablauf in Windows 11 über Gruppenrichtlinien, in verteilten Umgebungen über eine MDM-Lösung.
Diese Schritt-für-Schritt-Anleitung zeigt, wie Sie den Kennwortablauf für lokale Konten in Windows 11 konfigurieren, einschließlich der Schritte zur Prüfung des aktuellen Status. Außerdem erfahren Sie, was passiert, wenn der Kennwortablauf für diese Konten deaktiviert ist.
Übersicht der Methoden zur Konfiguration des Kennwortablaufs in Windows 11
| Methode | Windows 11-Edition | Empfohlen? |
| Lokale Benutzer und Gruppen (GUI) | Pro/Enterprise/Education | Ja |
| PowerShell (Set-LocalUser) | Alle (Administratorrechte erforderlich) | Empfohlen |
| net user | Alle | Eingeschränkte Kontrolle |
| Gruppenrichtlinie | In eine Domäne eingebundene Geräte | Unternehmenseinsatz |
Vorbereitung, bevor Sie die Einstellungen zum Kennwortablauf lokaler Benutzerkonten ändern
Egal, ob Sie den Kennwortablauf für ein Konto aktivieren oder deaktivieren: Sie müssen als Administrator:in angemeldet sein. Erstellen Sie ein vollständiges System-Backup, bevor Sie Änderungen an der Konfiguration Ihres Windows 11-Systems vornehmen.
Beachten Sie: Um den Kennwortablauf für Windows-Domänenkonten zu konfigurieren, benötigen Sie Gruppenrichtlinien.
NinjaOne Fernzugriff unterstützt Sie dabei, den Kennwortablauf für verwaltete Geräte zu konfigurieren.
Schritt für Schritt: So konfigurieren Sie den Kennwortablauf in Windows 10 und Windows 11
Diese Anleitung zeigt, wie Sie den Kennwortablauf auf Geräten mit Windows 10 und Windows 11 aktivieren oder deaktivieren.
Beachten Sie, dass das Snap-In „Lokale Benutzer und Gruppen“ (GUI) nur in den Editionen Pro, Enterprise und Education von Windows verfügbar ist. Bei der Home-Edition müssen Sie auf die Befehlszeile zurückgreifen.
Kennwortablauf über „Lokale Benutzer und Gruppen“ (GUI) aktivieren oder deaktivieren
- Klicken Sie mit der rechten Maustaste auf die Schaltfläche Start
- Wählen Sie Ausführen
- Geben Sie lusrmgr.msc in das Dialogfeld Ausführen ein und klicken Sie auf OK
- Wählen Sie im linken Bereich von Lokale Benutzer und Gruppen in der Navigationsstruktur den Eintrag Benutzer
- Klicken Sie mit der rechten Maustaste auf das Benutzerkonto, für das Sie den Kennwortablauf aktivieren oder deaktivieren möchten, und wählen Sie Eigenschaften
- Klicken Sie auf OK, um die Änderung zu bestätigen
Kennwortablauf über die Befehlszeile aktivieren oder deaktivieren
- Mit diesem Befehl aktivieren Sie den Kennwortablauf für das angegebene lokale Benutzerkonto:
Set-LocalUser -Name "USERNAME" -PasswordNeverExpires$false - Mit diesem Befehl deaktivieren Sie den Kennwortablauf für das angegebene lokale Benutzerkonto:
Set-LocalUser -Name "USERNAME" -PasswordNeverExpires$true
Beachten Sie, dass Sie den Text USERNAME in den obigen Befehlen durch den Benutzernamen des Kontos ersetzen müssen, für das Sie den Kennwortablauf aktivieren oder deaktivieren möchten. Denken Sie außerdem daran, dass das Cmdlet Set-LocalUser nur für lokale Konten funktioniert.
So prüfen Sie den Status des Kennwortablaufs in Windows 10 und Windows 11
Sie können den Status des Kennwortablaufs für ein Benutzerkonto ganz einfach mit dem Befehl net user USERNAME prüfen (ersetzen Sie USERNAME durch den Benutzernamen des lokalen Kontos).
Dieser Befehl gibt Informationen zum Benutzerkonto aus, darunter das Feld Kennwort läuft ab. Ist der Kennwortablauf deaktiviert, steht dort Nie.
Hintergrund: Was der Kennwortablauf bedeutet
Kennwortablauf bedeutet, dass Benutzer:innen ihr Windows-Kontokennwort nach einem festgelegten Intervall regelmäßig ändern müssen. In Windows 11 müssen Benutzer:innen ihr Kennwort bei der nächsten Anmeldung ändern, sobald das maximale Kennwortalter erreicht ist.
Standardmäßig sind lokale Konten in Windows 11 so eingestellt, dass ihre Kennwörter nicht ablaufen. Aktivieren Sie den Kennwortablauf für ein Konto, muss dieses Benutzerkonto sein Kennwort aktualisieren, sobald ein bestimmtes Alter erreicht ist. Alternativ erfolgt die Aktualisierung, wenn ein:e Administrator:in festgelegt hat, dass das Kennwort bei der nächsten Anmeldung geändert werden muss.
Heute empfiehlt Microsoft in seinen Sicherheitsempfehlungen keinen routinemäßigen Kennwortablauf mehr, sofern Compliance-Standards dies nicht vorschreiben (Empfehlungen in NIST 800-63B). Microsoft-Konten (Onlinekonten) folgen den Cloud-Kennwortrichtlinien von Microsoft, während lokale Konten standardmäßig weiterhin nicht ablaufen.
Dennoch kann ein erzwungener Kennwortablauf die Sicherheit erhöhen, weil alte Kennwörter nicht dauerhaft weiterverwendet werden. Das gilt besonders, wenn sie möglicherweise bei einem Datenleck aufgetaucht sind, geteilt wurden oder versehentlich offengelegt wurden. Es gibt allerdings auch mögliche Nachteile. Zum einen zwingt es Benutzer:innen dazu, ihre Kennwörter zu häufig zu ändern. Das kann frustrieren und dazu führen, dass sie alte Kennwörter wiederverwenden, leicht zu erratende Kennwörter wählen oder ihre Kennwörter aufschreiben.
So ändern Sie das minimale und maximale Kennwortalter
Um den Zeitraum bis zur nächsten Kennwortänderung festzulegen, können Sie ein minimales und ein maximales Kennwortalter definieren. Sobald der Kennwortablauf aktiviert ist, können Sie außerdem erzwingen, dass das Benutzerkonto sein Kennwort bei der nächsten Anmeldung ändert.
Methode 1: Lokale Sicherheitsrichtlinie (nur Windows 11 Pro und höher)
- Führen Sie secpol.msc aus.
- Gehen Sie zu Kontorichtlinien → Kennwortrichtlinie.
- Legen Sie hier das maximale und/oder das minimale Kennwortalter fest.
Methode 2: Befehlszeile
- Verwenden Sie die folgenden Befehle für die jeweiligen Aktionen:
- Maximales Kennwortalter festlegen: net accounts /maxpwage:90
- Minimales Kennwortalter festlegen: net accounts /minpwage:1
- Verwenden Sie die folgenden Befehle für die jeweiligen Aktionen:
- Aktuelle Richtlinie prüfen: net accounts
Bei den ersten beiden Befehlen können Sie die Zahlenwerte nach Bedarf anpassen.
Anwendungsfälle und Best Practices für den Kennwortablauf in Windows
Es gibt mehrere Szenarien, in denen Sie den Kennwortablauf für lokale Benutzerkonten aktivieren müssen, zum Beispiel:
- auf gemeinsam genutzten Computern, um Benutzer:innen davon abzuhalten, Konten und Kennwörter zu teilen, und
- für Konten, die von häufig wechselndem Personal genutzt werden.
Umgekehrt gibt es Situationen, in denen es nicht nötig ist, regelmäßige Kennwortänderungen zu erzwingen (z. B. bei privaten Geräten mit nur einer Person als Benutzer:in).
Bei der Festlegung des minimalen und maximalen Kennwortalters sollten Sie den Anwendungsfall berücksichtigen und überlegen, was Benutzer:innen zu einem möglichst sicheren Verhalten motiviert. Werden Kennwortänderungen zu häufig und ohne erkennbaren Grund erzwungen, nutzen Benutzer:innen möglicherweise weniger starke Kennwörter. Das kann sie auch zu Umgehungslösungen verleiten, etwa Kennwörter aufzuschreiben oder den Rechner bei Abwesenheit nicht zu sperren.
Verschaffen Sie sich Einblicke in Ihre Endpunkte und stellen Sie sicher, dass Sie robuste Sicherheitsrichtlinien durchsetzen.
Kostenlose Testversion von NinjaOne Endpoint Management starten
In unseren FAQ zum Endpoint Management erfahren Sie, wie NinjaOne IT-Teams dabei unterstützt, Windows- und andere Geräte effizient abzusichern, zu überwachen und zu automatisieren.
Sorgen Sie dafür, dass die Kennwörter Ihrer lokalen Benutzerkonten regelmäßig gewechselt werden. Sehen Sie sich So konfigurieren Sie den Kennwortablauf für lokale Konten an, um die Einrichtung vorzunehmen.
Kennwortsicherheit und Kennwortablauf in Unternehmensumgebungen
Die meisten großen Unternehmen konfigurieren den Kennwortablauf in Windows 11 über Gruppenrichtlinien in einer Windows-Domänenumgebung. Manche Unternehmen nutzen jedoch keine Windows-Domäne oder setzen darauf, dass Beschäftigte ihre eigenen Geräte mitbringen (BYOD).
Um eine Vielzahl an Benutzergeräten abzusichern und Ihre wichtigen Kundendaten zu schützen, brauchen Sie eine umfassende Lösung für Mobile Device Management (MDM). Mit NinjaOne MDM konfigurieren Sie Benutzerkonten- und Sicherheitsrichtlinien für Windows-, Apple-, Android- und Linux-Geräte, unabhängig von Formfaktor und Standort.
Mehr dazu finden Sie in unseren FAQ zu NinjaOne MDM: Dort sehen Sie, wie NinjaOne MDM die Verwaltung von Kennwort- und Geräterichtlinien auf all Ihren Endpunkten vereinfacht.
