Kennwortrichtlinien-Check-Referenz

Konfigurationsoptionen für den Kennwortrichtlinien-Check

Kennwortrichtlinien-Check-Referenz

Der Kennwortrichtlinien-Check prüft lokale Kennwortrichtlinien-Einstellungen auf Windows-Geräten und warnt, wenn eine Einstellung die konfigurierten Sicherheitsschwellenwerte nicht erfüllt.

Konfigurationsfelder

FeldTypErforderlichStandardBeschreibung
MindestpasswortlängeGanzzahlNein12Mindestanzahl der von der Richtlinie geforderten Zeichen
Maximales Passwortalter (Tage)GanzzahlNein90Maximale Tage bis zum Passwortablauf
Maximaler SperrschwellenwertGanzzahlNein5Warnt, wenn der Sperrschwellenwert mehr fehlgeschlagene Versuche zulässt als dieser Wert (oder wenn die Kontosperrung vollständig deaktiviert ist). Dies ist eine Obergrenze für zulässige Versuche, kein Mindestwert.
Passwortverlauf erforderlichBooleanNeinJaErfordert, dass die Richtlinie den Passwortverlauf erzwingt

Das Ausführungsintervall ist kein Feld im Konfigurationsbereich dieses Checks. Der Check läuft alle 1440 Minuten (täglich); das Intervall ist durch die Check-Definition festgelegt und nicht durch den Benutzer konfigurierbar.

Erfasste Metriken

  • Passwortlänge (geforderte Mindestanzahl an Zeichen)
  • Max. Alter (Tage bis zum Passwortablauf)
  • Sperrschwelle (zulässige fehlgeschlagene Versuche vor der Sperrung) — wird als Deaktiviert angezeigt, wenn die Kontosperrung ausgeschaltet ist
  • Sperrdauer (Minuten)
  • Verlaufslänge (Anzahl der gespeicherten vorherigen Passwörter) — wird als Keiner angezeigt, wenn kein Verlauf gespeichert wird

Erkannte Probleme

Für jede Richtlinieneinstellung, die die konfigurierten Schwellenwerte nicht erfüllt, gibt der Check eine Problemzeile mit den folgenden Feldern aus:

FeldTypBeschreibungBeispiel
EinstellungStringWelche Richtlinieneinstellung nicht erfüllt wurde. Einer der Werte Mindestpasswortlänge, Maximales Passwortalter, Sperrschwellenwert oder Passwortverlauf.Mindestpasswortlänge
Aktueller WertStringDer Wert, der aus der lokalen Sicherheitsrichtlinie gelesen wurde. Die Passwortlänge ist eine reine Zahl; Alters- und Sperrwerte tragen ihre Einheit (120 Tage, 10 Versuche). Eine ausgeschaltete Einstellung meldet stattdessen ein Wort — Läuft nie ab, Deaktiviert oder Keiner.8
Erwarteter WertStringDer vom Check geforderte Schwellenwert, geschrieben als Vergleich — >= 12 für die Passwortlänge, <= 90 Tage für das Passwortalter, <= 5 Versuche für den Sperrschwellenwert und Aktiviert (> 0) für den Passwortverlauf.>= 12
StatusEnumDas dem Problem zugewiesene Ergebnis. Jedes Richtlinienproblem, das dieser Check meldet, ist eine Warnung; er stuft einen Richtlinienbefund nicht von sich aus auf Kritisch hoch. Lässt sich die Richtlinie gar nicht lesen, meldet der Lauf Fehler, und es werden keine Problemzeilen erzeugt.Warnung

Ergebnisansichten

Das Check-Ergebnis wird in zwei Ansichten dargestellt. Die Ansicht Detail zeigt den letzten Lauf: einen Block Richtlinienübersicht mit Passwortlänge, Max. Alter (Tage), Sperrschwelle, Sperrdauer (Min.) und Verlaufslänge, gefolgt von einer Karte pro Problem mit Status-Badge sowie aktuellem und erwartetem Wert. Erfüllen alle Einstellungen die Anforderungen, teilt die Ansicht das mit, statt Probleme aufzulisten.

Verlaufsansicht

Die Ansicht Verlauf führt einen Datensatz pro Lauf, damit du die Richtlinie im Zeitverlauf nachvollziehen kannst. Check-Ergebnisse werden 30 Tage lang aufbewahrt. Sie listet jeden aufgezeichneten Lauf mit den folgenden Spalten:

SpalteQuellfeldBeschreibung
ZeitexecutedAtZeitstempel des Laufs
StatuscheckResultGesamtergebnis des Laufs, dargestellt als Badge OK / Warnung / Kritisch / Fehler
ProblemeissuesDie in diesem Lauf beanstandeten Einstellungen, jeweils als Chip aus Einstellungsname sowie aktuellem und erwartetem Wert. Es werden höchstens drei Chips gezeigt; die übrigen fasst ein Chip +N weitere zusammen. Ein sauberer Lauf zeigt Keine Probleme.

Plattformunterstützung

PlattformUnterstützt
WindowsJa
LinuxNein
macOSNein

Hinweise

  • Der Check liest die lokale Kennwort- und Sperrrichtlinie direkt aus Windows. Auf domänenbeigetretenen Maschinen kann die wirksame Richtlinie aus der Gruppenrichtlinie stammen.
  • Der Check prüft Richtlinieneinstellungen, nicht die tatsächlichen Kennwörter von Benutzerkonten.
  • Der Agent läuft als Local System und hat damit den Zugriff, den der Check zum Lesen der Richtlinie benötigt. Auf dem Gerät ist nichts einzurichten.

Siehe auch: Einen Kennwortrichtlinien-Check konfigurieren