Administratorkontosperrung zulassen
Der Wert `1` bewirkt, dass das integrierte lokale Administratorkonto der Kontosperrungsrichtlinie unterliegt.
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [System Access] AllowAdministratorLockout = 1
Der Wert 1 bewirkt, dass das integrierte lokale Administratorkonto der Kontosperrungsrichtlinie unterliegt. Überschreitet das Konto den festgelegten Schwellenwert für fehlerhafte Anmeldeversuche, sperrt Windows es für Netzwerkanmeldungen, beispielsweise über Remotedesktop (RDP).
Das Sperrverhalten betrifft ausschließlich das integrierte Administratorkonto. Andere Konten mit Mitgliedschaft in der lokalen Administratorengruppe erhalten dadurch keine besondere Behandlung.
Hinweise
Sicherheit
Die Einstellung begrenzt automatisierte Kennwortversuche gegen das besonders privilegierte integrierte Administratorkonto. Ohne diese Einbeziehung könnte dieses Konto trotz einer allgemeinen Kontosperrungsrichtlinie über das Netzwerk wiederholt angegriffen werden.
Ein Angreifer kann die Sperrfunktion zugleich für einen Denial-of-Service-Angriff missbrauchen, indem er gezielt genügend fehlerhafte Anmeldungen für das Konto erzeugt. Dadurch werden dessen Netzwerkanmeldungen vorübergehend verhindert. Lokale Konsolenanmeldungen bleiben nach Angaben von Microsoft auch während des Sperrzeitraums zulässig; die Einstellung verursacht daher keine vollständige Sperre des Kontos für alle Anmeldearten.
Mögliche Nebenwirkungen
Wiederholte falsche Kennworteingaben können auch berechtigte Netzwerkzugriffe mit dem integrierten Administratorkonto blockieren. Die Netzwerkanmeldung ist dann erst wieder möglich, nachdem die konfigurierte Kontosperrdauer abgelaufen ist oder die Sperre aufgehoben wurde.
Hinweise
AllowAdministratorLockout = 1 legt weder den Schwellenwert noch die Dauer der Sperre oder die Rücksetzungszeit des Fehlerzählers fest. Seine praktische Wirkung hängt von den übrigen Einstellungen der Kontosperrungsrichtlinie ab. Ist der Schwellenwert auf 0 gesetzt und die Kontosperrung damit deaktiviert, führt dieser Wert allein zu keiner Sperre.
Microsoft stellte diese Sicherheitseinstellung mit den kumulativen Windows-Updates vom 11. Oktober 2022 und später für die jeweils unterstützten Windows-Versionen bereit.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – DeviceLock (AllowAdministratorLockout)
Microsoft Support: KB5020282 – Kontosperrung für integrierte lokale Administratoren verfügbar