Kontosperrungsschwelle
Die Sicherheitseinstellung legt fest, nach wie vielen von Windows gezählten fehlgeschlagenen Anmeldeversuchen ein Konto gesperrt wird.
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [System Access] LockoutBadCount = 10
Die Sicherheitseinstellung legt fest, nach wie vielen von Windows gezählten fehlgeschlagenen Anmeldeversuchen ein Konto gesperrt wird. Der Eintrag [System Access] LockoutBadCount = 10 setzt diese Schwelle auf zehn Versuche. Sobald der Zähler den zehnten Fehlversuch erreicht, kann das betroffene Konto vorübergehend nicht mehr zur Authentifizierung verwendet werden.
Die Sperre endet nach der unter „Kontosperrdauer“ festgelegten Zeit oder durch eine administrative Entsperrung. Welche Fehlversuche gemeinsam gezählt werden, hängt außerdem von „Kontosperrungszähler zurücksetzen nach“ ab: Verstreicht dieses Zeitfenster nach einem Fehlversuch, ohne dass weitere gezählte Fehlversuche auftreten, wird der Zähler zurückgesetzt.
Hinweise
Sicherheit
Die Schwelle begrenzt die Anzahl der Kennwortversuche, die gegen ein Konto durchgeführt werden können, bevor Windows weitere Anmeldungen mit diesem Konto blockiert. Dadurch werden automatisierte Online-Angriffe zum Erraten von Kennwörtern erheblich erschwert. Angriffe auf außerhalb von Windows erlangte Kennworthashes oder andere Offline-Kennwortangriffe verhindert die Einstellung nicht.
Die Sperrfunktion kann ihrerseits für einen Denial-of-Service-Angriff missbraucht werden. Wer Anmeldeversuche für ein bekanntes Konto auslösen kann, kann dieses durch zehn gezählte Fehlversuche sperren, ohne das richtige Kennwort zu kennen.
Mögliche Nebenwirkungen
Auch berechtigte Benutzer können ihr Konto durch wiederholte Tippfehler sperren. Fehlgeschlagene Authentifizierungen müssen nicht ausschließlich durch manuelle Eingaben entstehen: Anwendungen, Dienste oder Geräte mit veralteten gespeicherten Anmeldeinformationen können wiederholt falsche Kennwörter übermitteln und dadurch den Zähler erhöhen.
Während der Sperre schlagen Anmeldungen und andere Authentifizierungen mit dem betroffenen Konto fehl. Wie lange dieser Zustand anhält, wird nicht durch LockoutBadCount, sondern durch die separate Einstellung „Kontosperrdauer“ bestimmt.
Hinweise
Bei einer Anwendung als lokale Sicherheitsrichtlinie betrifft LockoutBadCount die lokale Kontodatenbank des Computers. Die Sperrrichtlinie für Active-Directory-Domänenkonten wird von den Domänencontrollern anhand der wirksamen Domänenrichtlinie durchgesetzt und nicht durch diesen lokalen INF-Eintrag festgelegt. Auf einem domänengebundenen Computer können zentral bereitgestellte Kontorichtlinien außerdem die wirksamen lokalen Einstellungen bestimmen.
Ob das integrierte lokale Administratorkonto dieser Schwelle unterliegt, hängt bei unterstützten Windows-Versionen zusätzlich von der separaten Sicherheitseinstellung „Administratorkontosperrung zulassen“ ab.
Microsoft-Dokumentation
Microsoft Learn: Account lockout threshold (englisch)
Microsoft Learn: Net-Befehle für Betriebssysteme
Microsoft Learn: DeviceLock-Richtlinien-CSP
Microsoft Open Specifications: Account Lockout Policies (englisch)