Kontosperrdauer
Diese Sicherheitseinstellung bestimmt, wie viele Minuten ein gesperrtes Konto gesperrt bleibt, bevor Windows es automatisch wieder entsperrt.
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [System Access] LockoutDuration = 2
Diese Sicherheitseinstellung bestimmt, wie viele Minuten ein gesperrtes Konto gesperrt bleibt, bevor Windows es automatisch wieder entsperrt. Der Wert 2 legt eine Sperrdauer von zwei Minuten fest. Während dieses Zeitraums kann das betroffene Konto nicht für eine neue Anmeldung verwendet werden, sofern es nicht vorher administrativ entsperrt wird.
Die Sperre tritt nur ein, wenn die separate Einstellung Kontosperrungsschwelle eine Sperrung nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche vorsieht. Ist diese Schwelle auf 0 gesetzt, werden Konten nicht aufgrund fehlgeschlagener Anmeldeversuche gesperrt; LockoutDuration hat dann keine praktische Wirkung.
Hinweise
Sicherheit
Die zweiminütige Sperre unterbricht automatisierte Kennwortversuche gegen ein Konto, erlaubt jedoch bereits nach kurzer Zeit weitere Versuche. Sie begrenzt solche Angriffe daher weniger stark als eine längere Sperrdauer. Die tatsächliche Schutzwirkung hängt zusätzlich von der Kontosperrungsschwelle und dem Zeitraum für das Zurücksetzen des Kontosperrungszählers ab.
Eine konfigurierte Kontosperrung kann für Denial-of-Service-Angriffe missbraucht werden: Wer genügend ungültige Anmeldeversuche erzeugen kann, kann ein bekanntes Konto vorübergehend sperren. Die Dauer von zwei Minuten begrenzt die einzelne automatische Sperrung, verhindert aber nicht, dass eine Sperre durch weitere Fehlversuche erneut ausgelöst wird.
Mögliche Nebenwirkungen
Auch berechtigte Benutzer können nach versehentlichen Fehlversuchen bis zu zwei Minuten lang an einer neuen Anmeldung gehindert werden. Die automatische Entsperrung reduziert gegenüber einer unbegrenzten Sperre den Bedarf an einer administrativen Entsperrung.
Hinweise
LockoutDuration ist ein Schlüssel der Kontosperrrichtlinie im Abschnitt [System Access] einer Windows-Sicherheitsvorlage. Der Wert wird als dezimale Anzahl von Minuten interpretiert; es handelt sich nicht um einen Registry-Wert oder eine ADMX-Richtlinie.
Windows verlangt bei aktivierter Kontosperrung, dass die Sperrdauer mindestens so lang ist wie der Zeitraum der Einstellung Kontosperrungszähler zurücksetzen nach (ResetLockoutCount).
Bei lokaler Anwendung auf einem eigenständigen Computer oder Mitgliedscomputer betrifft die Einstellung die lokale Kontorichtlinie und damit lokale Benutzerkonten. Für Domänenkonten ist die von den Domänencontrollern erzwungene Domänen-Kontorichtlinie maßgeblich.
Microsoft-Dokumentation
Microsoft Learn: Kontosperrdauer
Microsoft Learn: Kontorichtlinien und lokale beziehungsweise domänenbasierte Geltung