Maximales Kennwortalter
Diese Sicherheitseinstellung bestimmt, wie viele Tage ein Kennwort verwendet werden darf, bevor Windows eine Änderung verlangt.
seit 0.9.8.11
Zweck
Kontorichtlinie: net accounts /maxpwage:unlimited
Diese Sicherheitseinstellung bestimmt, wie viele Tage ein Kennwort verwendet werden darf, bevor Windows eine Änderung verlangt. Der Wert 0 bedeutet, dass Kennwörter aufgrund ihres Alters nicht ablaufen. Benutzer werden daher nicht allein wegen der seit der letzten Kennwortänderung verstrichenen Zeit zu einem neuen Kennwort aufgefordert.
Bei Anwendung als lokale Kontorichtlinie betrifft die Einstellung die Kennwörter lokaler Benutzerkonten des Computers. Die Ablaufregeln für Domänenkonten oder Microsoft-Entra-Konten werden von den jeweils zuständigen Domänen- beziehungsweise Clouddiensten bestimmt.
Die Einstellung verändert weder Kennwortlänge und Kennwortkomplexität noch Kennwortchronik, Kontosperrung oder sonstige Anmeldeanforderungen. Benutzer und Administratoren können Kennwörter weiterhin ändern oder zurücksetzen.
Hinweise
Sicherheit
Ein kompromittiertes Kennwort wird bei einem maximalen Kennwortalter von 0 nicht nach einer festgelegten Frist ungültig. Es kann verwendbar bleiben, bis das Kennwort geändert, zurückgesetzt oder das betreffende Konto deaktiviert wird.
Microsoft weist zugleich darauf hin, dass erzwungene regelmäßige Kennwortwechsel unerwünschtes Benutzerverhalten wie vorhersehbare Kennwortvariationen fördern können. Die Microsoft-Sicherheitsbaseline schreibt deshalb keinen regelmäßigen Kennwortablauf vor, sofern wirksamere Schutzmaßnahmen gegen Kennwortangriffe vorhanden sind. Das Deaktivieren des Ablaufs erkennt oder beseitigt jedoch keine kompromittierten Anmeldeinformationen.
Mögliche Nebenwirkungen
Zeitgesteuerte Aufforderungen zum Kennwortwechsel entfallen. Prozesse oder Compliance-Vorgaben, die einen regelmäßigen Kennwortwechsel voraussetzen, werden durch diese Einstellung daher nicht erfüllt.
Hinweise
Die verschiedenen Windows-Schnittstellen stellen den unbegrenzten Wert unterschiedlich dar. In der Richtlinienoberfläche entspricht 0 der Bedeutung „Kennwort läuft nie ab“. Microsoft dokumentiert für net accounts dagegen /MAXPWAGE:UNLIMITED; numerische Werte sind dort mit 1 bis 999 Tagen angegeben. /maxpwage:0 ist somit keine von Microsoft dokumentierte Befehlsform.
In einer Sicherheitsvorlage wird derselbe unbegrenzte Zustand gemäß der Microsoft-Protokollspezifikation als MaximumPasswordAge = -1 codiert. Diese abweichenden Darstellungen ändern nicht die resultierende Richtlinienwirkung.
Eine lokal gespeicherte Änderung wird ohne Neustart wirksam. Auf einem domänengebundenen Computer ersetzt sie nicht die Kennwortablaufrichtlinie der Domäne für Domänenkonten.
Microsoft-Dokumentation
Microsoft Learn: Maximum password age
Microsoft Learn: Net Commands On Operating Systems
Microsoft Learn: Password Policies – technische Spezifikation