Bei der Verbindungsherstellung immer zur Kennworteingabe auffordern
Dieser `REG_DWORD`-Wert steuert auf dem Remotedesktopsitzungs-Host, ob Benutzer beim Herstellen einer Remotedesktopverbindung erneut zur Eingabe ihres Kennworts aufgefordert werden.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\fPromptForPassword
Dieser REG_DWORD-Wert steuert auf dem Remotedesktopsitzungs-Host, ob Benutzer beim Herstellen einer Remotedesktopverbindung erneut zur Eingabe ihres Kennworts aufgefordert werden.
Bei 1 ist die Richtlinie aktiviert. Eine automatische Anmeldung mit einem Kennwort, das bereits im Remotedesktopverbindungsclient eingegeben oder von ihm bereitgestellt wurde, ist dann nicht möglich. Der Benutzer muss das Kennwort an der zusätzlichen Anmeldeaufforderung eingeben.
Bei 0 ist die Richtlinie deaktiviert. Remotedesktopdienste dürfen das vom Client bereitgestellte Kennwort für die automatische Anmeldung verwenden. Fehlt der Wert, legt diese Richtlinie das Verhalten auf Gruppenrichtlinienebene nicht fest.
Hinweise
Sicherheit
Die erzwungene Kennworteingabe verhindert, dass allein ein vom Remotedesktopclient bereitgestelltes Kennwort unmittelbar zur automatischen Anmeldung führt. Dies kann das Risiko verringern, dass eine unbeaufsichtigte Verbindung mit auf dem Client verfügbaren Anmeldeinformationen hergestellt wird.
Die Einstellung verhindert jedoch nicht das Speichern von Kennwörtern auf dem Client. Dafür ist die separate Richtlinie „Speichern von Kennwörtern nicht zulassen“ zuständig. Sie stellt außerdem keinen zweiten Authentifizierungsfaktor bereit und verändert weder die Netzwerkebenenauthentifizierung noch die RDP-Verschlüsselung oder die Zugriffsrechte des verwendeten Kontos.
Mögliche Nebenwirkungen
Die zusätzliche interaktive Kennwortabfrage kann unbeaufsichtigte Anmeldungen und Automatisierungslösungen beeinträchtigen. Microsoft dokumentiert beispielsweise, dass Power Automate für Desktop auf Microsoft-Entra-Geräten unter bestimmten Bedingungen keine unbeaufsichtigte Sitzung erstellen kann, wenn fPromptForPassword auf 1 gesetzt ist.
Auch andere Abläufe, die auf einer automatischen Anmeldung mit vom Remotedesktopclient bereitgestellten Anmeldeinformationen beruhen, erfordern dadurch eine Benutzereingabe.
Hinweise
Die Einstellung ist eine computerbezogene Richtlinie und wirkt auf dem Zielcomputer, der die Remotedesktopsitzung bereitstellt. Eine Kennwortabfrage kann unabhängig davon auch durch andere Authentifizierungsrichtlinien oder Verbindungsbedingungen ausgelöst werden.
Microsoft-Dokumentation
Microsoft Learn: CSP-Richtlinie – RemoteDesktopDienste – PromptForPasswordUponConnection