70-685 Windows 7 Support in Unternehmen.pdf - Gattner

136 Kapitel 4: Sicherheit
Abgelaufene Kennwörter
Die meisten Sicherheitsexperten sind sich einig, dass Benutzer gezwungen werden sollten,
ihre Kennwörter regelmäßig zu ändern. Der Wechsel der Benutzerkennwörter verfolgt zwei
Ziele:
Versuchen Angreifer, ein Kennwort zu erraten, müssen sie wieder ganz von vorne
beginnen. Würden Benutzer ihre Kennwörter niemals ändern, wäre es Angreifern
irgendwann möglich, sie zu erraten.
Hat ein Angreifer das Kennwort eines Benutzers erraten, kann er diese Anmeldeinformationen
in Zukunft nicht mehr nutzen, sobald das Kennwort geändert wurde.
Die Einstellungen für den Ablauf des Kennworts werden von Gruppenrichtlinieneinstellungen
im Knoten Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\
Kontorichtlinien\Kennwortrichtlinie festgelegt. Hier stehen folgende Richtlinien zur Verfügung:
Die Richtlinie Maximales Kennwortalter bestimmt, nach welchem Zeitraum ein Kennwort
abläuft.
Die Richtlinie Kennwortchronik erzwingen legt fest, wie viele unterschiedliche Kennwörter
Benutzer verwenden müssen, bevor sie ein schon vorher benutztes Kennwort
erneut verwenden dürfen.
Die Richtlinie Minimales Kennwortalter gibt an, wie lange die Benutzer warten müssen,
bis sie ihr Kennwort erneut ändern dürfen. In Kombination mit der Richtlinie Kennwortchronik
erzwingen wird damit verhindert, dass Benutzer ihr Kennwort gleich wieder auf
ein bereits vorher verwendetes Kennwort ändern.
Versuchen Benutzer, sich interaktiv an einem Computer anzumelden, obwohl ihr Kennwort
abgelaufen ist, fordert Windows sie automatisch auf, ihr Kennwort zu ändern. Wenn die Benutzer
versuchen, mit einem abgelaufenen Kennwort auf einen freigegebenen Ordner, einen
Drucker, eine Website oder eine andere Ressource zuzugreifen, wird ihnen einfach der Zugriff
verweigert. Falls sich also ein Benutzer beschwert, dass er keine Verbindung zu einer
Ressource herstellen kann, sollten Sie sicherstellen, dass sein Kennwort nicht abgelaufen ist.
Sie können verhindern, dass die Kennwörter bestimmter Konten jemals ablaufen, indem Sie
das Kontrollkästchen Kennwort läuft nie ab auf der Registerkarte Konto im Eigenschaftendialogfeld
des Benutzerkontos aktivieren.
Deaktiviertes Konto
Administratoren können Benutzerkonten deaktivieren, um zu verhindern, dass sich ein Benutzer
anmeldet. Das ist nützlich, wenn ein Benutzer im Urlaub ist und Sie wissen, dass er
sich einige Zeit nicht anmeldet, oder wenn das Konto eines Benutzers kompromittiert wurde
und die IT-Abteilung verlangt, dass der Benutzer sich bei ihr meldet, bevor er sich anmelden
darf.
Sie aktivieren das deaktivierte Konto eines Benutzers, indem Sie das Kontrollkästchen Konto
ist deaktiviert im Eigenschaftendialogfeld des Kontos deaktivieren.