Neue lokale Gruppenrichtlinie für die Sperrung des Administrators-Kontos

Während die Gruppenrichtlinien im Active Directory schon bisher eine Einstellung für die Kontosperrung des Administrators enthielt, fehlte ein solche für die lokalen Richtlinien. Das kumulative Update für Oktober (KB5020282) rüstet diese für Windows 10 / 11 und Windows Server nach.

Bei bestehenden Installation bleibt sie jedoch deaktiviert. Setzt man hingegen einen neuen PC mit Installations­medien auf, die das Oktober-Update enthalten, dann wird diese Richtlinie aktiviert.

Kombination mit drei weiteren Policies

Microsoft empfiehlt, zusätzlich die anderen drei Richtlinien unter Computer­konfiguration => Windows-Einstellungen => Sicherheits­einstellungen => Kontorichtlinien => Konto­sperrungs­richtlinien zu konfigurieren.

Dabei sollte man der Security Baseline folgen und die Werte 10/10/10 wählen. Dadurch würde das Konto nach 10 fehlerhaften Anmelde­versuchen innerhalb von 10 Minuten für 10 Minuten gesperrt.

Passwortrichtlinie für Administrator

In Windows-Domänen hat die Neuerung nur insofern eine Bedeutung, als sie künftig durch die lokale Richtlinie standardmäßig aktiviert ist und bei Bedarf mittels GPO überschrieben werden müsste.

Grundsätzlich sollten Unternehmen das integrierte Administrator-Konto, das per Voreinstellung deaktiviert ist, nicht verwendet.

Lässt sich das nicht vermeiden, dann sichert Microsoft dieses nun zusätzlich ab, indem dessen Passwort der normalen Richtlinie folgen muss (Groß- und Klein­buchstaben, Ziffern und Sonderzeichen).

In Domänen-Umgebung bietet indes LAPS eine bessere Lösung. Sie vergibt automatisch starke Kennwörter für lokale Admin-Konten und speichert diese im Active Directory.