Das Erzwingen des Passwortablaufs in Microsoft Entra ID-Domänen kann die Sicherheit beeinträchtigen, da Benutzer häufig zum Ändern ihrer Passwörter aufgefordert werden. Dies führt oft zu schwachen, vorhersagbaren oder wiederverwendeten Passwörtern, wodurch der allgemeine Schutz des Kontos beeinträchtigt wird.

Falsch konfigurierte Einstellungen für den Passwortablauf in Microsoft Entra ID, die Benutzer in regelmäßigen Abständen zum Ändern ihrer Passwörter zwingen, können unbeabsichtigt Sicherheitslücken verursachen. Traditionelle Ablaufrichtlinien basieren auf der veralteten Annahme, dass Benutzer kompromittierte Anmeldeinformationen häufig aktualisieren. In der Realität führen häufige Passwortänderungen oft <a href="https://learn.microsoft.com/de-de/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide#password-expiration-requirements-for-users">zu vorhersagbaren Mustern</a> oder geringfügigen Abweichungen von vorherigen Passwörtern, wodurch die Komplexität insgesamt verringert wird und Konten anfälliger für Brute-Force- und Wörterbuchangriffe werden.
Erzwungene Passwortänderungen können das Risiko erhöhen, dass Passwörter nicht sicher gespeichert werden, da Benutzer Passwörter möglicherweise aufschreiben, an ungeeigneten Orten aufbewahren oder leicht zu erratende Muster erstellen, um sie sich zu merken. Dieses Verhalten untergräbt die Sicherheit und kann zu unbefugtem Zugriff führen. Durch die Verpflichtung zum Passwortablauf könnten Organisationen unbeabsichtigt dazu beitragen, dass Benutzer bewährte Verfahren umgehen, was letztendlich die Angriffsfläche vergrößert
Die Richtlinie <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#passwords">MS.AAD.6.1v1</a> in der CISA „M365 Secure Configuration Baseline for Microsoft Entra ID“, die durch BOD 25-01 vorgeschrieben wird, erfordert, dass Benutzerpasswörter NICHT ablaufen DÜRFEN. Die Nichteinhaltung kann regulatorische und betriebliche Konsequenzen haben, insbesondere für Bundesbehörden und Auftragnehmer, die der CISA unterstehen. In der heutigen Sicherheitslandschaft steht die Erzwingung des Passwortablaufs nicht im Einklang mit identitätsorientierten Sicherheitsprinzipien, nach denen kontinuierliches Monitoring, bedingter Zugriff und bedrohungsbasierte Kontrollen Vorrang vor starren Passwortlebenszyklus-Richtlinien haben.
In den modernen Empfehlungen aus <a href="https://pages.nist.gov/800-63-FAQ/#q-b05">NIST SP 800-63</a> wird zudem von willkürlichen Passwortrotationen abgeraten und darauf hingewiesen, dass erzwungene regelmäßige Passwortänderungen ohne Nachweis einer Kompromittierung die Zufälligkeit des Passworts verringern und die allgemeine Sicherheit schwächen können.
Dieser Indicator of Exposure erkennt Domänen, die den Ablauf von Passwörtern nach einem bestimmten Zeitraum zulassen.

Erkennungen

Passwortablauf erzwungen

LOW

Version 202507230918

Version 202506111610

Version 202507230918 Jul 23, 2025, 9:18 AM Metadata (Describe that you must select password expiration settings according to relevant industry standards and regulatory requirements) Release: 202507230918
Version 202506111610 Jun 11, 2025, 4:10 PM New Release: 202506111610