Microsoft Entra-Kennwortschutz ist eine Sicherheitsfunktion, die Benutzer daran hindert, leicht zu erratende Passwörter festzulegen, um die Passwortsicherheit in einer Organisation insgesamt zu verbessern.

Hinweis: Dieser IoE stützt sich für den <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad#license-requirements">Zugriff auf die erforderlichen Daten</a> auf die Microsoft Entra ID-P1- oder -P2-Lizenzierung. Sollte Ihr Mandant nicht die erforderliche Lizenz besitzen (z. B. Entra ID Free), gibt dieser IoE keine Ergebnisse zurück.
Entra ID nutzt <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad">Microsoft Entra-Kennwortschutz</a>, um das Risiko zu mindern, dass Benutzer leicht zu erratende Passwörter festlegen, die anfällig für Brute-Force-Angriffe sind. Diese Funktion verwendet eine globale Liste gesperrter Passwörter, die <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad#:~:text=The%20global%20banned%20password%20list%20is%20automatically%20applied%20to%20all%20users%20in%20a%20Microsoft%20Entra%20tenant.%20There%27s%20nothing%20to%20enable%20or%20configure%2C%20and%20can%27t%20be%20disabled">standardmäßig aktiviert ist und nicht deaktiviert werden kann</a>. Die Liste enthält häufig verwendete schwache Passwörter und wird von Microsoft gepflegt und regelmäßig aktualisiert.
Obwohl Microsoft Entra-Kennwortschutz eine cloudbasierte Funktion ist, können Organisationen sie auf das klassische On-Premises Active Directory (auch bekannt als „Windows Server Active Directory“) ausweiten, wie unter „<a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad-on-premises">Erzwingen des lokalen Microsoft Entra-Kennwortschutzes für Active Directory Domain Services</a>“ beschrieben. Sie vereinfachen diese Integration, indem sie einen dedizierten Microsoft-Agent auf den On-Premises Active Directory-Domänencontrollern installieren und gleichzeitig die Passwortschutzrichtlinien über das cloudbasierte Entra-Portal konfigurieren.
Dieser Indicator of Exposure wertet zwei Einstellungen von Microsoft Entra-Kennwortschutz aus, die die Durchsetzung der Funktion in der On-Premises-Umgebung bestimmen:
<ul>
<li>„Kennwortschutz für Windows Server Active Directory aktivieren“ sollte „Ja“ sein.</li>
<li>„Modus“ sollte „Erzwungen“ sein.</li>
</ul>
Hinweis:
<ol>
<li>Dieser IoE wird nur für Mandanten ausgeführt, die mit einem On-Premises Active Directory synchronisiert werden (z. B. Microsoft Entra Connect oder Microsoft Entra Cloud Sync). Er stützt seine Analyse auf die Eigenschaft <code>onPremisesSyncEnabled</code> von <code>organization</code>.</li>
<li>Die Aktivierung von Microsoft Entra-Kennwortschutz für die On-Premises Active Directory-Domäne (wie im Abschnitt mit den Empfehlungen beschrieben) erfordert, dass Organisationen einen Agent auf allen Domänencontrollern innerhalb der On-Premises-Umgebung bereitstellen. Dieser IoE überprüft die relevanten Einstellungen im Entra ID-Portal, kann jedoch den tatsächlichen Bereitstellungsstatus des Agents auf den On-Premises Active Directory-Domänencontrollern nicht validieren. Infolgedessen besteht die Möglichkeit von falsch negativen Ergebnissen, bei denen die Konfiguration in Entra konform zu sein scheint, obwohl der Agent nicht vollständig auf allen Active Directory-Domänencontrollern bereitgestellt wurde oder nicht ordnungsgemäß funktioniert.</li>
</ol>

Erkennungen

Kennwortschutz für On-Premises-Umgebungen nicht aktiviert

MEDIUM

Version 202511131438