Microsoft Entra Password Protection: Schwache Passwörter unternehmensweit blockieren

„Firmenname2024!“ erfüllt jede klassische Kennwortrichtlinie: Großbuchstabe, Zahl, Sonderzeichen, lang genug. Trotzdem gehört es zu den ersten Kennwörtern, die ein Angreifer ausprobiert. Microsoft Entra Password Protection fängt genau solche Kennwörter ab, bevor sie gesetzt werden.

Wie die Prüfung funktioniert

Bei jeder Kennwortänderung und jedem Zurücksetzen vergleicht Entra ID das neue Kennwort mit zwei Listen: einer globalen Liste, die Microsoft aus echten Angriffen pflegt, und optional einer eigenen Liste. Dabei werden typische Ersetzungen vorher zurückgerechnet. Aus „F1rm3nn@me“ wird für die Prüfung „firmenname“. Man muss also nicht jede Schreibweise eintragen.

Die globale Liste ist für Cloud-Konten immer aktiv und kostet nichts. Einstellen kann man daran nichts.

Eigene Sperrliste (Custom Banned List)

Die eigene Liste braucht Entra ID P1. Sie liegt im Entra Admin Center unter Authentifizierungsmethoden → Kennwortschutz. Dort „Benutzerdefinierte Liste erzwingen“ auf Ja stellen und Begriffe eintragen, einen pro Zeile, maximal 1000.

Was ich eintrage:

• Firmenname, Kurzform und alte Namen
• Ort und Straße des Büros
• Produkt- und Markennamen, die jeder im Haus kennt
• Den Namen des Sportvereins, den die Firma sponsert, wenn es einen gibt

Was ich nicht eintrage: lange Listen allgemeiner Wörter. Die globale Liste deckt das schon ab, und jeder zusätzliche Eintrag bedeutet mehr Benutzer, die beim Kennwortwechsel abgelehnt werden und anrufen.

Smart Lockout

Im selben Menü steht Smart Lockout. Es sperrt ein Konto nach zu vielen Fehlversuchen kurz und unterscheidet dabei, ob die Versuche von einem bekannten oder unbekannten Ort kommen. Ein Angreifer aus dem Ausland sperrt damit nicht automatisch auch den echten Benutzer im Büro aus. Standard sind 10 Fehlversuche und 60 Sekunden Sperre. Für kleine Firmen passt das meistens, ändern lässt es sich wieder nur mit P1.

Lokales Active Directory: Überwachen oder Erzwingen

Ohne Zusatz gilt der Schutz nur für Kennwörter, die in der Cloud geändert werden. Wer noch ein lokales AD hat, installiert zwei Komponenten: den Password Protection Proxy auf einem Mitgliedsserver und den DC Agent auf allen Domänencontrollern. Dann gilt dieselbe Sperrliste auch bei Strg+Alt+Entf → Kennwort ändern.

Für das lokale AD gibt es zwei Modi:

• Überwachen (Audit): Verstöße werden nur protokolliert, das Kennwort wird trotzdem akzeptiert.
• Erzwingen: Kennwörter, die gegen die Liste verstoßen, werden abgelehnt.

Ich starte immer mit Überwachen und schaue nach ein, zwei Wochen ins Ereignisprotokoll der DCs, wie viele Kennwortwechsel abgelehnt worden wären. Dann weiß man, ob man vorher die Benutzer informieren sollte.

Was es nicht ersetzt

Password Protection macht schlechte Kennwörter seltener. Gegen Phishing hilft es nicht, denn da gibt der Benutzer sein gutes Kennwort selbst heraus. Dafür braucht es MFA, siehe Conditional Access Basisrichtlinien. Einmal eingerichtet, macht der Kennwortschutz aber keine Arbeit mehr, und das ist bei Sicherheitsmaßnahmen selten.