Vollständiger Leitfaden zur Windows-Kontosperrungsrichtlinie und 3 Wiederherstellungsmethoden
Fünf falsche Passwörter und das Konto wird gesperrt – das ist die Kontosperrungsrichtlinie, die ihren Zweck erfüllt. Das Problem beginnt, wenn das gesperrte Konto der einzige Administrator auf dem PC ist. In diesem Leitfaden wird die Richtlinie ausführlich erklärt und anschließend werden die drei Wiederherstellungsmethoden erläutert, die jeder IT-Administrator kennen sollte.
🎥 Sehen Sie sich das vollständige Video an – Windows-Kontosperrungsrichtlinie und alle drei Wiederherstellungsmethoden, Schritt für Schritt demonstriert
Die Kontosperrungsrichtlinie ist eine der häufigsten Sicherheitsrichtlinien in Windows. Es ist auch eines der am meisten missverstandenen. Wenn es richtig eingerichtet ist, stoppt es leise Angriffe zum Erraten von Passwörtern. Wenn es schlecht eingerichtet ist – oder wenn niemand den Tag geplant hat, an dem auch der Administrator gesperrt wird – führt ein zweiminütiger Passwortfehler zu einer vollständigen Arbeitsunterbrechung. Nachfolgend erfahren Sie, was die drei Richtlinienwerte wirklich bewirken, wo sie eingestellt werden und die 3 Wiederherstellungsmethoden aus dem Video: Entsperren über ein anderes Administratorkonto, WinPE-Offline-Wiederherstellung und die letzten Auswegrouten für Domänencontroller. Jede Methode hier gilt für Maschinen, die Sie besitzen oder zu deren Verwaltung Sie berechtigt sind.
Windows sign-in screen — the message every locked user sees
Sign-in
Das referenzierte Konto ist derzeit gesperrt und möglicherweise nicht angemeldet.
👆 Dieser genaue Wortlaut bedeutet Sperrung – kein falsches Passwort und kein deaktiviertes Konto (Anmeldebildschirm mit der echten Windows-Meldung neu erstellt)
1
Was die Kontosperrungsrichtlinie tatsächlich bewirkt
Die Richtlinie besteht aus genau drei Arbeitsteilen. Alle drei befinden sich unter Kontorichtlinien → Kontosperrungsrichtlinie – in secpol.msc auf einem einzelnen PC oder in der Standarddomänenrichtlinie für eine ganze Domäne:
Grenzwert für die Kontosperrung – wie viele falsche Passwörter zulässig sind, bevor das Konto gesperrt wird. Stellen Sie den Wert auf 5 und der 5. falsche Versuch sperrt das Konto. Setzen Sie ihn auf 0 und die Sperrung ist vollständig deaktiviert – das ist die Windows-Standardeinstellung bei einer Neuinstallation.
Dauer der Kontosperrung – wie viele Minuten das Konto gesperrt bleibt. Nach dieser Zeit entsperrt es sich von selbst. Stellen Sie hier 0 ein und die Sperre läuft nie ab – nur ein Administrator kann sie entsperren.
Kontosperrungszähler zurücksetzen nach – wie lange sich Windows an fehlgeschlagene Versuche erinnert. Wenn der Schwellenwert 5 beträgt und dieses Fenster 30 Minuten beträgt, muss der Angreifer (oder der vergessliche Benutzer) alle 5 Fehler innerhalb von 30 Minuten machen, um die Sperre auszulösen. Dieser Wert kann niemals länger als die Dauer sein.
Ein wichtiges Detail: In einer Domäne zählt jeder Domänencontroller fehlerhafte Passwörter für ein Konto separat und die Sperrung wird auf dem Domänencontroller aufgezeichnet, der die Fehler verarbeitet hat. Aus diesem Grund kann ein DC ein Konto als gesperrt anzeigen, während auf einem anderen immer noch nur wenige Fehlversuche angezeigt werden – und der PDC-Emulator ist immer die erste Anlaufstelle für die Überprüfung.
2
Methode 1 – Entsperren über ein anderes Administratorkonto
Die schnellste und sauberste Wiederherstellung ist die, mit der das Video beginnt: Melden Sie sich mit einem anderen Administratorkonto an und heben Sie einfach die Sperre auf. Dies funktioniert auch aus der Ferne – ein IT-Supporttechniker kann dies während einer Supportsitzung tun, ohne den Schreibtisch aufzusuchen.
Eigenständiger PC: Melden Sie sich mit einem zweiten Administratorkonto an, öffnen Sie lusrmgr.msc, doppelklicken Sie auf den gesperrten Benutzer und deaktivieren Sie Konto ist gesperrt. Verwenden Sie unter Windows Home (kein lusrmgr) ein Admin-PowerShell-Fenster: Unlock-LocalUser -Name "Ravi"
Domänen-PC: Öffnen Sie Active Directory-Benutzer und -Computer, suchen Sie den Benutzer, öffnen Sie Eigenschaften → Registerkarte „Konto“ und aktivieren Sie Konto entsperren. Oder eine Zeile PowerShell: Unlock-ADAccount -Identity ravi.kumar
Kein zweiter Administrator verfügbar, aber die Dauer ist festgelegt? Warten ist eine legitime Lösung. Wenn die Dauer 30 Minuten beträgt, wird das Konto in 30 Minuten freigegeben – niemand muss etwas anfassen.
Der Haken, vor dem das Video warnt: Diese Methode stürzt ab, wenn das einzige Administratorkonto gesperrt ist – und ein Benutzer auf einem Anmeldebildschirm kann den Administrator durchaus auch sperren, indem er einfach oft genug das falsche Passwort für das Administratorkonto eingibt. Genau dann wechseln Sie zu Methode 2.
3
Vor Methode 2 – Die BIOS- und Boot-Prüfungen, die über Erfolg oder Misserfolg entscheiden
Offline-Wiederherstellung bedeutet, den PC von etwas anderem als seinem eigenen Windows zu starten – so wird das BIOS/UEFI-Setup Teil der Aufgabe:
Öffnen Sie das einmalige Startmenü (üblicherweise F12, F9 oder Esc, je nach Marke) und wählen Sie Ihren WinPE-USB-Stick aus. Wenn der Stick nie angezeigt wird, ist der Startmodus der übliche Verdacht – ein für UEFI erstellter Stick wird im Legacy-/CSM-Modus nicht angezeigt und umgekehrt.
Wenn das Wiederherstellungsmedium aufgrund von Secure Boot nicht startet, notieren Sie sich die Einstellung, ändern Sie nur das, was Sie benötigen, und legen Sie es anschließend wieder ein. Überprüfen Sie auf Büromaschinen Ihre Änderungsrichtlinie, bevor Sie sie berühren.
Werfen Sie während der Einrichtung einen Blick auf die Systemuhr. Eine leere CMOS-Batterie und eine völlig falsche Uhr führen später zu Kerberos-Zeitfehlern bei der Domänenanmeldung – einer klassischen Ursache für mysteriöse Anmeldefehler auf BIOS-Ebene.
4
Methode 2 – WinPE-Offline-Wiederherstellung, wenn sich kein Administrator anmelden kann
Wenn jedes Administratorkonto gesperrt ist und Warten keine Option ist, starten Sie den PC über USB in einer WinPE-Wiederherstellungsumgebung und reparieren Sie das Konto offline, genau wie im Video gezeigt. Da Windows selbst nicht ausgeführt wird, kann die Sperrung Sie nicht aufhalten.
Booten Sie vom WinPE-USB (Boot-Menü, wie oben beschrieben) auf der Maschine, die Sie besitzen oder verwalten.
Microsofts eigenes Tool für diese Aufgabe ist der Locksmith-Assistent im DaRT-Wiederherstellungs-Toolkit – er dient genau dazu, lokale Konten auf einem PC zu entsperren und zurückzusetzen, der niemanden hereinlässt. Offline-SAM-Bearbeitungstools erledigen die gleiche Aufgabe, indem sie die Sperrmarkierung des Kontos direkt in der lokalen Kontodatenbank löschen.
Löschen Sie die Sperre (oder legen Sie ein neues Passwort für den lokalen Administrator fest), entfernen Sie den USB-Stick und starten Sie Windows normal. Melden Sie sich an, legen Sie sofort ein korrektes Passwort fest und überprüfen Sie die Richtlinie erneut.
Zwei ehrliche Grenzen. Erstens: Wenn die Festplatte durch BitLocker geschützt ist, benötigen Sie den Wiederherstellungsschlüssel, bevor ein Offline-Tool das Laufwerk überhaupt lesen kann – ohne ihn funktioniert diese Methode konstruktionsbedingt einfach nicht. Zweitens werden dadurch nur lokale Konten repariert. Die Sperre eines Domänenkontos bleibt auf den Domänencontrollern und nicht auf diesem PC bestehen, sodass Offline-Tools nicht darauf zugreifen können – Domänensperren werden in Methode 1 oder Methode 3 gelöscht.
5
Methode 3 – Wenn die Sperre auf einem Domänencontroller liegt
Die schlimmste Version dieses Problems tritt auf einem Server auf: Administratorkonten sind in der gesamten Domäne gesperrt und niemand kann sich anmelden, um das Problem zu beheben. Die verbleibenden Routen sind langsamer, aber real:
Jeder andere Domänenadministrator – klingt offensichtlich, aber Büros vergessen das zweite Administratorkonto bis zu dem Tag, an dem sie es brauchen. Ein funktionierender Domänenadministrator kann alle anderen über ADUC oder PowerShell entsperren.
Warten Sie auf die Dauer – Domain-Sperrungen laufen auch von selbst ab, wenn eine Dauer festgelegt wird. Eine ungünstige Stunde ist immer noch besser als ein riskanter Hack auf eine Produktionssteuerung.
Directory Services Restore Mode (DSRM) – Starten Sie den DC neu und wählen Sie DSRM aus den Startoptionen (F8 / Starteinstellungen). Sie melden sich mit dem DSRM-Administratorkennwort an, das beim Heraufstufen des DC festgelegt wurde. DSRM ermöglicht Ihnen die lokale Kontrolle über den Server, während Active Directory offline ist, sodass Sie die Situation beheben und normal neu starten können. Wenn niemand in der Organisation das DSRM-Passwort kennt, lohnt es sich, dieses Problem noch heute zu beheben – bevor Sie es jemals benötigen.
Beachten Sie, was auf dieser Liste nicht steht: Es gibt keine unterstützte Möglichkeit, die Sperre eines Domänenkontos von der Workstation-Seite aus „zurückzusetzen“. Wer Ihnen eines verkauft, verkauft Ihnen ein Problem.
6
Legen Sie die Richtlinie fest, damit dies nie wieder zu einem Notfall wird ⭐
Wiederherstellung ist Schritt eins. Schritt zwei besteht darin, die Richtlinie so abzustimmen, dass ehrliche Fehler gering bleiben und echte Angriffe blockiert bleiben:
Wählen Sie eine vernünftige Schwelle – 5 bis 10 Fehlversuche. Ein Schwellenwert von 2 oder 3 sperrt meist legitime Benutzer mit einem Sticky-Schlüssel Caps Lock aus.
Geben Sie ihm eine reale Dauer – 15 bis 30 Minuten. Vermeiden Sie Dauer 0, es sei denn, ein Vollzeit-Administratorteam entsperrt wirklich den ganzen Tag Konten.
Stellen Sie den Reset-Zähler auf die Dauer ein – einfach, vorhersehbar und das, was die meisten Baselines tun.
Halten Sie zwei Administratorkonten auf jedem wichtigen Computer bereit und notieren Sie das DSRM-Passwort im Passwort-Tresor des Unternehmens.
Aktivieren Sie die Sperrüberwachung (Ereignisse 4740 und 4625), damit die nächste Sperre mit einer eigenen Erklärung eintrifft.
Zu jedem dieser Follow-ups gibt es eine eigene detaillierte Seite auf dieser Website – finden Sie heraus, was ein Konto immer wieder sperrt, wählen Sie Richtliniennummern aus oder richten Sie die Prüfung ein – sodass der nächste „Sir, Laptop gesperrt, ho gaya“-Anruf zwei Minuten und nicht zwei Stunden dauert.
🔴 Nur auf Maschinen, die Sie besitzen oder verwalten: Jede Wiederherstellungsmethode in diesem Handbuch richtet sich an IT-Administratoren und Besitzer, die ihre eigenen Systeme wiederherstellen. Verwenden Sie niemals Offline-Wiederherstellungstools auf einem Computer, der Ihnen nicht gehört oder für dessen Wartung Sie keine schriftliche Erlaubnis haben.
🎥 Sehen Sie sich die Lockout-Wiederherstellungsmethoden im Video an
Die vollständige Komplettlösung für Sperrrichtlinien und alle drei Wiederherstellungsmethoden, live auf einem echten Windows-System gezeigt – dies ist das Video, auf dem dieses Handbuch basiert.
Entsperrt sich ein gesperrtes Windows-Konto von selbst?
Ja – wenn die Sperrdauer auf einen Wert über 0 eingestellt ist, wird das Konto nach Ablauf dieser Zeit automatisch entsperrt. Eine Ausnahme bildet die Dauer 0: Das Konto bleibt dann gesperrt, bis ein Administrator es manuell entsperrt.
Mein Konto ist gesperrt und ich bin der einzige Administrator. Was funktioniert eigentlich?
Das Warten funktioniert, wenn eine Dauer festgelegt ist. Wenn nicht, sind die eigentlichen Wege eine Offline-Wiederherstellung: Starten Sie den PC von einem WinPE-USB und löschen Sie die Sperre des lokalen Kontos (DaRT Locksmith von Microsoft ist das offizielle Tool dafür) oder, bei Domänenadministratorproblemen, der Verzeichnisdienst-Wiederherstellungsmodus auf einem Domänencontroller. Beide werden im obigen Kernleitfaden und im Video Schritt für Schritt behandelt.
Ist das integrierte Administratorkonto vor Sperrung geschützt?
Nicht automatisch. Es gibt eine spezielle Sicherheitsoption – Sperrung des Administratorkontos zulassen – die darüber entscheidet, ob der integrierte Administrator überhaupt gesperrt werden kann, und seit den Windows-Updates vom Oktober 2022 können neue Systeme den integrierten Administrator standardmäßig nach wiederholten falschen Passwörtern sperren. Genau das ist die Falle im Video: Der gesperrte Account kann der Admin selbst sein.
Diese Anleitung basiert auf dem Technical Anshu-Video zur Windows-Kontosperrungsrichtlinie. • Sie stecken auf einer Stufe fest? Fragen Sie in den Videokommentaren nach – Sie erhalten eine Antwort 🙏