Konten: Lokale Kontenverwendung von leeren Kennwörtern auf Konsolenanmeldung beschränken
seit 0.9.8.11
Zweck
Sicherheitsrichtlinie: [Registry Values] MACHINE\System\CurrentControlSet\Control\Lsa\LimitBlankPasswordUse = 4,1
Der Wert 1 des Typs REG_DWORD aktiviert diese computerweite Sicherheitsoption. Lokale Benutzerkonten mit leerem Kennwort können dann nicht für Netzwerk- oder interaktive Remoteanmeldungen verwendet werden. Dies betrifft beispielsweise Anmeldungen über Remotedesktopdienste sowie Netzwerkdienste wie Telnet oder FTP.
Eine interaktive Anmeldung direkt an der physischen Konsole bleibt für solche Konten möglich. Domänenkonten sind von dieser Einstellung nicht betroffen.
Hinweise
Sicherheit
Die Einschränkung verhindert, dass ein Angreifer ein lokales Konto ohne Kennwort über eine reguläre Windows-Netzwerk- oder Remoteanmeldung verwendet. Sie beseitigt das leere Kennwort jedoch nicht und schützt das Konto nicht vor einer Anmeldung durch eine Person mit physischem Zugriff auf das Gerät.
Nicht von Microsoft stammende Anwendungen, die eigene Verfahren für Remoteanmeldungen einsetzen, können die Windows-Prüfung unter Umständen umgehen. Die Einstellung ersetzt deshalb keine Kennwortanforderungen für lokale Konten.
Mögliche Nebenwirkungen
Remotezugriffe, Freigaben oder Anwendungen, die sich mit einem lokalen Konto ohne Kennwort authentifizieren sollen, funktionieren bei aktivierter Einstellung nicht mehr über die von Windows kontrollierten Netzwerk- und Remoteanmeldewege.
Hinweise
Microsoft führt „Aktiviert“ als effektive Standardeinstellung für Windows-Clientcomputer, Mitgliedsserver, Domänencontroller und eigenständige Server. Das ausdrückliche Setzen von LimitBlankPasswordUse auf 1 stellt diesen Zustand unabhängig davon her, ob der Registrierungswert zuvor vorhanden war.
Die Änderung wird ohne Neustart wirksam. Auf domänengebundenen Computern kann eine über Gruppenrichtlinien verteilte Sicherheitseinstellung die lokale Konfiguration übersteuern.
Microsoft-Dokumentation
Microsoft Learn: Referenz der Windows-Sicherheitsbaseline