Active Directory Konto gesperrt: So entsperren Sie es

So erkennen Sie das Problem

• Der Benutzer kann sich nicht an der Windows-Domäne anmelden, Meldung, dass das Konto gesperrt ist.
• Fehlgeschlagene Anmeldung bei Exchange oder Microsoft 365 mit der Meldung über ein gesperrtes Konto.
• VPN- oder RDP-Anmeldung lehnt Domänenanmeldeinformationen ab.
• In der Ereignisanzeige auf dem Domänencontroller treten Ereignisse 4740 (Konto gesperrt) auf.
• Der Benutzer behauptet, das Passwort korrekt eingegeben zu haben, aber das Konto wird weiterhin gesperrt.

Häufigste Ursachen

Lösung Schritt für Schritt

1. 1

   Konto in ADUC entsperren

   Öffnen Sie auf dem Domänencontroller oder einem Computer mit installierten RSAT-Tools Active Directory Users and Computers. Suchen Sie den Benutzer (Rechtsklick auf die Domäne > Suchen...), klicken Sie mit der rechten Maustaste auf das Konto und wählen Sie Konto entsperren. Das Konto wird sofort entsperrt.

2. 2

   Konto über PowerShell entsperren

   Wenn Sie kein ADUC haben, starten Sie auf einem Computer mit installierten RSAT-Tools für Active Directory Windows PowerShell als Administrator und importieren Sie das Modul: Import-Module ActiveDirectory. Führen Sie dann Unlock-ADAccount -Identity Benutzer aus. Überprüfen Sie den Status mit dem Befehl Get-ADUser Benutzer -Properties LockedOut | Select-Object Name, LockedOut.

3. 3

   Überprüfen, wer die Sperrung verursacht hat

   Öffnen Sie auf dem Domänencontroller Ereignisanzeige > Windows-Protokolle > Sicherheit und filtern Sie nach Ereignis-ID 4740. Suchen Sie in den Details nach dem Feld Aufrufender Computername, um das Gerät oder den Server zu identifizieren, das/der die Sperrung verursacht hat.

4. 4

   Passwort bei Bedarf zurücksetzen

   Wenn der Benutzer das Passwort nicht kennt, klicken Sie in ADUC mit der rechten Maustaste auf das Konto > Kennwort zurücksetzen.... Aktivieren Sie Benutzer muss Kennwort bei der nächsten Anmeldung ändern und teilen Sie dem Benutzer das temporäre Kennwort auf sichere Weise mit.

5. 5

   Zwischengespeicherte Anmeldeinformationen löschen

   Öffnen Sie auf dem Benutzercomputer Systemsteuerung > Anmeldeinformationsverwaltung und entfernen Sie alte Einträge für die Domäne. Führen Sie dann in der Eingabeaufforderung klist purge aus, um Kerberos-Tickets zu löschen, und starten Sie den Computer neu.

6. 6

   Passwörter in Diensten aktualisieren

   Überprüfen Sie Dienste, geplante Aufgaben und Anwendungen, die Domänenkonten verwenden. Aktualisieren Sie das Passwort in deren Einstellungen oder wechseln Sie nach Möglichkeit zu einem Gruppenverwalteten Dienstkonto (gMSA), um manuelle Aktualisierungen zu vermeiden.

7. 7

   Sperrrichtlinie überprüfen

   Öffnen Sie in Gruppenrichtlinienverwaltung die GPO, die die Kontosperrungsrichtlinie enthält (Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie). Passen Sie Kontosperrungsschwellenwert, Kontosperrungsdauer und Zurücksetzen des Kontosperrungszählers nach an die Anforderungen Ihrer Organisation an. Beachten Sie, dass der Wert 0 für Kontosperrungsschwellenwert die Kontosperrung deaktiviert.

8. 8

   Anmeldung testen

   Bitten Sie den Benutzer, sich erneut an der Domäne anzumelden. Überprüfen Sie, ob in der Ereignisanzeige erneut das Ereignis 4740 auftritt. Wenn die Sperrung erneut auftritt, wiederholen Sie Schritt 3 und finden Sie die Quelle.

Wenn das Konto weiterhin gesperrt wird

So beugen Sie vor

• Aktualisieren Sie regelmäßig die Passwörter auf allen Geräten und Diensten, die Domänenkonten verwenden.
• Verwenden Sie `Gruppenverwaltete Dienstkonten` (gMSA) für Dienste anstelle normaler Benutzerkonten.
• Konfigurieren Sie eine Sperrrichtlinie mit einem angemessenen Schwellenwert (z. B. 10 Versuche) und einer angemessenen Dauer.
• Löschen Sie zwischengespeicherte Anmeldeinformationen auf Computern bei Passwortänderungen.

Häufige Fragen