Active Directory Passwort zurücksetzen – alle Methoden

Das Zurücksetzen von Active Directory Passwörtern gehört zu den häufigsten Aufgaben im IT-Helpdesk. Ob gesperrtes Konto, vergessenes Passwort oder Sicherheitsreset nach Sicherheitsvorfall – hier sind alle Methoden erklärt.

Methode 1: Active Directory Benutzer und Computer (ADUC)

Die klassische grafische Methode:

1. Server-Manager → Tools → Active Directory-Benutzer und -Computer öffnen
2. Benutzer suchen: Strg+F oder in der OU navigieren
3. Rechtsklick auf Benutzer → Kennwort zurücksetzen
4. Neues Kennwort und Bestätigung eingeben
5. Optional aktivieren:
   • "Benutzer muss Kennwort bei der nächsten Anmeldung ändern" ✅ (empfohlen)
   • "Konto entsperren" ✅ (wenn das Konto gesperrt war)
6. OK klicken

Methode 2: PowerShell (empfohlen für IT-Admins)

# Einmaliges Passwort-Reset
$SecurePassword = ConvertTo-SecureString "NeuesPasswort#2025" -AsPlainText -Force
Set-ADAccountPassword -Identity "max.mustermann" -NewPassword $SecurePassword -Reset

# Gleichzeitig entsperren und Passwort-Änderung erzwingen
Set-ADAccountPassword -Identity "max.mustermann" -NewPassword $SecurePassword -Reset
Unlock-ADAccount -Identity "max.mustermann"
Set-ADUser -Identity "max.mustermann" -ChangePasswordAtLogon $true

Passwort per E-Mail senden (mit Zufallspasswort):

function Reset-ADPasswordRandom {
    param([string]$Username)

    # Zufälliges sicheres Passwort generieren
    $chars = "ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnpqrstuvwxyz23456789!@#"
    $password = -join ((1..12) | ForEach { $chars[(Get-Random -Max $chars.Length)] })

    $SecurePass = ConvertTo-SecureString $password -AsPlainText -Force
    Set-ADAccountPassword -Identity $Username -NewPassword $SecurePass -Reset
    Unlock-ADAccount -Identity $Username
    Set-ADUser -Identity $Username -ChangePasswordAtLogon $true

    $user = Get-ADUser $Username -Properties EmailAddress, DisplayName
    Write-Host "Passwort für $($user.DisplayName): $password"
    # Hier E-Mail-Versand ergänzen
}

Reset-ADPasswordRandom -Username "max.mustermann"

Methode 3: Konto entsperren (ohne Passwort-Reset)

Wenn das Konto nur gesperrt ist (zu viele Fehlversuche):

# Konto entsperren
Unlock-ADAccount -Identity "max.mustermann"

# Sperrstatus prüfen
Get-ADUser -Identity "max.mustermann" -Properties LockedOut | Select Name, LockedOut

Methode 4: Massenreset via PowerShell

# Alle gesperrten Konten finden und entsperren
Search-ADAccount -LockedOut | ForEach {
    Unlock-ADAccount -Identity $_.DistinguishedName
    Write-Host "Entsperrt: $($_.SamAccountName)"
}

Sicherheitshinweise

Best Practices für Passwort-Resets:

• Identität des Benutzers verifizieren bevor das Passwort zurückgesetzt wird (Telefonanruf, persönlich, MFA)
• "Änderung bei nächster Anmeldung" immer aktivieren
• Temporäres Passwort sicher übermitteln (nicht per unverschlüsselter E-Mail)
• Reset-Vorgang im Ticketsystem dokumentieren
• Bei verdächtigen Resets: Sicherheitsvorfall prüfen

FAQ

Wie prüfe ich, wann das Passwort eines Benutzers abläuft?

Get-ADUser -Identity "max.mustermann" -Properties PasswordLastSet, PasswordExpired, PasswordNeverExpires |
    Select Name, PasswordLastSet, PasswordExpired, PasswordNeverExpires

Kann ein Benutzer sein eigenes AD-Passwort selbst zurücksetzen?
Mit dem Microsoft Entra Self-Service Password Reset (SSPR) oder einer internen Self-Service-Lösung ja. SSPR ist in Microsoft 365 Business Premium und E-Plänen enthalten.

Wir haben viele Passwort-Resets täglich – was tun?
Self-Service Password Reset einrichten oder Passwort-Richtlinie überprüfen (zu kurze Mindestlänge oder zu kurze Ablaufzeit erhöhen Resets stark).

Active Directory Management in Heidelberg

Ich berate und betreue Unternehmen in Heidelberg, Mannheim, Karlsruhe und der Rhein-Neckar-Region im Bereich Windows-Server-Administration. Beratung anfragen.