Wie man Änderungen von Benutzerkennwörtern in Active Directory erkennt

Schritte zum Aktivieren der Überwachung mithilfe der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC):

Führen Sie die folgenden Aktionen auf dem Domänencontroller (DC) aus:

1. Drücken Sie auf Start, suchen Sie nach der Gruppenrichtlinien-Verwaltungskonsole und öffnen Sie sie oder führen Sie den Befehl gpmc.msc aus.

2. Klicken Sie mit der rechten Maustaste auf die Domäne oder Organisationseinheit (OU), die Sie überwachen möchten, und klicken Sie auf Gruppenrichtlinienobjekt in dieser Domäne erstellen und hier verknüpfen. Wenn Sie bereits ein Gruppenrichtlinienobjekt (GPO) erstellt haben, fahren Sie mit Schritt 4 fort.

3. Benennen Sie das Gruppenrichtlinienobjekt.
4. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt und wählen Sie Bearbeiten aus.

5. Navigieren Sie im Gruppenrichtlinienverwaltungs-Editor im linken Fensterbereich zu Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Kontoverwaltung.

6. Doppelklicken Sie im rechten Fensterbereich auf Überwachung der Benutzerkontenverwaltung und aktivieren Sie die Kontrollkästchen neben Konfigurieren der folgenden Überwachungsereignisse, Erfolg und Fehler.

7. Klicken Sie auf Übernehmen und dann auf OK.
8. Kehren Sie zur Gruppenrichtlinien-Verwaltungskonsole zurück, klicken Sie im linken Fensterbereich mit der rechten Maustaste auf die gewünschte OU, mit der die Gruppenrichtlinie verknüpft wurde, und klicken Sie auf Gruppenrichtlinienaktualisierung. Durch diesen Schritt wird sichergestellt, dass die neuen Gruppenrichtlinieneinstellungen sofort angewendet werden, anstatt auf die nächste geplante Aktualisierung zu warten.

Schritte zum Anzeigen dieser Ereignisse in der Ereignisanzeige (Event Viewer):

Sobald die oben genannten Schritte abgeschlossen sind, werden die Ereignisse im Ereignisprotokoll gespeichert. Diese können in der Ereignisanzeige angezeigt werden, indem Sie die folgenden Schritte ausführen:

1. Drücken Sie auf Start, suchen Sie nach Ereignisanzeige und klicken Sie darauf, um sie zu öffnen.
2. Navigieren Sie im linken Bereich des Fensters Ereignisanzeige zu Windows-Protokolle → Sicherheit.
3. Hier finden Sie eine Liste aller Sicherheitsereignisse, die im System protokolliert sind.

4. Klicken Sie im rechten Bereich unter Sicherheit auf Aktuelles Protokoll filtern.

5. Geben Sie im Pop-up-Fenster die gewünschte Ereignis-ID* in das Feld <Alle Ereignis-IDs> ein.
*Die folgenden Ereignis-IDs werden protokolliert, wenn das jeweilige Ereignis eintritt:
4723 - Wenn ein Benutzer versucht, sein Passwort zu ändern.
4724 - Wenn ein Administrator versucht, das Passwort eines anderen Benutzers zurückzusetzen.
6. Klicken Sie auf OK. Dadurch wird eine Liste der Vorkommen der eingegebenen Ereignis-ID erstellt.
7. Doppelklicken Sie auf die Ereignis-ID, um ihre Eigenschaften (Beschreibung) anzuzeigen.

Die Überprüfung der Kennwortänderungen durch die oben beschriebene manuelle Methode ist mühsam, da jede Organisation mit Hunderten bis Tausenden von Benutzerkonten zu tun hat.

ADAudit Plus, ein umfassendes AD-Überwachungstool, ermöglicht es Administratoren, Kennwortänderungen und andere Active Directory-Änderungen mühelos zu überprüfen.