Warum ein Domänen-Laptop das alte Kennwort offline akzeptiert

Eine Kennwortänderung kommt überall gleichzeitig an – außer auf dem einen Laptop, der eine Woche offline war. Webmail nimmt das neue Kennwort, ein Desktop im Büro nimmt es, und die Remotemaschine meldet sich bei ausgefallenem VPN weiterhin mit dem alten an. Das ist kein zweites Kennwort und kein Synchronisierungsfehler im Verzeichnis. Es ist der zwischengespeicherte Anmeldeverifizierer, der tut, wofür er gebaut wurde, und die Lösung ist eine Abfolge, kein Zurücksetzen.

Der Laptop prüft einen zwischengespeicherten Verifizierer

Domänenverbundenes Windows hält einen lokalen Verifizierer für aktuelle erfolgreiche interaktive Anmeldungen bereit, damit die Maschine starten kann, wenn kein Domänencontroller antwortet. Dieser Verifizierer wird aus dem Kennwort abgeleitet, wie es bei jener Anmeldung galt. Wer das Kennwort anderswo ändert, aktualisiert das Verzeichnis, nicht die Kopie auf einem Laptop, der seither nicht mit ihm gesprochen hat.

Das alte Kennwort kann die lokale Sitzung also weiterhin öffnen, obwohl es für jede neue Domänenauthentifizierung ungültig ist. Das sind zwei verschiedene Beobachtungen, und ihre Vermischung führt zu wiederholten Zurücksetzungen.

Bestätigen Sie, welche Anmeldeinformation tatsächlich im Spiel ist, bevor Sie etwas anderes ändern. Eine Windows Hello-PIN, eine Entra ID-Anmeldung und ein klassisches Domänenkennwort sind getrennte Mechanismen, und gerade die PIN ist nicht das Domänenkennwort, selbst wenn sie denselben Desktop entsperrt.

Netzwerkanmeldung ist keine interaktive Anmeldung

Eine Dateifreigabe mit dem neuen Kennwort zu öffnen, beweist, dass der Netzwerkpfad funktioniert. Es aktualisiert aber nicht den Cache der interaktiven Anmeldung, weil Windows Netzwerk- und interaktive Authentifizierung als getrennte Vorgänge mit getrenntem Zustand behandelt.

Der Verifizierer wird nur aktualisiert, wenn eine interaktive Anmeldung tatsächlich einen Domänencontroller kontaktiert; ein zugeordnetes Laufwerk oder eine Outlook-Abfrage tut das nicht.

Diese Unterscheidung erklärt die übliche Meldung: Der Benutzer kann Mail lesen und das Intranet öffnen, doch der Sperrbildschirm will weiterhin das alte Kennwort. Sie erklärt auch, warum ein nach der Anmeldung gestartetes VPN der ersten Anmeldung nicht helfen kann, denn der Tunnel kommt erst, nachdem die Entscheidung lokal bereits gefallen ist.

Holen Sie sich eine Online-Anmeldung im richtigen Moment

Der Cache wird aktualisiert, wenn sich der Benutzer interaktiv anmeldet, während die Domäne erreichbar ist. Bei einer Remotemaschine heißt das: Der Tunnel muss bestehen, bevor die Anmeldeinformation bewertet wird, nicht erst nachdem der Desktop erscheint.

Prüfen Sie, ob die Bereitstellung Pre-Logon-Konnektivität oder einen Gerätetunnel unterstützt. Beide sind genau für dieses Timing gedacht, und ein Benutzertunnel ist kein Ersatz:

nltest /dsgetdc:corp.example
klist

Hat der Endpunkt keinen Pre-Logon-Pfad, nutzen Sie das unterstützte Wiederherstellungsverfahren, das die Organisation dokumentiert. Manche Umgebungen verwenden eine Abfolge aus Verbinden, Sperren und Entsperren, bei der der Tunnel am Sperrbildschirm offen bleibt; andere schicken das Gerät in einen verwalteten Wiederherstellungsschritt. Folgen Sie dem, was zum Client passt, und bestätigen Sie vor dem Verlass darauf, dass der Tunnel den Sperrbildschirm übersteht.

Sichern Sie den Weg zurück

Bevor Sie sich von einer Remotemaschine abmelden, entscheiden Sie, wie die nächste Anmeldung die Domäne erreicht. Ein Benutzertunnel, der mit der Sitzung wegfällt, kann den einzigen Weg entfernen, auf den Sie gezählt haben, und dann bringt Sie weder das alte noch das neue Kennwort am Sperrbildschirm vorbei. Halten Sie ein lokales Administratorkonto oder eine Out-of-Band-Konsole als Rückfall bereit. Schreiben Sie den Wiederherstellungsschritt dorthin, wo der Benutzer ihn ohne Anmeldung erreicht.

Sammeln Sie für den Support vier Fakten: wo das Kennwort geändert wurde, welche Anmeldeinformation offline noch funktioniert, ob ein Domänencontroller durch den Tunnel erreichbar ist und welche Anmeldemethode der Laptop nutzt.

Diese vier trennen einen veralteten Verifizierer von einer Kontosperre oder einer abgelehnten VPN-Anmeldung, die in einem Ticket ähnlich aussehen und unterschiedliche Lösungen haben. Ein gesperrtes Konto weist auch online das neue Kennwort ab, also testen Sie das, bevor Sie den Cache beschuldigen.

Schließen Sie den Kreis mit einer Online-Anmeldung

Das Ziel ist eine unterstützte interaktive Anmeldung, während die Domäne erreichbar ist, gefolgt von einem bekannten Offline-Zustand. Dieses eine Ereignis aktualisiert den Verifizierer und beendet den Kreislauf, das Kennwort auf jedem Gerät zu ändern.

Prüfen Sie den Zustand danach mit der Anzahl zwischengespeicherter Anmeldungen und einer Suche nach dem Domänencontroller:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Ist die Zahl null, ist die zwischengespeicherte Anmeldung per Richtlinie deaktiviert, und das Offline-Verhalten ändert sich nicht, egal wie oft das Kennwort zurückgesetzt wird. Das ist eine Richtlinienentscheidung, die beim Verantwortlichen anzusprechen ist, kein lokal anzuwendender Workaround.