Windows 11 verlangt nicht allgemein nach einer festen Anzahl von Tagen ein neues Passwort. Eine unerwartete Änderungsaufforderung stammt meist aus einer lokalen Kennwortrichtlinie, einer Vorgabe des Unternehmens oder dem Kontostatus, nach dem das Kennwort bei der nächsten Anmeldung geändert werden muss. Prüfe zuerst, ob du ein lokales Konto, ein Microsoft-Konto oder ein verwaltetes Arbeitskonto verwendest. Erst danach lässt sich zuverlässig feststellen, wo die Ablaufregel gespeichert ist und wer sie ändern darf.
Eine Anmeldung mit PIN oder Windows Hello hebt den Kennwortablauf nicht auf. PIN, Fingerabdruck und Gesichtserkennung sind Anmeldeverfahren für das jeweilige Gerät, während das Kontokennwort weiterhin durch die zuständige Kontorichtlinie verwaltet wird.
Kontotyp ermitteln, bevor du die Kennwortrichtlinie prüfst
Die sichtbare Meldung allein verrät nicht immer, welche Stelle die Änderung verlangt. Öffne in Windows 11 Einstellungen > Konten > Ihre Infos. Bei einem Microsoft-Konto erscheint dort ein entsprechender Hinweis. Ein lokales Konto wird ebenfalls als solches bezeichnet.
Arbeits- und Schulkonten findest du zusätzlich unter Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen. Ist der PC dort mit einer Organisation verbunden, können Microsoft Entra ID, eine lokale Active-Directory-Domäne oder eine Geräteverwaltung die Kennwortvorgaben bestimmen. Auf einem Firmen-PC ist eine lokale Änderung der Ablaufdauer dann häufig wirkungslos oder gesperrt.
| Beobachtung | Wahrscheinliche Zuständigkeit | Nächster Prüfpunkt |
|---|---|---|
| Unter „Ihre Infos“ steht „Lokales Konto“ | Lokale Kontoeinstellung oder lokale Kennwortrichtlinie | net user und net accounts |
| Windows zeigt ein Microsoft-Konto | Cloudkonto von Microsoft | Sicherheitsbereich des Microsoft-Kontos |
| Der PC ist mit Arbeit oder Schule verbunden | Organisation, Entra ID oder Geräteverwaltung | Firmenrichtlinie und IT-Support |
| Bei der Anmeldung wird eine Domäne genannt | Active Directory | Domänenrichtlinie und zuständige Administration |
Ablaufdatum eines lokalen Windows-Kontos anzeigen
Für ein lokales Konto liefert die Eingabeaufforderung zwei unterschiedliche Informationen: net user zeigt den Zustand des Benutzerkontos, während net accounts die allgemeine lokale Kennwortrichtlinie des Computers ausgibt. Die Befehle lesen zunächst nur Daten aus und verändern nichts.
Öffne das Startmenü, gib Eingabeaufforderung ein und starte sie für die reine Abfrage normal. Führe diesen Befehl aus:
net user "%USERNAME%"Suche in der Ausgabe nach Einträgen wie Kennwort zuletzt gesetzt, Kennwort läuft ab und Kennwort änderbar. Steht bei „Kennwort läuft ab“ ein Datum, ist für dieses lokale Konto ein Ablauf vorgesehen. Die Anzeige „Nie“ bedeutet, dass Windows für dieses Konto kein berechnetes Ablaufdatum ausweist.
Enthält der Anmeldename Sonderzeichen oder liefert die Variable nicht das erwartete Konto, ermittle zunächst den verwendeten Namen:
whoamiDie Ausgabe hat üblicherweise die Form COMPUTERNAME\Benutzername oder DOMÄNE\Benutzername. Für ein lokales Konto kannst du den angezeigten Benutzernamen anschließend ausdrücklich einsetzen:
net user "Benutzername"Ersetze nur Benutzername. Die geraden Anführungszeichen sind sinnvoll, wenn der Name Leerzeichen enthält.
Die lokale Ablaufregel mit net accounts einordnen
Die zweite Abfrage zeigt, wie lange lokale Kennwörter nach der allgemeinen Richtlinie gültig bleiben. Öffne dafür eine Eingabeaufforderung und führe Folgendes aus:
net accountsRelevant sind vor allem Maximales Kennwortalter und Minimales Kennwortalter. Das maximale Alter bestimmt, nach wie vielen Tagen ein lokales Kennwort regulär abläuft. Das minimale Alter kann verhindern, dass ein gerade gesetztes Passwort sofort erneut geändert wird.
Die beiden Abfragen müssen gemeinsam gelesen werden:
- Zeigt
net userein Ablaufdatum undnet accountseine begrenzte Gültigkeitsdauer, spricht das für eine reguläre lokale Kennwortalterung. - Zeigt das Konto „Nie“, gilt für diesen Benutzer kein berechneter lokaler Ablauf, selbst wenn andere lokale Konten von einer Richtlinie betroffen sein können.
- Ist der Rechner Mitglied einer Domäne, beschreibt
net accountsohne weitere Domänenabfrage nicht verlässlich alle wirksamen Unternehmensvorgaben. - Erscheint die Änderungsaufforderung trotz eines weit entfernten Ablaufdatums, kann ein Administrator die Änderung bei der nächsten Anmeldung erzwungen haben.
Ein Kontokennwort kann außerdem unabhängig von der Kennwortalterung zurückgesetzt worden sein. Nach einem administrativen Reset wird häufig festgelegt, dass der Benutzer selbst bei der nächsten Anmeldung ein neues, nur ihm bekanntes Kennwort vergeben muss.
Lokale Sicherheitsrichtlinie grafisch prüfen
Auf Windows-11-Editionen mit dem Editor für lokale Sicherheitsrichtlinien kannst du die Einstellung grafisch ansehen. Drücke Windows-Taste + R, gib secpol.msc ein und bestätige. Navigiere zu Kontorichtlinien > Kennwortrichtlinie. Der Eintrag Maximales Kennwortalter enthält die lokale Zeitgrenze.
Fehlt secpol.msc, ist das nicht automatisch ein Systemfehler. Der Editor steht insbesondere unter Windows 11 Home normalerweise nicht als Verwaltungsoberfläche bereit. Verwende dort die Abfragen über die Eingabeaufforderung. Auf verwalteten PCs kann eine übergeordnete Gruppenrichtlinie lokale Werte außerdem überschreiben.
Ändere das maximale Kennwortalter nicht vorschnell. Die Regel betrifft die lokalen Konten des Rechners und kann Teil eines Sicherheitskonzepts sein. Bei einem privaten Einzelplatz-PC kannst du die Einstellung nach eigener Abwägung verwalten; bei einem Arbeitsgerät sollte die zuständige IT entscheiden.
Kennwortablauf eines privaten lokalen Kontos deaktivieren
Für einen nicht verwalteten privaten PC lässt sich das maximale lokale Kennwortalter auf unbegrenzt setzen. Der folgende Befehl verändert die Kontorichtlinie des Computers und benötigt eine als Administrator gestartete Eingabeaufforderung:
net accounts /maxpwage:UNLIMITEDKontrolliere die Änderung direkt danach:
net accountsBeim maximalen Kennwortalter sollte nun eine unbegrenzte Gültigkeit ausgewiesen werden. Prüfe zusätzlich das betroffene Konto:
net user "%USERNAME%"Diese Änderung löst keine bereits aktive Aufforderung auf, nach der das Kennwort bei der nächsten Anmeldung geändert werden muss. In diesem Fall musst du die verlangte Änderung zunächst durchführen oder den gesetzten Kontostatus mit einem administrativen Konto korrigieren. Auf einem Firmen-PC kann eine Gruppenrichtlinie den unbegrenzten Wert bei der nächsten Richtlinienaktualisierung wieder ersetzen.
Für den Rückweg setzt du wieder eine gewünschte Anzahl von Tagen. Der Beispielbefehl stellt ein maximales Kennwortalter von 90 Tagen ein; verwende diesen Wert nur, wenn er zu deiner eigenen Richtlinie passt:
net accounts /maxpwage:90Ein regelmäßiger Zwangswechsel ist nicht automatisch für jede private Umgebung die beste Schutzmaßnahme. Ein langes, ausschließlich für dieses Konto verwendetes Kennwort, Mehrstufenschutz beim Microsoft-Konto und ein geschütztes Wiederherstellungsverfahren sind ebenfalls wichtige Bestandteile der Kontosicherheit.
Warum Windows trotz kürzlich geändertem Passwort erneut fragt
Eine unmittelbar wiederkehrende Aufforderung passt häufig nicht zu einem normalen zeitlichen Ablauf. Entscheidend ist dann, an welcher Stelle das Passwort geändert wurde und welches Konto Windows tatsächlich verwendet.
Das Passwort wurde am falschen Konto geändert
Auf einem PC können ein lokales Windows-Konto, ein Microsoft-Konto und ein separates Arbeitskonto nebeneinander vorhanden sein. Eine Änderung des Microsoft-Kontokennworts aktualisiert nicht das Kennwort eines davon unabhängigen lokalen Kontos. Vergleiche den Kontonamen auf dem Anmeldebildschirm mit der Anzeige unter Ihre Infos.
Die Änderung wurde bei der nächsten Anmeldung erzwungen
In Active Directory kann die Administration ein Konto ausdrücklich so markieren, dass bei der nächsten Anmeldung ein neues Kennwort festgelegt werden muss. Technisch wird dieser Zustand im Verzeichnis unter anderem über den Kennwortzeitpunkt abgebildet. Eine lokale Ablaufabfrage kann diese zentrale Vorgabe nicht aufheben.
Auch ein neu eingerichtetes Konto oder ein durch die IT zurückgesetztes Kennwort kann diesen Status besitzen. Das ist von einem regulären Ablauf nach einer bestimmten Tageszahl zu unterscheiden.
Der PC erreicht die zuständige Organisation nicht
Bei einem Domänenkonto kann die Kennwortänderung eine Verbindung zur Unternehmensumgebung erfordern, etwa über das Firmennetz oder einen dafür vorgesehenen VPN-Zugang. Wird die Änderung außerhalb dieses Zugangs durchgeführt, kann Windows noch mit zwischengespeicherten Anmeldedaten arbeiten, während ein Unternehmensdienst bereits das neue Kennwort erwartet.
Verwende in diesem Fall nicht wiederholt verschiedene Passwörter in mehreren Dialogen. Stelle die von deinem Unternehmen vorgesehene Verbindung her und folge dem offiziellen Anmelde- oder Kennwortänderungsprozess. Bleibt die Aufforderung bestehen, muss die IT den Kontostatus, die Replikation zwischen Domänencontrollern und die wirksame Kennwortrichtlinie prüfen.
Microsoft-Konto, Entra ID und Domänenkonto unterscheiden
Bei einem privaten Microsoft-Konto wird die Kennwortverwaltung nicht durch die lokale Einstellung net accounts gesteuert. Prüfe Sicherheitsereignisse und Anmeldeoptionen im Sicherheitsbereich des Microsoft-Kontos. Eine Sicherheitsaufforderung, ein Kontowiederherstellungsvorgang oder eine vermutete Kompromittierung ist keine gewöhnliche lokale Kennwortalterung.
Microsoft Entra ID wird vor allem für Arbeits- und Schulkonten eingesetzt. Nach dem Dokumentationsstand vom 30. Oktober 2026 gilt für neuere Mandanten grundsätzlich nicht automatisch eine regelmäßige Ablauffrist. Bei älteren, vor 2021 eingerichteten Mandanten kann jedoch noch eine 90-Tage-Konfiguration bestehen. Organisationen können eigene Einstellungen verwenden; synchronisierte Konten können zusätzlich von einer lokalen Active-Directory-Richtlinie abhängen.
Für ein klassisches Domänenkonto wird die Kennwortdauer normalerweise in Active Directory festgelegt. Neben der allgemeinen Domänenrichtlinie sind fein abgestufte Kennwortrichtlinien für einzelne Benutzergruppen möglich. Zwei Beschäftigte derselben Organisation können daher unterschiedliche Ablaufbedingungen haben, ohne dass Windows 11 selbst unterschiedlich konfiguriert ist.
Die maßgebliche Prüfstelle ist bei Arbeitskonten die zuständige IT-Administration. Sie kann in den Verwaltungsbereichen für Microsoft Entra ID beziehungsweise Active Directory feststellen, welche Richtlinie dem Konto tatsächlich zugewiesen ist und ob der Status „Kennwort bei der nächsten Anmeldung ändern“ gesetzt wurde.
Passwort ändern, wenn die Aufforderung berechtigt ist
Kannst du dich noch anmelden, öffne Einstellungen > Konten > Anmeldeoptionen und wähle im Bereich Kennwort die Änderungsfunktion. Je nach Kontotyp führt Windows durch die lokale Änderung oder zur Identitätsprüfung des verbundenen Kontos.
Bei der Anmeldung kann Windows die Änderung direkt vor dem Zugriff auf den Desktop verlangen. Verwende das bisherige Kennwort und lege anschließend ein neues fest, das die angezeigten Anforderungen erfüllt. Wird das neue Passwort abgelehnt, sind häufig Länge, Kennwortverlauf, erforderliche Zeichengruppen oder ein Mindestalter durch die Organisation vorgegeben.
Eine PIN ist an dieser Stelle kein Ersatz für das bisherige Kontokennwort. Kennt Windows zur Bestätigung ausdrücklich das alte Passwort, gib nicht die Windows-Hello-PIN ein. Nach erfolgreicher Kennwortänderung kann die PIN meist weiterverwendet werden, sofern keine zusätzliche Sicherheitsmaßnahme eine erneute Einrichtung verlangt.
Abbruchgrenzen bei Firmen-PCs und unbekannten Aufforderungen
Ändere keine lokalen Richtlinien, wenn das Gerät einer Organisation gehört oder unter Auf Arbeits- oder Schulkonto zugreifen verwaltet wird. Lokale Eingriffe beheben eine zentrale Vorgabe nicht zuverlässig und können gegen betriebliche Sicherheitsregeln verstoßen.
Brich den Vorgang ebenfalls ab, wenn die Passwortabfrage nicht im Windows-Anmeldebildschirm, in den Windows-Einstellungen oder in einem eindeutig zugeordneten Microsoft-Dienst erscheint. Ein unerwartetes Browserfenster oder ein Programm unbekannter Herkunft sollte keine Zugangsdaten erhalten. Öffne stattdessen den bekannten Kontobereich direkt über Windows oder die offiziell verwendete Unternehmensanwendung.
Die sinnvolle Prüfreihenfolge bleibt damit eindeutig: Kontotyp feststellen, bei einem lokalen Konto net user und net accounts auswerten, bei einem Arbeitskonto die zentrale Richtlinie prüfen lassen und erst danach eine Einstellung ändern. So vermeidest du, eine organisatorisch erzwungene Passwortänderung fälschlich als Fehler von Windows 11 zu behandeln.
