Support & Automatisierung

Passwort-Reset

Overview

Ein Passwort-Reset ist einer der häufigsten Anlässe für Helpdesk-Kontakte. Er erfolgt entweder durch den Helpdesk in Active Directory bzw. Microsoft Entra ID oder durch den Benutzer selbst über die Microsoft-Entra-Self-Service-Kennwortzurücksetzung (SSPR) unter aka.ms/sspr. SSPR verlangt vorab registrierte Authentifizierungsmethoden, etwa Microsoft Authenticator, Telefonnummer oder alternative E-Mail-Adresse, und prüft je nach Richtlinie eine oder zwei davon.

In Hybrid-Umgebungen schreibt das Kennwortrückschreiben (Password Writeback) das neue Kennwort über Microsoft Entra Connect oder Cloud Sync in Echtzeit ins lokale Active Directory. Auf Windows 10/11 kann der Reset direkt am Anmeldebildschirm angeboten werden.

Abgrenzung: Die Passwort-Richtlinie legt Anforderungen an Kennwörter fest, der Passwort-Reset ist der Vorgang des Zurücksetzens. Mit Passkeys und Windows Hello for Business sinkt die Zahl der Resets, weil Anwender sich kein Kennwort mehr merken müssen.

How it works

Der SSPR-Ablauf in Microsoft Entra ID:

  1. Die IT aktiviert SSPR für alle oder eine Gruppe von Benutzern und legt Anzahl und Art der Methoden fest.
  2. Benutzer registrieren ihre Methoden über die kombinierte Registrierung für MFA und SSPR.
  3. Beim Reset prüft Entra ID, ob der Benutzer berechtigt ist und genug Methoden registriert hat.
  4. Nach erfolgreicher Prüfung setzt der Benutzer ein neues Kennwort, das Entra Password Protection gegen gesperrte Kennwörter prüft.
  5. Bei Hybrid-Konten schreibt Password Writeback das Kennwort ins lokale AD.

Für Administratoren gilt eine eigene, strengere SSPR-Richtlinie. Der Helpdesk nutzt für manuelle Resets delegierte Rollen wie Helpdesk Administrator oder Password Administrator, die nur Kennwörter von Nicht-Administratoren bzw. eingeschränkten Rollen zurücksetzen dürfen.

Benefits

  • Anwender kommen rund um die Uhr ohne Anruf wieder an ihr Konto
  • Der Helpdesk spart Zeit bei der häufigsten Standardanfrage
  • Die Identitätsprüfung über registrierte Methoden ist zuverlässiger als ein Rückruf mit Wissensfragen
  • Password Writeback hält Cloud- und lokales Kennwort synchron und vermeidet Kontosperren durch alte Kennwörter

Practical example

Ein Maschinenbauer mit 450 Mitarbeitenden und Hybrid-Identität bearbeitete montags regelmäßig eine zweistellige Zahl an Passwortanfragen. Die IT aktivierte SSPR mit zwei Methoden und Password Writeback über Entra Connect und blendete den Link Kennwort zurücksetzen am Windows-Anmeldebildschirm ein. Die Registrierung erfolgte über die kombinierte MFA- und SSPR-Registrierung. Passwortanfragen am Helpdesk sind seitdem die Ausnahme.

Things to keep in mind

  • Beim manuellen Reset die Identität des Anrufers verlässlich prüfen, z. B. Rückruf über bekannte Nummer, weil Angreifer gezielt den Helpdesk anrufen
  • Für neue oder gesperrte Benutzer einen Temporary Access Pass statt eines Startkennworts ausgeben
  • Sicherheitsfragen als SSPR-Methode vermeiden, weil die Antworten oft recherchierbar sind
  • Am Anmeldebildschirm funktioniert der Reset nicht, wenn Sperrbildschirm-Benachrichtigungen deaktiviert sind

Licensing & availability

Laut Microsoft: Kennwortänderung für Cloud-only-Benutzer ist in Microsoft Entra ID Free möglich, das Zurücksetzen eines vergessenen Kennworts für Cloud-only-Benutzer erfordert Microsoft 365 Business Standard, Business Premium oder Entra ID P1/P2. SSPR mit Rückschreiben ins lokale AD erfordert Entra ID P1/P2 oder Microsoft 365 Business Premium. Jeder Benutzer, der SSPR nutzt, muss lizenziert sein. Manuelle Resets durch Admins sind in allen Plänen möglich. Stand: Oktober 2026.

Conclusion

Der Passwort-Reset ist der größte Automatisierungshebel im Helpdesk. Aktiviere SSPR mit Writeback und mittelfristig passwortlose Anmeldung, und sichere manuelle Resets mit klarer Identitätsprüfung ab.

Further reading

Related articles