Benutzerin muss AD-Kennwort zu häufig ändern

Hallo.

- Microsoft Windows Active Directory Domäne
- Domänenfunktionsebene Windows Server 2016
- Exchange 2016
- 2 DCs, beide Server 2016
- Clients ausnahmslos Windows 10 Pro x64 1903
- MS Office 2016 Std.
- DDP: maximales Kennwortalter = 42 Tage

Problem:

Eine Benutzerin meldet und versichert glaubhaft, daß sie ihr Kennwort in den vergangenen 14 Tagen schon 3 mal ändern mußte. Die Aufforderung dazu kam vom System (nicht von mir als Admin/Betreuer), wurde von ihr durchgeführt und hat auch funktioniert. Auch alle Zugriffe funktionierten und funktionieren (Mail, Fileserver, Druckserver, Applikationsserver). Sie hat eigentlich keine Probleme, wundert sich aber über die häufige Systemaufforderung, ihr Kennwort zu ändern. Und ich wundere mich auch, normalerweise, hab' extra in der DDP nachgesehen, sind unsere Kennwörter 42 Tage lang gültig.

Wie wahrscheinlich ist, daß sich Schadsoftware eingenistet hat, die die Kerberos-Ticket-Hashes abgreift? Und wie könnte ich das überhaupt feststellen? Es gibt ansonsten null komma kein Anzeichen für einen Schadsoftwarebefall, auch ansonsten, auf anderen Rechnern und den Servern, diesbezüglich nichts festzustellen. Die Trendmicro-Konsole meldet Langeweile und hat außer den üblichen Spam-Mengen nichts zu berichten.

Die betroffene Kollegin hat auch kein dienstliches Smartphone, nutzt also auch kein OMA oder OWA, auch gibt es keine Single-Sign-Ons zu anderen. nachgelagerten Verfahren oder ähnliches, das zu Kennwortproblemen führen oder beitragen kann.

Also, weiß jemand zufällig, wo die häufige Kennwortänderungsaufforderung bei der Kollegin herrühren könnte?

Vielen Dank.

Viele Grüße

von

departure69