Kurz gesagt: Wird ein AD-Konto immer wieder gesperrt, schickt fast immer irgendwo ein Gerät oder Programm ein falsches Kennwort. Den Absender findest du über das Ereignis 4740 im Sicherheitsprotokoll des Domänencontrollers: Das Feld Caller Computer Name nennt den Rechner, von dem der letzte Anmeldeversuch kam. Microsofts Account Lockout and Management Tools helfen, die beteiligten Domänencontroller und den Prozess auf dem Client zu finden.
Stand: 03.11.2026
Warum wird ein Konto gesperrt?
Die Sperre steuert die Richtlinie Kontosperrungsschwelle (Account lockout threshold). Sie legt fest, nach wie vielen fehlgeschlagenen Anmeldeversuchen ein Konto gesperrt wird. Erlaubt sind Werte von 1 bis 999. Der Wert 0 bedeutet: Das Konto wird nie gesperrt. In der Default Domain Policy ist 0 voreingestellt. Die Windows-Sicherheitsbaselines empfehlen laut Microsoft 10 Fehlversuche als Ausgangswert.
Du findest die Einstellung unter ComputerkonfigurationWindows-EinstellungenSicherheitseinstellungenKontorichtlinienKontosperrungsrichtlinien (Computer ConfigurationWindows SettingsSecurity SettingsAccount PoliciesAccount Lockout Policy). Ein gesperrtes Konto bleibt gesperrt, bis ein Admin es entsperrt oder die Sperrdauer (Account lockout duration) abläuft.
Sperrt sich ein Konto nach dem Entsperren sofort wieder, tippt der Benutzer meist nicht falsch. Dann versucht ein Gerät oder Programm im Hintergrund, sich mit einem alten Kennwort anzumelden. Microsoft nennt dazu einige typische Mechanismen:
- Programme, die Anmeldeversuche nicht sauber begrenzen. Bricht die Verbindung wiederholt ab, zählt jeder fehlgeschlagene Versuch gegen die Schwelle.
- Kerberos kann Anmeldeversuche automatisch wiederholen, wenn Client, Server und Domänencontroller die Verschlüsselung aushandeln. In gemischten Umgebungen mit unterschiedlichen Windows-Versionen passiert das häufiger.
- Fehlgeschlagene Versuche, einen gesperrten Bildschirm zu entsperren, können ebenfalls zur Kontosperre führen. Gibst du ein anderes Kennwort ein als bei der Anmeldung, fragt Windows den Domänencontroller.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wie findest du den Rechner, der die Sperre auslöst?
Bei jeder Kontosperrung schreibt Windows das Ereignis 4740: A user account was locked out ins Sicherheitsprotokoll. Bei Domänenkonten entsteht es auf dem Domänencontroller. Voraussetzung ist, dass die Überwachung der Unterkategorie Benutzerkontenverwaltung überwachen (Audit User Account Management) aktiv ist.
- Öffne auf dem Domänencontroller die Ereignisanzeige und dort das Sicherheitsprotokoll.
- Filtere das Protokoll nach der Ereignis-ID 4740.
- Suche den Eintrag mit dem betroffenen Konto unter Account That Was Locked Out.
- Lies unter Additional Information das Feld Caller Computer Name. Dort steht der Computer, von dem der Anmeldeversuch kam, nach dem das Konto gesperrt wurde.
- Prüfe auf diesem Rechner, welche Programme, Dienste oder gespeicherten Anmeldedaten noch das alte Kennwort nutzen, und aktualisiere oder entferne sie.
Gut zu wissen: Auch wenn der Rechner nicht zu deiner Domäne gehört, zeigt das Ereignis einen Computernamen und keine IP-Adresse. Hast du mehrere Domänencontroller, kann der Eintrag auf einem anderen DC stehen als dem, den du gerade prüfst. Hier hilft LockoutStatus.exe aus dem folgenden Abschnitt.
Welche Werkzeuge stellt Microsoft bereit?
Microsoft bietet für die Fehlersuche das Paket Account Lockout and Management Tools zum Download an. Es enthält unter anderem:
| Werkzeug | Zweck |
|---|---|
| LockoutStatus.exe | Ermittelt alle Domänencontroller, die an der Sperre eines Kontos beteiligt sind, und wertet dazu die Netlogon-Protokolle aus. Ausgabe als CSV. |
| EventCombMT.exe | Sammelt bestimmte Ereignisse aus den Protokollen mehrerer Computer zentral. |
| AcctInfo.dll | Ergänzt in „Active Directory-Benutzer und -Computer“ zusätzliche Eigenschaftenseiten, hilft beim Eingrenzen und setzt Kennwörter auf einem DC im Standort des Benutzers zurück. |
| ALockout.dll | Ermittelt auf dem Client, welcher Prozess oder welche Anwendung falsche Anmeldedaten sendet. |
| NLParse.exe | Filtert gewünschte Einträge aus Netlogon-Protokollen. |
| ALoInfo.exe | Zeigt Namen und Kennwortalter aller Benutzerkonten. |
Wichtig bei ALockout.dll: Microsoft rät ausdrücklich davon ab, das Werkzeug auf Servern mit Netzwerkanwendungen oder Diensten einzusetzen. Auf Servern mit Microsoft Exchange Server kann es verhindern, dass der Exchange-Informationsspeicher startet. Setze es also nur auf dem betroffenen Arbeitsplatz ein.
Wie verhinderst du, dass das wieder passiert?
- Schwelle bewusst wählen: Zu niedrig bedeutet viele Sperren durch Tippfehler, 0 bedeutet keinen Schutz gegen das Durchprobieren von Kennwörtern. Microsoft verlangt für den Wert 0 komplexe Kennwörter mit mindestens acht Zeichen und eine Überwachung, die bei Fehlversuchen alarmiert.
- Kennwortwechsel begleiten: Nach einer Kennwortänderung alle Geräte und Programme aktualisieren, die sich mit dem Konto anmelden.
- Sperren überwachen: Für wichtige Konten wie Domänen-Admins empfiehlt Microsoft, jedes Ereignis 4740 zu überwachen.
- Angriffe im Blick behalten: Laut Microsoft kann ein Angreifer mit Netzwerkzugang jedes Konto sperren, dessen Namen er kennt. Häufen sich Sperren bei vielen Konten gleichzeitig, steckt eventuell ein Angriff dahinter.
So unterstützen wir dich
Sperrt sich ein Konto immer wieder, werten wir die Ereignisse auf deinen Domänencontrollern aus, finden das Gerät mit dem alten Kennwort und stellen die Sperrrichtlinie passend ein. Meist geht das per Fernwartung, in Osnabrück und Umgebung kommen wir auch vorbei. Mehr zu unserem IT-Support in Osnabrück.
Häufige Fragen
In welchem Protokoll finde ich die Kontosperre?
Im Sicherheitsprotokoll des Domänencontrollers als Ereignis 4740. Das Feld Caller Computer Name zeigt den Rechner, von dem der auslösende Anmeldeversuch kam.
Welcher Schwellenwert ist sinnvoll?
Die Windows-Sicherheitsbaselines empfehlen laut Microsoft 10 Fehlversuche als Ausgangswert. Microsoft betont aber, dass es keinen Wert gibt, der für alle passt.
Kann das integrierte Administratorkonto gesperrt werden?
Das integrierte Administratorkonto ist laut Microsoft von der Kontosperrungsschwelle ausgenommen, damit sich ein Admin immer noch anmelden kann.
Darf ich ALockout.dll auf dem Server einsetzen?
Nein. Microsoft rät davon ab, es auf Servern mit Netzwerkdiensten zu nutzen. Auf Exchange-Servern kann es den Start des Exchange-Informationsspeichers verhindern.
Quellen
- Introduction to Account Lockout and Management Tools (Microsoft Learn, abgerufen am 03.11.2026)
- 4740(S): A user account was locked out (Microsoft Learn, abgerufen am 03.11.2026)
- Account lockout threshold (Microsoft Learn, abgerufen am 03.11.2026)
