Anmeldesicherheit

🔐 Anmeldekonfiguration

Der Reiter Anmeldung ermöglicht es, das gesamte Zugriffssicherheitssystem zu aktivieren oder zu deaktivieren und die grundlegenden Parameter für den Brute-Force-Schutz zu konfigurieren: Fehlversuchslimit, Dauer temporärer Sperren, Bedingungen für dauerhafte Sperren sowie E-Mail-Benachrichtigungen.

Konfigurationsparameter

Schutzablauf

Detailliertes Verhalten

• Temporäre Sperre: Wird nach Überschreiten des Fehlversuchslimits verhängt. Die IP wird für die konfigurierte Zeit (Standard 15 Min.) gesperrt. Nach Ablauf erhält die IP automatisch wieder Zugriff.

• Dauerhafte Sperre: Wird aktiviert, wenn eine IP mehrere temporäre Sperren ansammelt (Standard 3). Erfordert manuelles Eingreifen des Administrators zum Entsperren.

⏱️ Abmeldung bei Inaktivität (PRO)

Meldet Benutzer der gewählten Rollen ab, wenn sie ihre Sitzung die eingestellte Zeit lang nicht nutzen. So steht ein auf einem fremden Rechner (Büro, Hotel, Internetcafé) offen vergessenes Dashboard nicht jedem zur Verfügung.

• Minuten ohne Aktivität: zwischen 5 und 1440 (24 Stunden). Standard: 30.
• Rollen: standardmäßig Administrator und Redakteur.
• Was als Aktivität zählt: echte Nutzung (Maus, Tastatur, Scrollen, Tippen) in jedem Tab der Website. Die regelmäßige Hintergrundprüfung von WordPress (Heartbeat) zählt nicht.
• Vorwarnung: Eine Minute vorher erscheint ein Hinweis mit der Schaltfläche „Angemeldet bleiben“. Danach landet der Benutzer auf der Anmeldeseite mit der Meldung „Deine Sitzung wurde wegen Inaktivität beendet“.

Jedes Gerät zählt einzeln: Aktivität auf dem Handy hält keine auf einem anderen Rechner vergessene Sitzung offen. Einstellung unter Login-Sicherheit → Login.

📬 Hinweis bei neuer Anmeldung (PRO)

Meldet sich jemand mit einem bisher unbekannten Browser oder Gerät oder aus einem neuen Land an, schickt SeenSecure dem Benutzer eine E-Mail mit den Details (Datum, Gerät, IP und Land).

• „Das war ich“: Das Gerät wird vertrauenswürdig und es gibt keine weiteren Hinweise dazu. Funktioniert nur, wenn der Link im selben Browser und Gerät geöffnet wird, mit dem die Anmeldung erfolgte: Wer die E-Mail anderswo liest, kann sein eigenes Gerät nicht als vertrauenswürdig markieren.
• „Das war ich nicht“: Alle Sitzungen des Kontos werden auf allen Geräten beendet und das aktuelle Passwort wird ungültig (der Angreifer kennt es). Der Inhaber erhält die Standard-E-Mail von WordPress, um ein neues zu wählen: Der Link in der Warnung öffnet die Passwortänderung nie direkt.
• Sperre der verdächtigen IP: Nach Bestätigung von „Das war ich nicht“ landet die IP, über die angemeldet wurde, für 30 Minuten unter IP-Verwaltung → Gesperrt (in der Karte einstellbar; 0 = nicht sperren), mit Begründung im Verlauf, und wird automatisch entsperrt. So kann der Angreifer es nicht erneut versuchen, während der Inhaber das Passwort ändert. Nicht gesperrt wird sie, wenn es dieselbe IP ist, von der aus geklickt wird, oder wenn sie auf der Whitelist steht.
• Administratoren und Redakteure: Der Website-Administrator erhält zusätzlich eine Kopie mit denselben Schaltflächen (optional, mit eigener E-Mail).
• Sicher gegen E-Mail-Scanner: Die Schaltflächen öffnen eine Bestätigungsseite; die Aktion läuft erst nach dem Klick dort. Jeder Link funktioniert einmal und verfällt nach 7 Tagen.
• Keine Hinweise beim Aktivieren: Bei der ersten Anmeldung jedes Benutzers nach dem Aktivieren werden Gerät und Land ohne Hinweis registriert.

Das Gerät wird über ein eigenes Browser-Cookie erkannt, das Land mit derselben Geolokalisierung wie die restliche Firewall. Einstellung unter Login-Sicherheit → Login.

🖥️ Limit gleichzeitiger Sitzungen (PRO)

Begrenzt, wie viele Sitzungen derselbe Benutzer der gewählten Rollen gleichzeitig offen haben kann (1 bis 10). Meldet er sich auf einem neuen Gerät an, wenn das Limit bereits erreicht ist, sieht er vor der Nutzung der Website eine Seite mit seinen anderen Sitzungen (Browser, IP und Anmeldezeit) und wählt:

• „Jene Sitzung schließen und hier weitermachen“: Die älteste Sitzung wird geschlossen und er meldet sich auf diesem Gerät an. Bei Limit 1 wird die andere geschlossen, bei 2 die erste der beiden und so weiter.
• „Abbrechen und nicht anmelden“: Er meldet sich nicht an, seine anderen Sitzungen bleiben offen.
• Das andere Gerät erfährt es: Auf der Anmeldeseite sieht es, dass seine Sitzung beendet wurde, weil sich jemand von einem anderen Gerät ins Konto eingeloggt hat – mit dem Rat, das Passwort zu ändern, falls er es nicht war.
• Bis zur Wahl geht nichts: Die neue Sitzung kann weder surfen noch AJAX oder die REST-API nutzen, bis sie antwortet.
• Niemand wird ausgesperrt: Man kann immer eine andere Sitzung schließen, um sich anzumelden. Beim Aktivieren bereits offene Sitzungen bleiben bestehen.

Warum Sitzungen begrenzen?

Jede offene Sitzung ist eine Tür ins Konto. Ohne Limit lassen sich ein gestohlenes Passwort oder ein kopiertes Sitzungs-Cookie unbemerkt parallel zum Inhaber nutzen, und auf anderen Rechnern vergessene Sitzungen bleiben tagelang offen.

Welche Angriffe es verhindert oder aufdeckt

• Parallel genutztes gestohlenes Passwort (Phishing, Datenlecks, Wiederverwendung): Bei Limit 1 kann der Angreifer nicht gleichzeitig mit dem Inhaber angemeldet sein, ohne ihn hinauszuwerfen, und der Inhaber sieht den Hinweis. Meldet sich der Inhaber wieder an, fliegt der Angreifer raus.
• Session-Hijacking mit einem gestohlenen Cookie (Browser-Malware, öffentliches WLAN): Das Cookie funktioniert nicht mehr, sobald diese Sitzung geschlossen wird.
• Geteilte Konten mehrerer Personen, z. B. ein bezahltes Abo oder ein Kurs, den mehrere gleichzeitig nutzen.

Was es nicht tut: Es hindert niemanden, der das Passwort bereits kennt, an der Anmeldung; es macht es sichtbar und zwingt ihn, den Inhaber hinauszuwerfen. Kombiniere es mit der Zwei-Faktor-Authentifizierung und dem Hinweis bei neuer Anmeldung.

Empfohlen: 1 für Administratoren; 2 oder 3, wenn dieselbe Person Computer und Handy nutzt. Einstellung unter Login-Sicherheit → Login.

🛡️ CAPTCHA

Das CAPTCHA-System schützt Ihre Formulare vor Bots und automatisierten Angriffen. Es bietet 7 verschiedene Überprüfungsmodi, die sich an die Bedürfnisse jeder Website anpassen.

Verfügbare CAPTCHA-Modi

Zu schützende Formulare

Sie können auswählen, auf welche Formulare CAPTCHA angewendet wird:

• Anmeldung: Schützt das Anmeldeformular vor Brute Force.

• Registrierung: Verhindert die Massenerstellung von Fake-Konten.

• Kommentare: Verhindert automatisierten Spam in Kommentaren.

• Passwort zurücksetzen: Blockiert Angriffe auf das Zurücksetzen von Passwörtern.

Google reCAPTCHA Konfiguration

Für Modi, die Google reCAPTCHA verwenden (v2, v3, Hybrid), müssen Sie Ihre Website bei Google reCAPTCHA Admin registrieren und die folgenden Schlüssel abrufen:

Anti-Missbrauchsschutz

🔑 Zwei-Faktor-Authentifizierung (2FA)

Die Zwei-Faktor-Authentifizierung fügt eine zusätzliche Sicherheitsebene hinzu, indem sie einen zweiten Verifizierungsfaktor zusätzlich zum Passwort erfordert. Das System unterstützt TOTP (zeitbasiertes Einmalpasswort) über Authentifikator-Apps und E-Mail-Codes als Alternative.

Erstaktivierung durch den Administrator

Bevor globale 2FA-Richtlinien konfiguriert werden können, muss der Administrator 2FA auf seinem eigenen Konto aktivieren. Das System generiert einen QR-Code mit dem TOTP-Geheimnis, der mit einer Authentifikator-App (Google Authenticator, Authy, Microsoft Authenticator usw.) gescannt werden muss.

Globale 2FA-Richtlinie

Benutzerverwaltung

Das Admin-Panel ermöglicht die Suche nach Benutzern, das Zurücksetzen oder Deaktivieren von 2FA für bestimmte Konten und das erneute Senden von Wiederherstellungscodes. Enthält Statistik-Karten: Benutzer mit 2FA, Ohne 2FA, Richtlinienstatus, Gesamtbenutzer und E-Mail-Code-Status.

🚫 Anti-Sitzungsentführung

Erkennt, wenn ein angemeldeter Benutzer mitten in der Sitzung plötzlich das Land wechselt — das typische Zeichen dafür, dass jemand seine Zugangsdaten oder sein Sitzungscookie gestohlen hat, etwa nach dem Abfangen über ein öffentliches oder gemeinsam genutztes WLAN. Das System speichert das Land, aus dem sich jeder Benutzer anmeldet, und vergleicht es bei jeder weiteren Anfrage.

Konfigurationsparameter

Aktionsmodi

Was sind Länder-ISO-Codes?

Es sind die standardisierten 2-Buchstaben-Codes (ISO 3166-1 alpha-2), die jedes Land im Internet identifizieren — dieselben, die bei Länder-Domains (.es, .fr...) und Adressformularen verwendet werden. Großbuchstaben schreiben, bei mehreren durch Komma trennen. Du musst sie nicht auswendig kennen: nur das Land, aus dem du oder dein Team üblicherweise Zugriff habt.

Dein Land ist nicht in der Tabelle? Suche nach "ISO 3166-1 alpha-2 Code" gefolgt vom Namen deines Landes, oder sieh dir die vollständige offizielle Liste auf iso.org an.

E-Mail-Benachrichtigung

Wenn du das Kästchen "E-Mail an den Administrator senden" aktivierst, erhältst du eine E-Mail an deine WordPress-Kontaktadresse (Einstellungen → Allgemein), sobald ein verdächtiger Länderwechsel bei einer aktiven Sitzung erkannt wird. Die E-Mail enthält den betroffenen Benutzer, das ursprüngliche Land, das Land, aus dem der Wechsel erkannt wurde, und ob die Sitzung geschlossen oder nur protokolliert wurde, damit du auch im Überwachungsmodus reagieren kannst, wenn du es für nötig hältst.

Verfügbar im PRO-Plan. Konfigurierbar unter Login & 2FA → Anti-Entführung im SeenSecure-Panel.

👤 Eingeschränkte Konten

Das System für eingeschränkte Konten blockiert häufige oder gefährliche Benutzernamen, die Angreifer oft verwenden. Wenn eine IP mit mehreren eingeschränkten Namen zuzugreifen versucht, wird sie automatisch gesperrt und zur dauerhaften Blacklist hinzugefügt.

Standardmäßig gesperrte Benutzernamen

Sie können Namen zur Liste hinzufügen oder daraus entfernen. Änderungen werden sofort übernommen.

IP-Sperrschwellwert

Konfigurieren Sie, wie viele Versuche mit eingeschränkten Namen von derselben IP eine dauerhafte Blacklist-Sperre mit dem Grund login_blackname auslösen.

Zusammenfassung erkannter Versuche

Das Panel zeigt eine Übersichtstabelle mit den letzten Zugriffsversuchen unter Verwendung eingeschränkter Benutzernamen, einschließlich IP, versuchtem Namen, Datum/Uhrzeit und ob dies zu einer Sperre führte.

IPs auf der Blacklist durch login_blackname

Liste der IP-Adressen, die dauerhaft gesperrt wurden, weil sie den Schwellenwert für Versuche mit eingeschränkten Namen überschritten haben. Sie können sie manuell im Bereich Aktive Sperren entsperren.

🏢 Automatische ASN-Sperre (verteilte Angriffe) (PRO)

Ein verteilter Brute-Force-Angriff kommt nicht von einer einzigen IP: Der Angreifer mietet Dutzende IPs desselben Server- oder Proxy-Anbieters (desselben ASN) und probiert Benutzernamen und Passwörter, wobei er bei jedem Versuch die IP wechselt. Da jede IP es nur ein- oder zweimal versucht, erreicht keine das IP-Sperrlimit.

Dieser Schutz zählt die verschiedenen IPs jedes Anbieters, die innerhalb eines Zeitfensters bei der Anmeldung scheitern. Wird das Minimum erreicht, wird der gesamte Anbieter für die eingestellte Zeit gesperrt.

• Verschiedene IPs bis zur Sperre: standardmäßig 5 (2 bis 50).
• Zeitfenster: standardmäßig 10 Minuten (1 bis 120).
• Sperrdauer: standardmäßig 60 Minuten (5 Minuten bis 7 Tage). Danach wird sie automatisch aufgehoben.
• Was gesperrt wird: standardmäßig nur Login, XML-RPC und die eigene Anmelde-URL. Optional die gesamte Website.
• Jeder Fehlschlag zählt: falsches Passwort, CAPTCHA, Browser-Fingerabdruck, gesperrter Benutzername und XML-RPC.

Vorstufe: unsichtbare JS-Prüfung

Vor einer Sperre versucht SeenSecure etwas Sanfteres. Schon bei wenigen fehlgeschlagenen IPs (standardmäßig 2) wird der Anbieter überwacht: 60 Minuten lang erhalten alle seine IPs beim Öffnen von Login, wp-admin oder der eigenen Anmelde-URL eine unsichtbare Browserprüfung.

• Ein echter Browser löst sie in Millisekunden selbst (ein kleiner Arbeitsnachweis mit der Kryptografie des Browsers), und die Person sieht den Login wie gewohnt.
• Ein Skript-Bot (curl, Python…) führt kein JavaScript aus und bleibt bei der Prüfung hängen: Er sendet das Formular nicht einmal ab.
• Scheitern IPs, die die Prüfung bereits bestanden haben (Bots mit automatisiertem Browser wie Puppeteer oder Playwright), wird der Anbieter früher gesperrt, ohne auf 5 IPs zu warten.
• Anbieter mit kürzlich aktiven legitimen Benutzern werden nie gesperrt, nur überwacht.
• Gilt nicht für XML-RPC (von Apps genutzt, die sie nicht lösen können) und nicht für bereits angemeldete Benutzer. Im Monitor-Modus der Firewall wird sie nur protokolliert.

Anzeige unter IP-Verwaltung → ASN (Tabelle „Überwachte ASNs“ mit Schaltfläche „Überwachung beenden“) und im Traffic Log als asn_challenge. Einstellbar in derselben Karte (IPs für die Überwachung und Dauer).

Schutzmechanismen

• Der Anbieter von Benutzern, die sich in den letzten 30 Tagen erfolgreich angemeldet haben, wird nie gesperrt (auch nicht deiner).
• IPs der Whitelist werden nie gesperrt.
• Warum standardmäßig nur der Login: Ein ASN kann ein ganzer Netzbetreiber sein; wird nur die Anmeldung gesperrt, bleibt die Website für alle sichtbar.
• Im Monitor-Modus der Firewall wird protokolliert, aber nicht gesperrt.

Wo man es sieht und wie man entsperrt

Unter IP-Verwaltung → Gesperrte ASNs erscheint jeder gesperrte Anbieter mit Grund, Anzahl der angreifenden IPs, Umfang und Dauer, mit einer Schaltfläche Entsperren. Sperren und Entsperrungen stehen im Verlauf der IP-Verwaltung; auf Wunsch erhältst du eine E-Mail mit ASN, Anbieter und den IPs des Angriffs.

Echtes Beispiel

Im Oktober 2026 erhielt eine mit SeenSecure geschützte Website innerhalb weniger Minuten Anmeldeversuche von über 45 verschiedenen IPs, alle vom selben Proxy-Anbieter. Jede IP probierte genau einmal einen Wörterbuch-Benutzernamen (admin, wpadmin, root…). CAPTCHA und Browser-Fingerabdruck stoppten sie einzeln; mit diesem Schutz wird beim fünften verschiedenen Angreifer der ganze Anbieter gesperrt, und der Rest des Angriffs erreicht nicht einmal das Formular.

Einstellbar unter Login & 2FA → Gesperrte Konten.

🛡️ Aktive Sperren

Der Bereich Aktive Sperren zeigt alle derzeit aktiven temporären und dauerhaften Sperren. Ermöglicht die Verwaltung von Benutzern und IPs, die wegen verdächtiger Aktivitäten gesperrt wurden, mit Optionen zum manuellen Entsperren.

Sperrentabelle

Die Tabelle enthält die folgenden Spalten:

• Benutzer/IP: Gesperrter Benutzername oder IP-Adresse.

• Typ: Dauerhaft oder Temporär, gekennzeichnet mit einem Farbabzeichen.

• Grund: Grund für die Sperre (fehlgeschlagene Anmeldung, login_blackname usw.).

• Versuche: Anzahl der fehlgeschlagenen Versuche vor der Sperre.

• Gesperrt seit: Startdatum und -uhrzeit der Sperre.

• Läuft ab: Ablaufdatum (für temporäre Sperren).

Entsperren

Jede Tabellenzeile enthält einen "Entsperren"-Button mit Bestätigung. Beim Anklicken wird vor dem Entfernen der Sperre eine Bestätigung angefordert. Dies verhindert versehentliche Entsperrungen.

📊 Ereignisverlauf

Der Ereignisverlauf protokolliert alle Aktivitäten im Zusammenhang mit der Anmeldesicherheit: erfolgreiche und fehlgeschlagene Anmeldungen, temporäre und dauerhafte Sperren, manuelle Entsperrungen und Passwortänderungen. Bietet Filter und Paginierung für eine einfache Navigation.

Ereignistypen

Verfügbare Filter

• Ereignistyp: Dropdown zur Auswahl eines einzelnen Ereignistyps (oder "Alle").

• Benutzername: Textfeld zum Filtern nach einem bestimmten Benutzer.

• IP-Adresse: Textfeld zum Durchsuchen von Ereignissen einer bestimmten IP.

Paginiert & Anzeige

• Zeilen pro Seite: Auswahl mit Optionen 10, 20, 50, 100, 200.

• Clientseitige Paginierung: Die Seitennavigation erfolgt im Browser ohne Neuladen.

• Länderflaggen: Flaggen werden aus ISO-Ländercodes angezeigt, um die Herkunft der Ereignisse zu identifizieren.

🔑 Passwortrichtlinie

Erfordert ein mindestens robustes Passwort beim Erstellen oder Ändern — sowohl auf dem Bildschirm zum Zurücksetzen des Passworts als auch im WordPress-Benutzerprofil. Der Benutzer sieht in Echtzeit, während er tippt, welche Anforderungen noch fehlen — ohne dass das ursprüngliche WordPress-Formular verändert wird.

Konfigurierbare Anforderungen

Jede Anforderung ist unabhängig: nur die aktivierten werden verlangt.

Wo es angewendet wird

Es wird auf den beiden nativen WordPress-Bildschirmen geprüft, auf denen ein Passwort festgelegt wird: dem Bildschirm zum Zurücksetzen des Passworts (nach Anfrage über "Passwort vergessen?") und der Passwortänderung im Benutzerprofil im WordPress-Dashboard. Erfüllt das Passwort die aktivierten Anforderungen nicht, lehnt WordPress das Speichern mit einer Meldung ab, die genau angibt, was fehlt.

🔓 Geleakte Passwörter (PRO)

Beim Anlegen oder Ändern eines Passworts (im Profil, beim Hinzufügen eines Benutzers oder über „Passwort vergessen?“) prüft SeenSecure, ob es bereits in echten Datenlecks aufgetaucht ist, und lehnt es dann ab: „Dieses Passwort ist 23.547 Mal in Datenlecks aufgetaucht… Wähle ein anderes.“ Verwendet wird der öffentliche Dienst Pwned Passwords von Have I Been Pwned (über 900 Millionen Passwörter).

• Weltweiter Referenzdienst: Have I Been Pwned ist in Firefox (Mozilla Monitor) und den Passwortmanager 1Password integriert, und über 40 Regierungen, etwa das britische National Cyber Security Centre (NCSC), Australien oder Deutschland (CERT-Bund), nutzen ihn zur Überwachung ihrer Domains.
• Das Passwort verlässt nie deine Website (k-Anonymität): Sein SHA-1-Hash wird berechnet und nur die ersten 5 Zeichen werden gesendet, die Hunderte Passwörter teilen; der Vergleich erfolgt auf deinem Server und die Antworten sind aufgefüllt, damit nicht einmal ihre Größe etwas verrät.
• Antwortet der Dienst nicht, wird das Passwort zugelassen: Niemand wird wegen eines fremden Ausfalls blockiert.
• Optionen: ablehnen, wenn es mindestens N Mal vorkommt (1 = jedes geleakte, empfohlen), und für welche Rollen es gilt (keine markiert = alle).
• Ein Passwort testen: In der Karte lässt sich jedes Passwort prüfen, ohne es zu speichern.

Ergänzt die Passwortrichtlinien: Ein Passwort kann alle Anforderungen erfüllen („Sommer2023!“) und trotzdem auf den Listen von Credential-Stuffing-Angriffen stehen. Einstellung unter Login-Sicherheit → Passwortrichtlinien. Der Dienst ist kostenlos und braucht keinen Schlüssel.

🔧 Problembehandlung

Ein legitimer Benutzer oder eine legitime IP wurde gesperrt

Gehen Sie zu Login Security → Aktive Sperren: Dort sehen Sie die vollständige Tabelle mit Grund, Anzahl der Versuche und ob die Sperre temporär oder dauerhaft ist. Temporäre Sperren laufen von selbst ab; dauerhafte haben jeweils eine eigene "Entsperren"-Schaltfläche (mit Bestätigung, um versehentliches Entsperren zu vermeiden). Sie müssen weder warten noch die allgemeine Konfiguration ändern, um eine einzelne Person freizugeben.

Mein Team wird beim Testen des Logins ständig gesperrt

Prüfen Sie zuerst den Ereignisverlauf: Filtern Sie nach Ihrer IP, um zu bestätigen, wie viele echte fehlgeschlagene Versuche Sie erzeugen. Wenn die Sperre von einem eingeschränkten Benutzernamen kommt (Grund login_blackname), testen Sie wahrscheinlich mit einem generischen Testnamen (admin, test usw.) — verwenden Sie für Tests immer einen echten Benutzernamen. Wenn es an normalen fehlgeschlagenen Versuchen liegt, erhöhen Sie den Sperrschwellenwert oder tragen Sie Ihre IP in die Firewall-Whitelist ein, damit sie nicht auf das Limit angerechnet wird.

Häufig Gestellte Fragen

Müssen Sie bei temporären Sperren etwas tun? Nein, sie laufen automatisch ab. Nur dauerhafte (typischerweise durch einen eingeschränkten Benutzernamen) müssen manuell über Aktive Sperren entsperrt werden.

Was ist der Unterschied zwischen einer Sperre durch fehlgeschlagene Versuche und einer durch einen eingeschränkten Benutzernamen? Erstere zählt normale fehlgeschlagene Login-Versuche; letztere löst speziell aus, wenn jemand standardmäßig gesperrte Benutzernamen (wie "admin") ausprobiert, und ihr Schwellenwert pro IP wird separat konfiguriert.

Kann ich sehen, woher Anmeldeversuche kommen? Ja, der Ereignisverlauf und die Zusammenfassung erkannter Versuche zeigen IP, Datum/Uhrzeit und Landesflagge des Ursprungs jedes Versuchs.

Kann Anti-Sitzungsentführung die Sitzung von jemandem beenden, der reist oder ein VPN nutzt? Wenn der Modus auf "Blockieren" steht, ja — das ist erwartetes Verhalten: Sie beendet diese eine Sitzung, sobald ein Länderwechsel erkannt wird, was genau bei Reisen oder VPN-Wechsel passiert. Es ist keine Sperre des Kontos: Die Person muss sich einfach erneut normal anmelden. Wenn Sie lieber nur die Benachrichtigung ohne Sitzungsende möchten, verwenden Sie stattdessen den Modus "Monitor".

Betrifft die Passwortrichtlinie bereits bestehende Passwörter? Nein, sie wird nur beim Erstellen eines neuen Kontos oder beim aktiven Ändern eines Passworts geprüft. Ein altes Passwort, das die aktuellen Anforderungen nicht erfüllt, funktioniert weiterhin zum Anmelden, bis es geändert wird.

Warum wird kein Großbuchstabe/keine Zahl/kein Sonderzeichen verlangt, obwohl ich es aktiviert habe? Prüfe, ob sich die Haupt-Firewall (WAF) im Schutzmodus befindet: Ist sie im Monitor-Modus oder ausgeschaltet, wird die tatsächliche Anforderung deaktiviert (der Hinweis am Bildschirm wird weiterhin angezeigt, aber nur zur Orientierung).