Überblick
Eine solide Kennwort-Alterungsstrategie bildet das Fundament eines gehärteten Linux-Systems. Mit dem Administrationswerkzeug chage (Change Age) steuern Systemverantwortliche präzise, wie lange Benutzerpasswörter gültig bleiben, wann Vorwarnungen erfolgen und ab welchem Zeitpunkt inaktive Konten automatisch gesperrt werden. Dieser Praxisleitfaden führt Sie Schritt für Schritt durch das Regelwerk: von der Einrichtung eines Testbenutzers über die Konfiguration individueller Ablaufzyklen bis hin zum erzwungenen Passwortwechsel bei der Erstanmeldung.
1. Testbenutzer einrichten und bestehende Ablaufdaten abfragen (chage -l)
Um Sicherheitsrichtlinien gefahrlos zu erproben, legen wir zunächst ein isoliertes Übungskonto namens testuser an, sofern dieses noch nicht existiert.
Anschließend wird dem neuen Account über das Tool chpasswd ein temporäres Kennwort zugewiesen.
Das Dienstprogramm chage dient der granularen Steuerung aller Verfalls- und Alterungsparameter von Benutzerkonten (gespeichert in /etc/shadow).
Über den Schalter -l lassen sich die aktuellen Einstellungen und Fristen des Kontos testuser vollständig einsehen.
⚙️ [Wichtigste Parameter im Überblick]
-l : Listet alle aktuellen Verfallsdaten und Alterungsparameter des Kontos auf.-m : Definiert die Mindestanzahl an Tagen, die zwischen zwei Passwortänderungen vergehen müssen.-M : Legt die maximale Gültigkeitsdauer eines Kennworts in Tagen fest.-W : Bestimmt die Vorwarnzeit in Tagen, bevor ein Kennwort abläuft.-I : Gibt die Kulanzfrist (in Tagen) an, nach deren Ablauf ein überfälliges Konto gesperrt wird.-E : Setzt ein absolutes Verfallsdatum, an dem das Benutzerkonto vollständig deaktiviert wird.-d : Aktualisiert das Datum der letzten Kennwortänderung.
2. Gültigkeitsdauern und Warnfristen konfigurieren (-m, -M, -W)
Um zu verhindern, dass Passwörter zu schnell hintereinander rotiert werden oder jahrelang unverändert bleiben, setzen wir für testuser eine Mindesthaltedauer von 7 Tagen (-m 7), eine Maximallebensdauer von 90 Tagen (-M 90) sowie eine Vorwarnzeit von 14 Tagen (-W 14) fest.
Diese Regelung erzwingt eine vierteljährliche Erneuerung und schützt gleichzeitig davor, dass Anwender Passwortänderungen sofort durch Rücksetzen austricksen.
Mittels -l überprüfen wir nun, ob das System die neuen Schwellenwerte für testuser korrekt übernommen hat.
Die Terminalausgabe bestätigt die Mindestfrist (7), das Ablaufmaximum (90) sowie das Warnfenster (14) zusammen mit dem neu berechneten Verfallsdatum.
3. Gesamtkonto-Ablaufdatum und Inaktivitätsfrist definieren (-E, -I)
Zeitlich befristete Zugänge – etwa für externe Dienstleister – verlangen oft nach einem verbindlichen Enddatum. Wir begrenzen das Konto testuser auf den 31. Dezember 2026 (-E 2026-12-31) und gewähren nach Ablauf des Kennworts eine Kulanzzeit von 7 Tagen (-I 7), bevor das Login endgültig deaktiviert wird.
Auf diese Weise werden verwaiste Zugänge nach Projektabschluss verlässlich abgeriegelt.
Erneut nutzen wir den Schalter -l, um die Wirksamkeit der Richtlinienanpassung zu verifizieren.
Die Auswertung zeigt deutlich, dass sowohl das absolute Sperrdatum (Account expires : Dec 31, 2026) als auch der Deaktivierungszeitpunkt bei versäumtem Kennwortwechsel (Password inactive : Jan 21, 2027) exakt greifen.
4. Sofortigen Passwortwechsel erzwingen und Umgebung bereinigen (-d 0)
Wird ein Konto mit einem initialen Standardpasswort versehen, sollte der Nutzer direkt beim ersten Login ein eigenes Kennwort vergeben müssen. Durch das Setzen des Änderungsdatums auf 0 (-d 0) signalisieren wir dem System, dass das Kennwort abgelaufen ist.
Damit wird das Sicherheitsrisiko durch bekannte Standardpasswörter minimiert.
Ein abschließender Prüfaufruf mit -l macht die Wirkung sofort sichtbar.
In den Zeilen Last password change und Password expires erscheint der Vermerk password must be changed, sodass der Anmeldedialog den Benutzer unweigerlich zur Eingabe eines neuen Kennworts auffordert.
Nach Abschluss der Übungen entfernen wir den temporären Benutzer testuser mitsamt seinem Home-Verzeichnis rückstandslos über den Befehl userdel -r.
Das Kommando chage erweist sich als unverzichtbares Bordmittel, um Benutzerkonten und Kennwortlebenszyklen unter Linux zuverlässig zu steuern.
Integrieren Sie diese Richtlinien in Ihre Serverkonfiguration, um Ihr System effektiv vor unbefugten Zugriffen durch veraltete Zugangsdaten zu schützen.