Passwortrichtlinie #

Die App legt fest, wie Passwörter aussehen müssen: für Benutzerkonten und für Passwörter öffentlicher Links. Dazu kommen ein Passwortverlauf, Ablauffristen mit Erinnerung und eine Höchstlaufzeit für öffentliche Links. Sie ist für Instanzen gedacht, die Mindestanforderungen an Passwörter durchsetzen müssen.

Voraussetzungen #

Installation #

In der Weboberfläche: im App-Menü links oben Markt öffnen, nach „Password Policy“ suchen und Installieren klicken.

Auf der Kommandozeile:

sudo -u www-data php8.4 occ market:install password_policy

market:install lädt die App, installiert sie und schaltet sie ein. Ist die App schon vorhanden und nur abgeschaltet, genügt:

sudo -u www-data php8.4 occ app:enable password_policy

Für Server ohne Internetzugang siehe Apps und Marketplace.

Einrichtung #

Die Regeln stehen unter Einstellungen → Administration → Sicherheit, Abschnitt Richtlinien für Passwörter und öffentliche Links. Jede Regel hat ein Ankreuzfeld, die meisten zusätzlich einen Wert. Ohne Haken wirkt der Wert nicht. Nach der Installation ist keine Regel eingeschaltet; die Spalte „Vorgabe“ nennt den vorbelegten Wert. Speichern übernimmt die Einstellungen.

Mindestanforderungen für Konten und öffentliche Links #

Bei Klein- und Großbuchstaben, Zahlen und Sonderzeichen ist der Wert eine Mindestanzahl. Die Mindestlänge zählt Zeichen, nicht Bytes.

Richtlinien für Benutzerkonten #

Die Erinnerung muss vor dem Ablauf liegen: Ist die Erinnerungsfrist gleich lang oder länger als die Ablauffrist, verschickt der Hintergrund-Job nichts und schreibt eine Warnung ins Protokoll.

Ein abgelaufenes Passwort deaktiviert das Konto nicht. Bei der nächsten Anmeldung im Browser verlangt owncloud.online ein neues Passwort, erst danach geht es weiter.

Das Alter eines Passworts kennt die App erst, wenn es bei eingeschalteter App gesetzt wurde. Passwörter aus der Zeit davor laufen deshalb erst ab, nachdem das Konto sein Passwort einmal geändert hat. Wer sofort einen Wechsel verlangen will, verwendet occ user:expire-password (siehe unten).

Richtlinien für das Ablaufdatum von öffentlichen Links #

Greift eine dieser Regeln, braucht der öffentliche Link ein Ablaufdatum: die erste Regel bei Links mit Passwort, die zweite bei Links ohne. Ein späteres Datum als erlaubt lehnt owncloud.online ab. Mit getrennten Fristen dürfen Links mit Passwort länger gelten als Links ohne. Diese Regeln wirken zusätzlich zu den Freigabe-Einstellungen des Kerns; es gilt die strengere Regel, siehe Freigaben steuern.

Werte auf der Kommandozeile setzen #

Ein Haken wird als on gespeichert. Setzen Sie Schalter per occ deshalb immer auf on; zum Abschalten löschen Sie den Schlüssel:

sudo -u www-data php8.4 occ config:app:set password_policy spv_min_chars_checked --value=on
sudo -u www-data php8.4 occ config:app:set password_policy spv_min_chars_value --value=12
sudo -u www-data php8.4 occ config:app:delete password_policy spv_min_chars_checked

Ausnahme: spv_user_password_expiration_notification_value speichert die Erinnerungsfrist in Sekunden, nicht in Tagen. 30 Tage sind 2592000.

Passwort eines Kontos sofort ablaufen lassen #

# Passwort von alice läuft sofort ab
sudo -u www-data php8.4 occ user:expire-password -u alice

# zu einem festen Zeitpunkt
sudo -u www-data php8.4 occ user:expire-password "2026-12-31 12:00:00 CET" -u alice

# alle Mitglieder einer Gruppe
sudo -u www-data php8.4 occ user:expire-password -g vertrieb

Der Befehl funktioniert nur, wenn die Regel Tage bis Benutzer-Passwörter ablaufen eingeschaltet ist. --all erfasst alle Konten, die ihr Passwort in owncloud.online ändern können.

Nutzung #

Benutzer bemerken die Richtlinie an drei Stellen:

• Beim Ändern des Passworts und beim Setzen eines Link-Passworts erklärt eine Meldung, welche Regel verletzt ist, zum Beispiel „Das Passwort ist zu kurz. Es muss aus mindestens 12 Zeichen bestehen.“
• Vor dem Ablauf, sofern die Erinnerung eingeschaltet ist, und nach dem Ablauf erscheint eine Benachrichtigung mit dem Knopf Passwort ändern. Mit der Standardeinstellung der App Benachrichtigungen geht sie zusätzlich per E-Mail an die Adresse des Kontos.
• Nach dem Ablauf oder beim ersten Login führt die Anmeldung auf eine Seite, auf der das neue Passwort gesetzt wird.

Grenzen und Hinweise #

• Die Regeln gelten für lokale Konten, also Konten, die Administratoren anlegen, und Gastkonten. Konten aus LDAP oder anderen Benutzer-Backends sind ausgenommen; dort gelten die Regeln des Verzeichnisdienstes.
• Neue Anforderungen an den Aufbau eines Passworts gelten ab der nächsten Passwortänderung. Bestehende Passwörter bleiben gültig.
• Wird die App auf einer Datenbank mit der Vorgänger-App security zum ersten Mal eingeschaltet, übernimmt sie deren Regeln (Mindestlänge, Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen). Eigene Werte überschreibt sie nie. Die übernommenen Regeln gelten danach auch für Passwörter öffentlicher Links. Die Übernahme steht im Serverprotokoll.
• Sehr strenge Regeln führen oft zu notierten Passwörtern. Die Richtlinie NIST SP 800-63B empfiehlt Länge statt Zeichenklassen und einen erzwungenen Wechsel nur bei begründetem Verdacht.

Fehlersuche #