# Statisches Dienstkennwort kontrolliert drehen
Typ: Checkliste
Herkunft: windows-server-administration / identity-service-accounts / windows-server-identity-rotate-seq
Version: windows-server-identity-rotate-seq-2026-08-30
Geprüft: 2026-08-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein Vendor-Dienst ist gMSA-inkompatibel und verwendet ein statisches Domänenkennwort. Das Kennwort muss kontrolliert rotiert werden, ohne den Betrieb zu gefährden. Die gMSA wäre der bevorzugte Weg, ist hier aber aus dokumentierten Gründen nicht möglich.

## Schritte
1. Jeden Speicherort des Secrets inventarisieren: Skripte, Konfigurationsdateien, Umgebungsvariablen, geplante Tasks.
2. Neues Secret oder neues Konto erstellen und Berechtigungen darauf granten.
3. Den Dienst auf das neue Secret konfigurieren.
4. Dienst neu starten und Funktion prüfen.
5. Altes Secret deaktivieren und aus allen Inventar-Einträgen entfernen.

## Begründung
Warum: Eine kontrollierte Rotation beginnt mit der Inventur aller Secret-Speicher. Das neue Secret wird aktiviert, bevor das alte deaktiviert wird. Das Starten mit Deaktivierung verursacht Ausfall.
Folgen: **+** Kein Ausfall durch vorzeitige Deaktivierung und vollständige Abdeckung aller Speicherorte. **−** Jeder vergessene Speicherort bleibt ein Risiko bis zur Bereinigung.

## Quellen
1. Group Managed Service Accounts overview — https://learn.microsoft.com/en-us/windows-server/security/group-managed-service-accounts/group-managed-service-accounts-overview
2. Secrets Management Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html