Sie haben das Administrator-Passwort eines Windows in AWS verloren: was Sie tun können

Stellen Sie sich vor, morgen muss die Anwendung eines Kunden auf seinem Windows-Server aktualisiert werden, und beim Öffnen des Remotedesktops wird das Administrator-Passwort abgelehnt. Ein Techniker, der nicht mehr mitarbeitet, hat es gesetzt, oder es wurde "vorübergehend" geändert und niemand hat das neue notiert. Die Maschine liefert die Website weiter aus, aber niemand kommt hinein, um etwas zu tun: weder aktualisieren noch einen Fehler ansehen noch einen Dienst neu starten. Und in AWS gibt es keine Schaltfläche "Passwort vergessen?" und keinen Support, der für Sie hineingeht: Die Maschine gehört Ihnen, und der Schlüssel auch.

Diese Anleitung geht die Auswege durch, die Sie haben, vom einfachsten bis zum aufwendigsten, und endet mit dem einzigen, der immer funktioniert: vorher eine Notfalltür hinterlassen zu haben.

Schritt für Schritt

1. Prüfen Sie zuerst, ob Lightsail das Passwort noch kennt

   Wenn Lightsail eine Windows-Maschine erstellt, erzeugt es das Administrator-Passwort und speichert es. In der Lightsail-Konsole gibt es in der Maschine, Tab Verbinden, eine Schaltfläche zum Anzeigen des Standardpassworts. Hat es nie jemand geändert, haben Sie es dort und das Problem ist erledigt.

   Hat es jemand von innerhalb Windows geändert, bekommt Lightsail das nicht mit: Es zeigt weiter das alte an, das nicht mehr gilt. Sie merken es daran, dass der Remotedesktop es ablehnt.

2. In EC2: das offizielle Verfahren zum Zurücksetzen

   In EC2 gibt es ein automatisches Verfahren von AWS, AWSSupport-ResetAccess, innerhalb von Systems Manager. Sie finden es unter Systems Manager → Automation → Execute automation, suchen diesen Namen, geben die Maschine an und starten es. Was es tut, kurz gesagt: Es stoppt die Maschine, trennt ihre Festplatte, hängt sie an eine temporäre Hilfsmaschine, hinterlegt ein Programm, das beim Starten ein neues Passwort erzeugt, hängt die Festplatte wieder ein und startet. Das neue Passwort holen Sie danach mit dem privaten Schlüssel (.pem) der Maschine in der EC2-Konsole → Windows-Passwort abrufen.

   Beachten Sie zwei Dinge: Die Maschine ist einige Minuten gestoppt, und Sie brauchen den .pem-Schlüssel, mit dem sie erstellt wurde. Haben Sie auch den nicht, kann das Verfahren einen neuen erstellen, aber der Weg wird länger.

3. Wenn Sie einen anderen Administratorbenutzer haben, nutzen Sie ihn

   Bevor Sie etwas stoppen, überlegen Sie, ob noch jemand einen Benutzer mit Administratorrechten auf dieser Maschine hat. Damit in PowerShell als Administrator:

   net user Administrator NuevaContraseña-Larga-2026

   Und fertig. Das ist der schnellste Ausweg und der Grund, immer einen zweiten Administrator zu haben. Aber Vorsicht mit dem Mittel: Hat dieser zweite Benutzer ein Passwort, das in einem geteilten Dokument steht, haben Sie ein Problem gegen ein anderes getauscht.

4. Wenn nichts davon hilft: Snapshot und neue Maschine

   Der letzte Ausweg in Lightsail, wenn das Passwort geändert wurde und es keinen anderen Benutzer gibt: einen Snapshot der Maschine erstellen und daraus eine neue Maschine. Lightsail erzeugt für die aus dem Snapshot erstellte Maschine ein neues Administrator-Passwort, und Daten und Programme kommen aus der Kopie. Danach übertragen Sie die statische IP auf die neue Maschine und löschen die alte, sobald Sie geprüft haben, dass alles läuft.

   Das kostet Zeit: Der Snapshot dauert, die neue Maschine braucht zum Starten, und Sie müssen prüfen, dass die Dienste starten und DNS oder IP dorthin zeigen, wo sie sollen. Rechnen Sie mit einer guten Stunde und einem Ausfallfenster, und machen Sie es in Ruhe: Es ist der Moment, in dem man am leichtesten noch etwas anderes kaputt macht.

5. Und wenn es auch keinen Snapshot gibt: was Sie wissen müssen, bevor es passiert

   Das muss man offen ansehen. Der vorherige Schritt funktioniert nur, wenn ein Snapshot existiert oder aus der AWS-Konsole heraus erstellt werden kann. Wurde die Maschine gelöscht, ist die Festplatte beschädigt oder ist auch der Zugang zum AWS-Konto selbst verloren, gibt es nichts wiederherzustellen: Weder AWS noch sonst jemand kann in eine Maschine hinein, von der keine Kopie existiert. Verloren gehen die Anwendung, die Datenbank, die E-Mails, die Konfigurationen und die Jahre an Dateien, die darin lagen. Es gibt keinen technischen Dienst, den man anrufen kann.

   Das ist weder übertrieben noch ein seltener Fall: Es passiert jedes Jahr Unternehmen, die die Maschine für "etwas, das einfach läuft" hielten. Deshalb sind die beiden folgenden Punkte nicht optional.

6. Zugang wiederhergestellt: Richten Sie ein, was Ihnen das alles erspart hätte

   Drei Dinge, nach Wichtigkeit geordnet:

   1. Eine Notfalltür ohne Passwort. Aktivieren Sie den OpenSSH-Server von Windows (Einstellungen → Apps → Optionale Features → OpenSSH-Server; Windows Server 2025 bringt ihn installiert mit) und legen Sie einen Rettungs-Administratorbenutzer an, der nur von Ihrer eigenen Zertifizierungsstelle signierte Zertifikate akzeptiert, wie es die Anleitung zum Ersatzschlüssel erklärt. Dieser Benutzer hat kein Passwort, das man verlieren oder stehlen könnte.
   2. Ein Passwortmanager für das Administrator-Passwort, geteilt mit denen, die es kennen müssen, statt eines Dokuments oder einer E-Mail.
   3. Automatische Snapshots, jede Nacht, und möglichst eine Kopie in einer anderen Region. Wenn alles andere versagt, sind sie der einzige Unterschied zwischen einer Stunde Arbeit und dem Verlust von allem.

Was schiefgehen kann