User Kennwort in AD abgelaufen, kann jedoch bei Anmeldung kein neues erstellen

[heuchler 17]

Grüße zusammen,

ich wende mich mal mit diesem seltsamen Problem an euch. Es verfolgt mich nämlich jetzt schon einige Monate.
Eckdaten: Zwei DCs auf Server 2019 Datacenter, aktuell gepatcht.
Domänenfunktionsebene: 2016
Das Problem: es existieren die Standard Kennwortrichtlinien, seit eh und je. Die Richtlinie wurde auch seit über einem Jahr nicht angefasst.
Die User wurden alle 90 Tage aufgefordert ihr Kennwort zu wechseln.
Soweit so gut. Dass manche es vergessen haben und sich dann nicht via SSO-VPN Tunnel verbinden konnten, war klar und liegt im Rahmen.

Aber jetzt gibt es folgenden Fall:

90 Tage sind um, Kennwort ist abgelaufen.

"User" meldet sich an und soll direkt das Kennwort ändern. Das neue Kennwort ist allerdings "ungültig"!
Ich muss dann erst im AD in den jeweiligen User, dort den Haken setzen bei "Kennwort läuft nie ab".
Dann muss er sich mit dem alten Kennwort anmelden und via STRG+ALT+Entf sein neues Kennwort vergeben. Dann nehme ich den Haken wieder raus.

Anbei mal noch ein Screenshot eines Users. Mich irritiert hier die Zeile "Kennwort änderbar". Heißt es "ab" diesem Datum, oder nur "bis" zu diesem Datum?

Ich nehme jegliche Tipps gerne entgegen

Danke euch!

[NorbertFe 2.061]

Welchen patchstand haben deine dcs? Mit  dem März Update gabs da Probleme beim Passwort Wechsel. Ich meine, dass das mit den April Updates behoben wurde.

[heuchler 17]

vor einer Stunde schrieb NorbertFe:

Welchen patchstand haben deine dcs? Mit  dem März Update gabs da Probleme beim Passwort Wechsel. Ich meine, dass das mit den April Updates behoben wurde.

Das Update von April blieb noch aus... hab's nun mal installiert. KB5012636
Mal schauen was sich in den nächsten zwei, drei Tagen ergibt.
Danke Dir!