AD Passwort Richtlinie ändern - best practice

Hallo zusammen,

ich habe eine Frage bzgl. der Änderung der Passwort Richtlinie in einer reinen Windows-Umgebung. Wir haben die Kennwort Richtlinie, wie vermutlich die meisten, in der Default Domain Policy global festgelegt. Aufgrund eines Artikels vom BSI, der auch von sämtlichen Magazinen wie heise.de zitiert wurde (müsste von 2019 sein), habe ich meine Kollegen und den DSB dazu befragt, ob wir die Richtlinie nicht ändern wollen. Ziel des ganzen soll es sein, die Komplexität auf das Maximum vom Windows Server 2012 R2 anzuheben und stattdessen die Änderung im 90-Tage-Zyklus zu beenden.
Nun stellen wir uns aktuell die Frage wie wir das ganze angehen, ohne dass alle Benutzer am Stichtag X ihr Kennwort ändern müssen.
Ein Kollege hat diese Anleitung dazu im Netz gefunden:

"Wenn Du auch die neue min. Länge erzwingen willst, deswegen aber nicht bei allen Konten die sofortige Kennwortänderung erzwingen willst, dann mach es in 2 Schritten:

• nur die min. Länge ändern
• die alte Passwortablaufzeitspanne abwarten (z.B. 90 Tage, oder was bei Euch eingestellt ist)
• den Passwortablauf abschalten
• alle Konten identifizieren, welche seit dem Datum der Änderung der min. Länge noch nicht das Passwort geändert haben und bei diesen die Änderung das Passworts bei nächster Anmeldung erzwingen"

Klingt für mich an sich auch recht logisch.
Hat jemand diese Änderung bereits vollzogen und kann mir das so bestätigen oder hat jemand einen besseren Vorschlag bzw. kennt mögliche Fallen in dieser Vorgehensweise?

Kann ich diese Vorgehensweise - in der Live-Umgebung - mit einer kürzen Gültigkeit der Passwörter, mit ein paar Testusern simulieren und wenn ja wie? Eigene OU, Vererbung beenden und hier eine eigene Richtlinie erstellen?


Ich freue mich auf ein paar gute Tipps.