The password expiry feature has expired!

Link to the BSI Germany Baseline Protection (Grundschutz) mentioning password expiry and handling in the Grundschutz Compendium (2023 edition) section ORP.4.A23:
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grund...

Quoting the relevant part of the document:
> ORP.4.A23 Regelung für passwortverarbeitende Anwendungen und IT-Systeme (B) [IT-Betrieb]
> IT-Systeme oder Anwendungen SOLLTEN NUR mit einem validen Grund zum Wechsel des Passworts auffordern. Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden. Es MÜSSEN Maßnahmen ergriffen werden, um die Kompromittierung von Passwörtern zu erkennen. Ist dies nicht möglich, so SOLLTE geprüft werden, ob die Nachteile eines zeitgesteuerten Passwortwechsels in Kauf genommen werden können und Passwörter in gewissen Abständen gewechselt werden.
Sadly, the phrasing in the 2023 edition for "do not perform time-based password expiry" is using a "SHOULD", not a "SHALL".

Fortunately, there is a newer version destined to be used for the next Grundschutz++ edition (link to JSON in OSCAL format):
https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/...
Quoting from the relevant part of the document:
> 5. Anlassbezogene Passwortwechsel
> Diese Regelung legt fest, dass Passwörter nicht in festen Zeitabständen gewechselt werden. Ein Passwortwechsel wird ausschließlich anlassbezogen durchgeführt, insbesondere bei Verdacht auf Kompromittierung, nach festgestellter Weitergabe an unbefugte Dritte, bei einschlägigen Treffern in Leak-Datenbanken, nach Phishing-Vorfällen oder bei technischen Indikatoren für einen möglichen Missbrauch des Zugangs.
This newer version is clearly stating that only event-based password expiry is allowed. No exceptions.

BSI also has a press release covering this topic: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitt...