Das sehe ich anders. Wir wissen, dass viele User bei verschiedenen Diensten immer die gleichen Passwörter nutzen. Und daher ist die Wahrscheinlichkeit, dass die User auch das Firmenpasswort dann für GMX oder irgendeinen Trotteldienst, der dann die Passwörter verschlampt, nutzen, recht groß. Das kannst du als IT nicht verhindern. Mit so einer 90 Tage-Regel verbrennst du so die Standard-Passwörter deiner User. Sie setzen ihr Standard-PW und dann müssen sie es ändern. Verkackt Kokstaxi.de das mit der IT-Sicherheit, dann ist halt das CRM-Passwort vom Vertriebsleiter halt nach 90 Tagen nicht das dortige. Das ist nicht perfekt, aber verhindert schon einiges an automatisierten Attacken.