Wifi Auth per PEAP-MSCHAPv2 - AD-Accounts geblockt nach PW-Änderung

N'Abend zusammen.

Vielleicht hat ja einer von euch ne zündende Idee...
Wir setzen Cisco Aironet-APs samt passenden WLCs ein, User dürfen sich von ihren Mobilgeräten (Schlaufons und Tablets oder private Rechner) aus mit ihren AD-Credentials im Wifi anmelden, klappt auch alles super (wird per RADIUS/NPS gemacht auf nem Server 2012R2). Einziges Manko:
User müssen nach n Tagen ihr AD-Passwort ändern, nach der Passwortänderung versuchen die o.g. Geräte aber weiterhin, sich mit dem "alten" Passwort am Wifi anzumelden. Führt unweigerlich zu geblockten AD-Accounts, wenn der User vergisst, das Passwort auch auf _allen!_ angemeldeten Mobilgeräten zu ändern.

Habe im Netz nur Infos gefunden, dass man per LDAP over SSL statt RADIUS einen Filter vorschalten kann, der eben den Account-Block verhindert; das löst aber das eigentliche Problem nicht. Davon abgesehen, dass man z.B. beim Windows Phone das Passwort gar nicht ändern kann, sondern das Wiif-Netz einmal löschen und sich komplett neu verbinden muss, hätte ich eigentlich erwartet, dass auf dem Gerät selbst ein Hinweis eingeblendet wird: Accountdaten ungültig oder sowas. Passiert aber bei keinem Gerät...

Wie löst ihr das?
EAP-TLS und Zertifikate scheiden als Lösungsmöglichkeit für diese Art Geräte leider aus.

Danke und frohe Ostern,
jsysde