Das ist ja nur logisch, dass ich mich bei verfallenem Kennwort halt nicht anmelden kann. Da gibts auch kein API.
Alternativ muss man sich mit einem *SECOFR-Profil anmelden (versteckt) und kann dann per CHGUSRPRF ebenso Kennwörter zurücksetzen, Profile aktivieren usw.