Active Directory auf einem Windows Server 2025 VPS installieren

Active Directory Domain Services, meist als AD DS abgekürzt, zentralisiert Benutzer, Computer, Kerberos-Authentifizierung, Gruppenrichtlinien und den Ressourcenzugriff einer Organisation. Der Dienst kann auf einem Windows-Server-VPS laufen, sofern Sie den Domänencontroller als kritische Komponente behandeln und nicht als gewöhnlichen, ins Internet gestellten Windows-Server.

Diese Anleitung zeigt, wie Sie unter Windows Server 2025 eine neue Gesamtstruktur ad.example.com erstellen, DNS konfigurieren, einen Arbeitsplatzrechner aufnehmen, einen zweiten Domänencontroller hinzufügen, den Dienst absichern und die Wiederherstellung vorbereiten. Zu jedem PowerShell-Befehl gehört eine Kontrolle, mit der Sie den Schritt überprüfen können.

Vorgehen und Prüfumfang

Die Angaben dieser Anleitung wurden am 29. August 2026 mit der Microsoft-Dokumentation zu Windows Server 2025 sowie mit den OuiHeberg-Seiten zu Windows-VPS, Firewall und Sicherungen abgeglichen. Die Befehle wurden mit den offiziellen PowerShell-Referenzen verglichen. Führen Sie das Verfahren vor dem Produktiveinsatz dennoch auf einem Test-VPS aus: Adressierung, Netzwerkschnittstellen, Firewallregeln und Sicherungssystem hängen von Ihrer eigenen Infrastruktur ab.

Diese Anleitung erstellt eine neue Gesamtstruktur. Um einen Controller zu einer bestehenden Domäne hinzuzufügen, eine ältere Domäne zu migrieren oder einen Controller mit FSMO-Rollen zu ersetzen, brauchen Sie einen eigenen Migrationsplan. Eine Heraufstufung in einer bestehenden Umgebung darf nie improvisiert werden.

Active Directory, Domäne und Domänencontroller: die Unterschiede

AD DS ist der Verzeichnisdienst. Die Domäne ist eine logische Grenze, die Objekte, Richtlinien und einen DNS-Namensraum enthält. Der Domänencontroller, kurz DC, ist ein Server, der eine Kopie des Verzeichnisses vorhält und Authentifizierungsanfragen beantwortet.

In unserem Beispiel:

Element	Beispielwert	Funktion
AD-DNS-Domäne	`ad.example.com`	interner Namensraum der Gesamtstruktur
NetBIOS-Name	`EXAMPLE`	Kurzname für die Kompatibilität mit älteren Verfahren
Erster Controller	`DC01.ad.example.com`	AD DS, DNS, globaler Katalog und anfängliche FSMO-Rollen
Private Adresse von DC01	`10.50.0.10`	Adresse, die Domänenmitglieder verwenden
Zweiter Controller	`DC02.ad.example.com`	Redundanz für AD DS und DNS
Private Adresse von DC02	`10.50.0.11`	zweiter DNS-Server der Clients

AD DS ist nicht Microsoft Entra ID. Entra ID ist ein Cloud-Identitätsdienst, der vor allem auf Microsoft 365 und moderne Anwendungen zielt. AD DS liefert die klassischen Windows-Domänenprotokolle, darunter Kerberos, LDAP, integriertes DNS und Gruppenrichtlinien. Beide Technologien lassen sich verbinden, die eine ersetzt die andere aber nicht automatisch.

Kann man einen Domänencontroller wirklich auf einem VPS betreiben?

Ja, Windows Server unterstützt virtualisierte Domänencontroller. Entscheidend ist nicht die Frage „physisch oder virtuell“, sondern wie der Dienst isoliert, gesichert und verfügbar gehalten wird.

Einsatz	Mindestarchitektur	Bewertung
Schulung oder Labor	ein VPS, eine Testdomäne, Zugang über VPN	vertretbar, wenn der Verlust der Domäne hinnehmbar ist
Kleiner Produktivbetrieb	zwei DC/DNS auf zwei VPS und möglichst auf zwei getrennten Hosts oder Standorten	sinnvolles Minimum, um einen Single Point of Failure zu vermeiden
Kritischer Produktivbetrieb	mindestens zwei DCs, mehrere Ausfallzonen, Sicherungen außerhalb des Servers und ein getestetes Wiederanlaufverfahren	empfohlen
DC mit AD-Ports offen im ganzen Internet	ein öffentlicher VPS ohne VPN	unbedingt zu vermeiden

Ein einzelner Controller kann funktionieren, doch sein Ausfall macht neue Authentifizierungen, interne DNS-Abfragen und viele Verwaltungsvorgänge unmöglich. Zwischengespeicherte Windows-Anmeldeinformationen erlauben unter Umständen noch einzelne Anmeldungen, ohne dass die Domäne wirklich betriebsbereit wäre.

Voraussetzungen

System und Ressourcen

Sie benötigen ein aktuelles Windows Server 2025 Standard oder Datacenter, ein lokales Administratorkonto, eine feste IP-Adresse für die private oder VPN-Schnittstelle von Active Directory, einen tatsächlich registrierten öffentlichen Domänennamen wie example.com, eine für AD reservierte interne Subdomäne wie ad.example.com, einen eingeschränkten RDP-Zugang oder eine Notfallkonsole sowie ein Sicherungsziel getrennt von der Systemfestplatte.

Als Ausgangspunkt sollten Sie 2 vCPU und 4 GB RAM für ein sehr kleines Labor einplanen, für einen kleinen produktiven Controller eher 4 vCPU, 8 GB RAM und 80 GB SSD-Speicher. Das sind keine allgemeingültigen Microsoft-Mindestwerte: Die Dimensionierung hängt von der Zahl der Objekte, der Häufigkeit der Authentifizierungen, von DNS, den Protokollen und der Sicherheitssoftware ab. Microsoft veröffentlicht eine Methode zur Kapazitätsplanung für AD DS.

Unsere Windows-VPS werden mit vollem Administratorzugang ausgeliefert. Prüfen Sie beim Bestellen die Produktseite, da sich Versionen und Merkmale ändern können.

Privates Netzwerk oder VPN

Der Controller braucht eine stabile Adresse, die für Domänenmitglieder erreichbar ist, zum Beispiel 10.50.0.10. Diese Adresse kann aus einem privaten Netzwerk zwischen VPS stammen, aus einem Site-to-Site-VPN zwischen Unternehmen und VPS, aus einem dauerhaften VPN-Tunnel auf jedem Mitgliedsrechner oder aus einer Kombination dieser Ansätze.

Ein entfernter Arbeitsplatz muss den Tunnel vor der Windows-Anmeldung aufbauen können, wenn er die Domäne bereits am Anmeldebildschirm erreichen soll. Ein VPN, das erst nach der Benutzeranmeldung startet, genügt nicht für alle Szenarien mit Kerberos, Gruppenrichtlinien und Erstanmeldung.

1. Den Namen der Active-Directory-Domäne richtig wählen

Verwenden Sie eine Subdomäne eines Namens, den Ihre Organisation kontrolliert:

ad.example.com
corp.example.com
internal.example.com

Vermeiden Sie einen einteiligen Namen wie FIRMA, eine erfundene Endung wie .lan, die Endung .local, die der mDNS-Standard für Link-Local-Zwecke reserviert und die deshalb mehrdeutige Auflösungen erzeugen kann, sowie die nackte öffentliche Domäne example.com, wenn Ihre Website und Ihre Internetdienste bereits dieselbe Zone nutzen und Sie Split-DNS nicht beherrschen.

Microsoft empfiehlt, die obere DNS-Ebene zu registrieren oder eine Subdomäne eines bereits registrierten Namens zu verwenden, um Kollisionen zu vermeiden. Siehe die Microsoft-Empfehlungen zu AD-Domänennamen und RFC 6762, die Namen mit der Endung .local eine besondere Bedeutung zuweist.

Der NetBIOS-Name bleibt auf 15 Zeichen begrenzt. Für ad.example.com verwenden wir EXAMPLE.

2. Den VPS vor der Heraufstufung vorbereiten

Melden Sie sich per RDP an, öffnen Sie PowerShell als Administrator und erfassen Sie zunächst die aktuelle Konfiguration:

Get-ComputerInfo |
    Select-Object WindowsProductName, WindowsVersion, OsBuildNumber

Get-NetIPConfiguration
Get-NetAdapter
Get-DnsClientServerAddress
Get-NetFirewallProfile |
    Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction

Bewahren Sie diese Angaben in Ihrer Betriebsdokumentation auf. Ein Fehler bei Gateway, Präfix oder Schnittstelle kann die RDP-Verbindung sofort unterbrechen.

Updates installieren

Installieren Sie die verfügbaren Windows-Updates und starten Sie neu, bevor Sie AD DS hinzufügen. Unsere Anleitung zu den ersten Schritten mit einem Windows-VPS beschreibt die erste Verbindung und Windows Update.

Nach dem Neustart:

Get-HotFix |
    Sort-Object InstalledOn -Descending |
    Select-Object -First 10

Den Server umbenennen

Wählen Sie vor der Heraufstufung einen dauerhaften Namen:

Rename-Computer -NewName "DC01" -Restart

Melden Sie sich nach dem Neustart erneut an und prüfen Sie mit hostname. Einen Controller nach der Inbetriebnahme umzubenennen, ist in manchen Szenarien möglich, für eine erste Bereitstellung aber unnötig riskant.

3. Die Adressierung festlegen, ohne den Zugang zum VPS zu verlieren

Ein Domänencontroller darf seine Adresse nicht mit einer DHCP-Lease wechseln. Auf einem VPS ist die öffentliche IPv4-Adresse meist bereits reserviert, die Art der Konfiguration hängt jedoch vom Anbieter ab. Ersetzen Sie Adresse, Präfix oder Gateway niemals durch die folgenden Beispiele.

So zeigen Sie die aktuellen Werte an:

Get-NetIPConfiguration -All
Get-NetIPAddress -AddressFamily IPv4 |
    Sort-Object InterfaceIndex
Get-NetRoute -DestinationPrefix "0.0.0.0/0"

Die Microsoft-Syntax zum Anlegen einer festen Adresse lautet:

# SYNTAXBEISPIEL: Ersetzen Sie jeden Wert durch die tatsächlich zugewiesenen Werte.
New-NetIPAddress `
    -InterfaceAlias "Ethernet" `
    -IPAddress "<ZUGEWIESENE_IP>" `
    -PrefixLength <PRAEFIX> `
    -DefaultGateway "<GATEWAY>"

Ist die öffentliche Adresse bereits korrekt konfiguriert, legen Sie sie nicht erneut an.

Empfohlener Fall: getrennte öffentliche und private Schnittstelle

Angenommen, eine Schnittstelle Ethernet Public trägt die öffentliche IPv4-Adresse für die eingeschränkte Verwaltung, und eine Schnittstelle AD-Private trägt die von AD DS und DNS genutzte Adresse 10.50.0.10.

Prüfen Sie zuerst die genauen Namen:

Get-NetAdapter |
    Select-Object Name, InterfaceDescription, Status, MacAddress

Verhindern Sie, dass die öffentliche Adresse in der DNS-Zone der Domäne veröffentlicht wird:

Set-DnsClient `
    -InterfaceAlias "Ethernet Public" `
    -RegisterThisConnectionsAddress $false

Set-DnsClient `
    -InterfaceAlias "AD-Private" `
    -RegisterThisConnectionsAddress $true

Microsoft dokumentiert diese Vorsichtsmaßnahme für mehrfach vernetzte Controller, deren eine Schnittstelle nicht im DNS registriert werden soll. Prüfen Sie nach der Heraufstufung, ob ein unerwünschter A-Eintrag zurückgeblieben ist, und löschen Sie ihn.

Das Client-DNS des künftigen DC konfigurieren

Für den ersten und einzigen DNS-Server der neuen Domäne richten Sie die private Schnittstelle auf ihre eigene stabile Adresse aus:

Set-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -ServerAddresses "10.50.0.10"

Get-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -AddressFamily IPv4

Diese Einstellung ersetzt die eventuell per DHCP zugewiesenen DNS-Server auf dieser Schnittstelle. Nach der Installation löst der lokale DNS-Dienst die AD-Zone auf und leitet übrige Anfragen an Weiterleitungsserver. Siehe die DNS-Empfehlungen von Microsoft für Domänencontroller.

4. Die Rolle AD DS installieren

Öffnen Sie PowerShell als Administrator:

Install-WindowsFeature `
    -Name AD-Domain-Services `
    -IncludeManagementTools

Prüfen Sie das Ergebnis:

Get-WindowsFeature AD-Domain-Services |
    Select-Object Name, InstallState

InstallState muss Installed lauten.

Dieser Schritt installiert die Rollendateien, macht den Server aber noch nicht zum Domänencontroller. Seit Windows Server 2012 sind Rolleninstallation und Heraufstufung zwei getrennte Vorgänge; dcpromo.exe ist nicht mehr das Mittel der Wahl. Das aktuelle Verfahren beschreibt Install Active Directory Domain Services.

5. Die Voraussetzungen prüfen, dann die Gesamtstruktur erstellen

Laden Sie das Bereitstellungsmodul und starten Sie mit der Voraussetzungsprüfung:

Import-Module ADDSDeployment

Test-ADDSForestInstallation `
    -DomainName "ad.example.com" `
    -InstallDNS

Der Test prüft, ob der Server die Gesamtstruktur erstellen kann, ohne die Heraufstufung durchzuführen. Beheben Sie blockierende Fehler, bevor Sie fortfahren.

Das DSRM-Kennwort wählen

Mit dem Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus (DSRM) öffnen Sie eine Wiederherstellungssitzung, wenn AD DS nicht gestartet ist. Es muss sich vom Kennwort des Domänenadministrators unterscheiden, lang und zufällig sein, im Kennworttresor der Organisation liegen und den für den Wiederanlauf zuständigen Personen zugänglich sein.

Die Gesamtstruktur erstellen

$DsrmPassword = Read-Host `
    "DSRM-Kennwort" `
    -AsSecureString

Install-ADDSForest `
    -DomainName "ad.example.com" `
    -DomainNetbiosName "EXAMPLE" `
    -InstallDNS `
    -SafeModeAdministratorPassword $DsrmPassword `
    -NoRebootOnCompletion:$false `
    -Force

Install-ADDSForest erstellt die Stammdomäne, installiert standardmäßig DNS, initialisiert SYSVOL und startet den Server neu. Die Microsoft-Referenz des Cmdlets beschreibt alle Parameter.

Für eine Gesamtstruktur, die ausschließlich aus Windows-Server-2025-Controllern besteht, können Sie die höchste Funktionsebene verwenden. Beachten Sie jedoch: Die Ebene 2025 lässt nur Windows Server 2025 als Betriebssystem eines Domänencontrollers zu. Bleiben Sie auf Ebene 2016, wenn Sie noch DCs unter 2016, 2019 oder 2022 hinzufügen können müssen. Siehe die offizielle Matrix der AD-DS-Funktionsebenen. Wenn Sie die Ebenenparameter nicht angeben, ermittelt das Modul Standardwerte; überprüfen Sie diese nach der Heraufstufung, statt sie vorauszusetzen.

Entsprechender grafischer Weg

Manage > Add Roles and Features;
wählen Sie Active Directory Domain Services;
installieren Sie die Rolle und die Werkzeuge;
klicken Sie auf die Benachrichtigung, dann auf Promote this server to a domain controller;
wählen Sie Add a new forest;
geben Sie ad.example.com ein;
behalten Sie DNS und globalen Katalog bei und legen Sie das DSRM-Kennwort fest;
prüfen Sie NetBIOS-Namen, Pfade und Voraussetzungen;
starten Sie die Installation und lassen Sie den Server neu starten.

PowerShell bleibt vorzuziehen, weil es eine reproduzierbare Dokumentation und ein auswertbares Änderungsprotokoll liefert.

6. Prüfen, ob der Domänencontroller funktioniert

Melden Sie sich nach dem Neustart als EXAMPLE\Administrator oder [email protected] an und öffnen Sie PowerShell als Administrator:

Get-ADDomain |
    Select-Object DNSRoot, NetBIOSName, DomainMode, PDCEmulator, RIDMaster

Get-ADForest |
    Select-Object Name, ForestMode, SchemaMaster, DomainNamingMaster

Get-ADDomainController -Filter * |
    Select-Object HostName, IPv4Address, Site, IsGlobalCatalog

Get-Service NTDS, DNS, Netlogon, Kdc |
    Select-Object Name, Status, StartType

Prüfen Sie die unverzichtbaren Freigaben:

Get-SmbShare -Name SYSVOL, NETLOGON

Testen Sie anschließend den Gesamtzustand und DNS:

dcdiag /v
dcdiag /test:dns /v

Resolve-DnsName `
    -Type SRV `
    "_ldap._tcp.dc._msdcs.ad.example.com"

dcdiag analysiert den Zustand der Domänencontroller. Der DNS-Test prüft unter anderem die SRV-Einträge, mit denen LDAP, Kerberos, der globale Katalog und der PDC gefunden werden. Siehe DNS für die AD-Replikation überprüfen.

Bei nur einem DC ist das Fehlen eines Replikationspartners normal. Verwechseln Sie es nicht mit einem DNS- oder SYSVOL-Fehler.

7. DNS richtig konfigurieren

Active Directory ist auf DNS angewiesen, um Controller und Dienste zu finden. Mitgliedsrechner müssen auf ihrer privaten oder VPN-Karte ausschließlich die AD-DNS-Server verwenden. Tragen Sie auf einem Mitgliedsrechner nicht 1.1.1.1, 8.8.8.8 oder den DNS-Server des Routers als zweiten DNS-Server ein: Windows könnte ihn abfragen und daraus schließen, dass die interne Domäne nicht existiert.

Öffentliche DNS-Server oder die des Anbieters gehören als Weiterleitungsserver auf die AD-DNS-Server, nicht direkt auf die Clients.

Konfiguration anzeigen:

Get-DnsServerForwarder
Get-DnsServerZone

Beispiel für die Konfiguration von Weiterleitungsservern, das Sie durch die in Ihrer Organisation freigegebenen Resolver ersetzen:

Set-DnsServerForwarder `
    -IPAddress 1.1.1.1, 9.9.9.9 `
    -UseRootHint $true

Weiterleitungsserver werden für Namen genutzt, die das AD-DNS lokal nicht auflösen kann. Ihre Funktionsweise beschreibt DNS Forwarding in Windows Server.

DNS auf die private Schnittstelle beschränken

Auf einem VPS mit öffentlicher und privater Schnittstelle beschränken Sie das DNS-Lauschen auf die AD-Adresse:

$DnsSettings = Get-DnsServerSetting -All
$DnsSettings.ListeningIpAddress = @("10.50.0.10")
Set-DnsServerSetting $DnsSettings

Restart-Service DNS

Prüfen Sie:

Get-DnsServerSetting -All |
    Select-Object -ExpandProperty ListeningIpAddress

Stellen Sie sicher, dass die private Adresse tatsächlich erreichbar ist, bevor Sie das Lauschen auf einer anderen Schnittstelle entfernen.

8. Die Domänenzeit konfigurieren

Kerberos setzt übereinstimmende Uhren voraus. In der AD-Hierarchie synchronisieren die Mitglieder ihre Zeit mit der Domäne, und der Controller mit der Rolle PDC-Emulator der Stammgesamtstruktur muss eine verlässliche externe NTP-Quelle verwenden. Microsoft weist darauf hin, dass nur der Stamm-PDC direkt auf diese Quelle zugreifen soll; die übrigen DCs folgen der Domänenhierarchie. Siehe die Zeithierarchie von AD DS.

Ermitteln Sie den PDC:

netdom query fsmo

Ersetzen Sie nur auf diesem PDC die Namen durch zwei freigegebene NTP-Quellen:

w32tm /config `
    /manualpeerlist:"<NTP1>,0x8 <NTP2>,0x8" `
    /syncfromflags:manual `
    /reliable:yes `
    /update

Restart-Service w32time
w32tm /resync /rediscover
w32tm /query /source
w32tm /query /status

Erlauben Sie ausgehend UDP 123 zu diesen Quellen. Prüfen Sie nach einer Änderung die tatsächlich angezeigte Quelle, statt den Befehl als ausreichend zu betrachten.

9. Eine OU-Struktur, einen Benutzer und eine Gruppe anlegen

Legen Sie nicht alle Objekte in den Standardcontainern ab. Organisationseinheiten erleichtern Delegierung, Gruppenrichtlinien und die Trennung zwischen Arbeitsplätzen, Servern und Konten.

Import-Module ActiveDirectory

$BaseDn = (Get-ADDomain).DistinguishedName

@(
    "Benutzer",
    "Gruppen",
    "Arbeitsplaetze",
    "Server",
    "Dienstkonten"
) | ForEach-Object {
    New-ADOrganizationalUnit `
        -Name $_ `
        -Path $BaseDn `
        -ProtectedFromAccidentalDeletion $true
}

Eine Sicherheitsgruppe anlegen:

New-ADGroup `
    -Name "GG-Support" `
    -SamAccountName "GG-Support" `
    -GroupCategory Security `
    -GroupScope Global `
    -Path "OU=Gruppen,$BaseDn" `
    -Description "Support-Team"

Einen Benutzer anlegen, ohne das Kennwort im Klartext zu schreiben:

$UserPassword = Read-Host `
    "Temporaeres Kennwort" `
    -AsSecureString

New-ADUser `
    -Name "Alice Martin" `
    -GivenName "Alice" `
    -Surname "Martin" `
    -DisplayName "Alice Martin" `
    -SamAccountName "amartin" `
    -UserPrincipalName "[email protected]" `
    -Path "OU=Benutzer,$BaseDn" `
    -AccountPassword $UserPassword `
    -Enabled $true `
    -ChangePasswordAtLogon $true

Add-ADGroupMember `
    -Identity "GG-Support" `
    -Members "amartin"

Prüfen Sie das Ergebnis:

Get-ADUser amartin -Properties MemberOf |
    Select-Object Name, Enabled, UserPrincipalName, MemberOf

Legen Sie ein personenbezogenes Verwaltungskonto an, getrennt vom täglichen Bürokonto. Nehmen Sie nicht alle Technikerinnen und Techniker in Domain Admins auf: Microsoft empfiehlt ein Modell der geringsten Rechte und abgesicherte Administrationsarbeitsplätze in seinen Best Practices zur Absicherung von Active Directory.

10. Einen Windows-Arbeitsplatz in die Domäne aufnehmen

Der Rechner muss eine Windows-Edition ausführen, die den Domänenbeitritt unterstützt, etwa Pro oder Enterprise. Windows Home kann keiner AD-DS-Domäne beitreten. Siehe Join a computer to a domain.

Netzwerk und DNS auf dem Arbeitsplatz prüfen

Das VPN oder private Netzwerk muss aktiv sein. Richten Sie das DNS des Rechners auf den DC aus:

Get-NetAdapter

Set-DnsClientServerAddress `
    -InterfaceAlias "Ethernet" `
    -ServerAddresses "10.50.0.10"

Testen Sie anschließend:

Resolve-DnsName "ad.example.com"
Resolve-DnsName `
    -Type SRV `
    "_ldap._tcp.dc._msdcs.ad.example.com"

nltest /dsgetdc:ad.example.com /force

Scheitert die SRV-Auflösung, versuchen Sie nicht, der Domäne über die IP-Adresse beizutreten. Beheben Sie das DNS-Problem.

Den Beitritt durchführen

$Credential = Get-Credential "EXAMPLE\Administrator"

Add-Computer `
    -DomainName "ad.example.com" `
    -Credential $Credential `
    -Restart `
    -Verbose

Delegieren Sie im Produktivbetrieb das Recht zum Aufnehmen von Computern an eine begrenzte Gruppe, statt stets Domain Admins zu verwenden.

Melden Sie sich nach dem Neustart als EXAMPLE\amartin an und prüfen Sie den sicheren Kanal:

Test-ComputerSecureChannel -Verbose
whoami
gpresult /r

11. Welche Ports muss das VPN zulassen?

Die Rolleninstallation legt die nötigen Windows-Regeln an, doch auch Netzwerkfirewall und VPN müssen die Kommunikation zulassen. Die genaue Liste hängt von den genutzten Funktionen ab.

Dienst	Wichtigste Ports	Verwendung
DNS	TCP/UDP 53	Auflösung der Domäne und SRV-Einträge
Kerberos	TCP/UDP 88	Authentifizierung
NTP	UDP 123	Zeitsynchronisierung
RPC Endpoint Mapper	TCP 135	Auffinden der RPC-Dienste
LDAP	TCP/UDP 389	Verzeichnis, SASL und Lokalisierung
SMB	TCP 445	SYSVOL, NETLOGON und Gruppenrichtlinien
Kerberos-Kennwortänderung	TCP/UDP 464	Kennwortverwaltung
LDAPS	TCP 636	verschlüsseltes LDAP für kompatible Anwendungen
Globaler Katalog	TCP 3268 und 3269	Suchen über die gesamte Gesamtstruktur
Dynamisches RPC	TCP 49152-65535	Verwaltung, Replikation und RPC-Vorgänge

Die vollständige offizielle Referenz ist Service overview and network port requirements for Windows.

Diese Ports dürfen ausschließlich zwischen freigegebenen privaten oder VPN-Subnetzen erlaubt sein. Fügen Sie keine Any/Any-Internetregel hinzu, um eine Fehlersuche zu vereinfachen. Auch RDP muss auf das VPN oder bekannte Verwaltungsadressen beschränkt bleiben: siehe unsere Anleitungen zum Konfigurieren der Windows-Server-Firewall auf einem VPS und zum Blockieren von RDP-Brute-Force-Angriffen.

12. LDAP, Signierung und LDAPS unter Windows Server 2025

Neue Active-Directory-Bereitstellungen unter Windows Server 2025 verlangen standardmäßig die LDAP-Signierung über die Richtlinie „Domain controller: LDAP server signing requirements enforcement“. Dieser Schutz verhindert, dass LDAP-Nachrichten unterwegs verändert werden, und weist nicht signierte SASL-Bindungen sowie ungeschützte einfache Bindungen ab. Microsoft beschreibt dieses Verhalten in LDAP signing for Active Directory Domain Services.

Deaktivieren Sie die LDAP-Signierung nicht, um eine alte Anwendung schnell zum Laufen zu bringen. Bevorzugen Sie in dieser Reihenfolge:

Kerberos oder Negotiate mit LDAP-Signierung;
StartTLS, sofern die Anwendung es unterstützt;
LDAPS über TCP 636 mit gültigem Serverzertifikat;
eine Aktualisierung oder Ablösung der Anwendung, wenn sie nur eine unverschlüsselte einfache Bindung beherrscht.

Für LDAPS muss das Zertifikat des Controllers insbesondere seinen FQDN im CN oder SAN führen, die Verwendung Serverauthentifizierung enthalten, seinen privaten Schlüssel besitzen und zu einer vom Client anerkannten Zertifizierungsstelle führen. Siehe LDAP-over-SSL-Zertifikate konfigurieren.

Auch LDAPS gehört nicht offen ins gesamte Internet. Kann eine externe Anbindung das VPN nicht nutzen, beschränken Sie die Quelladressen streng, überwachen Sie die Versuche und prüfen Sie ein Anwendungsgateway statt einer direkten Freigabe des DC.

13. Einen zweiten Domänencontroller hinzufügen

Erstellen Sie für den Produktivbetrieb DC02 auf einem weiteren VPS und möglichst in einer anderen Ausfallzone. Binden Sie ihn an dasselbe private Netzwerk oder VPN an.

Richten Sie vor dem Beitritt seinen bevorzugten DNS-Server auf DC01 aus:

Set-DnsClientServerAddress `
    -InterfaceAlias "AD-Private" `
    -ServerAddresses "10.50.0.10"

Nehmen Sie DC02 in die Domäne auf:

$Credential = Get-Credential "EXAMPLE\Administrator"

Add-Computer `
    -DomainName "ad.example.com" `
    -Credential $Credential `
    -Restart

Installieren Sie nach dem Neustart AD DS und prüfen Sie die Voraussetzungen:

Install-WindowsFeature `
    -Name AD-Domain-Services `
    -IncludeManagementTools

Test-ADDSDomainControllerInstallation `
    -DomainName "ad.example.com" `
    -InstallDNS

Stufen Sie DC02 herauf:

$DsrmPassword = Read-Host `
    "DSRM-Kennwort von DC02" `
    -AsSecureString

Install-ADDSDomainController `
    -DomainName "ad.example.com" `
    -InstallDNS `
    -SafeModeAdministratorPassword $DsrmPassword `
    -NoRebootOnCompletion:$false `
    -Force

Die Syntax beschreibt Install-ADDSDomainController.

Konfigurieren Sie nach der Replikation die Client-DNS-Server über Kreuz: DC01 mit 10.50.0.11 als bevorzugtem und 10.50.0.10 als sekundärem Server, DC02 umgekehrt, die Mitglieder mit beiden Adressen.

Prüfen Sie die Replikation:

repadmin /replsummary
repadmin /showrepl
dcdiag /e /c
dcdiag /test:dns /e /v

Zwei DCs auf demselben Hypervisor, demselben Speicher und demselben Netzwerk verringern Softwareausfälle, nicht aber den Ausfall dieser gemeinsamen Infrastruktur.

14. Den Active-Directory-Papierkorb aktivieren

Der AD-Papierkorb erlaubt es, bestimmte gelöschte Objekte samt ihren Attributen wiederherzustellen. Er ist standardmäßig nicht aktiviert, und die Aktivierung lässt sich nicht rückgängig machen, auch wenn seine Nutzung nach der Validierung der Gesamtstruktur allgemein empfohlen wird.

Get-ADOptionalFeature `
    -Filter 'Name -eq "Recycle Bin Feature"' |
    Enable-ADOptionalFeature `
        -Scope ForestOrConfigurationSet `
        -Target "ad.example.com"

Prüfen Sie:

Get-ADOptionalFeature `
    -Filter 'Name -eq "Recycle Bin Feature"' |
    Select-Object Name, EnabledScopes

Nur Objekte, die nach der Aktivierung gelöscht wurden, lassen sich auf diesem Weg wiederherstellen. Der Papierkorb ersetzt weder eine Systemstatussicherung noch einen Wiederanlaufplan. Siehe Active Directory Recycle Bin aktivieren.

15. Eine Sicherheitsbasislinie für Windows Server 2025 anwenden

Microsoft liefert mit OSConfig eine Basislinie speziell für die Rolle des Domänencontrollers. Testen Sie sie zuerst in einer unkritischen Umgebung: Sie härtet unter anderem Protokolle und ändert das Verhalten der Laufwerksumleitung in RDP-Sitzungen, was ältere Software oder Ihre Arbeitsgewohnheiten stören kann.

Modul installieren:

Install-Module `
    -Name Microsoft.OSConfig `
    -Scope AllUsers `
    -Force

DC-Basislinie anwenden:

Set-OSConfigDesiredConfiguration `
    -Scenario SecurityBaseline/WindowsServer/2025/DomainController `
    -Default

Konformität prüfen:

Get-OSConfigDesiredConfiguration `
    -Scenario SecurityBaseline/WindowsServer/2025/DomainController |
    Format-Table `
        Name, `
        @{Name="Status"; Expression={$_.Compliance.Status}}, `
        @{Name="Reason"; Expression={$_.Compliance.Reason}} `
        -AutoSize `
        -Wrap

Microsoft dokumentiert Voraussetzungen, Auswirkungen und Befehle in Sicherheitsbasislinien für Windows Server 2025 konfigurieren.

Weitere unverzichtbare Maßnahmen:

Windows Defender aktiv und überwacht lassen;
Sicherheitsupdates zügig installieren;
Websurfen, E-Mail und Bürosoftware auf dem DC untersagen;
weder IIS noch SQL Server, Gameserver oder Anwenderwerkzeuge auf dem Controller betreiben;
getrennte, personenbezogene privilegierte Konten verwenden;
RDP auf das VPN oder auf Verwaltungs-IP-Adressen beschränken;
die Gruppen Domain Admins, Enterprise Admins und Administrators auditieren;
das DSRM-Geheimnis in einem Tresor aufbewahren;
die Protokolle Directory Service, DNS Server, DFS Replication, System und Security überwachen.

16. Active Directory richtig sichern

Ein VPS-Snapshot ist für bestimmte Infrastrukturszenarien nützlich, darf aber nicht Ihre einzige Methode zur Wiederherstellung von Active Directory sein. Microsoft stellt auf virtualisierte DCs zugeschnittene Wiederherstellungsmechanismen bereit und empfiehlt in seinem Leitfaden zur Wiederherstellung der Gesamtstruktur eine Systemstatussicherung.

Installieren Sie Windows Server Backup:

Install-WindowsFeature Windows-Server-Backup

Führen Sie eine Systemstatussicherung auf ein getrenntes Volume aus, hier E::

wbadmin start systemstatebackup `
    -backuptarget:E: `
    -quiet

Listen Sie die verfügbaren Versionen auf:

wbadmin get versions -backuptarget:E:

Das Zielmedium darf nicht die einzige Systemfestplatte des VPS sein. Kopieren oder replizieren Sie die Sicherung auf einen getrennten Speicher mit Aufbewahrungsrichtlinie und Zugriffskontrolle. Unsere Anleitung zum Sichern eines Windows-VPS stellt mehrere allgemeine Methoden vor; achten Sie bei einem Domänencontroller darauf, dass die gewählte Methode den Systemstatus wirklich abdeckt.

Eine Sicherung ist erst glaubwürdig, wenn Sie ihre Wiederherstellung in einem isolierten Netzwerk getestet haben. Dokumentieren Sie, wer die Wiederherstellung auslösen darf, wo Medium und Schlüssel liegen, das DSRM-Kennwort, die Reihenfolge der Controller-Wiederherstellung, das Verfahren für eine nicht autorisierende oder autorisierende Wiederherstellung sowie Datum und Dauer des letzten erfolgreichen Tests.

17. Zu automatisierende Zustandsprüfungen

Führen Sie regelmäßig aus:

dcdiag /e /c
dcdiag /test:dns /e /v
repadmin /replsummary
netdom query fsmo
w32tm /query /status
w32tm /query /source

Prüfen Sie ebenso Freigaben und Dienste:

Get-SmbShare -Name SYSVOL, NETLOGON

Get-Service NTDS, DNS, Netlogon, Kdc, DFSR |
    Select-Object Name, Status, StartType

Einige nützliche Kennzahlen: freier Speicher des Systemvolumes, Replikationswarteschlangen und -fehler, DNS-Fehler und fehlende SRV-Einträge, Zeitabweichung und Zeitquelle, Ausfälle von NTDS, DNS, Netlogon, Kdc oder DFSR, Änderungen an privilegierten Gruppen, Authentifizierungsfehler und ungewöhnliche Kontosperrungen sowie Alter und Ergebnis der letzten Sicherung.

18. Häufige Fehler beheben

Symptom	Wahrscheinliche Ursache	Prüfung und Behebung
„The specified domain either does not exist or could not be contacted“	der Rechner nutzt einen öffentlichen DNS-Server oder ist nicht im VPN	`ipconfig /all`, `Resolve-DnsName` und `nltest /dsgetdc:ad.example.com /force`
Die Heraufstufung meldet eine dynamische IP-Adresse	Schnittstelle noch auf DHCP oder instabile VPN-Adresse	`Get-NetIPConfiguration` prüfen und die Adresse gemäß Infrastruktur festlegen
Der Server antwortet im DNS mit seiner öffentlichen IP	die öffentliche Schnittstelle registriert sich dynamisch	deren DNS-Registrierung deaktivieren, das Lauschen einschränken und den falschen A-Eintrag löschen
`SYSVOL` oder `NETLOGON` fehlt	unvollständige AD- oder DFSR-Initialisierung	`dcdiag`, das DFS-Replication-Protokoll und die Fehler der Heraufstufung prüfen
Gruppenrichtlinien werden nicht angewendet	DNS, SMB 445, RPC oder SYSVOL nicht verfügbar	`gpresult /h`, `Test-NetConnection`, `Get-SmbShare` und die GroupPolicy-Protokolle
Kerberos-Fehler trotz korrektem Kennwort	Zeitabweichung oder falsche NTP-Quelle	`w32tm /query /status`, `w32tm /query /source` und die PDC-Rolle
RDP nach der Heraufstufung verloren	Firewallprofil von Public auf Domain gewechselt oder falsch zugeschnittene Regel	Notfallkonsole verwenden, Profile und RDP-Regeln prüfen
`repadmin` meldet 1722 RPC unavailable	Port 135, dynamisches RPC, DNS oder VPN-Routing blockiert	DNS, TCP 135 und den RPC-Bereich ausschließlich zwischen DCs testen
Eine alte LDAP-Anwendung verbindet sich nicht mehr	Windows Server 2025 verlangt die LDAP-Signierung	die Anwendung aktualisieren oder signiertes SASL, StartTLS oder LDAPS konfigurieren; den Schutz nicht global deaktivieren
Der Rechner tritt der Domäne bei, kann aber außerhalb des Standorts keine erste Sitzung öffnen	VPN erst nach der Anmeldung verfügbar	einen Computertunnel bereitstellen oder die erste Anmeldung im privaten Netzwerk durchführen
Der zweite DC repliziert nicht	sein DNS zeigte vor der Heraufstufung auf einen öffentlichen Resolver	DC02 auf DC01 ausrichten, DNS-Diagnose und danach die Replikation erneut ausführen

Beginnen Sie immer bei DNS, der Zeit und den Protokollen. Ein großer Teil der Active-Directory-Fehler, die wie Kerberos-, Replikations- oder Gruppenrichtlinienprobleme aussehen, entsteht vorgelagert durch eine fehlerhafte Namensauflösung.

Checkliste für die Inbetriebnahme

Die Domäne nutzt eine Subdomäne eines wirklich kontrollierten Namens.
DC01 hat eine feste private oder VPN-Adresse.
Kein AD-Port ist im gesamten Internet freigegeben.
RDP ist auf das VPN oder auf Verwaltungsadressen beschränkt.
Die öffentliche Schnittstelle registriert ihre Adresse nicht im AD-DNS.
Die Clients verwenden ausschließlich DC01 und DC02 als DNS-Server.
Externe Weiterleitungsserver sind auf dem AD-DNS-Server konfiguriert.
dcdiag und der DNS-Test zeigen keine blockierenden Fehler.
Die NTP-Quelle des PDC wurde überprüft.
SYSVOL und NETLOGON sind vorhanden.
Für den Produktivbetrieb existiert ein zweiter DC und DNS-Server.
Die Replikation zwischen den DCs ist fehlerfrei.
Der AD-Papierkorb wurde bewertet und bei Bedarf aktiviert.
Die Windows-Server-2025-Basislinie wurde vor der Anwendung getestet.
Eine Systemstatussicherung außerhalb des Servers ist eingeplant.
Eine Wiederherstellung wurde tatsächlich getestet.
Administratorkonten sind von den Alltagskonten getrennt.
Privilegierte Gruppen und Protokolle werden überwacht.

Häufige Fragen

Kann Active Directory ausschließlich die öffentliche IPv4-Adresse des VPS nutzen?

Technisch kann der Dienst auf dieser Adresse lauschen, doch seine Ports ins Internet zu stellen, ist nicht ratsam. Verwenden Sie eine stabile private Adresse in einem privaten Netzwerk oder VPN. Die öffentliche Adresse sollte der kontrollierten Verwaltung dienen, idealerweise ebenfalls über VPN.

Genügt ein einzelner VPS?

Für ein Labor ja. Für ein Unternehmen ist ein einzelner DC ein Single Point of Failure für DNS, Kerberos und das Verzeichnis. Ergänzen Sie mindestens einen zweiten Controller in einer anderen Ausfallzone und konfigurieren Sie die Clients mit beiden DNS-Servern.

Darf ich eine .local-Domäne verwenden?

Besser ist eine Subdomäne eines registrierten Namens, etwa ad.firma.de. Diese Wahl vermeidet Kollisionen mit der mDNS-Auflösung und vereinfacht Zertifikate, Identitäten und künftige Anbindungen.

Warum sollte ein Arbeitsplatz keinen öffentlichen DNS-Server als sekundären Server haben?

Windows behandelt den zweiten DNS-Server nicht als bloße Rückfallebene, die nur bei Ausfall des ersten Servers abgefragt wird. Es kann ihn nutzen und eine Antwort erhalten, die interne Zone existiere nicht. Domänenrechner müssen die AD-DNS-Server abfragen; diese leiten Internetanfragen an ihre Weiterleitungsserver weiter.

Verlangt Active Directory LDAPS?

Die Windows-Mechanismen nutzen unter anderem Kerberos und signiertes LDAP. Führt eine Anwendung eine LDAP-Bindung mit Benutzername und Kennwort aus, verwenden Sie ein geschütztes Verfahren wie signiertes SASL, StartTLS oder LDAPS. Windows Server 2025 erzwingt die LDAP-Signierung bei neuen Bereitstellungen standardmäßig.

Genügt ein Snapshot zur Sicherung des DC?

Nicht als alleinige Strategie. Halten Sie eine mit der AD-Wiederherstellung kompatible Systemstatussicherung, eine Kopie außerhalb des Servers und ein getestetes Verfahren vor. Hypervisor-Snapshots können das Konzept ergänzen, nicht aber die Vorbereitung einer Wiederherstellung der Gesamtstruktur ersetzen.

Darf weitere Software auf dem Controller laufen?

Vermeiden Sie das. Ein DC sollte AD DS, DNS und den für seine Verwaltung und seinen Schutz zwingend nötigen Komponenten vorbehalten bleiben. Eine Webanwendung, eine Datenbank oder ein Gameserver vergrößert die Angriffsfläche und das Konfliktrisiko.

Was geschieht, wenn das VPN ausfällt?

Rechner, die bereits angemeldet waren, können unter Umständen ihre zwischengespeicherten Anmeldeinformationen nutzen, verfügen aber nicht mehr über sämtliche Domänendienste. Kerberos, neue Gruppenrichtlinien, interne DNS-Abfragen und der Zugriff auf bestimmte Ressourcen können scheitern. Das VPN gehört damit zur Verfügbarkeit Ihrer AD-Architektur.

Fazit

AD DS unter Windows Server 2025 zu installieren, erfordert nur wenige Befehle. Eine verlässliche Domäne aufzubauen, verlangt mehr: einen beherrschten DNS-Namen, ein privates Netzwerk, konsistentes DNS, eine korrekte Uhrzeit, zwei Controller, begrenzte Rechte und eine getestete Wiederherstellung.

Der wichtigste Punkt ist die Netzwerkarchitektur. Machen Sie Ihren VPS nicht zum öffentlichen Domänencontroller, indem Sie alle nötigen Ports ins Internet öffnen. Verbinden Sie die Rechner über VPN, veröffentlichen Sie im AD-DNS nur private Adressen und beschränken Sie RDP auf autorisierte Administratoren. Sind diese Grundlagen gelegt, lassen sich Heraufstufung, Zustandsprüfungen, Sicherheitsbasislinie und Sicherung mit den Microsoft-Werkzeugen automatisieren.