Windows & Server

Domain Controller (Domänencontroller)

Overview

Ein Domain Controller (DC) ist ein Windows Server, auf dem die Rolle Active Directory Domain Services läuft. Er speichert eine beschreibbare Kopie der Verzeichnisdatenbank, beantwortet Anmelde- und LDAP-Anfragen und stellt über SYSVOL die Gruppenrichtlinien bereit. Meist läuft auf ihm zusätzlich der DNS-Server für die AD-Zonen.

Neben normalen DCs gibt es schreibgeschützte Domain Controller (RODC) für Standorte mit geringer physischer Sicherheit. Einzelne DCs übernehmen die FSMO-Rollen, etwa Schemamaster, RID-Master oder PDC-Emulator, der auch als Zeitquelle der Domäne dient.

Abgrenzung: Active Directory (eigener Eintrag) beschreibt den Verzeichnisdienst als Ganzes, der Domain Controller ist der Server, der ihn bereitstellt. Domain Controller lassen sich unter Hyper-V virtualisieren, Microsoft beschreibt die Besonderheiten dafür in einem eigenen Leitfaden.

Mit Windows Server 2025 nutzen DCs NUMA-fähige Hardware über mehr als 64 Kerne und blockieren das Setzen von Computerkontokennwörtern auf den Standardwert.

How it works

Einrichtung und Betrieb eines Domain Controllers:

  1. Server mit fester IP-Adresse und korrekter DNS-Konfiguration vorbereiten, Rolle AD DS installieren.
  2. Den ersten DC einer neuen Gesamtstruktur per Install-ADDSForest heraufstufen, weitere DCs per Install-ADDSDomainController.
  3. Der neue DC repliziert die Verzeichnispartitionen und SYSVOL von einem bestehenden DC.
  4. Clients finden ihn über SRV-Records im DNS und über die AD-Standortzuordnung ihres Subnetzes.
  5. FSMO-Rollen bewusst platzieren und dokumentieren, den PDC-Emulator mit einer verlässlichen externen Zeitquelle synchronisieren.

Für die Wiederherstellung beschreibt Microsoft im AD Forest Recovery Guide das Vorgehen, falls alle DCs betroffen sind.

Benefits

  • Stellt Anmeldung und Richtlinien lokal bereit, auch wenn die Internetverbindung ausfällt
  • Erhöht mit mehreren DCs die Ausfallsicherheit, weil jeder DC Anmeldungen allein bedienen kann
  • Verkürzt Anmeldezeiten an Außenstandorten durch einen DC oder RODC vor Ort
  • Bündelt Authentifizierung und Protokollierung an wenigen, gezielt geschützten Systemen

Practical example

Ein Bauunternehmen mit Zentrale und zwei Niederlassungen betreibt nur einen physischen Domain Controller, der auch Dateiserver und Druckserver ist. Nach einem Hardwaredefekt mit einem Tag Stillstand trennt die IT die Rollen: Zwei virtuelle DCs auf unterschiedlichen Hyper-V-Hosts in der Zentrale, ein RODC in der größeren Niederlassung, Dateidienste auf eigenen Servern. Die DCs werden mit Systemstatus gesichert und die Wiederherstellung einmal im Jahr in einer isolierten Umgebung getestet.

Things to keep in mind

  • Mindestens zwei beschreibbare DCs pro Domäne betreiben, möglichst auf getrennter Hardware oder an getrennten Standorten
  • Auf DCs keine weiteren Rollen wie Dateiserver, Druckserver oder Fachanwendungen installieren
  • Virtuelle DCs nicht per Hypervisor-Snapshot zurücksetzen, sondern über eine AD-taugliche Sicherung wiederherstellen
  • Anmeldung an DCs auf Tier-0-Administratoren beschränken und das Surfen im Internet dort unterbinden
  • Sicherungen der DCs offline oder unveränderbar aufbewahren, damit Ransomware sie nicht mitverschlüsselt

Licensing & availability

Die Rolle AD DS ist in Windows Server Standard und Datacenter enthalten. Lizenziert wird Windows Server pro Kern, Zugriffe von Benutzern oder Geräten erfordern Windows Server CALs. Virtuelle DCs zählen zu den virtuellen Betriebssystemumgebungen der Hostlizenz (Standard: zwei VMs pro Lizenz, Datacenter: unbegrenzt). Stand: Oktober 2026.

Conclusion

Domain Controller sind die kritischsten Server im Windows-Netz und verdienen eigene Härtung und eigene Sicherungen. Betreibe sie redundant, schlank und getrennt von allen anderen Diensten.

Further reading

Related articles