Windows & Server

Internet Information Services (IIS)

Overview

Internet Information Services (IIS) ist die Webserver-Rolle von Windows Server und optional auch von Windows 10/11. Seit IIS 7.0 ist der Server modular aufgebaut: Funktionen wie Authentifizierungsverfahren, Komprimierung oder Protokollierung sind einzelne Module, die sich hinzufügen oder entfernen lassen. Aktuell ist IIS 10.0, enthalten ab Windows Server 2016.

IIS hostet eigene .NET- und ASP.NET-Anwendungen, interne Webportale und APIs und ist Grundlage für Microsoft-Produkte wie Exchange Server (Outlook im Web, EWS, ActiveSync), WSUS, die Zertifizierungsstellen-Webregistrierung von AD CS, RD Web Access und Configuration-Manager-Rollen. Korrektur einer verbreiteten Annahme: AD FS nutzt seit Windows Server 2012 R2 kein IIS mehr, sondern direkt HTTP.sys.

Mit Windows Server 2025 hat Microsoft Altlasten entfernt: Die IIS-6-Verwaltungskonsole und der darauf aufbauende SMTP-Server sind nicht mehr enthalten, TLS 1.0 und 1.1 sind standardmäßig deaktiviert. Anwendungen, die noch über den IIS-6-SMTP-Dienst Mails verschicken, brauchen einen anderen Relay.

How it works

Eine Anfrage durchläuft IIS in mehreren Schichten:

  1. Der Kernelmodustreiber HTTP.sys nimmt HTTP- und HTTPS-Anfragen entgegen und ordnet sie anhand der Bindung (IP, Port, Hostname) einem Anwendungspool zu.
  2. Der Windows Process Activation Service (WAS) startet und recycelt die Arbeitsprozesse (w3wp.exe) der Anwendungspools.
  3. Im Arbeitsprozess verarbeitet die integrierte Pipeline die Anfrage mit den aktivierten nativen und verwalteten Modulen (Authentifizierung, Autorisierung, Handler, Protokollierung).
  4. Jeder Anwendungspool läuft unter eigener Identität, standardmäßig einer virtuellen ApplicationPoolIdentity, und isoliert Anwendungen voneinander.
  5. Die Konfiguration liegt in applicationHost.config und web.config.

Verwaltet wird mit dem IIS-Manager (inetmgr), appcmd.exe oder den PowerShell-Modulen WebAdministration und IISAdministration.

Benefits

  • Der modulare Aufbau erlaubt einen schlanken Server, der nur die benötigten Funktionen und damit weniger Angriffsfläche hat.
  • Anwendungspools isolieren Anwendungen, sodass ein Fehler oder Speicherleck nicht alle Websites trifft.
  • Integrierte Windows-Authentifizierung ermöglicht Single Sign-On für interne Anwendungen im AD.
  • Ohne Zusatzkosten in Windows Server enthalten und von vielen Microsoft-Produkten vorausgesetzt.
  • Per PowerShell und Konfigurationsdateien automatisierbar und versionierbar.

Practical example

Ein Hersteller von Förderanlagen betreibt ein internes Serviceportal auf ASP.NET-Basis, mit dem Techniker Wartungsberichte erfassen. Die IT installiert IIS auf Windows Server 2025 nur mit den benötigten Modulen, legt pro Anwendung einen eigenen Anwendungspool an und bindet ein Zertifikat der internen PKI. Von außen ist das Portal nur über einen Reverse Proxy mit Vorauthentifizierung erreichbar. Beim Upgrade stellt sich heraus, dass ein Altsystem Mails über den entfernten IIS-6-SMTP-Dienst verschickte; es wird auf den Mail-Relay des Unternehmens umgestellt.

Things to keep in mind

  • Installiere nur die benötigten Rollendienste, besonders keine WebDAV-, CGI- oder FTP-Module ohne Bedarf.
  • Betreibe jede Anwendung in einem eigenen Anwendungspool mit eigener Identität.
  • Veröffentliche IIS-Anwendungen nicht direkt ins Internet, sondern hinter einem Reverse Proxy oder einer Web Application Firewall.
  • Prüfe vor dem Upgrade auf Windows Server 2025, ob Anwendungen den IIS-6-SMTP-Dienst oder TLS 1.0/1.1 benötigen.
  • Patche Server mit Exchange-, WSUS- oder anderen IIS-basierten Rollen zeitnah, weil IIS-Endpunkte häufig angegriffen werden.

Licensing & availability

Rolle in allen Editionen von Windows Server 2016 bis 2025 ohne Zusatzlizenz; IIS selbst benötigt keine CALs, für authentifizierte Zugriffe auf Windows Server gelten jedoch die Regeln der Windows Server CALs bzw. External Connector. Unter Windows 10/11 als optionales Feature mit Verbindungsbeschränkungen verfügbar. Stand: Oktober 2026.

Conclusion

IIS ist der Standard-Webserver der Windows-Welt und taucht in fast jeder Microsoft-Serverumgebung auf. Halte ihn schlank, isoliere Anwendungen und prüfe vor Upgrades die entfernten Altfunktionen.

Further reading

Related articles