Windows & Server

Windows Server 2025

Overview

Windows Server 2025 ist die Nachfolgeversion von Windows Server 2022 und seit dem 1. November 2024 allgemein verfügbar. Sie folgt der Fixed Lifecycle Policy: Der Mainstream-Support läuft bis November 2029, der erweiterte Support bis November 2034. Es gibt die Editionen Essentials, Standard, Datacenter und Datacenter: Azure Edition. Die Oberfläche entspricht optisch Windows 11, Server Core bleibt als Installationsoption erhalten.

Typische Einsatzszenarien sind Domain Controller, Datei- und Druckserver, Hyper-V-Hosts und Anwendungsserver im eigenen Rechenzentrum. Ein In-place-Upgrade ist ab Windows Server 2012 R2 möglich. Neu sind vor allem Hotpatch über Azure Arc, Delegated Managed Service Accounts (dMSA), SMB over QUIC auch in Standard und Datacenter, die optionale 32k-Datenbankseitengröße für Active Directory mit der Funktionsebene 10 sowie die Pay-as-you-go-Lizenzierung über Azure Arc.

Mehrere Sicherheitsvorgaben sind ab Werk strenger: Credential Guard ist auf geeigneter Hardware standardmäßig aktiv, der SMB-Client verlangt für ausgehende Verbindungen Signierung, neue AD-Bereitstellungen erzwingen LDAP-Signierung, Domain Controller stellen keine RC4-TGTs mehr aus und NTLMv1 ist entfernt. WSUS ist weiter enthalten, wird aber nicht mehr weiterentwickelt, die Windows Internal Database (WID) ist abgekündigt.

Abgrenzung: Die einzelnen Rollen und Funktionen haben eigene Einträge, etwa Active Directory, Domain Controller, Hyper-V, Windows LAPS, Hotpatch, SMB over QUIC, dMSA und Kerberos. Azure Arc ist der Verwaltungs- und Lizenzweg für mehrere Neuerungen, für den Grundbetrieb des Servers aber nicht nötig.

How it works

Windows Server 2025 bringt Neuerungen in mehreren Schichten:

  1. Identität: AD DS unterstützt optional 32k-Datenbankseiten (Domänen- und Gesamtstrukturfunktionsebene 10), nutzt alle Prozessorgruppen (NUMA) und verlangt für vertrauliche Attribute verschlüsselte LDAP-Verbindungen. LDAP über TLS unterstützt TLS 1.3. Kerberos wertet den Registry-Wert SupportedEncryptionTypes nicht mehr aus, die zulässigen Verschlüsselungstypen kommen per Gruppenrichtlinie.
  2. Sicherheit: Credential Guard ist standardmäßig aktiv, Windows LAPS kann das lokale Admin-Konto selbst verwalten und Passphrasen erzeugen, OSConfig liefert mehr als 350 vorkonfigurierte Sicherheitseinstellungen. Remote-Aufrufe der alten SAM-RPC-Methoden zur Kennwortänderung sind standardmäßig blockiert.
  3. Netzwerk und Dateidienste: Der SMB-Client signiert ausgehende Verbindungen standardmäßig, Verschlüsselung lässt sich für alle ausgehenden Verbindungen erzwingen, NTLM kann für ausgehende SMB-Verbindungen blockiert werden und ein Authentifizierungs-Ratenbegrenzer bremst Fehlversuche. RRAS nimmt bei Neuinstallationen kein PPTP und L2TP mehr an.
  4. Virtualisierung: Hyper-V-Hosts unterstützen bis zu 4 PB Arbeitsspeicher und 2.048 logische Prozessoren, GPU-Partitionierung funktioniert mit Hochverfügbarkeit und Live-Migration, neue VMs sind standardmäßig Generation 2.
  5. Verwaltung: Azure Arc Setup, der OpenSSH-Server und WinGet sind vorinstalliert. Hotpatch, Pay-as-you-go und Windows Server Management enabled by Azure Arc laufen über die Arc-Anbindung.

Benefits

  • Langer Planungshorizont, weil der erweiterte Support erst im November 2034 endet und Hardware- sowie Lizenzinvestitionen damit über einen vollen Lebenszyklus laufen.
  • Weniger Neustarts mit Hotpatch: Planmäßig startet ein Server nur noch in vier Baseline-Monaten pro Jahr neu, was Wartungsfenster für Datei- und Anwendungsserver verkleinert.
  • Sicherere Standards ab der Installation: SMB- und LDAP-Signierung, Credential Guard und das Ende von NTLMv1 schließen bekannte Angriffswege ohne zusätzliche Härtungsprojekte.
  • Dateizugriff von unterwegs ohne VPN, weil SMB over QUIC jetzt auch in Standard und Datacenter enthalten ist.
  • Flexible Lizenzierung: Pay-as-you-go über Azure Arc rechnet nur die tatsächliche Nutzung ab und kommt für Standardfunktionen ohne CALs aus.

Practical example

Ein Maschinenbauer mit 180 Mitarbeitenden betreibt zwei Hyper-V-Hosts mit Windows Server 2019, darauf Domain Controller, Dateiserver und ein ERP-System. Die IT lizenziert die neuen Hosts mit Windows Server 2025 Datacenter, baut zwei neue Domain Controller auf und hebt die Funktionsebene erst an, nachdem die alten DCs herabgestuft sind. Vorher wertet sie die Kerberos-Ereignisse aus, weil ein älteres NAS noch RC4 verwendete und mit den neuen DCs Anmeldeprobleme bekommen hätte. Die Dateiserver laufen anschließend mit Hotpatch über Azure Arc, sodass planmäßig nur noch vier Neustarts pro Jahr anfallen.

Things to keep in mind

  • Teste Anwendungen und Geräte vor der Migration gegen die strengeren Standards: Alte NAS-Systeme ohne SMB-Signierung sowie Software mit NTLMv1- oder RC4-Abhängigkeit scheitern sonst nach dem Umstieg.
  • Hebe die Domänen- und Gesamtstrukturfunktionsebene auf 10 erst an, wenn alle DCs mit Windows Server 2025 laufen; die 32k-Datenbankseiten setzen voraus, dass jeder DC der Gesamtstruktur sie beherrscht.
  • Plane die Ablösung von WSUS und WID-basierten Rollen gleich mit ein, weil beide in Windows Server 2025 nur noch gepflegt bzw. abgekündigt sind.
  • Bei Pay-as-you-go beendet das Herunterfahren eines Servers die Abrechnung nicht; deaktiviere die Option im Azure-Portal oder trenne den Server von Azure Arc.
  • Nutze für Infrastrukturrollen wie Domain Controller die Installationsoption Server Core, weil weniger installierte Komponenten weniger Angriffsfläche bieten.

Licensing & availability

Lizenzierung pro Kern (Core Licensing). Standard deckt bei vollständig lizenzierten Kernen zwei virtuelle Windows-Server-Instanzen ab, Datacenter unbegrenzt viele; nur in Datacenter enthalten sind unter anderem Storage Spaces Direct, Host Guardian Hyper-V Support und Network Controller. Für Zugriffe auf Standard und Datacenter sind Windows Server CALs nötig, Remote Desktop Services erfordert zusätzlich RDS-CALs. Essentials ist auf 25 Benutzer bzw. 50 Geräte, eine CPU und 10 Kerne begrenzt und braucht keine CALs. Alternativ gibt es Pay-as-you-go über Azure Arc für Standard und Datacenter: Abrechnung über die Azure-Subscription, keine CALs für Standardfunktionen, RDS-CALs weiterhin nötig, gültig nur für das jeweilige Gerät. Windows Server Management enabled by Azure Arc setzt aktive Software Assurance oder eine Subscription-Lizenz voraus. Mainstream-Support bis November 2029, erweiterter Support bis November 2034. Stand: Oktober 2026.

Conclusion

Windows Server 2025 ist für Neuinstallationen und den Ersatz älterer Server die naheliegende Wahl, weil es bis 2034 unterstützt wird und deutlich strengere Sicherheitsvorgaben mitbringt. Plane vor dem Rollout Zeit für Kompatibilitätstests mit Altgeräten und Fremdsystemen ein.

Further reading

Related articles