Windows & Server

Active Directory (AD DS)

Allgemeine Infos

Active Directory Domain Services (AD DS) ist die Serverrolle von Windows Server, die ein Verzeichnis für Benutzer, Computer, Gruppen und andere Objekte bereitstellt. Sie authentifiziert Anmeldungen, steuert den Zugriff auf Ressourcen und verteilt Einstellungen über Gruppenrichtlinien (eigener Eintrag).

Die logische Struktur besteht aus Gesamtstruktur (Forest), Domänen und Organisationseinheiten (OUs), die physische aus Standorten (Sites) und Domain Controllern (eigener Eintrag). In hybriden Umgebungen synchronisiert Microsoft Entra Connect bzw. Cloud Sync die Identitäten nach Microsoft Entra ID.

Abgrenzung: Microsoft Entra ID (früher Azure Active Directory) ist ein Cloud-Identitätsdienst ohne OUs, Gruppenrichtlinien und Kerberos-Domänenmodell im klassischen Sinn. Active Directory Certificate Services ist eine eigene Rolle für die PKI.

Neuerungen mit Windows Server 2025: eine optionale 32k-Datenbankseitengröße (erfordert die neue Gesamtstruktur-Funktionsebene), LDAP-Signierung standardmäßig für neue Bereitstellungen, zufällige Standardkennwörter für Computerkonten und NUMA-Unterstützung für mehr als 64 Kerne. Neue Gesamtstrukturen benötigen mindestens die Funktionsebene Windows Server 2016. NTLMv1 ist in Windows Server 2025 entfernt, RC4 für Kerberos gilt als veraltet.

Funktionsweise & Details

AD DS arbeitet mit einer replizierten Datenbank und Standardprotokollen:

  1. Jeder Domain Controller hält eine Kopie der Datenbank NTDS.dit und repliziert Änderungen per Multi-Master-Replikation mit den anderen DCs.
  2. Clients finden Domain Controller über SRV-Records im DNS, deshalb ist AD ohne funktionierendes DNS nicht nutzbar.
  3. Die Anmeldung erfolgt bevorzugt per Kerberos, NTLM dient nur noch als Fallback.
  4. Verzeichnisabfragen laufen über LDAP, Gruppenrichtlinien werden aus der Freigabe SYSVOL geladen.
  5. Sonderaufgaben wie Schemaänderungen oder die RID-Vergabe übernehmen die FSMO-Rollen auf einzelnen DCs.

Neue Gesamtstrukturen entstehen per Install-ADDSForest, weitere Domain Controller per Install-ADDSDomainController.

Vorteile & Nutzen

  • Zentralisiert Benutzer- und Rechteverwaltung, sodass ein Konto für Anmeldung, Dateiserver, Drucker und Anwendungen gilt
  • Erlaubt über Gruppenrichtlinien einheitliche Sicherheits- und Systemeinstellungen für alle Domänengeräte
  • Bietet Single Sign-on per Kerberos für interne Dienste und viele Fachanwendungen
  • Dient als Quelle für hybride Identitäten, die nach Microsoft Entra ID synchronisiert werden

Praxisbeispiel

Ein Familienunternehmen der Kunststoffverarbeitung mit 250 Mitarbeitenden hat über 15 Jahre ein gewachsenes AD mit verschachtelten Admin-Gruppen und Dienstkonten mit Domänen-Admin-Rechten. Die IT führt ein Tier-Modell ein, trennt Admin-Konten von Alltagskonten, entfernt überflüssige Mitgliedschaften in privilegierten Gruppen und aktiviert Windows LAPS. Gleichzeitig hebt sie die Domain Controller auf Windows Server 2025 an. Bei der anschließenden Prüfung im Rahmen der NIS2-Vorbereitung lassen sich alle privilegierten Konten nachvollziehbar begründen.

Worauf sollte man achten?

  • Privilegierte Gruppen wie Domänen-Admins klein halten und Admin-Konten nur auf gehärteten Admin-Systemen verwenden
  • Mindestens zwei Domain Controller pro Domäne betreiben und eine geprüfte Wiederherstellung der Gesamtstruktur vorbereiten
  • NTLM schrittweise zurückdrängen und RC4 für Kerberos abschalten, sobald Anwendungen es zulassen
  • Dienstkonten durch gruppenverwaltete Dienstkonten (gMSA) ersetzen, wo die Anwendung es unterstützt
  • Die Anforderungen des BSI-Bausteins APP.2.2 als Prüfliste für Betrieb und Härtung nutzen

Lizenz & Verfügbarkeit

AD DS ist Bestandteil von Windows Server Standard und Datacenter, eine eigene Lizenz für die Rolle gibt es nicht. Für jeden Benutzer oder jedes Gerät, das auf einen Windows Server zugreift, ist eine Windows Server CAL erforderlich. Windows Server wird pro Kern lizenziert. Stand: Oktober 2026.

Fazit

Active Directory bleibt in den meisten Mittelstandsnetzen die zentrale Identitätsquelle, auch in hybriden Szenarien mit Microsoft Entra ID. Investiere vor allem in die Absicherung privilegierter Konten, denn ein kompromittiertes AD bedeutet meist die Übernahme der gesamten Umgebung.

Weiterführende Links

Verwandte Artikel