Ein Domänencontroller übernimmt weder Hyper-V-Hosts noch RDS-Session-Hosts, WDS, WSUS oder Drittsoftware. DHCP funktioniert technisch, der Dienst liefert aber keine AD-spezifische Integration und erhöht den Aufwand.

Strategische Pfadentscheidung: Inplace-Upgrade vs. Side-by-Side

Es führen zwei Wege auf Windows Server 2025, die je nach Infrastruktur gewählt werden sollten:

1. Inplace-Upgrade (nur für VMs)
Das Upgrade des bestehenden Systems behält Hostnamen und IP-Adressen bei, was Integrationsarbeit spart.

• Voraussetzung: Der DC muss als virtuelle Maschine (VM) auf rein virtueller Hardware laufen.

• Risiko: Ein direkter Sprung auf physischer Plattform wird nicht empfohlen, da alte Hardware an ein neues OS gebunden wird (Lifecycle-Konflikt).

• Wichtig: Eine vorab geprüfte Sicherung ist zwingend, da Fehler den gesamten Verzeichniszustand korrumpieren können.

2. Side-by-Side-Migration (Empfohlen)
Hierbei werden neue Windows Server 2025 DCs hinzugefügt, die Daten repliziert und die alten Systeme kontrolliert herabgestuft.

• Vorteil: Reduziertes Risiko, da mindestens ein funktionsfähiger DC als Rückfallbasis aktiv bleibt.

• Flexibilität: Umgeht Sprach- und GUI-Grenzen (z. B. Wechsel von Server Core auf GUI oder umgekehrt).

Kompatibilität, Funktionslevel und Versionsgrenzen

Windows Server 2025 unterstützt Upgrades aus Windows Server 2016, 2019 und 2022.

Ein direkter Sprung aus Windows Server 2012 R2 funktioniert technisch, kollidiert aber mit dem Funktionsmodus, weil Windows Server 2025 nur die Funktionsmodi Windows Server 2016 und Windows Server 2025 unterstützt.

Das Heraufstufen des Betriebsmodus von Domäne und Gesamtstruktur darf erst dann erfolgen, wenn alle Domänencontroller auf Windows Server 2025 laufen.

Vorbereitung: Backup und Health-Check

Eine Migration behebt keine bestehenden Fehler. Die Vorbereitungsphase für eine Bereinigung gewachsener Altlasten in OUs und GPOs ist wichtig.

Vor dem ersten Schritt stehen:

• Sicherung: Eine Minimallösung liefert das Feature „Windows Server Backup“, das sich über „Add Roles and Features“ als Feature installieren lässt. Eine gezielte Sicherung des Verzeichnisdienstes reduziert Datenmenge und fokussiert den Rückfallpfad. Ein Restore-Test gehört zur Vorbereitung, nur eine Sicherung ohne geprüfte Wiederherstellung liefert eine belastbare Rückfalloption liefert.

• Health-Check: Für die Domänengesundheit eignet sich eine Prüfung von Replikation, DNS und Verzeichnisdienst. Admins setzen dafür häufig „dcdiag“ und „repadmin“ ein, zum Beispiel „dcdiag /v“ sowie „repadmin /replsummary“ und „repadmin /showrepl“.

• Fehler: Fehler in diesen Prüfungen blockieren keine Migration, erhöhen aber die Wahrscheinlichkeit für Folgeprobleme nach dem Rollentausch. Parallel passt eine Bereinigung der Domäne, weil über Jahre gewachsene OUs, Objekte und GPOs Altlasten behalten, die spätere Fehlersuche erschweren.

Windows Server 2025 als Member Server integrieren

Der neue Server wird zunächst als Member Server integriert. Dieser Schritt funktioniert auch in einer Windows Server 2016 Domäne ohne Funktionslevel-Änderung. Ein stabiler DNS-Pfad gehört dazu.

Der Member Server nutzt als DNS-Resolver zunächst die bestehenden Domänencontroller. Erst nach erfolgreicher Heraufstufung und DNS-Replikation passt die lokale DNS-Konfiguration.

Rolleninstallation und Promotion

Admins installieren danach die notwendigen Rollen über den Server Manager. Als Rollen kommen „Active Directory Domain Services“ und „DNS Server“ zum Einsatz. Weitere Rollen bleiben außen vor.

Nach Abschluss der Installation zeigt der Server Manager eine Benachrichtigung zur Heraufstufung. Der Assistent fügt den Server einer bestehenden Domäne hinzu. In dieser Phase verlangt der Assistent ein DSRM-Kennwort für den „Directory Services Restore Mode“. Dieses Kennwort unterscheidet sich von Domänenadmin-Anmeldedaten und entscheidet über die Fähigkeit zur Wiederherstellung des Verzeichnisdienstes im Störungsfall. In vielen Umgebungen fehlt dieses Kennwort oder liegt nicht nachvollziehbar vor.

Admins sichern es in einem Berechtigungskonzept, das einen Notfallzugriff erlaubt und Missbrauch verhindert.

Der Assistent fragt außerdem nach DNS-Optionen und der Replikationsquelle. In Umgebungen mit mehreren Domänencontrollern passt ein Replikationspartner mit geringer Latenz und stabiler Anbindung. In Kleinstumgebungen mit nur einem Domänencontroller entfällt die Auswahl.

Datenbank-, Log- und SYSVOL-Pfade

Der Assistent bietet Pfade für AD-Datenbank, Logfiles und SYSVOL. Kleine Umgebungen belassen diese Pfade oft auf einem Volume. Eine Trennung verbessert Redundanz und Wiederherstellungsoptionen.

Ein pragmatischer Schritt nutzt ein separates Datenvolume für NTDS und SYSVOL. Eine weitergehende Trennung nutzt getrennte Storage-Ziele für Datenbank und Logfiles, damit Transaktionslogs auch bei einem Datenbankproblem nutzbar bleiben

Eine nachträgliche Verschiebung erfolgt nicht über den Datei-Explorer, sondern über unterstützte Wartungswege, häufig über „ntdsutil“.

Schema- und Domänenvorbereitung im Assistenten korrekt einordnen

Der Promotionsassistent kündigt Forest- und Domainvorbereitung sowie Schemaanpassungen an und führt diese Schritte im Ablauf aus. Nach der Heraufstufung erscheint der Server im Container „Domain Controllers“ statt im Container „Computers“.

An diesem Punkt repliziert der neue Domänencontroller AD-Objekte, DNS-Daten bei AD-integrierten Zonen und SYSVOL.

FSMO-Rollen übertragen und Alt-DC kontrolliert herabstufen

Vor der Herabstufung eines alten Domänencontrollers müssen FSMO-Rollen auf einen verbleibenden Domänencontroller wechseln.

• Transfer: Diese Rollen existieren jeweils nur einmal im Scope. Admins nutzen dafür häufig „ntdsutil“ im Kontext „roles“ und „connections“. Die Verbindung zum Zielserver erfolgt über „connect to server <DC-Name>“. Danach folgen Transfers der Rollen, unter anderem der PDC Emulator. Ein kontrollierter Transfer reduziert das Risiko, dass eine spätere Herabstufung in einen Reparaturmodus läuft.

• Herabstufung: Das Entfernen der Rolle erfolgt über „Remove roles and features“. Der Assistent erkennt den Domain-Controller-Status und führt durch den Demotion-Prozess.

• Warnung: Eine harte Entfernung ohne Herabstufung erzeugt verwaiste Metadaten und erzwingt später ein Metadaten-Cleanup.

DNS und Downtime richtig bewerten

Bei zwei oder mehr Domänencontrollern mit DNS läuft die Migration ohne funktionale Unterbrechung der Anmeldung, sofern Clients mehrere DNS-Server eingetragen haben und die Replikation stabil arbeitet.

Bei nur einem Domänencontroller führt ein Inplace Upgrade zu einem Neustart und damit zu einem kurzen Ausfallfenster. In Side-by-Side-Szenarien bleibt ein alter Domänencontroller aktiv, bis der neue die Rollen übernimmt.

Netzwerkprofil-Fall nach Neustarts und Firewall-Strategie

Ein bekanntes Fehlerbild setzt das Netzwerkprofil nach einem Neustart auf „Public“ statt „Domain“. Das beeinflusst Firewall-Regeln und kann Zugriffe blockieren. Patchstände bis 09/2025 für Windows Server 2025 adressieren dieses Verhalten.

Für den Betrieb reduziert eine Regelstrategie, die benötigte Firewall-Regeln nicht nur an das Domänenprofil bindet, das Risiko, weil Domänencontroller keine wechselnden Netzwerke nutzen und statische Portfreigaben dauerhaft benötigen.

Exchange-Abhängigkeiten und Funktionslevel-Blockaden

Exchange ist an AD-Versionen und Funktionslevel gekoppelt. Exchange Server 2016 unterstützt keine Windows Server 2025 Domänencontroller und blockiert damit den Schritt auf Windows Server 2025 im Verzeichnisdienst. Zusätzlich ist der Support für Exchange Server 2016 am 14.10.2025 abgelaufen, wodurch der weitere Betrieb ein hohes Risiko trägt.

Ein Migrationspfad führt zu Exchange Server SE, das technisch eng an Exchange Server 2019 anlehnt und ein anderes Lizenzmodell nutzt.

Exchange Server SE arbeitet mit Domänencontrollern auf Windows Server 2025, akzeptiert aber als Forest Functional Level weiterhin Windows Server 2016 und nicht Windows Server 2025.

Windows Server 2025 unterstützt den Forest Functional Level Windows Server 2016, damit passt der Betrieb, allerdings blockiert diese Kopplung das Anheben des Funktionslevels auf 2025, solange Exchange diese Freigabe nicht liefert.

Hybridumgebungen mit Microsoft Entra ID

Hybridumgebungen nutzen eine Synchronisation zwischen AD und Microsoft Entra ID. Vor einer Domänenmigration passt ein Update der eingesetzten Sync-Komponente auf den in der Umgebung supporteten Stand, weil Versionskopplungen und Security-Änderungen sonst ungeplante Effekte erzeugen.

Admins prüfen außerdem, ob Hardening über GPOs mit den Zielsystemen kompatibel bleibt. Koexistenz mit RODCs auf Windows Server 2019 bleibt möglich, ein zeitnaher Lifecycle-Abgleich reduziert aber Randrisiken.

Sprache, Installationsvariante und Upgrade-Regeln

Ein Inplace Upgrade verlangt identische Sprachmedien und identischen Installationstyp. Ein Deutsch installiertes System aktualisiert nur mit einem deutschsprachigen Installationsmedium. Server Core aktualisiert nur auf Server Core.

Side-by-Side umgeht diese Grenzen, weil ein neu installierter Server unabhängig von Sprache und GUI-Variante der Domäne beitritt. Ein Mischbetrieb verschiedener Sprachen erhöht jedoch den Betriebsaufwand, weil Bezeichnungen und Admin-Kontexte abweichen.

Funktionslevel und neue NTDS.dit Seitenstruktur mit 32 KB

Windows Server 2025 ändert intern die AD-Datenbankseiten von 8 KB auf 32 KB. In gemischten Umgebungen bleibt Kompatibilität erhalten, weil die neuen Seiten im Koexistenzmodus nicht voll ausgenutzt sind. In kleinen Domänen fällt oft eine größere „NTDS.dit“ auf, weil die Seitengröße wächst.

Die tatsächliche Nutzung der 32-KB-Seiten setzt das Anheben des Funktionslevels auf Windows Server 2025 voraus und verlangt Rahmenbedingungen ohne Altkomponenten, die am 2016er Funktionslevel hängen. Die Aktivierung erfolgt über PowerShell mit „Enable-ADOptionalFeature“ für das optionale Feature. Admins planen diesen Schritt getrennt von der reinen DC-Migration und prüfen vorher die Abhängigkeiten, insbesondere Exchange und weitere Schemaabhängigkeiten.

.local Domänen und NetBIOS Auflösung

Domänen mit Suffix „.local“ funktionieren technisch auch nach der Migration. Ein Redesign der Domäne ist ein eigener Architekturentscheid, der sich eher über PKI, Zertifikatsnutzung und Governance begründet als über Windows Server 2025. WINS spielt nur dann eine Rolle, wenn Anwendungen NetBIOS-Namensauflösung erzwingen. In DNS-zentrierten Umgebungen entfällt dieser Dienst.

Ressourcenplanung

Für kleine Umgebungen reichen mindestens vier CPU-Kerne und vier GB RAM. Ein praxistauglicher Richtwert liegt bei acht CPU-Kernen und 8 bis 16 GB RAM, sofern keine Zusatzrollen laufen.

In größeren Umgebungen steigen Anforderungen mit LDAP-Last, Authentifizierungsfrequenz, SYSVOL- und DNS-Replikationsvolumen und Standorttopologie.

FSMO-Rollen verbleiben in kleinen Umgebungen oft auf einem System für Übersichtlichkeit. Größere Umgebungen verteilen Rollen aus Lastgründen. Ein Ausfall eines FSMO-Rolleninhabers führt nicht sofort zum Totalausfall, einzelne Funktionen laufen temporär weiter, dennoch braucht es Monitoring und definierte Reaktionspfade.

IP-Adresswechsel, Namen und Altlasten nach Side-by-Side

Clients finden Domänencontroller über DNS- und SRV-Records. Neue Namen und IP-Adressen sind daher im Normalbetrieb unkritisch, sofern DNS korrekt arbeitet und keine verwaisten Objekte in AD und DNS verbleiben.

Probleme gibt es durch hart kodierte Hostnamen und IP-Adressen in Skripten, Applikationskonfigurationen oder Firewall-Regeln. Eine IP-Adressänderung an Domänencontrollern funktioniert, erfordert aber eine saubere DNS-Registrierung und eine konsistente Client-Konfiguration. Die Wiederverwendung der alten DC-IP für einen neuen DC erhöht den Aufwand und passt nur dann, wenn externe Abhängigkeiten keine Entkopplung zulassen.

Virtualisierte Domänencontroller und Export als Sicherung

Ein nächtlicher VM-Export kann VSS-konsistent laufen und enthält die „NTDS.dit“. Als Rückfallpfad zählt diese Sicherung erst nach einem getesteten Restore. Zusätzlich definieren Admins RPO und RTO und wählen ein Sicherungsmodell dafür. Physische Domänencontroller reduzieren Abhängigkeiten, weil ein Ausfall der Virtualisierungsschicht nicht gleichzeitig Authentifizierung und Verzeichnisdienst blockiert, erfordern dafür aber eigene Hardware

Operativer Ablauf: Der „Rote Faden“

• 1. Backup und Restore-Test

• 2. Health-Check und Bereinigung

• 3. Windows Server 2025 als Member Server integrieren

• 4. AD DS und DNS installieren

• 5. Promotion mit dokumentiertem DSRM-Kennwort

• 6. Replikation prüfen

• 7. FSMO-Rollen übertragen

• 8. Alten DC kontrolliert herabstufen

• 9. Funktionslevel-Anhebung separat planen

• 10. 32-KB-Seitenstruktur erst nach Abhängigkeitsprüfung aktivieren

Inplace Upgrades bleiben auf VM-Szenarien beschränkt und setzen denselben Backup- und Prüfstandard voraus.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Definition

Was ist Active Directory?

Zero Trust, Verschlüsselung und Telemetrie

Das sind die neuen Funktionen für Windows Server 2025 in diesem Jahr

Windows Server vNext mit ReFS-Boot, neuen Lizenzen und Cluster-Updates

So viel ändert sich bei Windows Server 2028

(ID:50765711)