Mobile-Menu

Troubleshooting für Domänencontroller in der Praxis Fehler bei der Active Directory-Replikation beheben

Aktualisiert am 03.06.2025 Von Thomas Joos 6 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH

Eine fehlerhafte Replikation zwischen Domänencontrollern in Active Directory hat viele Konsequenzen. Vor allem äußert sich diese in Problemen bei der Anmeldung, bei Zugriffen auf Ressourcen und der Leistung bei Verbindungen von und zu Diensten in Active Directory. Mit Bordmitteln und KI-Chatbots wie ChatGPT lassen sich solche Fehler aber meistens schnell beheben.

Für das Troubleshooting bei AD-Replikationsproblemen helfen sowohl Windows Server 2016/2019 als auch Windows Server 2022 und Windows Server 2025 mit praktischen Tools und Bordmitteln.(Bild: © dizain - stock.adobe.com)
Für das Troubleshooting bei AD-Replikationsproblemen helfen sowohl Windows Server 2016/2019 als auch Windows Server 2022 und Windows Server 2025 mit praktischen Tools und Bordmitteln.
(Bild: © dizain - stock.adobe.com)

Funktioniert die Kommunikation zwischen Domänencontrollern in Active Directory nicht fehlerfrei, kommt, es schnell zu Problemen im Netzwerk. In diesem Beitrag geben wir Tipps, wie sich die Probleme beheben lassen. Die genannten Tipps funktionieren sowohl mit älteren Systemen wie Windows Server 2016/2019 als auch in Windows Server 2022 und Windows Server 2025. Der Schwerpunkt dieses Beitrags liegt auf Windows Server 2022/2025.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Erste Schritte zur Fehlerbehebung in Active Directory

Zunächst sollte überprüft werden, ob die Uhrzeiten auf den Domänencontrollern richtig sind und nicht voneinander abweichen. Stimmen die Zeiten nicht, kommt es zwangsläufig zu Kommunikationsproblemen. Außerdem sollte sichergestellt sein, dass sich die beteiligten Domänencontrollern gegenseitig per DNS auflösen können. Testen lässt sich das mit nslookup. Wird Ping nicht über eine Firewall blockiert, kann ein Ping-Test zum DNS-Namen des Replikationspartners Aufschluss über die erfolgreiche Netzwerkverbindung geben. Die DNS-Einträge in Active Directory spielen eine wichtige Rolle, damit die Domänencontroller sich untereinander verbinden können – aber auch für Clients, damit diese mit den Servern eine Verbindung aufbauen können. Die Überprüfung kann in der Befehlszeile mit nslookup durchgeführt werden:

Bildergalerie
Bildergalerie mit 7 Bildern
  • Starten Sie nslookup
  • Geben Sie set type=all ein
  • Geben Sie _ldap._tcp.dc._msdcs.<Name der Domäne> ein, zum Beispiel _ldap._tcp. dc._msdcs.joos.int.

Die Replikationspartner von DCs findet man am schnellsten über das Tool dssite.msc bei "Sites -> <AD-Standort> -> Servers". Hier sind alle Domänencontroller aufgelistet sowie deren Replikationsverbindungen. Über das Konextmenü ist es möglich, eine Replikation manuell zu starten. Diese sollte keine Fehlermeldungen anzeigen.

Funktionieren die DNS-Einträge nicht mehr oder sind verloren gegangen, starten Sie mit net stop netlogon und dann net start netlogon den Anmeldedienst auf dem Domänencontroller neu. Der Server versucht, die Daten der Datei netlogon.dns aus dem Ordner \Windows\System32\config\netlogon.dns erneut in DNS zu registrieren. Gibt es hierbei Probleme, finden Sie im Ereignisprotokoll unter System Einträge, die bei der Problemlösung weiterhelfen.

Auch der Befehl nltest /dsregdns hilft oft bei Problemen in der DNS-Registrierung. Funktioniert die erneute Registrierung durch Neustart des Anmeldedienstes nicht, löschen Sie die DNS-Zone _msdcs und die erstellte Delegierung. Das sollten Sie aber erst nach einer vollständigen Datensicherung tun.

Beim nächsten Start des Anmeldedienstes liest der DC die Daten von netlogon.dns ein, erstellt die Zone _msdcs neu und schreibt die Einträge wieder in die Zone. Mit DCdiag lassen sich danach die Probleme erneut diagnostizieren. Einen ausführlichen Test führen Sie mit dcdiag /v durch.

dcdiag.exe zeigt Probleme auf Domänencontrollern an: ChatGPT hilft

Mit "dcdiag.exe" können Admins in der Befehlszeile überprüfen, ob es Fehler auf einem Domänencontroller gibt. Erscheinen Fehler, kann es sinnvoll sein, im Internet nach dem Fehler zu suchen. Noch ausführlichere Informationen gibt "dcdiag /v". In vielen Fällen haben auch andere Admins einen ähnlichen Fehler – und unter Umständen bereits eine Problemlösung gefunden. Sehr hilfreich ist es auch, den Fehler in die Zwischenablage zu kopieren und ChatGPT zu fragen.

Geben Sie hierfür zum Beispiel als Prompt ein: "Agiere als Experte zur Fehlersuche in Active Directory. DCdiag zeigt bei mir den Fehler <Hier Fehler einfügen> an. Gib mir eine strukturierte Anleitung, wie ich den Fehler beheben kann". Es ist nicht sicher, dass die Anleitung perfekt funktioniert, aber sie erhalten zumindest einige Hinweise und Befehle, wie Sie im am besten vorgehen können. Teilweise kann auch der Befehl "dcdiag /fix" Fehler beheben, die mit dem Computerkonto des Domänencontrollers zusammenhängen.

Hilfreich ist es, parallel die Ereignisanzeige zu durchsuchen. Das Protokoll "Verzeichnisdienst" oder "Directory Service" liefert wichtige Informationen, aber auch "System" und "Anwendung". Hier sollte vor allem auf Fehler von NTDS KCC, NTDS Replication oder NTDS General geachtet werden. Eine Recherche nach diesen Fehlern im Internet sowie eine Befragung von ChatGPT kann auch hier Aufschluss darüber geben, wie der Fehler verursacht wird und wie er sich unter Umständen beheben lässt. Eine typische Vorgehensweise bei der Problembehebung zeigt Microsoft in seiner Dokumentation.

Repadmin.exe zur Fehlersuche nutzen

In der Befehlszeile ist es möglich, mit "repadmin /showreps" die Replikationsverbindungen eines Domänencontrollers anzuzeigen. Hier sollten ebenfalls alle Verbindungen aktuell und fehlerfrei sein. Ist das nicht der Fall, sollte überprüft werden, warum ein Quell-Domänencontroller keine Verbindung mit dem Ziel-Domänencontroller aufbauen kann. Die Ergebnisse lassen sich auch in eine Textdatei umleiten, zum Beispiel mit "repadmin /showreps >c:\repl.txt" oder mit "repadmin /showreps * /csv > reps.csv" in einer CSV-Datei ablegen. Diese Datei kann entweder an einen Experten weitergegeben werden, oder Admins nutzen diese mit ChatGPT. Nach dem Upload der Datei in ChatGPT und dem Prompt "Agiere als Experte zur Fehlersuche in Active Directory. Analysiere das Ergebnis von repadmin, das ich hochgeladen habe. Gib mir Hinweise auf Fehler und wie ich diese beheben kann", sind auch hier einige Hinweise zu finden. Soll der Befehl nur Fehler anzeigen, wird "repadmin /showrepl /errorsonly" verwendet.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mit den Befehlen "repadmin /replsummary /bydest" und "repadmin /replsummary /bysrc" zeigt Repadmin eine Zusammenfassung der fehlerhaften Replikationen an. Idealerweise sollten hier keine Fehler auftauchen. Sind hier Fehler zu sehen, lassen sich mit den oben genannten Befehlen genauere Informationen anzeigen und nachverfolgen.

Repadmin kann auch anzeigen, ob die Replikation zu Ziel-Domänencontrollern eine Warteschlange aufbaut. Diese sollte in einer funktionierenden Umgebung idealerweise möglichst klein ausfallen. Testen lässt sich das mit "repadmin /queue".

PowerShell zur Fehlersuche nutzen

Wichtig ist auch, dass möglichst alle Domänencontroller in AD zur Replikation verfügbar sind. Das lässt sich in der PowerShell oder im Terminal mit dem folgenden Befehl testen:

Get-ADReplicationUpToDatenessVectorTable * | Sort Partner,Server | ft Part-ner,Server,UsnFilter

Mit der PowerShell ist es auch möglich, eine komplette AD-Gesamtstruktur auf Fehler zu untersuchen. Das geht zum Beispiel mit:

Get-ADReplicationFailure -Target "Joos.int" -Scope Forest

Hier sollten alle Domänencontroller auftauchen, und zwar ohne Fehler bei "FailureCount". Verursacht ein DC-Fehler, ist es sinnvoll, diesen genauer zu untersuchen, zum Beispiel mit dcdiag oder auf fehlerhafte Namensauflösungen zu prüfen.

Ein fertiges Skript zur Überprüfung von Active Directory kann bei GitHub heruntergeladen werden. Nach dem Start von ADHealthCheck-NoReport.ps1 testet das Tool die Domänencontroller, Replikation und andere Daten in Active Directory. Das Skript kann an die eigene Umgebung angepasst werden und überprüft anschließend alle wichtigen Bereiche.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:34717800)

Weiterführende Inhalte