Windows Server: Domänencontroller einrichten – so geht’s

Domänencontroller unter Windows Server einrichten: Schritt-für-Schritt-Anleitung für Active Directory, DNS und DHCP – für Windows Server 2016, 2019, 2022 und 2025.

Ein Domänencontroller verwaltet die zentrale Authentifizierung und Autorisierung innerhalb eines Windows-Netzwerks. Um einen Domänencontroller einzurichten, wird auf Windows Server 2016, 2019, 2022 oder 2025 zunächst die Rolle Active Directory Domain Services (AD DS) installiert und der Server anschließend zum Domänencontroller heraufgestuft.

Dieser Artikel zeigt die vollständige Einrichtung Schritt für Schritt.

Was ist ein Domänencontroller und wofür wird er benötigt?

Ein Domänencontroller ist ein Server, der innerhalb eines Netzwerks die zentrale Verwaltung von Benutzerkonten, Computern und Sicherheitsrichtlinien übernimmt. Dadurch müssen sich Anwender nicht an jedem einzelnen Rechner separat authentifizieren, sondern erhalten über ein einziges Konto Zugriff auf alle freigegebenen Ressourcen im Netzwerk.

Zudem bildet der Domänencontroller die Grundlage für Active Directory (AD), den Verzeichnisdienst von Microsoft. Dieser speichert Informationen zu Benutzern, Gruppen, Computern und Organisationseinheiten in einer hierarchischen Datenbank. Außerdem ermöglicht Active Directory die zentrale Steuerung über Gruppenrichtlinien (GPOs), wodurch Sicherheitseinstellungen unternehmensweit einheitlich durchgesetzt werden können.

Ein Domänencontroller übernimmt darüber hinaus häufig auch die Rolle eines DNS-Servers, da Active Directory zwingend auf eine funktionierende Namensauflösung angewiesen ist. Ebenso kann er als DHCP-Server fungieren, wobei dies aus Gründen der Lastverteilung häufig auf einen separaten Server ausgelagert wird.

Für welche Unternehmen lohnt sich ein Domänencontroller?

Bereits ab etwa zehn Arbeitsplätzen zahlt sich die zentrale Verwaltung über Active Directory aus. Denn ohne Domänencontroller müsste jeder Rechner einzeln konfiguriert werden, was mit steigender Mitarbeiterzahl zunehmend fehleranfällig wird. Zusätzlich bietet ein Domänencontroller deutliche Vorteile bei der IT-Sicherheit, da sich Passwortrichtlinien, Softwareverteilung und Zugriffsrechte zentral steuern lassen.

Voraussetzungen für die Einrichtung eines Domänencontrollers

Bevor die eigentliche Installation beginnt, müssen einige Voraussetzungen erfüllt sein. Diese betreffen sowohl die Hardware als auch grundlegende Netzwerkeinstellungen.

Mindestanforderungen an die Hardware:

• Mindestens 2 GB Arbeitsspeicher, in der Praxis empfehlen sich jedoch 4 GB oder mehr
• Ein 64-Bit-Prozessor mit mindestens 1,4 GHz
• Mindestens 32 GB freier Festplattenspeicher, wobei für produktive Umgebungen deutlich mehr Speicher sinnvoll ist
• Eine stabile Netzwerkverbindung

Notwendige Vorbereitungen:

1. Dem Server muss eine statische IP-Adresse zugewiesen werden, da sich die IP-Adresse eines Domänencontrollers nicht mehr ändern darf.
2. Der Servername sollte vor der Installation final festgelegt werden, da eine spätere Umbenennung eines Domänencontrollers zusätzlichen Aufwand bedeutet.
3. Zudem sollte im Vorfeld ein passender Domänenname gewählt werden, beispielsweise in der Form „firma.local“ oder als Subdomain einer bestehenden Internetdomäne.
4. Windows Server sollte vor der Einrichtung vollständig mit den aktuellen Updates versorgt werden.

Anschließend erfolgt die Vergabe der statischen IP-Adresse. Dies lässt sich sowohl über die grafische Oberfläche als auch per PowerShell erledigen. Über PowerShell geschieht dies mit folgendem Befehl:

New-NetIPAddress -InterfaceIndex 3 -IPAddress 192.168.1.10 -PrefixLength 24 -DefaultGateway 192.168.1.1

Der Interface-Index lässt sich zuvor mit dem Befehl Get-NetAdapter ermitteln.

Windows Server als Domänencontroller einrichten: Schritt-für-Schritt-Anleitung

Im Folgenden wird die Einrichtung eines Domänencontrollers sowohl über den Server-Manager als auch über PowerShell beschrieben. Beide Wege führen zum gleichen Ergebnis, wobei sich PowerShell besonders für automatisierte oder wiederkehrende Installationen eignet.

Schritt 1: AD-DS-Rolle über den Server-Manager installieren

1. Öffnen Sie den Server-Manager und klicken Sie auf „Rollen und Features hinzufügen“.
2. Wählen Sie die Installationsart „Rollenbasierte oder featurebasierte Installation“.
3. Wählen Sie anschließend den Zielserver aus der Serverliste aus.
4. Setzen Sie in der Rollenauswahl den Haken bei „Active Directory-Domänendienste“. Ein Popup-Fenster fragt nun nach den erforderlichen Verwaltungstools, welche Sie über „Features hinzufügen“ bestätigen.
5. Sofern noch kein separater DNS-Server existiert, sollten Sie zusätzlich die Rolle „DNS-Server“ auswählen, da Active Directory zwingend DNS benötigt.
6. Bestätigen Sie die folgenden Dialoge jeweils mit „Weiter“, bis die Zusammenfassung erscheint.
7. Aktivieren Sie die Option „Zielserver bei Bedarf automatisch neu starten“ und klicken Sie auf „Installieren“.

Die Installation der Rolle dauert je nach Hardware wenige Minuten. Danach ist der Server jedoch noch kein Domänencontroller – die eigentliche Beförderung erfolgt erst im nächsten Schritt.

Schritt 2: AD-DS-Rolle per PowerShell installieren

Alternativ lässt sich die Rolle deutlich schneller per PowerShell installieren. Dazu genügt folgender Befehl:

Install-WindowsFeature AD-Domain-Services, DNS -IncludeManagementTools

Dieser Befehl installiert sowohl die Active-Directory-Domänendienste als auch die DNS-Rolle inklusive der zugehörigen Verwaltungswerkzeuge in einem einzigen Vorgang.

Schritt 3: Server zum Domänencontroller heraufstufen

Nach der Rolleninstallation muss der Server zum Domänencontroller befördert werden. Hierfür stehen im Server-Manager zwei Varianten zur Verfügung, je nachdem, ob eine neue Gesamtstruktur aufgebaut oder ein bestehendes Active Directory erweitert werden soll.

Neue Gesamtstruktur (erster Domänencontroller im Netzwerk):

1. Klicken Sie im Server-Manager auf das gelbe Warnsymbol und wählen Sie „Diesen Server zu einem Domänencontroller heraufstufen“.
2. Wählen Sie im Bereitstellungsassistenten die Option „Eine neue Gesamtstruktur hinzufügen“.
3. Tragen Sie den gewünschten Stammdomänennamen ein, beispielsweise „firma.local“.
4. Legen Sie im nächsten Schritt die Funktionsebene von Gesamtstruktur und Domäne fest. Bei Windows Server 2025 steht hierbei zusätzlich die neue Funktionsebene mit größeren Datenbankseiten zur Verfügung.
5. Vergeben Sie ein Verzeichnisdienst-Wiederherstellungskennwort (DSRM-Passwort). Dieses Passwort wird ausschließlich im Wiederherstellungsmodus benötigt und sollte daher besonders sicher gewählt und dokumentiert werden.
6. Bei den DNS-Optionen erscheint häufig eine Warnung bezüglich einer fehlenden Delegierung. Diese Meldung ist bei einer neuen Umgebung normal und kann ignoriert werden.
7. Überprüfen Sie den vorgeschlagenen NetBIOS-Namen und passen Sie diesen bei Bedarf an.
8. Bestätigen Sie die Pfade für die Datenbank-, Protokoll- und SYSVOL-Ordner. Für produktive Umgebungen empfiehlt sich die Trennung von Datenbank und Protokolldateien auf unterschiedliche Datenträger.
9. Prüfen Sie abschließend die Zusammenfassung und klicken Sie auf „Installieren“.

Der Server führt anschließend automatisch einen Neustart durch und ist danach als vollwertiger Domänencontroller einsatzbereit.

Weiteren Domänencontroller zu bestehender Domäne hinzufügen:

1. Wählen Sie im Bereitstellungsassistenten die Option „Domänencontroller zu einer bestehenden Domäne hinzufügen“.
2. Geben Sie den Domänennamen ein und authentifizieren Sie sich mit einem Konto, das über Domänen-Administratorrechte verfügt.
3. Wählen Sie aus, ob der neue Server zusätzlich als Globaler Katalog oder als DNS-Server fungieren soll. Beide Optionen werden für die meisten Umgebungen empfohlen.
4. Vergeben Sie erneut ein DSRM-Passwort.
5. Wählen Sie einen bestehenden Domänencontroller als Replikationspartner aus, oder belassen Sie die automatische Auswahl.
6. Bestätigen Sie die restlichen Schritte analog zur Einrichtung der ersten Gesamtstruktur.

Schritt 4: Domänencontroller per PowerShell heraufstufen

Für Administratoren, die serverübergreifend automatisieren möchten, bietet sich die Heraufstufung per PowerShell an. Für eine neue Gesamtstruktur lautet der Befehl:

Install-ADDSForest -DomainName "firma.local" -DomainNetbiosName "FIRMA" -InstallDns

Nach Ausführung des Befehls fragt PowerShell automatisch nach dem DSRM-Passwort. Für das Hinzufügen zu einer bestehenden Domäne wird stattdessen folgender Befehl verwendet:

Install-ADDSDomainController -DomainName "firma.local" -InstallDns -Credential (Get-Credential)

Beide Befehle führen ebenfalls automatisch einen Neustart durch, sofern nicht ausdrücklich anders konfiguriert.

Domänencontroller nach der Installation überprüfen

Nach dem Neustart sollte zunächst überprüft werden, ob die Einrichtung erfolgreich verlaufen ist. Hierfür eignet sich der Befehl dcdiag, welcher in der Eingabeaufforderung oder PowerShell ausgeführt wird und eine umfassende Diagnose des Domänencontrollers liefert.

Zusätzlich lässt sich mit repadmin /replsummary die Replikation zwischen mehreren Domänencontrollern überprüfen, sofern bereits mehr als ein Domänencontroller im Netzwerk existiert. Ebenso empfiehlt es sich, im Ereignisprotokoll unter „Verzeichnisdienst“ nach Warnungen oder Fehlern zu suchen.

Des Weiteren sollte kontrolliert werden, ob die DNS-Einträge korrekt erstellt wurden. Dazu zählen insbesondere die SRV-Einträge unter „_msdcs“, welche für die Lokalisierung des Domänencontrollers durch Clients zwingend erforderlich sind.

Wichtige Serverrollen und Tools nach der Einrichtung

Nach erfolgreicher Installation stehen im Server-Manager unter „Tools“ mehrere neue Verwaltungswerkzeuge zur Verfügung:

• Active Directory-Benutzer und -Computer: Zentrale Konsole zur Verwaltung von Benutzerkonten, Gruppen und Organisationseinheiten
• Active Directory-Verwaltungscenter: Modernere Oberfläche mit erweiterten Funktionen, etwa zur Wiederherstellung gelöschter Objekte
• Active Directory-Standorte und -Dienste: Verwaltung der physischen Netzwerkstruktur und Replikationstopologie
• Gruppenrichtlinienverwaltung: Erstellung und Zuweisung von GPOs zur zentralen Konfiguration von Sicherheits- und Systemeinstellungen
• DNS-Manager: Verwaltung der Zonen und Einträge des integrierten DNS-Servers

Zudem sollte direkt nach der Einrichtung ein Backup des Domänencontrollers eingeplant werden. Hierfür eignet sich die integrierte Windows Server-Sicherung, wobei mindestens der Systemstatus regelmäßig gesichert werden sollte.

Best-Practice-Empfehlungen für den produktiven Betrieb

Für eine stabile und sichere Umgebung sollten folgende Punkte beachtet werden:

• Setzen Sie mindestens zwei Domänencontroller ein, um bei einem Ausfall weiterhin die Anmeldung im Netzwerk zu gewährleisten.
• Trennen Sie, sofern möglich, die Rollen DHCP und Domänencontroller auf unterschiedliche Server, da dies die Übersichtlichkeit sowie die Ausfallsicherheit erhöht.
• Aktualisieren Sie Windows Server regelmäßig, wobei bei Windows Server 2025 zusätzlich das Hotpatching genutzt werden kann, um Neustarts nach Sicherheitsupdates zu vermeiden.
• Dokumentieren Sie das DSRM-Passwort an einem sicheren Ort, da dieses ausschließlich im Wiederherstellungsmodus zugänglich ist.
• Prüfen Sie regelmäßig die Funktionsebene der Domäne und Gesamtstruktur, sobald alle Domänencontroller auf die neueste Windows-Server-Version aktualisiert wurden.

Häufige Fragen zur Einrichtung eines Domänencontrollers

Wie lange dauert die Einrichtung eines Domänencontrollers?

Die reine Installation der AD-DS-Rolle sowie die anschließende Heraufstufung dauern in der Regel zwischen 15 und 30 Minuten, abhängig von der verwendeten Hardware. Zusätzlich muss jedoch Zeit für die Vorbereitung, etwa die Vergabe der statischen IP-Adresse sowie die Planung der Domänenstruktur, eingeplant werden.

Kann ein Domänencontroller nachträglich umbenannt werden?

Eine Umbenennung ist grundsätzlich möglich, jedoch mit deutlich höherem Aufwand verbunden als bei einem regulären Mitgliedsserver. Deshalb sollte der Servername bereits vor der Heraufstufung final festgelegt werden, um spätere Komplikationen zu vermeiden.

Wie viele Domänencontroller benötigt ein Netzwerk?

Für kleinere Umgebungen genügt oft ein einzelner Domänencontroller, jedoch wird aus Gründen der Ausfallsicherheit mindestens ein zweiter Domänencontroller empfohlen. Größere Unternehmen mit mehreren Standorten setzen zudem häufig pro Standort einen eigenen Domänencontroller ein.

Was passiert, wenn das DSRM-Passwort vergessen wird?

Ohne dieses Passwort lässt sich der Verzeichnisdienst-Wiederherstellungsmodus nicht aufrufen, was im Falle eines Active-Directory-Fehlers problematisch werden kann. Das Passwort lässt sich zwar mit administrativen Rechten über den Befehl ntdsutil zurücksetzen, dies erfordert jedoch physischen oder Remote-Zugriff auf den laufenden Server.

Muss ein Domänencontroller zwingend auch DNS-Server sein?

Zwingend erforderlich ist dies nicht, jedoch wird es aus praktischen Gründen für die meisten Umgebungen empfohlen. Denn Active Directory ist grundsätzlich auf eine funktionierende DNS-Infrastruktur angewiesen, sodass die Kombination beider Rollen die Verwaltung erheblich vereinfacht.

Welche Windows-Server-Version eignet sich am besten für einen neuen Domänencontroller?

Für Neuinstallationen im Jahr 2026 empfiehlt sich in der Regel Windows Server 2025, da diese Version die aktuellsten Sicherheitsfunktionen sowie die neue Funktionsebene mit größeren Datenbankseiten mitbringt. Bestehende Umgebungen mit Windows Server 2019 oder 2022 lassen sich zudem problemlos durch zusätzliche Domänencontroller auf Basis von Windows Server 2025 erweitern.

Wie wird ein zweiter Domänencontroller in ein bestehendes Netzwerk integriert?

Hierfür wird auf dem neuen Server ebenfalls zunächst die AD-DS-Rolle installiert. Anschließend erfolgt im Bereitstellungsassistenten die Auswahl „Domänencontroller zu einer bestehenden Domäne hinzufügen“, wobei sich der Server über gültige Domänen-Anmeldedaten authentifizieren muss.

Kann Active Directory ohne grafische Oberfläche eingerichtet werden?

Ja, dies ist über Windows Server Core sowie über PowerShell vollständig möglich. Sämtliche in diesem Artikel beschriebenen PowerShell-Befehle funktionieren dabei identisch, unabhängig davon, ob eine grafische Oberfläche installiert ist.

Welche Ports müssen für Active Directory in der Firewall freigegeben werden?

Zu den wichtigsten Ports zählen unter anderem Port 389 (LDAP), Port 636 (LDAPS), Port 88 (Kerberos) sowie Port 53 (DNS). Zusätzlich werden für die Replikation zwischen mehreren Domänencontrollern dynamische RPC-Ports benötigt, sofern diese nicht auf einen festen Bereich eingeschränkt wurden.

Fazit

Ein Domänencontroller lässt sich sowohl über den Server-Manager als auch per PowerShell zuverlässig einrichten. Wichtig sind dabei vor allem eine sorgfältige Vorbereitung sowie ein sicher verwahrtes DSRM-Passwort.

Für den produktiven Einsatz empfiehlt sich zudem mindestens ein zweiter Domänencontroller, um die Ausfallsicherheit des gesamten Netzwerks nachhaltig zu gewährleisten.