Was ist Active Directory?
Active Directory Domain Services (AD DS)
Active Directory ist der Verzeichnisdienst von Windows Server. Darin liegen Benutzer, Computer, Gruppen und Richtlinien einer Organisation zentral, und darüber laufen Anmeldung und Berechtigungsprüfung im gesamten Netz.
Wer sich morgens an einem Windows-Rechner anmeldet und ein Netzlaufwerk öffnet, hat schon zwei Auskünfte aus dem Verzeichnisdienst geholt, ohne es zu merken.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
- Gehört zu
- Windows Server
- Anmeldung über
- Kerberos
- Enthält
- Benutzer, Computer, Gruppen, Richtlinien
- Verwechselt mit
- Microsoft Entra ID
Domäne, Gesamtstruktur, Organisationseinheit
Die Domäne ist die Verwaltungsgrenze, in der Konten, Richtlinien und Rechte gepflegt werden. Alle Domänencontroller einer Domäne halten dieselbe Datenbank und gleichen Änderungen untereinander ab. Mehrere Domänen bilden eine Gesamtstruktur, die sich ein gemeinsames Schema teilt, also die Definition aller möglichen Objektarten und ihrer Attribute. Die eigentliche Sicherheitsgrenze ist deshalb nicht die Domäne, sondern die Gesamtstruktur: Wer in einer Domäne administrative Rechte hat, kommt darüber auch in die übrigen Domänen.
Innerhalb der Domäne gliedern Organisationseinheiten den Bestand. Das sind keine Sicherheitsgruppen, sondern Container, an denen zwei Dinge hängen: die Verknüpfung von Gruppenrichtlinien und die Delegation von Rechten, etwa damit das Team vor Ort Kennwörter zurücksetzen darf, ohne Domänenadministrator zu sein. Standorte bilden zusätzlich die Netzstruktur ab und steuern, welcher Domänencontroller eine Anmeldung annimmt und wie oft repliziert wird.
Anmeldung über Kerberos
Meldet sich jemand an, stellt der Domänencontroller nicht einfach ein Ja aus, sondern ein Ticket. Mit diesem Ticket holt sich der Rechner weitere Tickets für einzelne Dienste, etwa für die Dateifreigabe oder den Datenbankserver. Das Kennwort selbst wandert dabei nicht über das Netz zum Zielserver.
Zwei Voraussetzungen bringen dieses Verfahren regelmäßig ins Stolpern. Erstens die Zeit: Weichen die Uhren zwischen Client und Domänencontroller zu weit ab, gelten Tickets als ungültig und die Anmeldung schlägt fehl. Zweitens DNS. Clients finden ihre Domänencontroller über Diensteinträge im DNS, ein Rechner mit dem falschen DNS-Server im Netzwerkprofil findet die Domäne schlicht nicht.
Gruppenrichtlinien im Betrieb
Eine Gruppenrichtlinie wird mit einem Standort, einer Domäne oder einer Organisationseinheit verknüpft und wirkt von dort nach unten. In ihr stecken ein Computer- und ein Benutzerteil, und beide greifen nur, wenn das jeweilige Objekt tatsächlich unterhalb der verknüpften Stelle liegt.
Genau das ist die häufigste Fehlerursache: Die Richtlinie ist korrekt, hängt aber an der Organisationseinheit der Benutzer, während sie Computereinstellungen enthält. Bevor du an den Einstellungen zweifelst, prüfst du die Verknüpfung, die Vererbung und die Sicherheitsfilterung und lässt dir den tatsächlich angewendeten Richtliniensatz auf dem betroffenen Rechner ausgeben.
Die Konten, an denen alles hängt
Wer Domänenadministrator ist, kann in einer Domäne alles. Deshalb ist die Zahl dieser Konten die wichtigste Kennzahl für die Sicherheit einer Umgebung, und ein privilegiertes Konto gehört nicht auf den täglichen Arbeitsplatz, an dem Mails geöffnet werden.
Gefährlich sind außerdem Dienstkonten mit alten, schwachen Kennwörtern und weitreichenden Rechten. Solche Konten lassen sich gezielt angreifen, weil Kerberos-Tickets für ihre Dienste von jedem angemeldeten Konto angefordert werden können. Verwaltete Dienstkonten mit automatisch gewechselten Kennwörtern nehmen diesem Angriffsweg die Grundlage.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Active Directory und was oft damit gleichgesetzt wird
Entra ID, früher Azure AD, ist das Cloud-Verzeichnis hinter Microsoft 365. Es kennt keine Organisationseinheiten, keine klassischen Gruppenrichtlinien und kein Kerberos im lokalen Sinn, sondern arbeitet mit modernen Anmeldeprotokollen. Beide Welten laufen häufig parallel und werden synchronisiert.
LDAP ist ein Protokoll, mit dem Anwendungen Verzeichnisse abfragen. Active Directory versteht LDAP, ist aber der Dienst dahinter mit Replikation, Kerberos und Richtlinien, nicht das Protokoll selbst.
Die Zertifikatsdienste sind eine eigene Serverrolle für den Betrieb einer internen Zertifizierungsstelle. Für Veröffentlichung und Verteilung greifen sie auf das Verzeichnis zu, gehören aber nicht zum Verzeichnisdienst selbst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Gewachsen über zwanzig Jahre, dokumentiert für eines
Berechtigungen wandern in gewachsenen Umgebungen direkt an einzelne Konten, Gruppen werden ineinander verschachtelt, und irgendwann kann niemand mehr beantworten, wer auf ein Verzeichnis zugreifen darf. Lösen lässt sich das nur rückwärts: Wer besitzt diese Daten fachlich, und welche Rolle braucht welchen Zugriff? Alles, was sich keiner Rolle zuordnen lässt, fliegt nach einer angekündigten Frist raus. Ohne festen Termin für eine Überprüfung wächst der Bestand einfach weiter.
Das größere Risiko sind die privilegierten Konten. Meldet sich ein Konto mit weitreichenden Rechten an einem normalen Arbeitsplatz an, liegen Anmeldeinformationen auf diesem Rechner, und wer ihn übernimmt, erbt sie. Deshalb gehören Verwaltungsaufgaben auf eigene Konten, die sich nur auf abgesicherten Verwaltungsrechnern anmelden dürfen, getrennt nach Reichweite.
Die Wiederherstellung ist ein eigenes Verfahren und nicht der Snapshot einer virtuellen Maschine. Wird ein Verzeichnisserver auf einen alten Stand zurückgesetzt, ohne dass die Virtualisierung das meldet, vergibt er Änderungsnummern erneut, die die übrigen Server längst gesehen haben. Alles, was er danach schreibt, halten sie für bereits verarbeitet und übernehmen es nie, und die Bestände laufen still auseinander. Wer das nie geübt hat, übt es im Ernstfall unter Zeitdruck. In hybriden Umgebungen kommt hinzu, dass die lokale Quelle Fehler zuverlässig nach oben in den Mandanten weiterreicht.
Active Directory lernen
Wie du eine Domäne aufbaust, Gruppenrichtlinien strukturierst und privilegierte Konten absicherst, behandeln die Kurse zur Serveradministration unter Windows von Grund auf.
Den Blick von der Angreiferseite auf dieselbe Umgebung, also Erkennung und Reaktion, liefern die Kursen zur Absicherung von Infrastrukturen .
Sitzt Active Directory schon?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Der passende Lernpfad
Wenn du nicht nur ein Thema abhaken, sondern eine Rolle ausfüllen willst, zeigt dir der Lernpfad die Kurse in der Reihenfolge, in der sie aufeinander aufbauen.
Windows Server Senior Administrator
In diesem Lernpfad vertiefst Du Deine Windows Server Kenntnisse auf Senior-Niveau und bringst Betrieb, Sicherheit und Automatisierung in eine stabile, nachvollziehbare Praxis. Du lernst, komplexe Server- und Active Directory Umgebungen zu planen, zu betreiben und sauber zu dokumentieren, inklusive Troubleshooting unter Zeitdruck und klarer Priorisierung im Incident-Fall.
Einstieg (Junior)
Expert (Senior)
Häufige Fragen
Brauchen wir Active Directory noch, wenn wir auf Microsoft 365 setzen?
Warum meldet sich ein Rechner nicht an, obwohl das Kennwort stimmt?
Was unterscheidet einen Domänencontroller von einem normalen Server?
Passt thematisch dazu
Ob Anmeldung und Dateiablage zwingend auf Windows Server bleiben müssen, klärst du am besten beim Vergleich der einzelnen Serverrollen mit ihren Linux-Gegenstücken .
Auch Rechner ohne Windows lassen sich an dieselben Konten hängen, und wie das mit realmd, SSSD oder Winbind läuft, steht in der Anleitung für die Domänenanbindung unter Linux .
Deine Ansprechpartner
Du willst das Thema nicht nur nachschlagen, sondern anwenden können? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Ordnet mit dir ein, welcher Kurs zu deinem Vorwissen passt.
Norbert Jansen
Beratung & Inhouse
Plant Inhouse-Trainings, die an euren eigenen Daten und Abläufen ansetzen.
Active Directory im Kurs statt im Lexikon
Nachschlagen bringt dich bis zum Verstehen. Anwenden lernst du an echten Aufgaben.