Das Verzeichnis ist der eigentliche Kern
Eine Serverrolle ist in einer Stunde installiert. Was Jahre trägt oder Jahre kostet, ist die Struktur des Verzeichnisses, an der alles andere hängt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Verzeichnisdienst trägt alles, was danach kommt
In den meisten Häusern ist das Active Directory über zehn Jahre und drei Zuständige gewachsen. Die Organisationseinheiten bilden ein Organigramm ab, das es so nicht mehr gibt. Es existieren Gruppen, deren Zweck niemand mehr benennen kann, Dienstkonten mit unverändertem Kennwort und zu vielen Rechten, und Gruppenrichtlinien, die für einen Sonderfall angelegt und nie zurückgenommen wurden.
Bemerkbar macht sich das an zwei Stellen. Erstens bei jeder Änderung: Wer nicht weiß, warum eine Einstellung gesetzt ist, nimmt sie nicht zurück, und der Bestand wächst weiter. Zweitens im Ernstfall. Fällt das Verzeichnis aus, meldet sich niemand mehr an, und damit steht nicht ein System, sondern das Haus. Die Wiederherstellung eines Verzeichnisses ist ein eigener Vorgang mit eigener Reihenfolge und nicht das Zurückspielen einer Datei.
Der dritte Punkt ist die Verzahnung mit der Cloud. Sobald die Konten in den Microsoft-365-Mandanten synchronisiert werden, wirkt jeder lokale Fehler dort weiter: Ein verschobenes Konto verschwindet aus dem Filter, ein doppeltes Attribut blockiert die Anmeldung, eine gelöschte Gruppe nimmt Berechtigungen in Teams und SharePoint mit. Wer beide Seiten nicht zusammendenkt, sucht den Fehler dauerhaft auf der falschen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, und wer setzt um
Die Reibung in dieser Rolle entsteht selten an der Technik und fast immer an ungeklärten Zuständigkeiten. Diese fünf Zeilen sind die, an denen es in den meisten Häusern hakt.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Struktur von Organisationseinheiten und Gruppen | Die IT-Leitung gemeinsam mit den Fachbereichen, denn der Rollenschnitt ist eine Frage der Organisation und nicht der Technik | Die Windows-Administration baut die Struktur, delegiert Rechte daran und dokumentiert, wofür jede Ebene gedacht ist | Die Struktur bildet das Organigramm ab. Bei der nächsten Umstrukturierung wandern Konten in andere Einheiten, Richtlinien greifen plötzlich anders, und niemand hat die Verbindung im Kopf. |
| Gruppenrichtlinien und Ausnahmen | Die Informationssicherheit setzt die Vorgaben, die IT-Leitung entscheidet über Ausnahmen und trägt deren Risiko | Die Windows-Administration übersetzt beides in möglichst wenige, benannte Richtlinienobjekte | Für einen Fachbereich wird eine Ausnahme als eigenes Objekt angelegt, das befristet sein sollte und es nie ist. Nach Jahren weiß niemand mehr, welche Ausnahme noch begründet ist. |
| Wiederherstellung des Verzeichnisses | Die Geschäftsführung, denn die zulässige Ausfallzeit ist eine Geschäftsentscheidung und keine technische | Die Windows-Administration sichert den Systemzustand und übt den Rückweg mit der Uhr in der Hand | Das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus liegt in einem Kennwortspeicher, dessen Anmeldung über genau dieses Verzeichnis läuft. Im Ernstfall kommt niemand daran. |
| Synchronisierung in den Microsoft-365-Mandanten | Windows-Administration und Microsoft-365-Administration gemeinsam, welche Objekte und Attribute übertragen werden und welche Seite führt | Die Windows-Administration pflegt die lokalen Objekte, die Mandantenseite verwaltet Lizenzen und Rollen | Ein Filter wird nachträglich geändert, und Konten verschwinden im Mandanten. Wer die Auswirkung nicht kennt, sucht den Fehler tagelang auf der Cloudseite. |
| Privilegierte Konten | Die Informationssicherheit legt fest, wer erhöhte Rechte bekommt und unter welchen Bedingungen | Die Windows-Administration arbeitet mit getrennten Konten für Alltag und Verwaltung und protokolliert deren Einsatz | Das Alltagskonto der Administration hat Domänenrechte. Ein geöffneter Anhang in diesem Kontext genügt, um die gesamte Domäne zu übernehmen, und genau darauf zielen die meisten Angriffe. |
Struktur von Organisationseinheiten und Gruppen
- Wer entscheidet
- Die IT-Leitung gemeinsam mit den Fachbereichen, denn der Rollenschnitt ist eine Frage der Organisation und nicht der Technik
- Wer setzt um
- Die Windows-Administration baut die Struktur, delegiert Rechte daran und dokumentiert, wofür jede Ebene gedacht ist
- Stolperfalle
- Die Struktur bildet das Organigramm ab. Bei der nächsten Umstrukturierung wandern Konten in andere Einheiten, Richtlinien greifen plötzlich anders, und niemand hat die Verbindung im Kopf.
Gruppenrichtlinien und Ausnahmen
- Wer entscheidet
- Die Informationssicherheit setzt die Vorgaben, die IT-Leitung entscheidet über Ausnahmen und trägt deren Risiko
- Wer setzt um
- Die Windows-Administration übersetzt beides in möglichst wenige, benannte Richtlinienobjekte
- Stolperfalle
- Für einen Fachbereich wird eine Ausnahme als eigenes Objekt angelegt, das befristet sein sollte und es nie ist. Nach Jahren weiß niemand mehr, welche Ausnahme noch begründet ist.
Wiederherstellung des Verzeichnisses
- Wer entscheidet
- Die Geschäftsführung, denn die zulässige Ausfallzeit ist eine Geschäftsentscheidung und keine technische
- Wer setzt um
- Die Windows-Administration sichert den Systemzustand und übt den Rückweg mit der Uhr in der Hand
- Stolperfalle
- Das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus liegt in einem Kennwortspeicher, dessen Anmeldung über genau dieses Verzeichnis läuft. Im Ernstfall kommt niemand daran.
Synchronisierung in den Microsoft-365-Mandanten
- Wer entscheidet
- Windows-Administration und Microsoft-365-Administration gemeinsam, welche Objekte und Attribute übertragen werden und welche Seite führt
- Wer setzt um
- Die Windows-Administration pflegt die lokalen Objekte, die Mandantenseite verwaltet Lizenzen und Rollen
- Stolperfalle
- Ein Filter wird nachträglich geändert, und Konten verschwinden im Mandanten. Wer die Auswirkung nicht kennt, sucht den Fehler tagelang auf der Cloudseite.
Privilegierte Konten
- Wer entscheidet
- Die Informationssicherheit legt fest, wer erhöhte Rechte bekommt und unter welchen Bedingungen
- Wer setzt um
- Die Windows-Administration arbeitet mit getrennten Konten für Alltag und Verwaltung und protokolliert deren Einsatz
- Stolperfalle
- Das Alltagskonto der Administration hat Domänenrechte. Ein geöffneter Anhang in diesem Kontext genügt, um die gesamte Domäne zu übernehmen, und genau darauf zielen die meisten Angriffe.
Fünf Bereiche, die auf dem Tisch dieser Rolle liegen
- 01 Der Verzeichnisdienst mit Domänen, Standorten und der Replikation dazwischen.
- 02 Gruppenrichtlinien, die Arbeitsplätze und Server einheitlich einstellen.
- 03 Serverrollen für Dateien, Druck, Namensauflösung und Zertifikate.
- 04 Virtualisierung darunter und eine Sicherung mit geübtem Rückweg.
- 05 Automatisierung in PowerShell für alles, was zweimal vorkommt.
Was die Rolle im Alltag verantwortet
Die Aufgaben lassen sich an sechs Punkten festmachen, und an denselben Punkten erkennst du in einer Ausschreibung, ob dort ein Verzeichnisbetrieb gesucht wird oder ein Allrounder mit Serverzugang.
Die Struktur des Verzeichnisses begründen können
Organisationseinheiten schneidest du danach, wie verwaltet wird, also nach Richtlinien und Delegation, nicht nach Abteilungen. Damit übersteht die Struktur die nächste Umstrukturierung, und Berechtigungen hängen an Rollen statt an Personen.
Gruppenrichtlinien ordnen und zurückbauen
Wenige, klar benannte Richtlinienobjekte mit dokumentiertem Zweck schlagen fünfzig gewachsene. Du kannst Vererbung und Filterung erklären und weist mit einer Auswertung des tatsächlich angewendeten Satzes nach, warum ein Rechner sich verhält, wie er sich verhält.
Dienstkonten in den Griff bekommen
Für Anwendungen setzt du verwaltete Dienstkonten ein, deren Kennwort das Verzeichnis selbst wechselt, statt ein Sammelkonto mit ewigem Kennwort zu pflegen. Das ist der wirksamste einzelne Schritt gegen die stille Ausbreitung hoher Rechte.
Das Verzeichnis wiederherstellen können
Du kennst den Unterschied zwischen dem Zurückholen eines gelöschten Objekts aus dem Papierkorb und der autoritativen Wiederherstellung, weißt, wo das Kennwort für den Wiederherstellungsmodus liegt, und hast den Ablauf einmal an einer Testumgebung durchgespielt.
Wiederkehrendes in PowerShell überführen
Anlegen, Umziehen und Sperren von Konten, Auswertungen über Gruppen und abgelaufene Kennwörter, Prüfungen nach einer Änderung. Der Gewinn ist weniger die Zeit als die Wiederholbarkeit: Derselbe Vorgang läuft zweimal gleich ab und lässt sich abgeben.
Die Grenze zur Cloud kennen
Du weißt, welche Objekte und Attribute synchronisiert werden, welche Seite dabei die maßgebliche ist und was passiert, wenn jemand den Filter ändert. Diese Nahtstelle gehört dir gemeinsam mit der Microsoft-365-Administration, und sie muss besprochen sein, bevor sie auffällt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was den Tag tatsächlich füllt
Der geplante Teil besteht aus Konten und Gruppen, Änderungen an Richtlinien, ablaufenden Zertifikaten, Speicherplatz, Updates mit Neustartfenster und der Durchsicht der Sicherungsprotokolle. Der ungeplante Teil sind Störungen, und die haben in dieser Rolle ein wiederkehrendes Muster: Fast alles, was nach einem Anwendungsproblem aussieht, ist am Ende Namensauflösung, Zeitabweichung, Replikation oder ein abgelaufenes Zertifikat.
Fachlich verlangt die Rolle mehr Tiefe an einer Stelle und weniger Breite als die allgemeine Systemadministration. Standorte und Replikationstopologie, die Betriebsmasterrollen und was passiert, wenn eine davon ausfällt, die Struktur der Namensauflösung, Kerberos und die typischen Fehlerbilder bei Dienstnamen. Wer diese Ebene beherrscht, findet Fehler, an denen andere raten.
Falsch erwartet wird meist der Anteil an Rückbau. Neue Server aufzusetzen ist der kleinere Teil der Arbeit, das Abschalten alter ist der größere und der unbequemere. Zu jedem Altsystem gehört jemand, der es noch braucht, und die eigentliche Arbeit besteht darin, diesen Jemand zu finden und den Umstieg zu verabreden, bevor das System aus Sicherheitsgründen ohnehin weg muss.
Wo diese Rolle aufhört, und wo die Nachbarn anfangen
Zur allgemeinen Systemadministration ist die Grenze eine Frage der Tiefe. Wer die Rolle allgemein ausfüllt, betreut Windows und Linux, Clients, Netz und Anwendungen; wer Windows-Server-Administrator heißt, verantwortet Verzeichnis und Serverlandschaft und geht dort tiefer. In Häusern unter etwa hundert Beschäftigten sind das dieselbe Person und dieselbe Stelle, ab einer eigenen Serverlandschaft mit mehreren Standorten trennen sich die Aufgaben.
Zur Microsoft-365-Administration verläuft die Grenze zwischen dem eigenen Rechenzentrum und dem Mandanten. Du verantwortest, wer im Verzeichnis existiert und in welcher Gruppe er steckt; die Mandantenseite verantwortet, was daraus an Lizenzen, Diensten und Richtlinien folgt. Die Synchronisierung ist die gemeinsame Naht, und sie ist der häufigste Punkt, an dem beide Seiten aufeinander zeigen.
Zum Identity- und Access-Management liegt die Grenze zwischen Regel und Umsetzung. Wer dort verantwortlich ist, legt fest, welche Rolle welche Rechte bekommt, wer das genehmigt und wann es bestätigt werden muss. Du setzt das im Verzeichnis um. Sind beides dieselbe Person, gibt es keine Kontrolle mehr, und genau danach fragt jede Prüfung als Erstes.
Der Weg hinein, und welche Nachweise wirklich zählen
Der gerade Weg ist die Ausbildung zum Fachinformatiker für Systemintegration, der häufigere ist der Wechsel aus dem Anwendersupport oder aus der allgemeinen Systemadministration. In beiden Fällen fehlt am Anfang dasselbe: das Modell hinter dem Verzeichnis. Wer nur Konten anlegt, sieht die Oberfläche; die Rolle beginnt dort, wo jemand erklären kann, warum eine Anmeldung an Standort B langsamer ist als an Standort A.
Herstellernachweise sind hier eine besondere Lage. Mit dem Ende der früheren MCSA-Reihe gibt es für Windows Server keinen gleichwertigen aktuellen Nachweis mehr, die heutigen Microsoft-Rollenprüfungen zielen auf Azure und Microsoft 365. In Ausschreibungen stehen deshalb oft noch die alten Bezeichnungen, und im Fachgespräch wird ohnehin gefragt, wie du eine Replikationsstörung eingrenzt.
Was wirklich zählt, ist ein eigenes Labor. Zwei Domänencontroller in einer Virtualisierung, ein Dateiserver, ein Client, dazu eine Zertifikatsstelle. Wer darin einmal die Replikation absichtlich zerstört, eine Organisationseinheit gelöscht und autoritativ zurückgeholt und einen Domänencontroller nach einem Ausfall neu aufgebaut hat, hat im Gespräch drei Geschichten, gegen die kein Zertifikat ankommt.
Woran sich zwei Leute mit gleicher Berufsdauer unterscheiden
Der erste Unterschied ist die Fehlersuche. Die eine prüft der Reihe nach Namensauflösung, Zeit, Replikation und Berechtigung und weiß nach zehn Minuten, wo sie steht. Der andere startet neu, und wenn das hilft, weiß er nicht, warum. Nach fünf Jahren steht die eine vor einer fremden Umgebung und findet sich zurecht, weil sie einem Modell folgt und nicht einer Erinnerung.
Der zweite Unterschied ist der Umgang mit dem Bestand. Wer bei jeder Änderung notiert, warum sie nötig war, kann sie später zurücknehmen. Wer nichts notiert, traut sich nicht und schleppt Sonderfälle mit. Genau dieser Berg entscheidet, ob eine Migration auf eine neue Serverversion sechs Wochen oder sechs Monate dauert.
Der dritte Unterschied ist die Bereitschaft zur Automatisierung, und zwar nicht aus Bequemlichkeit. Wer wiederkehrende Vorgänge in PowerShell abbildet, macht sie nachvollziehbar, prüfbar und abgebbar. Wer alles über die Oberfläche macht, bleibt der Einzige, der es kann, und wird damit zum Engpass des eigenen Teams.
Wohin die Rolle führt
Die naheliegendste Richtung ist der Weg in die Cloud, weil ihn die meisten Häuser ohnehin gehen: von der lokalen Domäne zum Mandanten, von Gruppenrichtlinien zur Geräteverwaltung, von lokalen Konten zu Identitäten in Entra ID. Wer den Übergang begleitet hat, ist danach für Hybridumgebungen gefragt, und die bleiben in vielen Häusern auf Jahre der Normalfall.
Die zweite Richtung ist die Automatisierung und Infrastruktur als Code, die dritte die Informationssicherheit, für die diese Rolle eine sehr gute Ausgangslage bietet: Wer weiß, wie eine Domäne aufgebaut ist, weiß auch, wie man sie übernimmt. Die vierte ist die Führung eines Betriebsteams.
Das Gehaltskapitel weiter unten zeigt die Berufsgattung IT-Systemadministration. Aufschlussreicher als die Zahl selbst ist der Vergleich innerhalb derselben Berufsfamilie: Zellen, in denen Planung und Steuerung stecken, liegen auf demselben Anforderungsniveau höher als die reine Administration. Der Verdienstsprung hängt in dieser Familie also weniger an zusätzlichem Fachwissen als daran, ob eine Stelle Entscheidungen enthält oder nur deren Umsetzung.
Dazu passende Kurse
Wie du diese Struktur begründest, statt sie zu erben, zeigen Kurse, in denen du eine Domäne aufbaust und ihre Struktur begründest .
Sobald derselbe Vorgang zum zweiten Mal ansteht, lohnen sich die Kurse, in denen aus wiederkehrenden Handgriffen ein Skript wird .
Die amtlichen Zahlen zu dieser Rolle
Die Zahlen stammen aus der Berufsgattung IT-Systemadministration auf dem Anforderungsniveau Spezialist und sind Bruttomonatsverdienste von Vollzeitbeschäftigten ohne Sonderzahlungen, Weihnachts- und Urlaubsgeld kommen also dazu und der Jahresverdienst liegt über dem Zwölffachen. Das Anforderungsniveau beschreibt dabei den Zuschnitt der Stelle und nicht deine Dienstjahre: Als Spezialist gilt eine Stelle wegen ihrer Aufgaben, nicht wegen der Erfahrung der Person, die sie ausfüllt. Halte dich an den Median, denn einzelne sehr gut bezahlte Stellen ziehen den Durchschnitt nach oben. Weicht dein Verdienst deutlich ab, sind Branche, Betriebsgröße, Region und der Anteil an Rufbereitschaft die üblichen Gründe.
Amtliche Medianverdienste, April 2025
Brutto im MonatStatistisches Bundesamt, Verdiensterhebung. Vollzeit, ohne Sonderzahlungen. Die Hälfte der Beschäftigten verdient weniger als der Median, die andere Hälfte mehr.
KldB 43343, Durchschnitt 5.495 €, gerundet rund 62.000 € im Jahr ohne Sonderzahlungen
- Vollzeitbeschäftigte, Bruttomonatsverdienst ohne Sonderzahlungen. Weihnachts- und Urlaubsgeld, Prämien und Boni sind nicht enthalten, der Jahresverdienst liegt also über dem Zwölffachen.
- Das Anforderungsniveau beschreibt den Zuschnitt der Stelle, nicht die Berufserfahrung. Fachkraft, Spezialist und Experte sagen etwas über die Komplexität der Tätigkeit aus, nicht über Dienstjahre.
- Die Erhebung geht regional nur bis auf die Bundeslandebene. Für einzelne Städte gibt es keine amtlichen Zahlen, weil der Zufallsfehler zu groß wäre.
Quelle: Statistischer Bericht Verdienste , Statistisches Bundesamt (Destatis). Den eigenen Fall prüfst du im Entgeltatlas der Bundesagentur für Arbeit . Beachte dort: Entgelte oberhalb der Beitragsbemessungsgrenze sind der Statistik nicht bekannt, bei gut bezahlten IT-Rollen steht deshalb nur eine Untergrenze.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Der passende Lernpfad
Wenn du nicht nur ein Thema abhaken, sondern eine Rolle ausfüllen willst, zeigt dir der Lernpfad die Kurse in der Reihenfolge, in der sie aufeinander aufbauen.
Windows Server Senior Administrator
In diesem Lernpfad vertiefst Du Deine Windows Server Kenntnisse auf Senior-Niveau und bringst Betrieb, Sicherheit und Automatisierung in eine stabile, nachvollziehbare Praxis. Du lernst, komplexe Server- und Active Directory Umgebungen zu planen, zu betreiben und sauber zu dokumentieren, inklusive Troubleshooting unter Zeitdruck und klarer Priorisierung im Incident-Fall.
Einstieg (Junior)
Expert (Senior)
Wo du genau das übst
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Was macht ein Windows-Server-Administrator den ganzen Tag?
Worin unterscheidet sich die Rolle vom Systemadministrator?
Lohnt sich Windows Server noch, wenn alles in die Cloud geht?
Brauche ich PowerShell für diese Rolle?
Passt thematisch dazu
Wer die Themen nicht einzeln, sondern der Reihe nach lernen will, findet in unserem Katalog der aufeinander aufbauende Weg vom Einstieg bis zur eigenständigen Serverlandschaft .
Falls dir die Begriffe rund um Domäne, Gesamtstruktur und Schema noch fremd sind, klärt was hinter dem Verzeichnisdienst technisch steckt die Grundlage.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Ein Verzeichnis versteht man erst, wenn man es einmal zerlegt hat
Bei cmt baust du Domäne, Gruppenrichtlinien und Zertifikatsdienste an eigenen Umgebungen auf und übst dort auch die Wiederherstellung, die im laufenden Betrieb niemand ausprobieren will.
Passt dazu
- Systemadministrator: was zu der Rolle gehört und was nicht
- Microsoft-365-Administrator: du verwaltest Dienste, nicht mehr Server
- Identity- und Access-Management: wer darf was, und wer hat das entschieden
- IT-Supporter: der erste Kontakt entscheidet über den Rest des Tickets