Strategie & Migration

Windows Server durch Linux ersetzen: Rolle für Rolle statt Big Bang

Rolle für Rolle statt Big Bang: Datei- und Druckdienste, Web, DNS und DHCP lassen sich sauber ablösen. Bei Active Directory und tief integrierten Fachanwendungen wird es aufwendig, und genau dort entscheidet sich, ob sich das Projekt trägt.

Passende Kurse ansehen Persönlich beraten lassen

IT-Entscheider besprechen eine Infrastruktur-Roadmap im Besprechungsraum

Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team

Worum es geht

Warum die Frage gerade jetzt auf dem Tisch liegt

Die Auslöser sind selten ideologisch. Meistens sind es auslaufende Lizenzmodelle, ein anstehender Hardware-Refresh, Anforderungen an digitale Souveränität in Verwaltung und öffentlichen Einrichtungen oder schlicht die Frage, warum für einen Dateiserver mit 40 Nutzern eine Datacenter-Lizenz plus CALs fällig wird. Dazu kommt, dass viele Umgebungen ohnehin schon gemischt sind: Der Reverse Proxy läuft auf nginx, das Monitoring auf Linux, die Container-Plattform sowieso. Übrig bleibt ein Kern aus Active Directory, Dateidiensten, Druck und Exchange.

Der typische Fehler ist der Versuch, alles gleichzeitig anzufassen. Wer Verzeichnisdienst, Fileserver und Mail in einem Projekt umstellt, hat bei jedem Problem drei mögliche Ursachen und keine funktionierende Rückfallebene. Der zweite typische Fehler ist die Annahme, es gäbe für jede Windows-Rolle ein 1:1-Gegenstück. Für Dateidienste, DNS, DHCP, Web und Proxy stimmt das weitgehend. Für AD-Zertifikatsdienste, ADFS, WSUS, Remote Desktop Services und die Groupware-Funktionen von Exchange stimmt es nicht, dort ändert sich das Betriebsmodell mit.

Unterschätzt wird außerdem die Berechtigungsebene. NTFS-ACLs, Vererbung, Besitzverhältnisse und SID-Historie müssen bei einer Dateiserver-Migration erhalten bleiben, sonst stehst du montags mit einem Ticketberg da. Samba kann das über vfs_acl_xattr und passendes ID-Mapping abbilden, aber nur wenn Dateisystem, Mount-Optionen und Kopierwerkzeug von Anfang an dazu passen.

Miniatur-Szene: Spielbrett, auf dem eine Server-Figur von einer alten auf eine neue Plattform zieht, daneben eine Roadmap

Migrationsreihenfolge nach Server-Rollen

01 Bestandsaufnahme der Rollen und Abhängigkeiten
02 Rand- und Infrastrukturdienste: DNS, DHCP, Zeit, Proxy
03 Datei- und Druckdienste mit Samba und CUPS
04 Verzeichnisdienst: AD-Beitritt oder Samba als Domänencontroller
05 Mail und Groupware
06 Betrieb: Automatisierung, Backup, Monitoring

Was du mitnimmst

So gehst du die Rollen der Reihe nach an

Sinnvoll ist eine Reihenfolge, die mit den unkritischen Randdiensten beginnt und den Verzeichnisdienst zuletzt anfasst. Jede Stufe ist für sich testbar und für sich zurückrollbar.

Zuerst die Entscheidung beim Verzeichnisdienst

Es gibt zwei saubere Wege. Entweder du bindest die Linux-Server per Winbind und Kerberos als Mitgliedsserver in das bestehende Active Directory ein, dann bleibt die Anmeldung unverändert und du migrierst nur die Dienste darunter. Oder du ersetzt die Domänencontroller selbst durch Samba im AD-DC-Modus, inklusive Kerberos, LDAP, Gruppenrichtlinien und FSMO-Rollen. Der erste Weg ist der pragmatische Einstieg, der zweite das eigentliche Ziel, wenn Windows komplett raus soll.

Datei- und Druckdienste als erster echter Umzug

Ein Samba-Fileserver mit SMB3 spricht dieselben Protokolle wie der bisherige Server. Wichtig sind ACL-Unterstützung im Dateisystem, konsistentes ID-Mapping (idmap_ad oder idmap_rid), eine Übernahme der Berechtigungen mit robocopy oder rsync mit passenden Flags und ein durchdachtes Snapshot- und Shadow-Copy-Konzept über LVM oder ZFS. Für Unix-Clients kommt NFS dazu. Druck läuft über CUPS, hier änderst du realistisch die Treiberverteilung, weil der klassische Point-and-Print-Weg seit den Windows-Härtungen ohnehin nicht mehr so funktioniert wie früher.

Infrastrukturdienste ohne großes Drama

DNS, DHCP, Zeitsynchronisation und Adressverwaltung sind die Dienste mit dem besten Aufwand-Nutzen-Verhältnis. BIND oder der Samba-interne DNS, ISC Kea oder dnsmasq für DHCP und chrony für die Zeit lassen sich parallel aufbauen und im Betrieb umschwenken. Achte darauf, dass die dynamischen DNS-Updates aus der Domäne weiter funktionieren, sonst brichst du dir die Kerberos-Namensauflösung.

Web, Proxy und Anwendungsserver

IIS-Anwendungen wandern auf Apache oder nginx, sofern sie nicht an ASP.NET Framework gebunden sind. Als Proxy und Content-Filter kommt Squid infrage, für Java-Anwendungen Tomcat. Diese Rolle ist oft die erste, die produktiv umgestellt wird, weil sie sich mit einem Reverse Proxy davor stufenweise umleiten lässt.

Mail und Groupware ehrlich bewerten

Ein reiner Mailtransport mit Postfix, Dovecot, Rspamd und passender TLS- und DKIM-Konfiguration ist technisch unkritisch und stabiler zu betreiben als viele erwarten. Anspruchsvoll wird es bei den Groupware-Funktionen: gemeinsame Kalender, Frei-Zeit-Abfragen, öffentliche Ordner und native Outlook-Anbindung brauchen einen zusätzlichen Stack wie SOGo oder grommunio. Diese Rolle gehört deshalb nicht an den Anfang des Projekts.

Betrieb, Backup und Monitoring mitziehen

Eine Migration ist erst fertig, wenn Backup, Patchprozess, Monitoring und Dokumentation für die neue Plattform stehen. Konkret heißt das: Konfiguration in Ansible statt in Handarbeit, Checks in Prometheus, Zabbix oder Naemon, ein getesteter Restore der Samba-Datenbanken und ein festgelegter Weg für Paket-Updates. Ohne das tauschst du nur ein Betriebsmodell gegen keines.

Passende Kurse

Kurse zu Ablösung von Windows Server bei cmt

Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.

Linux Samba und Windows Netzwerke 2 Tage Präsenz nächster Termin 22.10.2026 Zum Kurs Linux als Datei- und Druckserver (Samba, NFS und mehr) 2 Tage Präsenz nächster Termin 19.11.2026 Zum Kurs Linux Infrastrukturdienste (INFS) 3 Tage Präsenz nächster Termin 26.08.2026 Garantietermin Zum Kurs Linux Mailserver Training: Postfix, Dovecot und Co (MAIL) 3 Tage Präsenz nächster Termin 16.11.2026 Zum Kurs Linux als Proxy- und Web-Server 3 Tage Präsenz nächster Termin 23.11.2026 Zum Kurs

Unverbindlich beraten lassen Alle LPI-Kurse ansehen

Gut zu wissen

Häufige Fragen zu Ablösung von Windows Server

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt

Kann Samba einen Active-Directory-Domänencontroller vollständig ersetzen?

Für klassische Umgebungen ja: Samba im AD-DC-Modus liefert Kerberos, LDAP, Gruppenrichtlinien, die FSMO-Rollen und die Anmeldung von Windows-Clients. Grenzen gibt es bei einigen Sonderfällen, etwa bei der Sysvol-Replikation zwischen mehreren Domänencontrollern, die nicht über DFS-R läuft und in der Praxis mit rsync oder osync gelöst wird, sowie bei Diensten, die eine Schema-Erweiterung von Microsoft voraussetzen. Wenn Anwendungen zwingend Windows-spezifische AD-Erweiterungen brauchen, prüfst du das vor der Entscheidung.

Was ist der Unterschied zwischen Samba als Domänencontroller und Samba als Mitgliedsserver?

Als Mitgliedsserver tritt der Linux-Server dem bestehenden Active Directory bei und nutzt es für Authentifizierung und Autorisierung, per Winbind und Kerberos. Das bestehende AD bleibt unverändert bestehen, du tauschst nur den Dienst darunter aus. Als Domänencontroller stellt Samba das Verzeichnis selbst bereit, dann verschwindet Windows Server auch aus der Anmeldung. Für einen schrittweisen Umstieg ist der Mitgliedsserver fast immer der richtige erste Schritt.

Gibt es eine Exchange-Alternative unter Linux?

Für reinen Mailverkehr sind Postfix und Dovecot der Standard und funktional vollständig. Für Groupware mit gemeinsamen Kalendern, Frei-Zeit-Informationen und Outlook-Anbindung brauchst du eine zusätzliche Schicht, üblicherweise SOGo oder grommunio. Ein 1:1-Ersatz für alle Exchange-Funktionen inklusive der Verwaltungswerkzeuge ist das nicht, deshalb solltest du vorher festhalten, welche Funktionen im Alltag wirklich genutzt werden.

Welche Windows-Rollen lassen sich nicht sinnvoll ablösen?

Schwierig oder nur mit verändertem Betriebsmodell ablösbar sind die Active-Directory-Zertifikatsdienste, ADFS, WSUS, Remote Desktop Services und alles, was auf .NET-Framework-Anwendungen aufsetzt. Für eine interne PKI gibt es mit step-ca oder EJBCA gute Werkzeuge, die automatische Zertifikatsverteilung an Windows-Clients funktioniert dann aber anders als über Autoenrollment. Solche Rollen bleiben oft bewusst noch eine Weile auf Windows stehen.

Wie lange dauert eine Migration und womit fängt man an?

Seriös lässt sich das nur nach einer Bestandsaufnahme sagen, weil die Dauer an der Zahl der Rollen, den Fachanwendungen und den Abhängigkeiten hängt, nicht an der Serveranzahl. Bewährt hat sich, mit einem klar abgegrenzten Dienst wie Proxy, DNS oder einem einzelnen Dateiserver zu starten, dort das Betriebsmodell zu etablieren und erst danach den Verzeichnisdienst anzufassen. Ein Testaufbau mit echten Clients ist dabei kein Luxus, sondern der günstigste Teil des Projekts.

Zuletzt geprüft am 26. Juli 2026.

Echte Stimmen aus unseren IT-Kursen

“

Qualitativ sehr guter Kurs. Ruhiger und wertschätzender Umgang. Keine Informationsüberlastung.

Rückmeldung aus dem Kurs „Ansible Kompaktkurs“

“

Erwartungen wurden erfüllt. Angekündigte Themen in hinreichender Tiefe bearbeitet. Zudem gutes Zeitmanagement.

Rückmeldung aus dem Kurs „Source Code Management und CI / CD (DO4)“

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.

0800 71 20000 E-Mail

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.

0800 71 20000 E-Mail

Nächster Schritt

Migration mit dem passenden Kurs vorbereiten

Bei cmt findest du die Bausteine für genau diesen Weg: "Linux Samba und Windows Netzwerke" für die AD-Anbindung und den Domänencontroller, "Linux als Datei- und Druckserver (Samba, NFS und mehr)" für die Dateidienste, "Linux Infrastrukturdienste (INFS)" für DNS, DHCP und Co, "Linux Mailserver Training: Postfix, Dovecot und Co (MAIL)" für den Mailteil und "Linux als Proxy- und Web-Server" für Web und Proxy. Alle Kurse gibt es als Präsenz- oder Live-Online-Termin und als Firmenschulung auf deine Umgebung zugeschnitten. Wenn du unsicher bist, in welcher Reihenfolge deine Rollen an die Reihe kommen, sprich uns an, wir gehen deine Ausgangslage mit dir durch.

Beratung anfragen 0800 71 20000