0800 71 20000
Kontakt
...
Strategie & Migration

Windows Server durch Linux ersetzen: Rolle für Rolle statt Big Bang

Rolle für Rolle statt Big Bang: Datei- und Druckdienste, Web, DNS und DHCP lassen sich sauber ablösen. Bei Active Directory und tief integrierten Fachanwendungen wird es aufwendig, und genau dort entscheidet sich, ob sich das Projekt trägt.

5 Kapitel mit allen Befehlen
Passende Kurse ansehen Persönlich beraten lassen
IT-Entscheider besprechen eine Infrastruktur-Roadmap im Besprechungsraum
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team
Worum es geht

Warum die Frage gerade jetzt auf dem Tisch liegt

Die Auslöser sind selten ideologisch. Meistens sind es auslaufende Lizenzmodelle, ein anstehender Hardware-Refresh, Anforderungen an digitale Souveränität in Verwaltung und öffentlichen Einrichtungen oder schlicht die Frage, warum für einen Dateiserver mit 40 Nutzern eine Datacenter-Lizenz plus CALs fällig wird. Dazu kommt, dass viele Umgebungen ohnehin schon gemischt sind: Der Reverse Proxy läuft auf nginx, das Monitoring auf Linux, die Container-Plattform sowieso. Übrig bleibt ein Kern aus Active Directory, Dateidiensten, Druck und Exchange.

Der typische Fehler ist der Versuch, alles gleichzeitig anzufassen. Wer Verzeichnisdienst, Fileserver und Mail in einem Projekt umstellt, hat bei jedem Problem drei mögliche Ursachen und keine funktionierende Rückfallebene. Der zweite typische Fehler ist die Annahme, es gäbe für jede Windows-Rolle ein 1:1-Gegenstück. Für Dateidienste, DNS, DHCP, Web und Proxy stimmt das weitgehend. Für AD-Zertifikatsdienste, ADFS, WSUS, Remote Desktop Services und die Groupware-Funktionen von Exchange stimmt es nicht, dort ändert sich das Betriebsmodell mit.

Unterschätzt wird außerdem die Berechtigungsebene. NTFS-ACLs, Vererbung, Besitzverhältnisse und SID-Historie müssen bei einer Dateiserver-Migration erhalten bleiben, sonst stehst du montags mit einem Ticketberg da. Samba kann das über vfs_acl_xattr und passendes ID-Mapping abbilden, aber nur wenn Dateisystem, Mount-Optionen und Kopierwerkzeug von Anfang an dazu passen.

Miniatur-Szene: Spielbrett, auf dem eine Server-Figur von einer alten auf eine neue Plattform zieht, daneben eine Roadmap
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Migrationsreihenfolge nach Server-Rollen

  1. 01 Bestandsaufnahme der Rollen und Abhängigkeiten
  2. 02 Rand- und Infrastrukturdienste: DNS, DHCP, Zeit, Proxy
  3. 03 Datei- und Druckdienste mit Samba und CUPS
  4. 04 Verzeichnisdienst: AD-Beitritt oder Samba als Domänencontroller
  5. 05 Mail und Groupware
  6. 06 Betrieb: Automatisierung, Backup, Monitoring
Was du mitnimmst

So gehst du die Rollen der Reihe nach an

Sinnvoll ist eine Reihenfolge, die mit den unkritischen Randdiensten beginnt und den Verzeichnisdienst zuletzt anfasst. Jede Stufe ist für sich testbar und für sich zurückrollbar.

Zuerst die Entscheidung beim Verzeichnisdienst

Es gibt zwei saubere Wege. Entweder du bindest die Linux-Server per Winbind und Kerberos als Mitgliedsserver in das bestehende Active Directory ein, dann bleibt die Anmeldung unverändert und du migrierst nur die Dienste darunter. Oder du ersetzt die Domänencontroller selbst durch Samba im AD-DC-Modus, inklusive Kerberos, LDAP, Gruppenrichtlinien und FSMO-Rollen. Der erste Weg ist der pragmatische Einstieg, der zweite das eigentliche Ziel, wenn Windows komplett raus soll.

Datei- und Druckdienste als erster echter Umzug

Ein Samba-Fileserver mit SMB3 spricht dieselben Protokolle wie der bisherige Server. Wichtig sind ACL-Unterstützung im Dateisystem, konsistentes ID-Mapping (idmap_ad oder idmap_rid), eine Übernahme der Berechtigungen mit robocopy oder rsync mit passenden Flags und ein durchdachtes Snapshot- und Shadow-Copy-Konzept über LVM oder ZFS. Für Unix-Clients kommt NFS dazu. Druck läuft über CUPS, hier änderst du realistisch die Treiberverteilung, weil der klassische Point-and-Print-Weg seit den Windows-Härtungen ohnehin nicht mehr so funktioniert wie früher.

Infrastrukturdienste ohne großes Drama

DNS, DHCP, Zeitsynchronisation und Adressverwaltung sind die Dienste mit dem besten Aufwand-Nutzen-Verhältnis. BIND oder der Samba-interne DNS, ISC Kea oder dnsmasq für DHCP und chrony für die Zeit lassen sich parallel aufbauen und im Betrieb umschwenken. Achte darauf, dass die dynamischen DNS-Updates aus der Domäne weiter funktionieren, sonst brichst du dir die Kerberos-Namensauflösung.

Web, Proxy und Anwendungsserver

IIS-Anwendungen wandern auf Apache oder nginx, sofern sie nicht an ASP.NET Framework gebunden sind. Als Proxy und Content-Filter kommt Squid infrage, für Java-Anwendungen Tomcat. Diese Rolle ist oft die erste, die produktiv umgestellt wird, weil sie sich mit einem Reverse Proxy davor stufenweise umleiten lässt.

Mail und Groupware ehrlich bewerten

Ein reiner Mailtransport mit Postfix, Dovecot, Rspamd und passender TLS- und DKIM-Konfiguration ist technisch unkritisch und stabiler zu betreiben als viele erwarten. Anspruchsvoll wird es bei den Groupware-Funktionen: gemeinsame Kalender, Frei-Zeit-Abfragen, öffentliche Ordner und native Outlook-Anbindung brauchen einen zusätzlichen Stack wie SOGo oder grommunio. Diese Rolle gehört deshalb nicht an den Anfang des Projekts.

Betrieb, Backup und Monitoring mitziehen

Eine Migration ist erst fertig, wenn Backup, Patchprozess, Monitoring und Dokumentation für die neue Plattform stehen. Konkret heißt das: Konfiguration in Ansible statt in Handarbeit, Checks in Prometheus, Zabbix oder Naemon, ein getesteter Restore der Samba-Datenbanken und ein festgelegter Weg für Paket-Updates. Ohne das tauschst du nur ein Betriebsmodell gegen keines.

Tutorial

Inventur, Domänenbeitritt, Dateidienste, Abnahme

Der Umzug läuft in vier Schritten ab, und der erste findet noch auf der Windows-Seite statt. Du nimmst Rollen und Abhängigkeiten auf, hängst den Linux-Server als Mitglied in die bestehende Domäne, ziehst dann Datei- und Infrastrukturdienste um und nimmst am Ende mit echten Benutzern ab. Der Verzeichnisdienst bleibt dabei bewusst bis zuletzt unangetastet.

01

Rollen und Abhängigkeiten aufnehmen

Die Inventur machst du auf dem Windows-Server, nicht auf dem Papier. Interessant ist nicht nur, welche Rolle installiert ist, sondern welche tatsächlich genutzt wird.

Bestandsaufnahme auf der Windows-Seite
Get-WindowsFeature | Where-Object Installed | Select-Object Name, DisplayName

Get-SmbShare | Select-Object Name, Path, Description
Get-SmbOpenFile | Group-Object ClientUserName | Sort-Object Count -Descending

Get-DnsServerZone | Select-Object ZoneName, ZoneType, IsDsIntegrated
Get-DhcpServerv4Scope | Select-Object ScopeId, Name, State

Get-Printer | Select-Object Name, DriverName, PortName

Get-SmbOpenFile ist die ehrlichste Abfrage der Liste: Der Befehl zeigt, welche Freigaben gerade wirklich benutzt werden. Erfahrungsgemäß sind von zwanzig Freigaben fünf aktiv, und die restlichen fünfzehn ziehst du nicht um, sondern archivierst sie.

Rolle, Gegenstück, Stolperstein

Windows-RolleGegenstück unter LinuxWoran es hakt
Datei- und DruckserverSamba als Domänenmitglied, CUPSNTFS-Berechtigungen müssen über SMB kopiert werden, sonst gehen sie verloren
DNSBIND 9 oder UnboundAD-integrierte Zonen und die dynamische Registrierung der Clients
DHCPKeaFailover heißt bei Kea High Availability und ist anders aufgebaut
IISnginx oder Apache httpdintegrierte Windows-Authentifizierung und Anwendungen auf .NET Framework
Active DirectorySamba als AD DC oder FreeIPASchemaerweiterungen, Sysvol-Replikation, Abhängigkeiten von Fachanwendungen
ExchangePostfix und Dovecot plus GroupwareMAPI, Outlook-Anbindung, öffentliche Ordner, Kalender- und Raumbuchung
Remotedesktopdienstekein gleichwertiges GegenstückWindows-Fachanwendungen bleiben Windows-Fachanwendungen
02

Linux als Domänenmitglied aufnehmen

Der erste echte Schritt ist unspektakulär und deshalb ideal: Der Linux-Server tritt der bestehenden Domäne bei und nutzt die vorhandenen Konten. Am Active Directory ändert sich nichts.

Beitritt und Prüfschritt
# RHEL/Rocky/Alma
sudo dnf install -y realmd sssd adcli oddjob oddjob-mkhomedir samba-common-tools
# Debian/Ubuntu
sudo apt install -y realmd sssd sssd-tools adcli oddjob oddjob-mkhomedir \
     samba-common-bin packagekit

# Voraussetzungen prüfen, BEVOR du beitrittst
chronyc sources                        # Zeitversatz muss klein bleiben
dig -t SRV _ldap._tcp.firma.intern     # DNS muss auf die Domänencontroller zeigen

realm discover firma.intern
sudo realm join --user=Administrator firma.intern

# Prüfschritt
realm list
id 'FIRMA\mueller'
sudo klist -k /etc/krb5.keytab | head

id mit einem echten Domänenkonto ist der Beweis, dass Namensauflösung, Kerberos und die ID-Zuordnung zusammenspielen. Kommt hier no such user, hat der Beitritt zwar geklappt, aber sssd löst keine Konten auf, und das liegt fast immer an der ID-Mapping-Konfiguration.

03

Dateidienste mit erhaltenen Berechtigungen umziehen

Der Umzug der Dateien ist trivial. Der Umzug der Berechtigungen ist der Teil, an dem Projekte scheitern. Beides gehört zusammen.

/etc/samba/smb.conf (Auszug)
[global]
   workgroup = FIRMA
   realm = FIRMA.INTERN
   security = ADS
   kerberos method = secrets and keytab

   vfs objects = acl_xattr
   map acl inherit = yes
   store dos attributes = yes

   idmap config * : backend = tdb
   idmap config * : range = 3000-7999
   idmap config FIRMA : backend = rid
   idmap config FIRMA : range = 10000-999999

[daten]
   path = /srv/daten
   read only = no
   inherit acls = yes
   inherit permissions = yes

vfs objects = acl_xattr ist die Zeile, auf die es ankommt: Damit legt Samba die vollständigen NT-ACLs in erweiterten Attributen ab, statt sie auf POSIX-Rechte einzudampfen. Der ID-Bereich für die Domäne muss auf allen Servern identisch sein, sonst gehören dieselben Dateien auf zwei Servern verschiedenen Benutzern.

Prüfen, bevor Daten fließen
sudo testparm -s                    # Syntaxprüfung der smb.conf
sudo net ads testjoin               # Ist der Domänenbeitritt noch gültig?

sudo systemctl enable --now smb winbind      # RHEL/Rocky/Alma
sudo systemctl enable --now smbd winbind     # Debian/Ubuntu

# Trägt das Dateisystem überhaupt ACLs und erweiterte Attribute?
touch /srv/daten/test && setfacl -m u:nobody:r /srv/daten/test && getfacl /srv/daten/test
setfattr -n user.test -v 1 /srv/daten/test && getfattr -d /srv/daten/test

# SELinux: das Verzeichnis muss als Samba-Freigabe gekennzeichnet sein
sudo semanage fcontext -a -t samba_share_t '/srv/daten(/.*)?'
sudo restorecon -Rv /srv/daten

Der SELinux-Teil gilt für die RHEL-Familie. Ohne den passenden Typ liefert Samba access denied, obwohl die Dateisystemrechte stimmen, und in ausearch -m AVC -ts recent steht der eigentliche Grund. Auf Debian und Ubuntu übernimmt AppArmor diese Rolle, dort greift das Profil usr.sbin.smbd.

Daten mitsamt NTFS-Berechtigungen umziehen
robocopy \\altserver\daten \\neu01\daten /MIR /COPYALL /DCOPY:DAT /SECFIX ^
  /R:1 /W:5 /LOG+:C:\migration.log /TEE

# Zwei Durchläufe: erst der große, dann kurz vor der Umschaltung der Abgleich
# /MIR spiegelt, gelöschte Quelldateien verschwinden also auch am Ziel.

Der Kopiervorgang läuft bewusst von einem Windows-Rechner über SMB auf die neue Samba-Freigabe. Nur so übergibt der Client die vollständigen NT-ACLs, die Samba dann in den erweiterten Attributen ablegt. Führ den Befehl mit einem Konto aus, das auf beiden Seiten die nötigen Rechte hat, sonst bricht /COPYALL bei den Besitzeinträgen ab.

04

DNS, DHCP und Druck umstellen

Diese drei Dienste sind der unaufgeregte Teil des Projekts. Wichtig ist nur, dass du jede Konfiguration vor dem Start prüfst, denn ein kaputter DHCP-Dienst legt am Montagmorgen das ganze Haus lahm.

Konfiguration prüfen, dann starten
# DNS: Paket heißt bind (RHEL) bzw. bind9 (Debian), der Dienst heißt named
sudo named-checkconf
sudo named-checkzone firma.intern /var/named/firma.intern.zone   # Debian: /etc/bind/
dig @localhost firma.intern SOA +short

# DHCP: ISC dhcpd wird nicht mehr weiterentwickelt, Nachfolger ist Kea
sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf      # Konfiguration testen
sudo systemctl enable --now kea-dhcp4-server
journalctl -u kea-dhcp4-server -f

# Druck: CUPS mit IPP Everywhere, ohne Herstellertreiber
sudo lpadmin -p buero-eg -E -v ipp://drucker01.firma.intern/ipp/print -m everywhere
lpstat -p -d
echo 'Testseite' | lp -d buero-eg

named-checkconf und kea-dhcp4 -t gehören in jedes Änderungsverfahren, nicht nur in die Migration. Beide Dienste starten bei einem Syntaxfehler gar nicht erst, und wenn du das erst nach dem Abschalten des Windows-Servers merkst, hast du kein Netz mehr, um es zu reparieren.

05

Umschalten, abnehmen, Rückweg offenhalten

Der Umschalttag

  • Der neue Server bekommt den Namen des alten als DNS-Alias, nicht einen neuen NamenLaufwerksverknüpfungen, Skripte, Gruppenrichtlinien und Verknüpfungen in Dokumenten zeigen auf den alten Namen. Über einen Alias schaltest du an einer Stelle um, statt hunderte Clients anzufassen. Für SMB brauchst du dazu netbios aliases und einen passenden Service Principal Name.
  • Der alte Server bleibt zwei Wochen schreibgeschützt onlineEin Rückweg über eine schreibgeschützte Freigabe kostet Minuten, ein Rückweg über eine Bandsicherung kostet einen Tag. Schreibgeschützt deshalb, damit niemand versehentlich weiter auf dem alten Stand arbeitet.
  • Je Abteilung prüft ein echter Benutzer die eigenen Ordner, nicht ein AdministratorAdministratoren dürfen ohnehin alles und merken deshalb nicht, wenn eine Vererbung gekippt ist. Berechtigungsfehler zeigen sich nur mit echten Gruppenmitgliedschaften und echten Unterordnern.
  • Jeder Drucker wird mit einem echten Auftrag aus der Fachanwendung getestetEine Testseite aus CUPS beweist, dass der Drucker erreichbar ist. Erst der echte Auftrag zeigt, ob Papierformat, Schacht, Duplex und Zeichensatz stimmen, und genau daran hängt die Akzeptanz im Haus.
  • Backup des neuen Servers ist eingerichtet und einmal zurückgespieltEin Backup, das erweiterte Attribute nicht mitsichert, sichert die Berechtigungen nicht. Das merkst du ohne Testrücksicherung erst im Ernstfall, und dann sind alle ACLs weg, für die du das Projekt überhaupt gemacht hast.
  • Monitoring überwacht smbd, winbind, den Kerberos-Ticketstatus und den FüllstandEin abgelaufener Maschinenaccount oder ein gestorbener winbind sieht für Benutzer wie ein Berechtigungsproblem aus. Ohne Überwachung suchst du an der falschen Stelle, während das Haus stillsteht.
Passende Kurse

Kurse zu Ablösung von Windows Server bei cmt

Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.

Linux Samba und Windows Netzwerke 2 Tage Präsenz nächster Termin 22.10.2026 Zum Kurs Linux als Datei- und Druckserver (Samba, NFS und mehr) 2 Tage Präsenz nächster Termin 19.11.2026 Zum Kurs Linux Infrastrukturdienste (INFS) 3 Tage Präsenz nächster Termin 26.08.2026 Garantietermin Zum Kurs Linux Mailserver Training: Postfix, Dovecot und Co (MAIL) 3 Tage Präsenz nächster Termin 16.11.2026 Zum Kurs Linux als Proxy- und Web-Server 3 Tage Präsenz nächster Termin 23.11.2026 Zum Kurs
Unverbindlich beraten lassen Alle LPI-Kurse ansehen
Gut zu wissen

Häufige Fragen zu Ablösung von Windows Server

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt
Kann Samba einen Active-Directory-Domänencontroller vollständig ersetzen?
Für klassische Umgebungen ja: Samba im AD-DC-Modus liefert Kerberos, LDAP, Gruppenrichtlinien, die FSMO-Rollen und die Anmeldung von Windows-Clients. Grenzen gibt es bei einigen Sonderfällen, etwa bei der Sysvol-Replikation zwischen mehreren Domänencontrollern, die nicht über DFS-R läuft und in der Praxis mit rsync oder osync gelöst wird, sowie bei Diensten, die eine Schema-Erweiterung von Microsoft voraussetzen. Wenn Anwendungen zwingend Windows-spezifische AD-Erweiterungen brauchen, prüfst du das vor der Entscheidung.
Was ist der Unterschied zwischen Samba als Domänencontroller und Samba als Mitgliedsserver?
Als Mitgliedsserver tritt der Linux-Server dem bestehenden Active Directory bei und nutzt es für Authentifizierung und Autorisierung, per Winbind und Kerberos. Das bestehende AD bleibt unverändert bestehen, du tauschst nur den Dienst darunter aus. Als Domänencontroller stellt Samba das Verzeichnis selbst bereit, dann verschwindet Windows Server auch aus der Anmeldung. Für einen schrittweisen Umstieg ist der Mitgliedsserver fast immer der richtige erste Schritt.
Gibt es eine Exchange-Alternative unter Linux?
Für reinen Mailverkehr sind Postfix und Dovecot der Standard und funktional vollständig. Für Groupware mit gemeinsamen Kalendern, Frei-Zeit-Informationen und Outlook-Anbindung brauchst du eine zusätzliche Schicht, üblicherweise SOGo oder grommunio. Ein 1:1-Ersatz für alle Exchange-Funktionen inklusive der Verwaltungswerkzeuge ist das nicht, deshalb solltest du vorher festhalten, welche Funktionen im Alltag wirklich genutzt werden.
Welche Windows-Rollen lassen sich nicht sinnvoll ablösen?
Schwierig oder nur mit verändertem Betriebsmodell ablösbar sind die Active-Directory-Zertifikatsdienste, ADFS, WSUS, Remote Desktop Services und alles, was auf .NET-Framework-Anwendungen aufsetzt. Für eine interne PKI gibt es mit step-ca oder EJBCA gute Werkzeuge, die automatische Zertifikatsverteilung an Windows-Clients funktioniert dann aber anders als über Autoenrollment. Solche Rollen bleiben oft bewusst noch eine Weile auf Windows stehen.
Wie lange dauert eine Migration und womit fängt man an?
Seriös lässt sich das nur nach einer Bestandsaufnahme sagen, weil die Dauer an der Zahl der Rollen, den Fachanwendungen und den Abhängigkeiten hängt, nicht an der Serveranzahl. Bewährt hat sich, mit einem klar abgegrenzten Dienst wie Proxy, DNS oder einem einzelnen Dateiserver zu starten, dort das Betriebsmodell zu etablieren und erst danach den Verzeichnisdienst anzufassen. Ein Testaufbau mit echten Clients ist dabei kein Luxus, sondern der günstigste Teil des Projekts.

Zuletzt geprüft am 26. Juli 2026.

Weiterlesen

Verwandte Linux-Themen

Alle Linux-Themen im Überblick

Passt dazu: Weiterbildung für den öffentlichen Dienst

Strategie & Migration Windows 10 Support-Ende: Wann sich der Umstieg auf Linux für dich rechnet Ansehen Strategie & Migration CentOS 7 ist am Ende: So findest du den richtigen Nachfolger Ansehen Strategie & Migration Cloud Exit: So holst du Workloads zurück ins eigene Rechenzentrum Ansehen Strategie & Migration Digitale Souveränität in der IT: Wie du mit Linux und Open Source unabhängiger wirst Ansehen
Das sagen Teilnehmer

Echte Stimmen aus unseren IT-Kursen

“
Qualitativ sehr guter Kurs. Ruhiger und wertschätzender Umgang. Keine Informationsüberlastung.
Rückmeldung aus dem Kurs „Ansible Kompaktkurs“
“
Erwartungen wurden erfüllt. Angekündigte Themen in hinreichender Tiefe bearbeitet. Zudem gutes Zeitmanagement.
Rückmeldung aus dem Kurs „Source Code Management und CI / CD (DO4)“
Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.

0800 71 20000 E-Mail
Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.

0800 71 20000 E-Mail
Nächster Schritt

Migration mit dem passenden Kurs vorbereiten

Bei cmt findest du die Bausteine für genau diesen Weg: "Linux Samba und Windows Netzwerke" für die AD-Anbindung und den Domänencontroller, "Linux als Datei- und Druckserver (Samba, NFS und mehr)" für die Dateidienste, "Linux Infrastrukturdienste (INFS)" für DNS, DHCP und Co, "Linux Mailserver Training: Postfix, Dovecot und Co (MAIL)" für den Mailteil und "Linux als Proxy- und Web-Server" für Web und Proxy. Alle Kurse gibt es als Präsenz- oder Live-Online-Termin und als Firmenschulung auf deine Umgebung zugeschnitten. Wenn du unsicher bist, in welcher Reihenfolge deine Rollen an die Reihe kommen, sprich uns an, wir gehen deine Ausgangslage mit dir durch.

Beratung anfragen 0800 71 20000