Active Directory planen

Funktionsebene von Domäne und Gesamtstruktur in Active Directory anheben

Die Funktionsebene ist keine Versionsangabe deiner Umgebung, sondern eine Zusage darüber, welche Betriebssystemstände als Domänencontroller laufen dürfen. Wer sie anhebt, schaltet Funktionen frei und schließt gleichzeitig Server aus.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Ein Klick, der sich praktisch nicht zurücknehmen lässt

In der Verwaltungskonsole sieht das Anheben aus wie jede andere Einstellung: ein Auswahlfeld, eine Bestätigung, fertig. Diese Oberfläche verschweigt, was dahintersteht. Microsoft formuliert es deutlich: Änderungen an der Domänen- und Gesamtstruktur-Funktionsebene sind grundsätzlich nicht umkehrbar, und wenn eine Änderung überhaupt rückgängig gemacht werden kann, muss dafür eine Wiederherstellung der Gesamtstruktur durchgeführt werden. Als Begründung nennt Microsoft, dass die freigeschalteten Funktionen die Kommunikation zwischen den Domänencontrollern oder die Ablage der Daten in der Datenbank verändern.

Dazu kommt ein zweiter, oft übersehener Punkt: Eine Erhöhung der Funktionsebene lässt sich nicht autorisierend zurücksichern. Microsoft schreibt dazu, dass alle Domänencontroller, die die Erhöhung repliziert haben, außer Betrieb genommen werden müssten. Ein Rückweg besteht also nicht darin, eine Sicherung einzuspielen, sondern darin, die gesamte Gesamtstruktur neu aufzubauen, und zwar aus Domänencontrollern, die den neuen Stand nie gesehen haben.

Die dritte Schwierigkeit ist die falsche Erwartung an das Ergebnis. Viele erhoffen sich vom Anheben eine spürbare Verbesserung im Alltag. Microsoft weist ausdrücklich darauf hin, dass die Funktionsebenen nur das Zusammenspiel der Domänencontroller untereinander betreffen. Die Clients, die sich an der Domäne anmelden, sind davon nicht betroffen, und Anwendungen sind es auch nicht. Sie können die neuen Funktionen nutzen, sie ändern ihr Verhalten aber nicht von selbst.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Schritt für Schritt

Der Weg von der Bestandsaufnahme bis zur bestätigten Ebene

Fünf Stationen, jede mit einem überprüfbaren Ergebnis. Die Bestandsaufnahme steht bewusst vor allem anderen, denn sie ist der einzige Schritt, der sich folgenlos wiederholen lässt.

  1. 1

    Den aktuellen Stand feststellen

    Frag zuerst ab, wo Domäne und Gesamtstruktur tatsächlich stehen. In den PowerShell-Werkzeugen liefern die Abfragen zur Domäne und zur Gesamtstruktur die jeweiligen Modi. Über Ldp.exe lässt sich zusätzlich der RootDSE-Eintrag eines Domänencontrollers lesen, in dem domainFunctionality, forestFunctionality und domainControllerFunctionality nebeneinander stehen. Der letzte Wert ist besonders nützlich: Er gibt an, welche Ebene dieser Domänencontroller höchstens unterstützen könnte.

    Geschafft, wenn: Für jede Domäne und für die Gesamtstruktur steht der aktuelle Wert schriftlich fest, ebenso der höchstmögliche Wert je Domänencontroller.

  2. 2

    Die blockierenden Domänencontroller finden und bereinigen

    Öffne die Konsole Active Directory-Domänen und -Vertrauensstellungen und ruf die Funktion zum Anheben der Gesamtstruktur auf. Bei der Prüfung werden die Domänencontroller-Objekte im Konfigurationscontainer daraufhin durchsucht, ob ihr Attribut msDS-Behavior-Version auf der Zielebene liegt. Gefunden werden dabei sowohl echte alte Server als auch beschädigte oder verwaiste Objekte. Der Bericht lässt sich speichern. Verwaiste Einträge werden mit Ntdsutil bereinigt, echte Server müssen aktualisiert oder abgebaut werden.

    Geschafft, wenn: Der Bericht ist leer, oder jeder gemeldete Eintrag hat eine Entscheidung: aktualisieren, abbauen oder Metadaten bereinigen.

  3. 3

    Replikation prüfen und Sicherungen anlegen

    Prüfe die Replikation in der ganzen Gesamtstruktur, bevor du etwas änderst. Repadmin /Replsum * /Sort:Delta gibt einen schnellen Überblick über die Verzugszeiten, der Bericht über Repadmin /Showrepl * /CSV liefert die Einzelheiten je Namenskontext. Erst wenn beides sauber ist, legst du die Sicherungen an: eine Systemzustandssicherung von mindestens zwei Domänencontrollern je Domäne, oder alternativ zwei getrennte Domänencontroller je Domäne, die für die Dauer der Umstellung vom Netz bleiben.

    Geschafft, wenn: Die Replikation meldet keine Fehler, und für jede Domäne existiert ein Rückfallpunkt, der den neuen Stand nie gesehen hat.

  4. 4

    Die Domänenebene anheben

    Jetzt kommt die eigentliche Änderung, und sie beginnt bei den Domänen. Über PowerShell übernimmt das Set-ADDomainMode, in der grafischen Oberfläche die Konsole Active Directory-Benutzer und -Computer oder Active Directory-Domänen und -Vertrauensstellungen. Der Wert landet im Attribut msDS-Behavior-Version am Kopf des Domänennamenskontexts. Arbeite eine Domäne nach der anderen ab und warte nach jeder Änderung ab, bis sie in der Domäne repliziert ist, statt alles in einem Zug durchzuziehen.

    Geschafft, wenn: Jede Domäne steht auf der gewünschten Ebene, und die Änderung ist auf allen Domänencontrollern der jeweiligen Domäne angekommen.

  5. 5

    Die Gesamtstruktur anheben und das Ergebnis bestätigen

    Der letzte Schritt ist die Gesamtstruktur. Über PowerShell erledigt das Set-ADForestMode, wobei die Zielebene als benannter Wert angegeben wird, etwa Windows2016Forest oder Windows2025Forest. Der Aufruf fragt vor der Ausführung nach einer Bestätigung. Microsoft zeigt im Beispiel, dass die Änderung auf dem Schemamaster ausgeführt wird, und weist darauf hin, dass die Aufrufe weder mit schreibgeschützten Domänencontrollern noch mit AD LDS oder Momentaufnahmen arbeiten. Der Wert landet am Objekt CN=Partitions im Konfigurationsnamenskontext.

    Geschafft, wenn: Die Gesamtstruktur steht auf der Zielebene, die Änderung ist überall repliziert, und die Abfragen aus dem ersten Schritt liefern den neuen Wert.

Fünf Fragen vor dem Anheben

  1. 01 Welche Betriebssystemstände laufen aktuell als Domänencontroller in jeder einzelnen Domäne?
  2. 02 Gibt es Domänencontroller-Objekte im Verzeichnis, zu denen kein Server mehr existiert?
  3. 03 Läuft die Replikation in der ganzen Gesamtstruktur ohne Fehler?
  4. 04 Welcher Server soll in den nächsten zwei Jahren noch aufgenommen werden, und wäre er danach noch erlaubt?
  5. 05 Wie sieht der Rückweg aus, wenn eine Fachanwendung nach dem Schritt nicht mehr authentifiziert?
Was du mitnimmst

Was vor dem Anheben feststehen muss

Sechs Punkte trennen ein geplantes Anheben von einem Versuch mit offenem Ausgang. Der wichtigste ist der letzte, weil er als Einziger die Frage beantwortet, was passiert, wenn etwas nicht funktioniert.

Alle Domänencontroller inventarisieren, nicht nur die bekannten

Die neue Ebene setzt voraus, dass jeder Domänencontroller den passenden Betriebssystemstand hat. Microsoft empfiehlt für die Bestandsaufnahme die Konsole Active Directory-Domänen und -Vertrauensstellungen: Über die Funktion zum Anheben der Gesamtstruktur lässt sich ein Bericht speichern, der genau die Domänencontroller auflistet, die den Schritt blockieren. Gefunden werden dabei auch Objekte, die zu längst abgebauten Servern gehören und nie aufgeräumt wurden.

Die Reihenfolge zwischen Domäne und Gesamtstruktur beachten

Die Domänenebene darf höher liegen als die Ebene der Gesamtstruktur, niedriger dagegen nicht. Für die Gesamtstruktur gilt zusätzlich, dass alle Domänencontroller in der Gesamtstruktur den passenden Stand haben und die aktuelle Domänenebene bereits auf dem neuesten Stand sein muss. Praktisch heißt das: erst die Domänen, dann die Gesamtstruktur.

Klären, welche Server danach ausgeschlossen sind

Jede Anhebung ist auch eine Einschränkung. Auf der Ebene Windows Server 2016 lassen sich Domänencontroller mit Windows Server 2016, 2019, 2022 und 2025 betreiben. Auf der Ebene Windows Server 2025 dagegen nur noch Domänencontroller mit Windows Server 2025. Prüfe deshalb vorher, ob in absehbarer Zeit noch ein älterer Server dazukommen soll, etwa an einem Standort mit vorhandener Lizenz.

Die Replikation vorher sauber bekommen

Eine Ebenenänderung wird über die Replikation verteilt. Steht die Replikation, steht die Umgebung anschließend in einem uneinheitlichen Zustand. Microsoft empfiehlt vor dem Anheben ausdrücklich, die Replikation in der ganzen Gesamtstruktur zu prüfen, und nennt dafür Repadmin /Replsum * /Sort:Delta für die erste Bestandsaufnahme sowie den Bericht über Repadmin /Showrepl * /CSV >showrepl.csv.

Anwendungen und Dienste vorher prüfen, nicht danach

Microsoft empfiehlt, die Verträglichkeit aller Programme und Dienste mit den neueren Domänencontrollern und der höheren Ebene in einer Testumgebung zu prüfen und dafür bei Bedarf die Hersteller anzufragen. Das betrifft vor allem alles, was tief in der Authentifizierung sitzt: Verzeichnisanbindungen von Fachanwendungen, Sicherungssoftware und Werkzeuge, die auf die Verzeichnisdatenbank zugreifen.

Einen Rückweg vorbereiten, der auch trägt

Microsoft nennt zwei mögliche Rückfallpläne: mindestens zwei Domänencontroller je Domäne vom Netz zu nehmen oder von mindestens zwei Domänencontrollern je Domäne eine Systemzustandssicherung anzulegen. Beide Wege setzen voraus, dass vor der Wiederherstellung alle übrigen Domänencontroller außer Betrieb genommen werden. Microsoft bezeichnet diesen Vorgang selbst als schwierig und als etwas, das vermieden werden sollte, und genau deshalb gehört er vorher durchdacht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Welche Ebenen es heute überhaupt gibt

Microsoft führt drei aktuell unterstützte Funktionsebenen: Windows Server 2012 R2, Windows Server 2016 und Windows Server 2025. Wer eine Ebene für Windows Server 2019 oder Windows Server 2022 sucht, wird sie nicht finden, denn beide Versionen verwenden Windows Server 2016 als höchsten Stand. Diese Lücke sorgt regelmäßig für Verwirrung in Umgebungen, die längst auf Windows Server 2022 laufen und trotzdem die Ebene 2016 anzeigen. Das ist kein Rückstand, sondern der vorgesehene Zustand.

Die Zuordnung zwischen Ebene und erlaubtem Betriebssystem liest sich in beide Richtungen. Auf der Ebene Windows Server 2012 R2 sind Domänencontroller mit Windows Server 2012 R2, 2016, 2019 und 2022 zulässig, ein Server mit Windows Server 2025 dagegen nicht. Auf der Ebene Windows Server 2016 kommen alle Stände von 2016 bis 2025 in Frage. Auf der Ebene Windows Server 2025 bleibt nur Windows Server 2025 übrig.

Für die Ebene Windows Server 2016 nennt Microsoft eine zusätzliche Voraussetzung, die in älteren Umgebungen manchmal übersehen wird: SYSVOL muss über DFSR repliziert werden. Windows Server 2016 ist die letzte Version, die den älteren File Replication Service unterstützt. Wo noch FRS im Einsatz ist, gehört dessen Ablösung an den Anfang der Planung, denn sie ist ein eigenständiges Vorhaben und keine Nebenarbeit beim Anheben.

Was die einzelnen Ebenen tatsächlich freischalten

Auf der Ebene Windows Server 2012 R2 sind die Schutzmechanismen für die Gruppe Protected Users auf Seiten der Domänencontroller aktiv. Für Mitglieder dieser Gruppe entfällt die Anmeldung über NTLM, die Verfahren DES und RC4 stehen in der Kerberos-Vorauthentifizierung nicht mehr zur Verfügung, eingeschränkte und uneingeschränkte Delegierung greifen nicht mehr, und Tickets lassen sich nicht über ihre anfängliche Gültigkeit von vier Stunden hinaus verlängern. Dazu kommen die Authentifizierungsrichtlinien und die Silos, mit denen sich festlegen lässt, von welchen Rechnern aus ein Konto sich überhaupt anmelden darf.

Die Ebene Windows Server 2016 bringt auf Ebene der Gesamtstruktur die privilegierte Zugriffsverwaltung über Microsoft Identity Manager mit. Auf Domänenebene kommen drei Punkte dazu, die alle mit Anmeldeverfahren zu tun haben: das automatische Wechseln der NTLM-Geheimnisse für Konten, die auf Smartcard-Anmeldung festgelegt sind, die Möglichkeit, Netzwerk-NTLM für Benutzer zuzulassen, die auf bestimmte in die Domäne aufgenommene Geräte beschränkt sind, und eine besondere Kennung für Kerberos-Clients, die sich mit der PKInit-Freshness-Erweiterung anmelden.

Für die Ebene Windows Server 2025 nennt Microsoft als neue Funktion die optionale Umstellung der Verzeichnisdatenbank auf eine Seitengröße von 32 Kilobyte. Das klingt nach einer Randnotiz, ist aber der interessanteste Punkt an dieser Ebene, weil es die alte Grenze bei mehrwertigen Attributen anhebt: Statt der bisherigen Größenordnung fasst ein solches Attribut dann etwa 3.200 Werte. Ab Windows Server 2025 werden neue Installationen bereits mit einer Datenbank angelegt, die 32 Kilobyte große Seiten kann, laufen aber zunächst in einem Kompatibilitätsmodus mit der alten Seitengröße.

Die 32-Kilobyte-Seiten sind ein zweiter Einbahnweg

Wer die Ebene Windows Server 2025 erreicht, steht sofort vor der nächsten Entscheidung, und sie ist genauso endgültig. Microsoft nennt für das optionale Merkmal vier Voraussetzungen: eine Gesamtstruktur ohne Replikationsfehler, alle Domänencontroller auf Windows Server 2025 oder neuer und mit einer Datenbank, die die größere Seitengröße kann, Domänen- und Gesamtstruktur-Funktionsebene auf Windows Server 2025 oder neuer, sowie geprüfte Sicherungen der Domänencontroller, die Global Catalog oder Betriebsmasterrollen tragen.

Die Warnung dazu ist unmissverständlich: Ist das Merkmal einmal eingeschaltet, lässt sich der bisherige Kompatibilitätsmodus nicht mehr zurückholen. Sicherungsmedien, die vorher mit der alten Seitengröße erzeugt wurden, sind danach unbrauchbar, sofern nicht eine vollständige autorisierende Wiederherstellung der Gesamtstruktur durchgeführt wird. Wer den Schritt plant, sollte also vorher prüfen, ob die eigene Sicherungssoftware mit dem neuen Format umgehen kann, und diesen Test in einer Testumgebung tatsächlich durchführen.

Eine Besonderheit ist dabei leicht zu übersehen. Domänencontroller, die über ein Feature-Update, also ein Upgrade auf demselben Rechner, auf Windows Server 2025 gekommen sind, behalten laut Microsoft ihre bisherige Datenbank mit der alten Seitengröße. Neu aufgenommene Domänencontroller in einer Windows-Server-2025-Gesamtstruktur bekommen dagegen von vornherein das neue Format. In einer gemischten Umgebung ist die Voraussetzung damit nicht erfüllt, obwohl auf jedem Server dieselbe Betriebssystemversion steht.

Wie ein Rückweg aussieht und warum er kaum einer ist

Microsoft beschreibt die Lage nüchtern: Nach dem Anheben lässt sich die Domänenfunktionsebene nur über eine Wiederherstellung der Gesamtstruktur auf einen älteren Stand zurückbringen. Der Grund liegt darin, dass die freigeschalteten Funktionen die Kommunikation zwischen den Domänencontrollern verändern oder die Ablage der Daten in der Datenbank betreffen. Es handelt sich also nicht um ein Kennzeichen, das man umlegt, sondern um einen anderen Betriebszustand.

Der zweite Satz ist der wichtigere: Erhöhungen der Funktionsebene lassen sich nicht autorisierend zurücksichern. Alle Domänencontroller, die die Erhöhung repliziert haben, müssten außer Betrieb genommen werden. Erst danach werden die zurückgehaltenen oder wiederhergestellten Domänencontroller hochgefahren, die Metadaten aller übrigen entfernt und diese neu aufgenommen. Microsoft selbst nennt das einen schwierigen Vorgang, der vermieden werden sollte.

Daraus folgt eine ehrliche Empfehlung für die Praxis. Der Rückfallplan ist keine Versicherung für den Regelfall, sondern eine Absicherung für den seltenen Fall, dass eine geschäftskritische Anwendung nach dem Schritt nicht mehr authentifiziert. Die eigentliche Absicherung liegt vorne: in der vollständigen Bestandsaufnahme, in der Prüfung der Anwendungen in einer Testumgebung und in der sauberen Replikation. Wer diese drei Punkte abgearbeitet hat, braucht den Rückweg mit hoher Wahrscheinlichkeit nicht.

Dazu passende Kurse

Wenn der Ebenenwechsel Teil einer Umstellung auf den neuen Stand ist, zeigen dir Kurse zur aktuellen Windows-Server-Generation , was dort sonst noch anders ist.

Weil eine Ebenenänderung immer die ganze Gesamtstruktur betrifft, gehören Trainings zu Aufbau und Pflege einer Gesamtstruktur in dieselbe Planung.

Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Windows Server - Remote Desktop Services (Advanced 01)
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Hyper-V und System Center VMM - Alles für Administratoren
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Hyper-V und System Center VMM - Alles für Administratoren

Häufige Fragen

Können wir die Funktionsebene wieder senken, wenn etwas nicht funktioniert?
Praktisch nicht. Microsoft beschreibt Änderungen an der Funktionsebene als grundsätzlich nicht umkehrbar und nennt als einzigen Weg zurück eine Wiederherstellung der Gesamtstruktur. Dazu kommt, dass sich eine Erhöhung nicht autorisierend zurücksichern lässt: Alle Domänencontroller, die sie repliziert haben, müssten außer Betrieb genommen werden. Plane den Schritt deshalb wie eine einmalige Entscheidung.
Warum sehen wir keine Funktionsebene für Windows Server 2022?
Weil es sie nicht gibt. Microsoft führt aktuell die Ebenen Windows Server 2012 R2, Windows Server 2016 und Windows Server 2025. Windows Server 2019 und Windows Server 2022 verwenden Windows Server 2016 als höchsten Stand. Eine Umgebung mit lauter Domänencontrollern auf Windows Server 2022 steht also völlig richtig auf der Ebene 2016.
Müssen alle Domänen auf derselben Ebene stehen?
Nein. Die Domänenebene darf höher liegen als die Ebene der Gesamtstruktur, umgekehrt geht es nicht. Für das Anheben der Gesamtstruktur gilt allerdings, dass alle Domänencontroller in der Gesamtstruktur den passenden Betriebssystemstand haben müssen und die aktuelle Domänenebene bereits auf dem neuesten Stand sein muss. In der Praxis arbeitet man deshalb von den Domänen zur Gesamtstruktur.
Merken unsere Clients etwas von der Änderung?
Microsoft weist ausdrücklich darauf hin, dass die Funktionsebenen nur das Zusammenspiel der Domänencontroller untereinander betreffen. Clients, die mit der Domäne oder der Gesamtstruktur arbeiten, sind nicht betroffen, und Anwendungen ebenso wenig. Sie können die neu verfügbaren Funktionen nutzen, tun das aber nicht von selbst.
Was passiert mit alten Servern, die noch im Verzeichnis stehen?
Sie blockieren das Anheben. Bei der Prüfung werden die Domänencontroller-Objekte im Konfigurationscontainer daraufhin durchsucht, ob ihr Attribut msDS-Behavior-Version auf der Zielebene liegt. Gefunden werden dabei auch beschädigte oder verwaiste Objekte. Solche Einträge werden mit Ntdsutil bereinigt, bevor der Schritt möglich ist. Der gespeicherte Bericht aus der Konsole nennt sie einzeln.
Lohnt sich der Sprung auf die Ebene Windows Server 2025 sofort?
Nur mit klarem Ziel. Neu ist dort im Wesentlichen die optionale Umstellung der Verzeichnisdatenbank auf 32 Kilobyte große Seiten, die mehrwertige Attribute auf etwa 3.200 Werte anhebt. Dafür lässt die Ebene ausschließlich Domänencontroller mit Windows Server 2025 zu. Wenn in absehbarer Zeit noch ein älterer Server dazukommen soll, ist die Ebene Windows Server 2016 der ruhigere Zwischenstand.
Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.

Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

Die eigene Umgebung auf den nächsten Stand bringen

Im Aufbaukurs zu den Active Directory Domänendiensten bei cmt arbeitest du an Bestandsaufnahme, Replikationsprüfung und Ebenenwechsel an einer echten Umgebung und siehst dabei, woran ein Anheben in der Praxis scheitert.