Funktionsebene von Domäne und Gesamtstruktur in Active Directory anheben
Die Funktionsebene ist keine Versionsangabe deiner Umgebung, sondern eine Zusage darüber, welche Betriebssystemstände als Domänencontroller laufen dürfen. Wer sie anhebt, schaltet Funktionen frei und schließt gleichzeitig Server aus.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Klick, der sich praktisch nicht zurücknehmen lässt
In der Verwaltungskonsole sieht das Anheben aus wie jede andere Einstellung: ein Auswahlfeld, eine Bestätigung, fertig. Diese Oberfläche verschweigt, was dahintersteht. Microsoft formuliert es deutlich: Änderungen an der Domänen- und Gesamtstruktur-Funktionsebene sind grundsätzlich nicht umkehrbar, und wenn eine Änderung überhaupt rückgängig gemacht werden kann, muss dafür eine Wiederherstellung der Gesamtstruktur durchgeführt werden. Als Begründung nennt Microsoft, dass die freigeschalteten Funktionen die Kommunikation zwischen den Domänencontrollern oder die Ablage der Daten in der Datenbank verändern.
Dazu kommt ein zweiter, oft übersehener Punkt: Eine Erhöhung der Funktionsebene lässt sich nicht autorisierend zurücksichern. Microsoft schreibt dazu, dass alle Domänencontroller, die die Erhöhung repliziert haben, außer Betrieb genommen werden müssten. Ein Rückweg besteht also nicht darin, eine Sicherung einzuspielen, sondern darin, die gesamte Gesamtstruktur neu aufzubauen, und zwar aus Domänencontrollern, die den neuen Stand nie gesehen haben.
Die dritte Schwierigkeit ist die falsche Erwartung an das Ergebnis. Viele erhoffen sich vom Anheben eine spürbare Verbesserung im Alltag. Microsoft weist ausdrücklich darauf hin, dass die Funktionsebenen nur das Zusammenspiel der Domänencontroller untereinander betreffen. Die Clients, die sich an der Domäne anmelden, sind davon nicht betroffen, und Anwendungen sind es auch nicht. Sie können die neuen Funktionen nutzen, sie ändern ihr Verhalten aber nicht von selbst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Weg von der Bestandsaufnahme bis zur bestätigten Ebene
Fünf Stationen, jede mit einem überprüfbaren Ergebnis. Die Bestandsaufnahme steht bewusst vor allem anderen, denn sie ist der einzige Schritt, der sich folgenlos wiederholen lässt.
- 1
Den aktuellen Stand feststellen
Frag zuerst ab, wo Domäne und Gesamtstruktur tatsächlich stehen. In den PowerShell-Werkzeugen liefern die Abfragen zur Domäne und zur Gesamtstruktur die jeweiligen Modi. Über Ldp.exe lässt sich zusätzlich der RootDSE-Eintrag eines Domänencontrollers lesen, in dem domainFunctionality, forestFunctionality und domainControllerFunctionality nebeneinander stehen. Der letzte Wert ist besonders nützlich: Er gibt an, welche Ebene dieser Domänencontroller höchstens unterstützen könnte.
Geschafft, wenn: Für jede Domäne und für die Gesamtstruktur steht der aktuelle Wert schriftlich fest, ebenso der höchstmögliche Wert je Domänencontroller.
- 2
Die blockierenden Domänencontroller finden und bereinigen
Öffne die Konsole Active Directory-Domänen und -Vertrauensstellungen und ruf die Funktion zum Anheben der Gesamtstruktur auf. Bei der Prüfung werden die Domänencontroller-Objekte im Konfigurationscontainer daraufhin durchsucht, ob ihr Attribut msDS-Behavior-Version auf der Zielebene liegt. Gefunden werden dabei sowohl echte alte Server als auch beschädigte oder verwaiste Objekte. Der Bericht lässt sich speichern. Verwaiste Einträge werden mit Ntdsutil bereinigt, echte Server müssen aktualisiert oder abgebaut werden.
Geschafft, wenn: Der Bericht ist leer, oder jeder gemeldete Eintrag hat eine Entscheidung: aktualisieren, abbauen oder Metadaten bereinigen.
- 3
Replikation prüfen und Sicherungen anlegen
Prüfe die Replikation in der ganzen Gesamtstruktur, bevor du etwas änderst. Repadmin /Replsum * /Sort:Delta gibt einen schnellen Überblick über die Verzugszeiten, der Bericht über Repadmin /Showrepl * /CSV liefert die Einzelheiten je Namenskontext. Erst wenn beides sauber ist, legst du die Sicherungen an: eine Systemzustandssicherung von mindestens zwei Domänencontrollern je Domäne, oder alternativ zwei getrennte Domänencontroller je Domäne, die für die Dauer der Umstellung vom Netz bleiben.
Geschafft, wenn: Die Replikation meldet keine Fehler, und für jede Domäne existiert ein Rückfallpunkt, der den neuen Stand nie gesehen hat.
- 4
Die Domänenebene anheben
Jetzt kommt die eigentliche Änderung, und sie beginnt bei den Domänen. Über PowerShell übernimmt das Set-ADDomainMode, in der grafischen Oberfläche die Konsole Active Directory-Benutzer und -Computer oder Active Directory-Domänen und -Vertrauensstellungen. Der Wert landet im Attribut msDS-Behavior-Version am Kopf des Domänennamenskontexts. Arbeite eine Domäne nach der anderen ab und warte nach jeder Änderung ab, bis sie in der Domäne repliziert ist, statt alles in einem Zug durchzuziehen.
Geschafft, wenn: Jede Domäne steht auf der gewünschten Ebene, und die Änderung ist auf allen Domänencontrollern der jeweiligen Domäne angekommen.
- 5
Die Gesamtstruktur anheben und das Ergebnis bestätigen
Der letzte Schritt ist die Gesamtstruktur. Über PowerShell erledigt das Set-ADForestMode, wobei die Zielebene als benannter Wert angegeben wird, etwa Windows2016Forest oder Windows2025Forest. Der Aufruf fragt vor der Ausführung nach einer Bestätigung. Microsoft zeigt im Beispiel, dass die Änderung auf dem Schemamaster ausgeführt wird, und weist darauf hin, dass die Aufrufe weder mit schreibgeschützten Domänencontrollern noch mit AD LDS oder Momentaufnahmen arbeiten. Der Wert landet am Objekt CN=Partitions im Konfigurationsnamenskontext.
Geschafft, wenn: Die Gesamtstruktur steht auf der Zielebene, die Änderung ist überall repliziert, und die Abfragen aus dem ersten Schritt liefern den neuen Wert.
Fünf Fragen vor dem Anheben
- 01 Welche Betriebssystemstände laufen aktuell als Domänencontroller in jeder einzelnen Domäne?
- 02 Gibt es Domänencontroller-Objekte im Verzeichnis, zu denen kein Server mehr existiert?
- 03 Läuft die Replikation in der ganzen Gesamtstruktur ohne Fehler?
- 04 Welcher Server soll in den nächsten zwei Jahren noch aufgenommen werden, und wäre er danach noch erlaubt?
- 05 Wie sieht der Rückweg aus, wenn eine Fachanwendung nach dem Schritt nicht mehr authentifiziert?
Was vor dem Anheben feststehen muss
Sechs Punkte trennen ein geplantes Anheben von einem Versuch mit offenem Ausgang. Der wichtigste ist der letzte, weil er als Einziger die Frage beantwortet, was passiert, wenn etwas nicht funktioniert.
Alle Domänencontroller inventarisieren, nicht nur die bekannten
Die neue Ebene setzt voraus, dass jeder Domänencontroller den passenden Betriebssystemstand hat. Microsoft empfiehlt für die Bestandsaufnahme die Konsole Active Directory-Domänen und -Vertrauensstellungen: Über die Funktion zum Anheben der Gesamtstruktur lässt sich ein Bericht speichern, der genau die Domänencontroller auflistet, die den Schritt blockieren. Gefunden werden dabei auch Objekte, die zu längst abgebauten Servern gehören und nie aufgeräumt wurden.
Die Reihenfolge zwischen Domäne und Gesamtstruktur beachten
Die Domänenebene darf höher liegen als die Ebene der Gesamtstruktur, niedriger dagegen nicht. Für die Gesamtstruktur gilt zusätzlich, dass alle Domänencontroller in der Gesamtstruktur den passenden Stand haben und die aktuelle Domänenebene bereits auf dem neuesten Stand sein muss. Praktisch heißt das: erst die Domänen, dann die Gesamtstruktur.
Klären, welche Server danach ausgeschlossen sind
Jede Anhebung ist auch eine Einschränkung. Auf der Ebene Windows Server 2016 lassen sich Domänencontroller mit Windows Server 2016, 2019, 2022 und 2025 betreiben. Auf der Ebene Windows Server 2025 dagegen nur noch Domänencontroller mit Windows Server 2025. Prüfe deshalb vorher, ob in absehbarer Zeit noch ein älterer Server dazukommen soll, etwa an einem Standort mit vorhandener Lizenz.
Die Replikation vorher sauber bekommen
Eine Ebenenänderung wird über die Replikation verteilt. Steht die Replikation, steht die Umgebung anschließend in einem uneinheitlichen Zustand. Microsoft empfiehlt vor dem Anheben ausdrücklich, die Replikation in der ganzen Gesamtstruktur zu prüfen, und nennt dafür Repadmin /Replsum * /Sort:Delta für die erste Bestandsaufnahme sowie den Bericht über Repadmin /Showrepl * /CSV >showrepl.csv.
Anwendungen und Dienste vorher prüfen, nicht danach
Microsoft empfiehlt, die Verträglichkeit aller Programme und Dienste mit den neueren Domänencontrollern und der höheren Ebene in einer Testumgebung zu prüfen und dafür bei Bedarf die Hersteller anzufragen. Das betrifft vor allem alles, was tief in der Authentifizierung sitzt: Verzeichnisanbindungen von Fachanwendungen, Sicherungssoftware und Werkzeuge, die auf die Verzeichnisdatenbank zugreifen.
Einen Rückweg vorbereiten, der auch trägt
Microsoft nennt zwei mögliche Rückfallpläne: mindestens zwei Domänencontroller je Domäne vom Netz zu nehmen oder von mindestens zwei Domänencontrollern je Domäne eine Systemzustandssicherung anzulegen. Beide Wege setzen voraus, dass vor der Wiederherstellung alle übrigen Domänencontroller außer Betrieb genommen werden. Microsoft bezeichnet diesen Vorgang selbst als schwierig und als etwas, das vermieden werden sollte, und genau deshalb gehört er vorher durchdacht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Welche Ebenen es heute überhaupt gibt
Microsoft führt drei aktuell unterstützte Funktionsebenen: Windows Server 2012 R2, Windows Server 2016 und Windows Server 2025. Wer eine Ebene für Windows Server 2019 oder Windows Server 2022 sucht, wird sie nicht finden, denn beide Versionen verwenden Windows Server 2016 als höchsten Stand. Diese Lücke sorgt regelmäßig für Verwirrung in Umgebungen, die längst auf Windows Server 2022 laufen und trotzdem die Ebene 2016 anzeigen. Das ist kein Rückstand, sondern der vorgesehene Zustand.
Die Zuordnung zwischen Ebene und erlaubtem Betriebssystem liest sich in beide Richtungen. Auf der Ebene Windows Server 2012 R2 sind Domänencontroller mit Windows Server 2012 R2, 2016, 2019 und 2022 zulässig, ein Server mit Windows Server 2025 dagegen nicht. Auf der Ebene Windows Server 2016 kommen alle Stände von 2016 bis 2025 in Frage. Auf der Ebene Windows Server 2025 bleibt nur Windows Server 2025 übrig.
Für die Ebene Windows Server 2016 nennt Microsoft eine zusätzliche Voraussetzung, die in älteren Umgebungen manchmal übersehen wird: SYSVOL muss über DFSR repliziert werden. Windows Server 2016 ist die letzte Version, die den älteren File Replication Service unterstützt. Wo noch FRS im Einsatz ist, gehört dessen Ablösung an den Anfang der Planung, denn sie ist ein eigenständiges Vorhaben und keine Nebenarbeit beim Anheben.
Was die einzelnen Ebenen tatsächlich freischalten
Auf der Ebene Windows Server 2012 R2 sind die Schutzmechanismen für die Gruppe Protected Users auf Seiten der Domänencontroller aktiv. Für Mitglieder dieser Gruppe entfällt die Anmeldung über NTLM, die Verfahren DES und RC4 stehen in der Kerberos-Vorauthentifizierung nicht mehr zur Verfügung, eingeschränkte und uneingeschränkte Delegierung greifen nicht mehr, und Tickets lassen sich nicht über ihre anfängliche Gültigkeit von vier Stunden hinaus verlängern. Dazu kommen die Authentifizierungsrichtlinien und die Silos, mit denen sich festlegen lässt, von welchen Rechnern aus ein Konto sich überhaupt anmelden darf.
Die Ebene Windows Server 2016 bringt auf Ebene der Gesamtstruktur die privilegierte Zugriffsverwaltung über Microsoft Identity Manager mit. Auf Domänenebene kommen drei Punkte dazu, die alle mit Anmeldeverfahren zu tun haben: das automatische Wechseln der NTLM-Geheimnisse für Konten, die auf Smartcard-Anmeldung festgelegt sind, die Möglichkeit, Netzwerk-NTLM für Benutzer zuzulassen, die auf bestimmte in die Domäne aufgenommene Geräte beschränkt sind, und eine besondere Kennung für Kerberos-Clients, die sich mit der PKInit-Freshness-Erweiterung anmelden.
Für die Ebene Windows Server 2025 nennt Microsoft als neue Funktion die optionale Umstellung der Verzeichnisdatenbank auf eine Seitengröße von 32 Kilobyte. Das klingt nach einer Randnotiz, ist aber der interessanteste Punkt an dieser Ebene, weil es die alte Grenze bei mehrwertigen Attributen anhebt: Statt der bisherigen Größenordnung fasst ein solches Attribut dann etwa 3.200 Werte. Ab Windows Server 2025 werden neue Installationen bereits mit einer Datenbank angelegt, die 32 Kilobyte große Seiten kann, laufen aber zunächst in einem Kompatibilitätsmodus mit der alten Seitengröße.
Die 32-Kilobyte-Seiten sind ein zweiter Einbahnweg
Wer die Ebene Windows Server 2025 erreicht, steht sofort vor der nächsten Entscheidung, und sie ist genauso endgültig. Microsoft nennt für das optionale Merkmal vier Voraussetzungen: eine Gesamtstruktur ohne Replikationsfehler, alle Domänencontroller auf Windows Server 2025 oder neuer und mit einer Datenbank, die die größere Seitengröße kann, Domänen- und Gesamtstruktur-Funktionsebene auf Windows Server 2025 oder neuer, sowie geprüfte Sicherungen der Domänencontroller, die Global Catalog oder Betriebsmasterrollen tragen.
Die Warnung dazu ist unmissverständlich: Ist das Merkmal einmal eingeschaltet, lässt sich der bisherige Kompatibilitätsmodus nicht mehr zurückholen. Sicherungsmedien, die vorher mit der alten Seitengröße erzeugt wurden, sind danach unbrauchbar, sofern nicht eine vollständige autorisierende Wiederherstellung der Gesamtstruktur durchgeführt wird. Wer den Schritt plant, sollte also vorher prüfen, ob die eigene Sicherungssoftware mit dem neuen Format umgehen kann, und diesen Test in einer Testumgebung tatsächlich durchführen.
Eine Besonderheit ist dabei leicht zu übersehen. Domänencontroller, die über ein Feature-Update, also ein Upgrade auf demselben Rechner, auf Windows Server 2025 gekommen sind, behalten laut Microsoft ihre bisherige Datenbank mit der alten Seitengröße. Neu aufgenommene Domänencontroller in einer Windows-Server-2025-Gesamtstruktur bekommen dagegen von vornherein das neue Format. In einer gemischten Umgebung ist die Voraussetzung damit nicht erfüllt, obwohl auf jedem Server dieselbe Betriebssystemversion steht.
Wie ein Rückweg aussieht und warum er kaum einer ist
Microsoft beschreibt die Lage nüchtern: Nach dem Anheben lässt sich die Domänenfunktionsebene nur über eine Wiederherstellung der Gesamtstruktur auf einen älteren Stand zurückbringen. Der Grund liegt darin, dass die freigeschalteten Funktionen die Kommunikation zwischen den Domänencontrollern verändern oder die Ablage der Daten in der Datenbank betreffen. Es handelt sich also nicht um ein Kennzeichen, das man umlegt, sondern um einen anderen Betriebszustand.
Der zweite Satz ist der wichtigere: Erhöhungen der Funktionsebene lassen sich nicht autorisierend zurücksichern. Alle Domänencontroller, die die Erhöhung repliziert haben, müssten außer Betrieb genommen werden. Erst danach werden die zurückgehaltenen oder wiederhergestellten Domänencontroller hochgefahren, die Metadaten aller übrigen entfernt und diese neu aufgenommen. Microsoft selbst nennt das einen schwierigen Vorgang, der vermieden werden sollte.
Daraus folgt eine ehrliche Empfehlung für die Praxis. Der Rückfallplan ist keine Versicherung für den Regelfall, sondern eine Absicherung für den seltenen Fall, dass eine geschäftskritische Anwendung nach dem Schritt nicht mehr authentifiziert. Die eigentliche Absicherung liegt vorne: in der vollständigen Bestandsaufnahme, in der Prüfung der Anwendungen in einer Testumgebung und in der sauberen Replikation. Wer diese drei Punkte abgearbeitet hat, braucht den Rückweg mit hoher Wahrscheinlichkeit nicht.
Dazu passende Kurse
Wenn der Ebenenwechsel Teil einer Umstellung auf den neuen Stand ist, zeigen dir Kurse zur aktuellen Windows-Server-Generation , was dort sonst noch anders ist.
Weil eine Ebenenänderung immer die ganze Gesamtstruktur betrifft, gehören Trainings zu Aufbau und Pflege einer Gesamtstruktur in dieselbe Planung.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Können wir die Funktionsebene wieder senken, wenn etwas nicht funktioniert?
Warum sehen wir keine Funktionsebene für Windows Server 2022?
Müssen alle Domänen auf derselben Ebene stehen?
Merken unsere Clients etwas von der Änderung?
Was passiert mit alten Servern, die noch im Verzeichnis stehen?
Lohnt sich der Sprung auf die Ebene Windows Server 2025 sofort?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die eigene Umgebung auf den nächsten Stand bringen
Im Aufbaukurs zu den Active Directory Domänendiensten bei cmt arbeitest du an Bestandsaufnahme, Replikationsprüfung und Ebenenwechsel an einer echten Umgebung und siehst dabei, woran ein Anheben in der Praxis scheitert.
Passt dazu
- Neuen Domain Controller in eine bestehende Domäne aufnehmen
- Windows Server 2022 oder Windows Server 2025: was der Wechsel bringt
- Inplace-Upgrade oder Neuaufbau: den Weg auf Windows Server 2025 wählen
- Active-Directory-Replikation hängt: mit repadmin und dcdiag zur Ursache