Neuen Domain Controller in eine bestehende Active-Directory-Domäne aufnehmen
Der Befehl zur Promotion ist der unspektakulärste Teil des Vorgangs. Interessant sind die drei Prüfungen davor und die zwei danach, denn genau dort entstehen die Fehler, die erst Wochen später als merkwürdige Anmeldeprobleme auffallen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Server ist promoted, und trotzdem stimmt etwas nicht
Der übliche Ablauf sieht harmlos aus. Ein neuer Server wird aufgesetzt, die Rolle installiert, der Assistent durchgeklickt, der Neustart läuft, und in der Konsole steht ein weiterer Domänencontroller. Alles sieht richtig aus. Erst Wochen später fällt auf, dass Anmeldungen an einem bestimmten Standort langsam sind, dass ein neu angelegtes Konto auf einem Server noch nicht existiert oder dass ein Kennwortwechsel nicht ankommt. Die Ursache liegt fast immer in einer der Prüfungen, die vor oder nach der Promotion ausgelassen wurden.
Die zweite Gruppe von Problemen entsteht schon früher, nämlich bei der Frage, ob der neue Server überhaupt aufgenommen werden darf. Die Funktionsebene der Gesamtstruktur legt fest, welche Betriebssystemstände als Domänencontroller laufen dürfen. Microsoft dokumentiert diese Zuordnung in einer Tabelle, und die enthält eine Einschränkung, die viele überrascht: Auf der Funktionsebene Windows Server 2012 R2 lässt sich ein Domänencontroller mit Windows Server 2025 nicht betreiben. Wer einen neuen Server der aktuellen Generation in eine alte Umgebung stellen will, hat vor der Promotion noch eine andere Aufgabe zu erledigen.
Die dritte Falle ist die Zuständigkeit für das Schema. Der erste Domänencontroller einer neuen Betriebssystemgeneration bringt eine Schemaerweiterung mit. Läuft adprep nicht vorher getrennt, fragt die Installation nach Anmeldedaten dafür, und die Anforderungen sind höher als für eine gewöhnliche Promotion: Für den ersten Server dieser Art in der Gesamtstruktur braucht es Mitgliedschaft in den Gruppen Enterprise Admins, Schema Admins und Domain Admins der Domäne, in der der Schemamaster steht. Wer mit einem gewöhnlichen Domänenadministrator antritt, bleibt an dieser Stelle stehen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Weg von der Rolleninstallation bis zur bestätigten Replikation
Sechs Stationen mit jeweils einem Ergebnis, das sich überprüfen lässt. Die Reihenfolge ist nicht beliebig: Wer die Prüfungen hinter die Promotion schiebt, arbeitet an einem Server, der bereits als Domänencontroller im Verzeichnis steht und sich nicht mehr folgenlos wegwerfen lässt.
- 1
Die Umgebung inventarisieren und die Funktionsebene klären
Verschaffe dir zuerst einen Überblick darüber, welche Betriebssystemstände als Domänencontroller laufen und auf welcher Funktionsebene Domäne und Gesamtstruktur stehen. Diese Werte findest du in den Verwaltungswerkzeugen und über die PowerShell-Abfragen zu Domäne und Gesamtstruktur. Halte das Ergebnis gegen die Übersicht von Microsoft: Ein Domänencontroller mit Windows Server 2025 setzt mindestens die Funktionsebene Windows Server 2016 voraus, denn auf der Ebene Windows Server 2012 R2 wird er nicht unterstützt.
Geschafft, wenn: Eine Liste der vorhandenen Domänencontroller mit Betriebssystemstand und eine schriftliche Antwort auf die Frage, ob die Funktionsebene vorher angehoben werden muss.
- 2
Netzwerk, Namensauflösung und Zeit vorbereiten
Der künftige Domänencontroller bekommt eine feste Adresskonfiguration und als bevorzugten DNS-Server einen bestehenden Domänencontroller der Zielumgebung. Trage einen zweiten Domänencontroller als alternativen Server ein, damit der Ausfall einer einzelnen Maschine die Namensauflösung nicht lahmlegt. Prüfe anschließend, ob sich die Domäne auflösen lässt und ob die Uhrzeit stimmt. Bezieht der Rechner seine Zeit noch aus einer anderen Quelle, etwa vom Hypervisor, stelle das auf die Domänenhierarchie um.
Geschafft, wenn: Der Server löst die Domäne auf, erreicht einen bestehenden Domänencontroller, und die Uhrzeit weicht nur um Sekunden ab.
- 3
Die Serverrolle installieren und die Voraussetzungen testen
Die Rolle kommt mit Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools auf den Server. Der Zusatz für die Verwaltungswerkzeuge ist wichtig, weil sie bei der Installation über PowerShell nicht von selbst mitkommen und du sie gleich danach für die Prüfungen brauchst. Ein Neustart ist an dieser Stelle noch nicht nötig. Danach folgt der Trockenlauf: Test-ADDSDomainControllerInstallation nimmt dieselben Parameter wie die spätere Installation entgegen, führt aber nur die Voraussetzungsprüfungen aus und verändert nichts.
Geschafft, wenn: Die Rolle ist installiert, die Verwaltungswerkzeuge stehen bereit, und der Testlauf meldet keine offenen Voraussetzungen mehr.
- 4
Den Server zum Domänencontroller heraufstufen
Die eigentliche Promotion übernimmt Install-ADDSDomainController. Im einfachsten Fall genügen der Domänenname und ein Konto mit Domain Admins. In der Praxis lohnt es sich, Standort, Ablagepfade und die Rolle als DNS-Server ausdrücklich mitzugeben, statt sich auf Vorgaben zu verlassen. Handelt es sich um den ersten Server einer neuen Betriebssystemgeneration in der Gesamtstruktur, fragt die Installation zusätzlich nach Anmeldedaten für adprep. Der alte Assistent dcpromo.exe ist seit Windows Server 2012 abgekündigt und kein Weg mehr.
Geschafft, wenn: Der Server startet automatisch neu und meldet sich anschließend als Domänencontroller im gewünschten Standort.
- 5
Die Replikation in beide Richtungen bestätigen
Jetzt kommt der Teil, den die meisten auslassen. Microsoft empfiehlt für den Überblick über die ganze Gesamtstruktur den Aufruf repadmin /showrepl * /csv >showrepl.csv und die Auswertung in einer Tabelle, wobei die Spalten für den letzten Erfolg und den letzten Fehler die interessanten sind. Wer keine Tabellenkalkulation öffnen will, kann die Ausgabe stattdessen mit repadmin /showrepl * /csv | convertfrom-csv | out-gridview in ein Fenster leiten. Wichtig ist, dass eingehende und ausgehende Replikation geprüft werden, nicht nur eine Richtung.
Geschafft, wenn: Für jeden Namenskontext steht ein aktueller Erfolgszeitpunkt, und die Spalte mit dem letzten Fehler bleibt leer.
- 6
Den Server in Betrieb nehmen und dokumentieren
Erst wenn die Replikation sauber läuft, gehört der neue Server in die Reihe der produktiven Anmeldeziele. Prüfe, ob er als DNS-Server bei den Clients hinterlegt werden soll, ob er in die Sicherung aufgenommen ist und ob das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus dort abgelegt ist, wo es im Ernstfall jemand findet. Halte außerdem fest, welche Rollen dieser Server trägt, denn diese Notiz spart bei der nächsten Störung eine halbe Stunde Suche.
Geschafft, wenn: Der Server ist in Sicherung, Überwachung und Dokumentation aufgenommen, und das Kennwort für den Wiederherstellungsmodus ist hinterlegt.
Fünf Fragen vor der Promotion
- 01 Erlaubt die Funktionsebene der Gesamtstruktur den Betriebssystemstand des neuen Servers?
- 02 Ist der bevorzugte DNS-Server ein Domänencontroller der Zielumgebung?
- 03 Geht die Uhr des neuen Servers innerhalb weniger Minuten richtig?
- 04 Steht ein Konto bereit, das für die Schemaerweiterung ausreicht?
- 05 Sind Standort, Global Catalog und die Pfade für Datenbank und SYSVOL festgelegt?
Was du klärst, bevor du den ersten Befehl absetzt
Sechs Punkte entscheiden darüber, ob die Aufnahme eine Viertelstunde dauert oder zu einem Rückbau führt. Fünf davon lassen sich in wenigen Minuten prüfen, der sechste ist eine Entscheidung, die du besser vorher triffst als hinterher.
Die Funktionsebene gegen den Betriebssystemstand halten
Microsoft führt die zulässigen Kombinationen aus Funktionsebene und Betriebssystem in einer Übersicht. Aktuell unterstützt sind die Ebenen Windows Server 2012 R2, Windows Server 2016 und Windows Server 2025. Ein Server mit Windows Server 2025 lässt sich auf der Ebene 2012 R2 nicht als Domänencontroller betreiben. Steht deine Umgebung noch dort, gehört das Anheben der Funktionsebene vor die Promotion und nicht danach.
Die Rechte für das Schema besorgen, nicht improvisieren
Für einen weiteren Domänencontroller in einer bestehenden Domäne reicht Mitgliedschaft in Domain Admins. Sobald es der erste Server einer neuen Betriebssystemgeneration in der Gesamtstruktur ist, kommen Enterprise Admins und Schema Admins dazu, und zwar in der Domäne, die den Schemamaster hält. Kläre vorher, wer diese Mitgliedschaft hat und für wie lange, statt mitten in der Installation nach einem Konto zu suchen.
DNS auf den Verzeichnisdienst zeigen lassen, nicht auf das Internet
Ein Server, der zum Domänencontroller werden soll, muss die Ressourceneinträge der Domäne auflösen können. Er braucht deshalb als bevorzugten DNS-Server einen vorhandenen Domänencontroller der Zielumgebung und nicht den Weiterleitungsserver des Providers. Diese eine Einstellung ist die häufigste Ursache für eine Promotion, die mit einer Meldung über nicht auffindbare Domänendienste abbricht.
Die Uhrzeit als Voraussetzung behandeln, nicht als Nebensache
Kerberos verlangt, dass die Uhren im Rahmen bleiben. Microsoft nennt für die Replikationsdiagnose eine Genauigkeit von fünf Minuten als Abhängigkeit. Der neue Server bezieht seine Zeit über die Domänenhierarchie, an deren Spitze der PDC-Emulator der Gesamtstruktur steht. Steht der Rechner vorher in einer Arbeitsgruppe oder in einer virtuellen Umgebung mit eigener Zeitquelle, prüfe die Konfiguration vor der Aufnahme.
Die Ablage der Datenbank festlegen und ReFS ausschließen
Die Verzeichnisdatenbank, die Protokolldateien und SYSVOL bekommen ihre Pfade über eigene Parameter. Microsoft weist ausdrücklich darauf hin, dass diese drei nicht auf einem Datenträger liegen dürfen, der mit ReFS formatiert ist. Wer sich für getrennte Datenträger entscheidet, sollte das vor der Promotion tun, denn ein Verschieben im Nachhinein ist deutlich aufwendiger als eine Zeile mehr im Aufruf.
Global Catalog und Standort bewusst setzen
Ob der neue Server als Global-Catalog-Server arbeitet und in welchem Standortobjekt er landet, entscheidest du bei der Promotion mit. Der Standort steuert, welche Clients ihn bevorzugt ansprechen und wie oft repliziert wird. Bleibt das Feld leer, ordnet die Installation nach der IP-Adresse zu, was in sauber gepflegten Subnetzobjekten richtig ist und in gewachsenen Umgebungen zu einem Server im falschen Standort führt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum die Funktionsebene über die Reihenfolge entscheidet
Die Funktionsebene bestimmt, welche Betriebssystemstände als Domänencontroller in einer Domäne oder Gesamtstruktur laufen dürfen. Microsoft führt dafür eine Zuordnung, und aktuell sind drei Ebenen unterstützt: Windows Server 2012 R2, Windows Server 2016 und Windows Server 2025. Für Windows Server 2019 und Windows Server 2022 gibt es keine eigene Ebene, beide verwenden Windows Server 2016 als höchsten Stand. Wer nach einer Funktionsebene 2022 sucht, sucht vergeblich, und das ist kein Fehler in der Umgebung.
Entscheidend für die Reihenfolge ist die Zeile für Windows Server 2025. Ein Domänencontroller mit diesem Stand wird auf der Funktionsebene Windows Server 2016 und auf der Ebene Windows Server 2025 unterstützt, auf der Ebene Windows Server 2012 R2 dagegen nicht. Steht deine Gesamtstruktur noch auf 2012 R2, ist das Anheben auf mindestens 2016 eine Voraussetzung und keine spätere Aufräumarbeit. Umgekehrt gilt: Sobald die Ebene auf Windows Server 2025 steht, lassen sich nur noch Domänencontroller mit Windows Server 2025 aufnehmen. Wer sich diese Tür zumacht, sollte das absichtlich tun.
Für die Ebene Windows Server 2016 gibt es außerdem eine technische Voraussetzung, die in gewachsenen Umgebungen gelegentlich hakt: SYSVOL muss über DFSR repliziert werden. Windows Server 2016 ist laut Microsoft die letzte Version, die den älteren File Replication Service überhaupt unterstützt. Wenn in deiner Domäne noch FRS im Einsatz ist, gehört die Umstellung auf DFSR vor jede weitere Planung, denn sie ist ein eigenes Vorhaben mit eigener Prüfliste.
Welche Rechte wofür gebraucht werden
Microsoft trennt drei Fälle. Für eine neue Gesamtstruktur genügt die lokale Administratorkennung des Rechners. Für eine neue untergeordnete Domäne oder einen neuen Domänenbaum braucht es Mitgliedschaft in Enterprise Admins. Für einen weiteren Domänencontroller in einer bestehenden Domäne, also den Fall auf dieser Seite, reicht Mitgliedschaft in Domain Admins. Das ist die gute Nachricht: Der Normalfall verlangt keine Rechte auf Ebene der Gesamtstruktur.
Der Ausnahmefall ist die Schemaerweiterung. Bringst du den ersten Server einer neuen Betriebssystemgeneration in die Gesamtstruktur und hast adprep nicht vorher getrennt ausgeführt, fragt die Installation nach Anmeldedaten dafür. Microsoft nennt die Anforderung ausdrücklich: Mitgliedschaft in Enterprise Admins, Schema Admins und Domain Admins in der Domäne, die den Schemamaster hält. Für den ersten Server dieser Generation in einer einzelnen Domäne genügt Domain Admins, für den ersten schreibgeschützten Domänencontroller in der Gesamtstruktur wird Enterprise Admins verlangt.
Daraus folgt eine organisatorische Empfehlung. Die Erweiterung des Schemas ist ein Eingriff mit Wirkung auf die gesamte Gesamtstruktur und wird üblicherweise nicht nebenbei bei einer Serverinstallation mitgemacht. In größeren Häusern trennt man beides bewusst: erst die Vorbereitung mit den entsprechenden Rechten und einem eigenen Änderungsvorgang, danach die Promotion mit gewöhnlichen Domänenadministratorrechten. Der Vorteil zeigt sich, wenn etwas schiefgeht, denn dann steht nur ein Schritt zur Debatte und nicht zwei gleichzeitig.
Install from Media und wann sich der Aufwand lohnt
Ein neuer Domänencontroller zieht seine Ausgangsdaten üblicherweise über das Netz von einem bestehenden Partner. In einer großen Domäne über eine schmale Leitung ist das ein Problem, weil die erste Replikation lange dauert und die Verbindung in dieser Zeit belegt ist. Für diesen Fall gibt es Install from Media: Ein Abzug der Verzeichnisdatenbank wird mit Ntdsutil erzeugt, auf einen Datenträger geschrieben und am Zielort als Quelle angegeben.
Zwei Einschränkungen nennt Microsoft ausdrücklich. Der erste Domänencontroller einer Domäne lässt sich damit nicht installieren, denn dafür gibt es noch nichts abzuziehen. Und der Abzug funktioniert nicht über Betriebssystemgrenzen hinweg: Um einen Domänencontroller mit einem bestimmten Windows-Server-Stand auf diesem Weg aufzunehmen, muss der Abzug auf einem Domänencontroller mit demselben Stand erzeugt worden sein.
Es gibt einen zweiten Grund für dieses Verfahren, der weniger mit Bandbreite zu tun hat. Wird ein Server an einem Zwischenstandort vorbereitet und erst Wochen später an seinen endgültigen Platz gebracht, meldet die Umgebung die ganze Zeit Replikationsfehler, weil ein bekannter Partner nicht erreichbar ist. Microsoft empfiehlt für diesen Fall, den Rechner zunächst als Mitgliedsserver auszuliefern und die Aufnahme erst am Zielort mit Install from Media durchzuführen. Damit bleibt die Fehlerliste sauber, und niemand gewöhnt sich an rote Einträge.
Woran du merkst, dass die Aufnahme wirklich fertig ist
Ein Domänencontroller ist fertig, wenn die Replikation in beide Richtungen ohne Fehler läuft. Microsoft formuliert dazu einen nützlichen Umkehrschluss: Wenn die Replikation fehlerfrei arbeitet, funktionieren damit gleichzeitig die Namensauflösung über DNS, die Kerberos-Authentifizierung, der Zeitdienst, die Remoteprozeduraufrufe und die Netzwerkverbindung. Ein sauberer Replikationsbericht ist deshalb mehr als eine Einzelprüfung, er ist eine Sammelprüfung über die wichtigsten Abhängigkeiten.
Die zweite Prüfung betrifft die Erreichbarkeit über die Firewall. Die Replikation nutzt Remoteprozeduraufrufe, die sich ihren Port dynamisch über den Endpunktzuordner auf Port 135 zuweisen lassen. In Umgebungen mit segmentierten Netzen ist das der Punkt, an dem eine Aufnahme technisch gelingt und die Replikation trotzdem stehen bleibt. Microsoft beschreibt in einem eigenen Artikel, wie sich der Port für die Verzeichnisreplikation fest zuweisen lässt, was die Regeln auf der Firewall deutlich vereinfacht.
Die dritte Prüfung ist die unbequemste, weil sie Zeit kostet: Leg ein Testkonto auf dem neuen Server an und sieh nach, ob es auf einem anderen Domänencontroller ankommt, und danach umgekehrt. Damit prüfst du nicht nur die Verbindung, sondern die tatsächliche Schreibfähigkeit in beide Richtungen. Erst wenn dieser Test in beide Richtungen funktioniert, gehört der Server in die Liste der Anmeldeziele und in die Sicherung.
Dazu passende Kurse
Wenn die Aufnahme neuer Domänencontroller bei euch bisher an einer einzelnen Person hängt, verteilen Windows-Server-Kurse rund um Domänencontroller dieses Wissen im Team.
Weil zu einer sauberen Aufnahme immer auch Namensauflösung, Zeit und Netz gehören, findest du bei cmt Administrationskurse für den Aufbau von Verzeichnisdiensten .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Reicht es, den Server einfach in die Domäne aufzunehmen und die Rolle zu installieren?
Warum bricht die Promotion mit einer Meldung über die Funktionsebene ab?
Müssen wir adprep noch getrennt ausführen?
Soll der neue Domänencontroller auch DNS-Server sein?
Dürfen Datenbank, Protokolle und SYSVOL auf einem ReFS-Datenträger liegen?
Wie prüfen wir, ob die Replikation nach der Aufnahme tatsächlich läuft?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Eine Domäne einmal vollständig aufbauen, statt nur zuzusehen
Im Grundkurs zu den Active Directory Domänendiensten bei cmt baust du eine Domäne von der ersten Heraufstufung bis zur geprüften Replikation selbst auf und siehst dabei, was die Prüfungen vor und nach der Promotion tatsächlich abdecken.
Passt dazu
- Domänen- und Gesamtstruktur-Funktionsebene anheben: Voraussetzungen und Reihenfolge
- Active-Directory-Replikation hängt: mit repadmin und dcdiag zur Ursache
- FSMO-Rollen verschieben und im Ausfall übernehmen
- Namensauflösung im Windows-Netz schlägt fehl: DNS Schritt für Schritt eingrenzen