Zum Inhalt
Kontakt

IT-Systembetreuung · Infrastruktur

Windows Server, Active Directory und Netzwerk im laufenden Betrieb

Adresse, Namensauflösung, Anmeldung, Richtlinien, Synchronisierung in die Cloud: Bevor morgens jemand arbeiten kann, müssen fünf Dienste zusammenspielen. Wir betreuen Ihre bestehenden Windows-Server, Active Directory und das Netzwerk dazwischen – gepflegt, dokumentiert und in Abstimmung mit Ihren Lieferanten.

Domäne erkundenInfrastruktur besprechen

ArbeitsplatzNetzwerkServerInternet & CloudDC01 · DomänencontrollerMitarbeitende Anmeldung & ArbeitArbeitsplätze Domänen-PCsEtagen-Switch & WLAN Zugang für ArbeitsplätzeCore-Switch zentrales NetzFirewall & Internet Weg nach außenActive Directory Konten & GruppenDNS NamensauflösungDHCP AdressvergabeGruppenrichtlinien zentrale EinstellungenDateiserver Freigaben & RechteSynchronisierung z. B. Entra Connect SyncMicrosoft Entra ID Cloud-IdentitätenMicrosoft 365 E-Mail, Teams, Dateien

1 · Adresse holen: Beim Start fragt der Arbeitsplatz per DHCP nach einer Adresse und erhält dabei auch Gateway und DNS-Server.

Illustrative Beispielarchitektur – keine reale Kundenumgebung. Wählen Sie einen Ablauf, um zu sehen, was beim Start eines Arbeitsplatzes nacheinander passiert.

Worum es geht

Wenn die Anmeldung morgens nicht klappt, liegt die Ursache selten dort, wo sie auffällt. Wer das Zusammenspiel kennt, findet sie schneller – und kann vorbeugen.

Fachmodell

Was eine Windows-Domäne zusammenhält

Eine kleine Beispielumgebung mit einem Domänencontroller, auf dem auch DNS, DHCP und die Gruppenrichtlinien liegen. Wählen Sie einen Baustein: Die Karte zeigt, was er braucht und wer ihn braucht. Die Abläufe zeigen, was morgens beim Einschalten eines Arbeitsplatzes nacheinander passiert.

ArbeitsplatzNetzwerkServerInternet & CloudDC01 · DomänencontrollerMitarbeitende Anmeldung & ArbeitArbeitsplätze Domänen-PCsEtagen-Switch & WLAN Zugang für ArbeitsplätzeCore-Switch zentrales NetzFirewall & Internet Weg nach außenActive Directory Konten & GruppenDNS NamensauflösungDHCP AdressvergabeGruppenrichtlinien zentrale EinstellungenDateiserver Freigaben & RechteSynchronisierung z. B. Entra Connect SyncMicrosoft Entra ID Cloud-IdentitätenMicrosoft 365 E-Mail, Teams, Dateien
brauchtwird gebraucht von

Server · Domänencontroller

DC01

Ein Server, viele Rollen: In kleinen Umgebungen laufen Active Directory, DNS, DHCP und die Gruppenrichtlinien häufig auf demselben Domänencontroller. Das ist einfach – und macht ihn zum einzelnen Punkt, an dem alles hängt.

Darauf laufen

Passende Leistungen

Illustrative Beispielarchitektur – keine reale Kundenumgebung und keine Empfehlung für genau diesen Aufbau. Vereinfacht: ein Domänencontroller, Kennwort-Hash-Synchronisierung, keine Zweigstellen. Ihre Umgebung kann anders aussehen; genau das klären wir zu Beginn. Microsoft 365, Microsoft Entra ID, Active Directory und Windows Server sind Marken der Microsoft Corporation.

Beispielarchitektur als Text
  • Mitarbeitende (Arbeitsplatz) – Hier fallen Störungen auf – als „Anmeldung dauert ewig“, „Laufwerk fehlt“ oder „Teams geht nicht“. Die Ursache kann mehrere Schritte weiter hinten liegen. Braucht: Arbeitsplätze, Dateiserver, Microsoft 365.
  • Arbeitsplätze (Arbeitsplatz) – Ein Domänen-PC braucht beim Start eine Adresse (DHCP), findet über DNS den Domänencontroller, meldet das Konto bei Active Directory an und übernimmt die Gruppenrichtlinien – etwa Laufwerkszuordnungen und Sicherheitseinstellungen. Braucht: Etagen-Switch & WLAN, DHCP, DNS, Active Directory, Gruppenrichtlinien. Wird gebraucht von: Mitarbeitende.
  • Etagen-Switch & WLAN (Netzwerk) – Verbindet die Arbeitsplätze eines Bereichs mit dem Core-Switch. Fällt er aus, ist nur dieser Bereich getrennt – Server und Cloud laufen weiter. Braucht: Core-Switch. Wird gebraucht von: Arbeitsplätze.
  • Core-Switch (Netzwerk) – Der zentrale Switch verbindet Server, Etagen-Switches und Firewall. Die Server selbst laufen auch ohne ihn weiter – sie sind nur nicht mehr erreichbar. Wird gebraucht von: Etagen-Switch & WLAN, Firewall & Internet.
  • Firewall & Internet (Netzwerk) – Über die Firewall erreicht der Standort Microsoft 365 und die Synchronisierung erreicht Microsoft Entra ID. Die Geräte beziehen Sie weiterhin über Ihren Lieferanten. Braucht: Core-Switch. Wird gebraucht von: Microsoft 365.
  • DC01 (Server) – Ein Server, viele Rollen: In kleinen Umgebungen laufen Active Directory, DNS, DHCP und die Gruppenrichtlinien häufig auf demselben Domänencontroller. Das ist einfach – und macht ihn zum einzelnen Punkt, an dem alles hängt. Wird gebraucht von: Active Directory, DNS, DHCP, Gruppenrichtlinien.
  • Active Directory (Server) – Der Verzeichnisdienst prüft bei der Anmeldung, wer jemand ist, und liefert über Gruppen, worauf die Person zugreifen darf. Er ist auf DNS angewiesen, damit Arbeitsplätze ihn finden. Läuft auf: DC01. Braucht: DNS. Wird gebraucht von: Arbeitsplätze, Gruppenrichtlinien, Dateiserver, Synchronisierung.
  • DNS (Server) – Übersetzt Namen in Adressen – auch die Einträge, über die Arbeitsplätze den Domänencontroller finden. Ohne DNS wirken Anmeldung, Dateiserver und Internet gleichzeitig gestört. Läuft auf: DC01. Wird gebraucht von: Arbeitsplätze, Active Directory, Microsoft 365.
  • DHCP (Server) – Vergibt Geräten beim Start eine IP-Adresse samt Gateway und DNS-Server – als Leihe mit Ablaufzeit. Geräte mit gültiger Leihe arbeiten bei einem DHCP-Ausfall zunächst weiter. Läuft auf: DC01. Wird gebraucht von: Arbeitsplätze.
  • Gruppenrichtlinien (Server) – Gruppenrichtlinien verteilen Einstellungen an Konten und Computer – je nach Standort, Domäne oder Organisationseinheit. Eine fehlerhafte Richtlinie trifft deshalb viele Arbeitsplätze auf einmal. Läuft auf: DC01. Braucht: Active Directory. Wird gebraucht von: Arbeitsplätze.
  • Dateiserver (Server) – Freigegebene Ordner; wer was öffnen darf, steuern Gruppen aus Active Directory. Der Dateiserver ist ein eigener Server – er läuft weiter, wenn nur die Gruppenrichtlinien gestört sind. Braucht: Active Directory. Wird gebraucht von: Mitarbeitende.
  • Synchronisierung (Server) – Überträgt Konten, Gruppen und – bei Kennwort-Hash-Synchronisierung – Kennwort-Hashes aus Active Directory nach Microsoft Entra ID. Fällt sie aus, laufen Anmeldungen in der Cloud weiter; neue oder geänderte Konten kommen dort aber nicht an. Braucht: Active Directory.
  • Microsoft Entra ID (Internet & Cloud) – Hier melden sich Mitarbeitende für Microsoft 365 an. Bei Kennwort-Hash-Synchronisierung prüft Entra ID das Kennwort selbst – unabhängig davon, ob der Standort gerade erreichbar ist. Wird gebraucht von: Microsoft 365.
  • Microsoft 365 (Internet & Cloud) – Läuft in Rechenzentren von Microsoft. Vom Standort aus erreichbar über Firewall und DNS; angemeldet wird über Microsoft Entra ID. Braucht: Microsoft Entra ID, Firewall & Internet, DNS. Wird gebraucht von: Mitarbeitende.

Typische Abläufe

  • 1 · Adresse holen: Arbeitsplätze → Etagen-Switch & WLAN → Core-Switch → DHCP – Beim Start fragt der Arbeitsplatz per DHCP nach einer Adresse und erhält dabei auch Gateway und DNS-Server.
  • 2 · Anmelden: Arbeitsplätze → Etagen-Switch & WLAN → Core-Switch → DNS → Active Directory – Über DNS findet der Arbeitsplatz den Domänencontroller; Active Directory prüft das Konto und liefert die Gruppen.
  • 3 · Richtlinien: Arbeitsplätze → Etagen-Switch & WLAN → Core-Switch → Active Directory → Gruppenrichtlinien – Nach der Anmeldung übernimmt der Arbeitsplatz die Gruppenrichtlinien – Laufwerke, Drucker, Sicherheitseinstellungen.
  • 4 · Konten in die Cloud: Active Directory → Synchronisierung → Microsoft Entra ID – Die Synchronisierung überträgt Änderungen aus Active Directory nach Microsoft Entra ID – standardmäßig alle 30 Minuten, Kennwort-Hashes alle zwei Minuten.
  • 5 · Microsoft 365: Arbeitsplätze → Etagen-Switch & WLAN → Core-Switch → Firewall & Internet → Microsoft 365 → Microsoft Entra ID – E-Mail und Teams laufen über Firewall und Internet; die Anmeldung prüft Microsoft Entra ID.

Störungssimulation

Was passiert, wenn ein Baustein der Domäne ausfällt?

Fünf typische Störungen. Die Karte zeigt, was laut Beispielmodell betroffen ist – und was weiterläuft. Danach führt eine Analyse Schritt für Schritt zurück zum Normalbetrieb.

ArbeitsplatzNetzwerkServerInternet & CloudDC01 · DomänencontrollerMitarbeitende Anmeldung & ArbeitArbeitsplätze Domänen-PCsEtagen-Switch & WLAN Zugang für ArbeitsplätzeCore-Switch zentrales NetzFirewall & Internet Weg nach außenActive Directory Konten & GruppenDNS NamensauflösungDHCP AdressvergabeGruppenrichtlinien zentrale EinstellungenDateiserver Freigaben & RechteSynchronisierung z. B. Entra Connect SyncMicrosoft Entra ID Cloud-IdentitätenMicrosoft 365 E-Mail, Teams, Dateien
ausgefallenbetroffenwieder verfügbar

DC01 fällt aus. Betroffen: Active Directory, DNS, DHCP, Gruppenrichtlinien, Arbeitsplätze, Dateiserver, Synchronisierung, Microsoft 365, Mitarbeitende.

Der Server DC01 startet nicht mehr. Weil Active Directory, DNS, DHCP und Gruppenrichtlinien auf ihm liegen, fällt alles auf einmal aus – obwohl Netz, Dateiserver und Cloud selbst in Ordnung sind.

Was Sie bemerken

  • Arbeitsplätze Neue Anmeldungen scheitern; je nach Einstellung melden sich bekannte Konten mit zwischengespeicherten Anmeldedaten an. Ohne DNS fehlen Netzlaufwerke und Internet.
  • Dateiserver Der Dateiserver läuft, kann aber keine Konten mehr prüfen – Freigaben öffnen sich nicht.
  • Synchronisierung Es werden keine Änderungen mehr in die Cloud übertragen.
  • Microsoft 365 Vom Standort aus gestört, weil die Namensauflösung fehlt.
  • Microsoft Entra ID – läuft weiter Cloud-Konten bleiben gültig: Mit Kennwort-Hash-Synchronisierung funktioniert Microsoft 365 z. B. im Homeoffice weiter.
  • Core-Switch – läuft weiter Das Netzwerk arbeitet normal.

Analyse und Wiederherstellung

Ein zweiter Domänencontroller mit DNS – möglichst auf anderer Hardware – hält Anmeldung und Namensauflösung aufrecht, wenn einer ausfällt. Für virtualisierte Domänencontroller empfiehlt Microsoft ausdrücklich mindestens zwei pro Domäne auf verschiedenen Hosts (Microsoft Learn). Ob sich das für Ihre Umgebung lohnt, besprechen wir gemeinsam.

Vereinfachtes Beispiel auf Grundlage der Beispielarchitektur oben: keine Live-Daten, keine vollständige Fehlerdiagnose und keine Aussage zu Wiederherstellungszeiten. Wie eine Störung tatsächlich verläuft, hängt von Ihrer Umgebung und den getroffenen Vorkehrungen ab.

Alle Szenarien als Text

Einziger Domänencontroller fällt aus – Ursache: DC01; betroffen laut Beispielmodell: Active Directory, DNS, DHCP, Gruppenrichtlinien, Arbeitsplätze, Dateiserver, Synchronisierung, Microsoft 365, Mitarbeitende.

  1. Server prüfen – Ist DC01 erreichbar? Konsole bzw. Hypervisor, Statusanzeigen und Ereignisprotokolle prüfen – Hardware, voller Datenträger oder ein fehlgeschlagenes Update?
  2. Verzeichnisdienst prüfen – Läuft der Server wieder, prüft dcdiag, ob der Domänencontroller in DNS gefunden wird und seine Dienste anbietet.
  3. Reparieren oder wiederherstellen – Server reparieren – bei Hardware mit Ihrem Lieferanten – oder aus einer Sicherung des Systemstatus wiederherstellen, sofern vorhanden und getestet.
  4. Funktion bestätigen – Anmeldung, Netzlaufwerke und Internet an mehreren Arbeitsplätzen testen; Ursache und Maßnahme dokumentieren.

DHCP vergibt keine Adressen – Ursache: DHCP; betroffen laut Beispielmodell: Arbeitsplätze, Mitarbeitende.

  1. Adresse am Arbeitsplatz prüfen – ipconfig /all zeigt eine automatisch vergebene Adresse 169.254.x.x? Dann hat das Gerät keinen DHCP-Server erreicht.
  2. Dienst und Bereich prüfen – Läuft der DHCP-Serverdienst? Sind im Bereich noch Adressen frei, ist der Server autorisiert? Ereignisprotokoll „DHCP-Server“ ansehen.
  3. DHCP wiederherstellen – Dienst starten, Bereich erweitern oder Konfiguration korrigieren – und dokumentieren.
  4. Adressen erneuern – Mit ipconfig /renew oder einem Neustart neue Adressen beziehen und Verbindungen testen.

Fehlerhafte Gruppenrichtlinie – Ursache: Gruppenrichtlinien; betroffen laut Beispielmodell: Arbeitsplätze, Mitarbeitende.

  1. Wirksame Richtlinien ansehen – gpresult /r zeigt am betroffenen Arbeitsplatz, welche Gruppenrichtlinien für Konto und Computer tatsächlich angewendet wurden.
  2. Letzte Änderung finden – In der Gruppenrichtlinienverwaltung prüfen, welche Richtlinie zuletzt geändert wurde und mit welcher Organisationseinheit sie verknüpft ist.
  3. Änderung zurücknehmen – Einstellung korrigieren oder eine gesicherte Fassung der Richtlinie zurückspielen (z. B. mit Backup-GPO/Restore-GPO), Änderung dokumentieren.
  4. Richtlinien neu anwenden – gpupdate /force bzw. neue Anmeldung und Ergebnis an einem Arbeitsplatz prüfen.

Synchronisierung steht – Ursache: Synchronisierung; betroffen laut Beispielmodell: keine.

  1. Status der Synchronisierung prüfen – Get-ADSyncScheduler zeigt, ob und wann der nächste Lauf geplant ist; Synchronization Service Manager und Ereignisprotokoll zeigen Fehler der letzten Läufe.
  2. Auswirkung abschätzen – Seit wann fehlen Änderungen? Gesperrte oder ausgeschiedene Konten, die in der Cloud noch aktiv sind, haben Vorrang.
  3. Synchronisierung wieder anstoßen – Server bzw. Dienst wieder starten und mit Start-ADSyncSyncCycle -PolicyType Delta einen Lauf anstoßen.
  4. Ergebnis prüfen – An einem Testkonto prüfen, ob eine Änderung in Microsoft Entra ID angekommen ist; Ausfall und Ursache dokumentieren.

Etagen-Switch fällt aus – Ursache: Etagen-Switch & WLAN; betroffen laut Beispielmodell: Arbeitsplätze, Mitarbeitende.

  1. Umfang eingrenzen – Betrifft es einen Raum, eine Etage oder den ganzen Standort? Funktionieren Arbeitsplätze in anderen Bereichen?
  2. Gerät prüfen – Stromversorgung, Statusanzeigen, Verbindung zum Core-Switch und zuletzt geänderte Konfiguration prüfen.
  3. Gerät wiederherstellen – Konfiguration korrigieren oder Ersatzgerät einsetzen – das liefert Ihr Lieferant; die dokumentierte Konfiguration beschleunigt die Einrichtung.
  4. Verbindungen bestätigen – Anmeldung, Netzlaufwerke und Internet in dem Bereich testen; Ursache und Maßnahme dokumentieren.

Lokal und Cloud

Wo Ihre Cloud-Anmeldung geprüft wird – und warum das zählt

Konten aus Active Directory lassen sich nach Microsoft Entra ID synchronisieren, dem Identitätsdienst hinter Microsoft 365. Microsoft nennt das hybride Identität. Entscheidend ist, wo das Kennwort bei der Cloud-Anmeldung geprüft wird:

  • Kennwort-Hash-Synchronisierung: Ein abgeleiteter Hash des Kennworts wird übertragen, laut Microsoft Learn alle zwei Minuten. Microsoft Entra ID prüft die Anmeldung selbst – sie funktioniert auch, wenn der Standort gerade nicht erreichbar ist.
  • Passthrough-Authentifizierung: Lokale Agenten prüfen jedes Kennwort direkt gegen Active Directory. Microsoft empfiehlt für den Produktivbetrieb mindestens drei Agenten – fallen alle aus, scheitern Cloud-Anmeldungen.

Konten, Gruppen und Sperren synchronisiert Microsoft Entra Connect Sync standardmäßig alle 30 Minuten. Eine Kontosperre im Active Directory wirkt in der Cloud also nicht sofort – wichtig bei Austritten, siehe Identity Lifecycle Management.

Vorbeugen

Was die Szenarien entschärft

Aus den Störungen oben folgen wenige, wirksame Vorkehrungen. Sie sind Empfehlungen, keine Pflicht – welche zu Ihrer Umgebung passen, entscheiden wir gemeinsam.

  1. Zweiter Domänencontroller

    Anmeldung und DNS laufen weiter, wenn ein Domänencontroller ausfällt. Arbeitsplätze sollten beide als DNS-Server kennen. Bei virtuellen Domänencontrollern: auf verschiedenen Hosts (Microsoft Learn).

  2. DHCP absichern

    DHCP-Failover mit zwei Servern oder zumindest ein Bereich mit ausreichend freien Adressen und dokumentierter Konfiguration (Microsoft Learn).

  3. Gruppenrichtlinien sichern und testen

    Vor Änderungen sichern (Backup-GPO), zuerst an einer Test-Organisationseinheit anwenden, Änderungen dokumentieren.

  4. Synchronisierung im Blick behalten

    Fehlerhafte Läufe früh bemerken. Microsoft weist darauf hin, dass spätestens alle sieben Tage ein Synchronisierungslauf erfolgen muss – sonst können Probleme auftreten, die nur eine vollständige Synchronisierung behebt.

  5. Domänencontroller wiederherstellbar halten

    Eine getestete Sicherung des Systemstatus macht aus „alles ist weg“ eine planbare Wiederherstellung. Die Datensicherung gehört zur Betreuung; den Umfang legen wir mit Ihnen fest.

  6. Netz dokumentieren

    Welcher Switch versorgt welchen Bereich, welche Konfiguration gilt? Mit Dokumentation ist ein Ersatzgerät schnell eingerichtet.

Aufgaben

Was zur Betreuung gehören kann

Typische Aufgaben in bestehenden Windows-Umgebungen. Welche wir für Sie übernehmen, legen wir gemeinsam fest.

  1. Windows Server

    Server und ihre Rollen administrieren, Updates in Abstimmung einspielen, Speicherplatz und Dienste bei der Pflege prüfen. Umfang wird individuell abgestimmt.

    • Serverrollen und Dienste
    • Updates planen und einspielen
    • Freigaben und Druckdienste

  2. Active Directory

    Den Verzeichnisdienst sauber halten: Organisationseinheiten, Benutzer- und Computerkonten, Gruppen und Gruppenrichtlinien. Umfang wird individuell abgestimmt.

    • Struktur und Organisationseinheiten
    • Gruppenrichtlinien pflegen
    • Verwaiste Konten aufräumen

  3. Netzwerkadministration

    Vorhandene Netzwerkkomponenten administrieren und die Konfiguration nachvollziehbar dokumentieren – ohne Vertrieb von Geräten. Umfang wird individuell abgestimmt.

    • Konfiguration dokumentieren
    • Änderungen abstimmen
    • Fehler eingrenzen

  4. Abstimmung mit Lieferanten

    Bei Hardwaredefekten, Garantiefällen oder neuen Geräten stimmen wir uns mit Ihren vorhandenen Lieferanten und Dienstleistern ab.

Häufige Fragen

Betreuen Sie auch unsere Netzwerkgeräte, wenn wir sie woanders gekauft haben?

Ja, das ist der Normalfall: Wir administrieren vorhandene Komponenten und stimmen uns mit Ihrem Lieferanten ab. Welche Geräte einbezogen sind, legen wir gemeinsam fest.

Welche Windows-Server-Versionen betreuen Sie?

Das klären wir anhand Ihrer Umgebung. Ältere Versionen ohne Sicherheitsupdates sprechen wir offen an, damit Sie rechtzeitig planen können. Sollen Server im eigenen Haus zusätzlich aus Azure überwacht und aktualisiert werden, beschreibt Azure Arc, wie das geht.

Gehört die Datensicherung dazu?

Ja. Welche Systeme wir sichern und wie, legen wir mit Ihnen fest. Wichtig ist, dass klar geregelt ist, wer Sicherungsmeldungen prüft und Wiederherstellungen testet.

Wir haben nur einen Domänencontroller – ist das ein Problem?

Das kommt in kleinen Umgebungen vor und funktioniert im Alltag. Die Simulation oben zeigt aber, was bei einem Ausfall passiert. Ob ein zweiter Domänencontroller, eine getestete Wiederherstellung oder beides sinnvoll ist, besprechen wir anhand Ihrer Umgebung.

Woran erkennen wir, ob wir Kennwort-Hash-Synchronisierung oder Passthrough-Authentifizierung nutzen?

Das zeigt die Konfiguration von Microsoft Entra Connect bzw. das Microsoft Entra Admin Center unter Microsoft Entra Connect. Wir sehen uns das bei der Bestandsaufnahme gemeinsam an – es bestimmt, was bei einem Ausfall am Standort weiterläuft.

Was ist mit Microsoft 365?

Die Administration von Microsoft 365 ist ein eigener Bereich – siehe Microsoft-365- und Cloud-Administration. Beides lässt sich kombinieren.

Server und Netzwerk besprechen

Erzählen Sie uns, welche Systeme Sie betreiben und wo Sie Unterstützung brauchen. Telefon 07131-618726-0.

Betreuung anfragenAnrufenAlle Bereiche der IT-Systembetreuung