Domänencontroller auf Windows Server 2025 migrieren (Schritt-für-Schritt-Anleitung)

Bei der Migration eines Domänencontrollers setzen Sie neben Ihrem bestehenden DC einen neuen Windows Server 2025 DC auf, replizieren Active Directory darauf, übertragen die fünf FSMO-Rollen und stufen anschließend den alten Server herab. In dieser Reihenfolge durchgeführt, verläuft die Migration ohne Ausfallzeit der Domäne und ohne Neuaufbau Ihres Verzeichnisses.

Diese Anleitung führt Sie durch den gesamten Prozess: die Integritätsprüfungen, die die meisten gescheiterten Migrationen verhindern, das Heraufstufen des neuen DC, die Übertragung der FSMO-Rollen per PowerShell und GUI, die Anpassung von DNS und DHCP, das sichere Herabstufen des Altservers und das Heraufstufen der Funktionsebene, das die Funktionen von Windows Server 2025 freischaltet.

🔑 Sie benötigen eine Lizenz für den neuen Server? Kaufen Sie einen originalen Windows Server 2025 Standard Key bei LicenceHouse – sofortige Lieferung, dauerhafte Lizenz.

Was umfasst die Migration eines Domänencontrollers tatsächlich?

Die Migration eines Domänencontrollers erfolgt parallel (Side-by-Side) und nicht als Inplace-Upgrade. Sie fügen der bestehenden Domäne einen neuen Server hinzu, stufen ihn zum Domänencontroller herauf, damit Active Directory darauf repliziert wird, verschieben die FSMO-Rollen, stellen DNS um und stufen dann den alten DC herab. Die Domäne bleibt währenddessen durchgehend online.

Zwei Dinge überraschen Administratoren, die ältere Migrationen kennen, besonders häufig. Erstens führen Sie adprep /forestprep und /domainprep nicht mehr als separate manuelle Schritte aus – beim Heraufstufen des ersten Windows Server 2025 DC über den Server-Manager wird die Schemavorbereitung automatisch durchgeführt, sofern Ihr Konto Mitglied der Gruppen Schema-Admins und Organisations-Admins ist.

Zweitens ist ein Inplace-Upgrade des Betriebssystems auf einem produktiven DC zwar technisch möglich, aber nicht der empfohlene Weg. Ein frischer Server plus Replikation liefert Ihnen ein nachweislich sauberes Verzeichnis und ein einfaches Rollback: Geht vor dem Herabstufen etwas schief, ist der alte DC mit allen Daten noch da.

Migrationsansätze im Vergleich

Der Rest dieser Anleitung behandelt die Side-by-Side-Methode, da Microsoft sie empfiehlt und sie sich gleichermaßen für Umgebungen mit einer Domäne wie für kleine Umgebungen mit mehreren Standorten eignet.

Was benötigen Sie, bevor Sie mit der Migration beginnen?

Bevor Sie irgendetwas heraufstufen, prüfen Sie vier Dinge: Die aktuelle Funktionsebene von Gesamtstruktur und Domäne erfüllt das Minimum für den neuen DC, SYSVOL wird per DFSR statt über das veraltete FRS repliziert, Active Directory ist fehlerfrei ohne Replikationsfehler, und Sie verfügen über eine geprüfte Systemstatussicherung des aktuellen DC.

Funktionsebenen prüfen

Ein Windows Server 2025 Domänencontroller setzt voraus, dass sich Gesamtstruktur und Domäne bereits auf einer unterstützten Funktionsebene befinden. Führen Sie dies auf einem bestehenden DC aus:

Get-ADForest | Select-Object ForestMode
Get-ADDomain | Select-Object DomainMode

Liegen Ihre Ebenen noch bei Windows Server 2008 R2 oder 2012 R2, stufen Sie sie auf mindestens Windows Server 2016 herauf, bevor Sie einen 2025-DC hinzufügen. Das Heraufstufen der Funktionsebene ist nicht umkehrbar – ohne Wiederherstellung der Gesamtstruktur können Sie sie danach nicht mehr absenken. Stellen Sie daher zuerst sicher, dass keine älteren DCs mehr vorhanden sind.

Sicherstellen, dass SYSVOL DFSR statt FRS verwendet

Diese eine Prüfung blockiert mehr Migrationen als jede andere. Der Dateireplikationsdienst (FRS) wurde abgekündigt und aus aktuellen Windows Server-Versionen entfernt. Repliziert Ihre Domäne SYSVOL noch per FRS, kann ein neuer DC Richtlinien- und Skriptdateien nicht korrekt replizieren.

dfsrmig /getglobalstate

Die Antwort sollte den Status „Eliminated“ melden. Meldet sie „Start“ oder „Prepared“, schließen Sie die Migration von FRS zu DFSR vollständig ab, bevor Sie fortfahren. Warum das so wichtig ist: Gruppenrichtlinienobjekte liegen in SYSVOL. Eine fehlerhafte SYSVOL-Replikation erzeugt daher einen DC, der Benutzer zwar authentifiziert, Richtlinien aber stillschweigend nicht anwendet – ein Fehler, der oft erst Wochen später auffällt.

Integritätsprüfung durchführen

dcdiag /v
repadmin /replsummary
repadmin /showrepl

Beheben Sie alle Fehler und Warnungen, bevor Sie heraufstufen. Wer auf einem bestehenden Replikationsfehler migriert, überträgt diesen Fehler auf den neuen DC.

Backup erstellen

wbadmin start systemstatebackup -backupTarget:E: -quiet

Eine Systemstatussicherung erfasst Active Directory, SYSVOL und die Registrierung. Bewahren Sie sie auf, bis die Migration vollständig überprüft und der alte DC sauber herabgestuft wurde.

Wie stufen Sie den neuen Server zum Domänencontroller herauf?

Installieren Sie Windows Server 2025, vergeben Sie eine statische IP-Adresse, richten Sie den bevorzugten DNS-Server auf Ihren bestehenden Domänencontroller aus, nehmen Sie den Server als Mitgliedsserver in die Domäne auf, fügen Sie dann die Rolle Active Directory-Domänendienste hinzu und führen Sie den Assistenten zum Heraufstufen aus – mit der Option, einer vorhandenen Domäne einen DC hinzuzufügen.

1. Betriebssystem installieren und patchen. Spielen Sie alle verfügbaren Updates ein, bevor Sie Rollen hinzufügen.
2. Statische IP vergeben. Domänencontroller sollten ihre eigene Adresse niemals per DHCP beziehen.
3. Bevorzugten DNS-Server auf den bestehenden DC setzen. Der neue Server muss die Domäne auflösen können, um sie zu finden. Diese Einstellung ändern Sie nach dem Heraufstufen.
4. Der Domäne beitreten – als gewöhnlicher Mitgliedsserver – und neu starten.
5. Rolle AD DS hinzufügen: Server-Manager → Verwalten → Rollen und Features hinzufügen → Active Directory-Domänendienste. Fügen Sie auch die Rolle DNS-Server hinzu, wenn Ihre bestehenden DCs DNS bereitstellen.
6. Heraufstufen: Klicken Sie im Server-Manager auf das Benachrichtigungsfähnchen → „Server zu einem Domänencontroller heraufstufen“.
7. Wählen Sie Domänencontroller zu einer vorhandenen Domäne hinzufügen und geben Sie Anmeldeinformationen mit Domänen-Admin-Rechten an (beim ersten 2025-DC in der Gesamtstruktur zusätzlich Schema- und Organisations-Admins).
8. Aktivieren Sie Globaler Katalog (GC) und DNS-Server, legen Sie ein DSRM-Kennwort fest und wählen Sie die Replikation von einem beliebigen verfügbaren DC.
9. Prüfen Sie die Voraussetzungsprüfung und klicken Sie auf Installieren. Der Server startet automatisch neu.

Derselbe Ablauf gilt, egal ob Sie von Windows Server 2016, 2019 oder 2022 kommen. Nur die Voraussetzungen bei der Funktionsebene unterscheiden sich.

Replikation prüfen, bevor Sie weitermachen

Geben Sie der Replikation Zeit, vollständig abzuschließen, und prüfen Sie dann, ob der neue DC fehlerfrei läuft und eine Kopie des Verzeichnisses enthält:

dcdiag /v
repadmin /showrepl
Get-ADDomainController -Filter * | Select-Object Name, Site, IsGlobalCatalog

Übertragen Sie die FSMO-Rollen erst, wenn die Replikation fehlerfrei gemeldet wird. Rollen auf einen DC zu übertragen, der die Replikation noch nicht abgeschlossen hat, ist eine der wenigen Möglichkeiten, ein Verzeichnis bei der Migration tatsächlich zu beschädigen.

Wie übertragen Sie die FSMO-Rollen auf den neuen Domänencontroller?

Führen Sie auf dem neuen DC Move-ADDirectoryServerOperationMasterRole mit allen fünf Rollennummern in einem einzigen Befehl aus. Jede der fünf FSMO-Rollen (Flexible Single Master Operations) – Schemamaster, Domänennamenmaster, RID-Master, PDC-Emulator und Infrastrukturmaster – kann immer nur von einem DC gehalten werden.

Aktuelle Rolleninhaber ermitteln

netdom query fsmo

Oder mit PowerShell:

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

Alle fünf Rollen mit einem Befehl übertragen

Öffnen Sie PowerShell als Administrator auf dem neuen Domänencontroller und führen Sie aus:

Move-ADDirectoryServerOperationMasterRole -Identity "NewDCName" -OperationMasterRole 0,1,2,3,4

Ersetzen Sie NewDCName durch den Hostnamen Ihres neuen Servers. Die Nummern bedeuten: 0 = PDC-Emulator, 1 = RID-Master, 2 = Infrastrukturmaster, 3 = Schemamaster, 4 = Domänennamenmaster. Bestätigen Sie jede Abfrage oder hängen Sie -Confirm:$false an, um alle auf einmal zu akzeptieren.

Übertragung prüfen

netdom query fsmo
Get-ADDomainController -Filter * | Select-Object Name, OperationMasterRoles

Alle fünf Rollen sollten jetzt den neuen Server nennen.

Die GUI-Alternative

Wenn Sie die Konsolen bevorzugen: Die Rollen befinden sich an drei verschiedenen Stellen – genau deshalb ist PowerShell schneller:

• RID, PDC, Infrastruktur: Active Directory-Benutzer und -Computer → Rechtsklick auf die Domäne → Betriebsmaster
• Domänennamenmaster: Active Directory-Domänen und -Vertrauensstellungen → Rechtsklick auf den Stamm → Betriebsmaster
• Schemamaster: Registrieren Sie zunächst das Snap-in mit regsvr32 schmmgmt.dll, öffnen Sie dann Active Directory-Schema → Rechtsklick → Betriebsmaster

In der GUI müssen Sie am Ziel-DC angemeldet sein – die Konsole überträgt die Rolle auf den Server, mit dem Sie verbunden sind, nicht auf einen, den Sie aus einer Liste auswählen.

Übertragen oder übernehmen – ein wichtiger Unterschied

Eine Übertragung ist eine geordnete Übergabe zwischen zwei Online-DCs und genau das, was Sie bei einer geplanten Migration wollen. Eine Übernahme (Seizing) weist eine Rolle zwangsweise zu, wenn der aktuelle Inhaber dauerhaft offline und nicht wiederherstellbar ist. Nach einer Übernahme darf der alte Inhaber nie wieder ins Netzwerk zurückkehren, da zwei DCs, die dieselbe Rolle beanspruchen, Inkonsistenzen im Verzeichnis verursachen. Übernehmen Sie Rollen nur bei einem echten Ausfall.

Was muss nach dem Verschieben der Rollen angepasst werden?

Richten Sie DNS auf dem neuen DC auf sich selbst aus, ändern Sie die per DHCP verteilten DNS-Server und prüfen Sie alle Geräte und Anwendungen mit fest eingetragener DC-Adresse. Clients authentifizieren sich weiterhin bei dem DC, den ihnen DNS nennt – daher schließt DNS, nicht Active Directory, die Umstellung tatsächlich ab.

1. Auf dem neuen DC: Setzen Sie den bevorzugten DNS-Server auf die eigene IP-Adresse und – falls vorhanden – einen sekundären auf einen anderen DC.
2. In DHCP: Aktualisieren Sie die Bereichsoption 006 (DNS-Server) so, dass sie den neuen DC enthält. Mit dieser Änderung wechselt der Großteil Ihrer Clients.
3. Prüfen Sie DNS-Weiterleitungen und bedingte Weiterleitungen, die vom alten Server übernommen wurden.
4. Statische Verweise prüfen: Firewalls, NAS-Geräte, Drucker, Hypervisoren, VPN-Appliances und Fachanwendungsserver haben oft eine fest eingetragene DC-IP, die keine DHCP-Änderung korrigiert.
5. Hat der alte DC DHCP bereitgestellt, migrieren Sie die Bereiche vor dem Herabstufen auf den neuen Server.

Testen Sie von einem Client aus: Führen Sie gpupdate /force aus, ändern Sie das Kennwort eines Testbenutzers und prüfen Sie, ob die Namensauflösung funktioniert. Führen Sie dann nltest /dsgetdc:yourdomain.local aus, um festzustellen, welchen DC der Client verwendet.

Wie stufen Sie den alten Domänencontroller sicher herab?

Stufen Sie den alten Server über den Server-Manager herab, indem Sie die Rolle Active Directory-Domänendienste entfernen – dadurch startet der Assistent zum Herabstufen. Schalten Sie den alten DC niemals einfach aus und löschen Sie nicht nur sein Computerobjekt – dadurch bleiben verwaiste Metadaten im Verzeichnis zurück, die anschließend manuell bereinigt werden müssen.

1. Stellen Sie sicher, dass der alte DC keine FSMO-Rolle mehr hält (netdom query fsmo).
2. Lassen Sie den neuen DC zunächst einige Tage laufen, damit übersehene Abhängigkeiten auffallen, solange der alte Server noch als Rückfallebene verfügbar ist.
3. Auf dem alten DC: Server-Manager → Verwalten → Rollen und Features entfernen → Active Directory-Domänendienste abwählen.
4. Der Assistent zum Herabstufen startet. Aktivieren Sie nicht „Entfernen dieses Domänencontrollers erzwingen“, es sei denn, der Server kann die Domäne tatsächlich nicht erreichen.
5. Legen Sie ein Kennwort für den lokalen Administrator fest und schließen Sie den Assistenten ab. Der Server startet als Mitgliedsserver neu.
6. Nach dem Herabstufen entfernen Sie ihn aus der Domäne oder nehmen ihn vollständig außer Betrieb.

Überreste bereinigen

Prüfen Sie nach dem Herabstufen, ob der alte Server aus Active Directory-Standorte und -Dienste verschwunden ist (Standort erweitern → Server), und entfernen Sie veraltete DNS-Einträge – Host- (A), Namenserver- (NS) und Dienst-Einträge (SRV) unter _msdcs. Veraltete NS-Einträge sind eine häufige Ursache für sporadisch langsame Anmeldungen nach einer ansonsten sauberen Migration, da Clients regelmäßig versuchen, einen DC zu erreichen, der nicht mehr existiert.

Wann sollten Sie die Funktionsebene heraufstufen?

Stufen Sie die Funktionsebene von Domäne und Gesamtstruktur erst herauf, wenn alle Domänencontroller der Umgebung Windows Server 2025 ausführen und die alten DCs herabgestuft wurden. Die Funktionsebene Windows Server 2025 schaltet Funktionen wie die größere Datenbankseitengröße von 32K frei, die Änderung lässt sich jedoch nicht rückgängig machen.

Set-ADDomainMode -Identity "yourdomain.local" -DomainMode WinThreshold
Set-ADForestMode -Identity "yourdomain.local" -ForestMode WinThreshold

Stellen Sie vor der Ausführung sicher, dass keine älteren DCs mehr vorhanden sind, und erstellen Sie zuerst eine neue Systemstatussicherung. Wenn Sie künftig noch einen älteren DC hinzufügen möchten – etwa einen 2019-Server an einem Zweigstandort –, warten Sie mit dem Heraufstufen, denn danach lässt sich dieser Server nicht mehr heraufstufen.

Häufige Migrationsprobleme und ihre Lösung

Häufig gestellte Fragen

Lässt sich ein Domänencontroller ohne Ausfallzeit migrieren?

Ja. Da der neue DC Active Directory vom bestehenden repliziert, während beide online sind, authentifiziert die Domäne Benutzer die ganze Zeit weiter. Die einzige kurze Unterbrechung ist der Neustart der einzelnen Server, den andere DCs abfangen. In Umgebungen mit nur einem DC sollten Sie für das Herabstufen ein Wartungsfenster einplanen.

Muss adprep noch manuell ausgeführt werden?

Nein. Beim Heraufstufen des ersten Windows Server 2025 Domänencontrollers über den Server-Manager werden Gesamtstruktur- und Domänenschema automatisch vorbereitet, sofern das ausführende Konto Mitglied der Gruppen Schema-Admins, Organisations-Admins und Domänen-Admins ist. Das manuelle adprep steht weiterhin für Administratoren zur Verfügung, die die Schemavorbereitung als separaten, kontrollierten Schritt durchführen möchten.

Wie lange dauert die Migration eines Domänencontrollers?

In einer Umgebung mit einer Domäne und ein oder zwei DCs dauert die technische Arbeit in der Regel zwei bis vier Stunden – die meiste Zeit davon wartet man auf Replikation und Neustarts. Realistisch ist ein längerer Zeitraum: Planen Sie zwischen dem Heraufstufen des neuen und dem Herabstufen des alten DC einige Tage ein, damit übersehene Abhängigkeiten auffallen, solange ein Rollback noch einfach ist.

Können verschiedene Windows Server-Versionen gleichzeitig als Domänencontroller laufen?

Ja – und genau das macht die Migration sicher. Ein Windows Server 2025 DC kann neben DCs mit 2016, 2019 und 2022 betrieben werden, sofern die Funktionsebene sie unterstützt. Gemischte Versionen sind jedoch als Übergangszustand gedacht und nicht als Dauerlösung, da die Domäne auf die Möglichkeiten der ältesten Funktionsebene beschränkt bleibt.

Was passiert, wenn der alte Domänencontroller ausfällt, bevor Sie die FSMO-Rollen übertragen?

Dann müssen Sie die Rollen auf dem neuen DC übernehmen statt übertragen – mit Move-ADDirectoryServerOperationMasterRole und dem Parameter -Force. Der ausgefallene Server darf danach nie wieder ins Netzwerk zurückkehren, und seine Metadaten müssen mit ntdsutil bereinigt werden. Deshalb ist eine geprüfte Systemstatussicherung vor dem Start nicht optional.

Welche Windows Server-Edition benötigen Sie für einen Domänencontroller?

Die Standard-Edition reicht in den meisten Umgebungen für die Active Directory-Domänendienste aus. Die Datacenter-Edition lohnt sich nur, wenn Sie unbegrenzte Lizenzierung virtueller Maschinen auf demselben Host benötigen. Beide Editionen bieten identische AD DS-Funktionen.

Den neuen Server lizenzieren

Jeder Domänencontroller benötigt eine eigene Windows Server Lizenz sowie Clientzugriffslizenzen (CALs) für die Benutzer oder Geräte, die darauf zugreifen. LicenceHouse liefert originale Keys mit sofortiger Zustellung per E-Mail:

• Windows Server 2025 Standard – die übliche Wahl für einen neuen Domänencontroller
• Windows Server 2025 Datacenter – für unbegrenzte Virtualisierungsrechte
• Windows Server 2022 Standard – wenn Sie stattdessen auf 2022 standardisieren
• Windows Server CALs – Clientzugriffslizenzen pro Benutzer und Gerät
• Alle Windows Server Lizenzen ansehen

Weitere Anleitungen: Windows 11 Pro herunterladen und aktivieren – Anleitung | Alle Anleitungen zu Download und Aktivierung