Active Directory: Domäne einrichten und erste Benutzer/OUs anlegen

Active Directory Domain Services (AD DS) ist das Fundament jeder Windows-basierten Unternehmensumgebung. Die Anleitung baut auf Windows Server 2022 oder 2025 eine neue Gesamtstruktur auf: Server vorbereiten, AD-DS-Rolle installieren, zum ersten Domänencontroller heraufstufen, Organisationseinheiten (OUs) und erste Benutzerkonten anlegen. Wo sinnvoll, zeigt sie den GUI-Weg über Server Manager und ADUC und den PowerShell-Weg. Sie ist die Grundlage für den weiterführenden GPO-Artikel.

Voraussetzungen

1. Windows Server 2022 oder 2025 (frische Installation empfohlen), vollständig gepatcht
2. Lokales Administratorkonto für die Installation
3. Statische IPv4-Adresse bereits vergeben (kein DHCP für einen Domänencontroller)
4. Eindeutiger, aussagekräftiger Servername (z. B. DC-01) bereits gesetzt
5. Geplanter Domänenname: registrierte Public-Domain empfohlen, z. B. corp.firma.com (kein .local oder .lan)
6. DSRM-Passwort sicher vorbereitet (komplex, wird bei der Installation abgefragt)
7. x64-Prozessor mit mindestens 2 Kernen, mindestens 4 GB RAM, 40 GB freier Speicher (produktiv mehr); physisch oder als VM

Schritt 1: Server vorbereiten – IP, Hostname und Zeit

AD-Replikation und Kerberos-Authentifizierung reagieren empfindlich auf falsche DNS- oder Zeitkonfiguration; bereiten Sie den Server deshalb vor der Rolleninstallation vor.

Statische IP und DNS via GUI setzen

Unter Netzwerk- und Freigabecenter → Adaptereinstellungen → IPv4-Eigenschaften tragen Sie IP, Subnetzmaske und Gateway ein, als bevorzugten DNS-Server zunächst 127.0.0.1; nach der Installation löst der DC über seinen eigenen DNS auf.

Statische IP via PowerShell setzen

# Netzwerkadapter-Index ermitteln
Get-NetAdapter

# Statische IP setzen (Index, IP, Präfixlänge, Gateway anpassen)
New-NetIPAddress -InterfaceIndex 4 -IPAddress 192.168.1.10 -PrefixLength 24 -DefaultGateway 192.168.1.1

# DNS-Server auf sich selbst zeigen lassen
Set-DnsClientServerAddress -InterfaceIndex 4 -ServerAddresses 127.0.0.1

Servername setzen

# Servername ändern und direkt neu starten
Rename-Computer -NewName 'DC-01' -Restart

Prüfen Sie nach dem Neustart Hostname und IP mit ipconfig /all sowie Datum, Uhrzeit und Zeitzone (Systemsteuerung → Datum/Uhrzeit oder Set-TimeZone -Id 'W. Europe Standard Time').

Verifizieren: ipconfig /all zeigt den neuen Hostnamen (z. B. DC-01), die statische IPv4-Adresse, „DHCP aktiviert: Nein“ und als DNS-Server 127.0.0.1. Get-TimeZone meldet W. Europe Standard Time.

Schritt 2: AD-DS-Rolle installieren

Die Rolle bringt alle Binaries, Module und Verwaltungstools mit; ein Neustart ist danach noch nicht nötig.

Via Server Manager (GUI)

1. Server Manager öffnen → Rollen und Features hinzufügen
2. Installationstyp: Rollenbasierte oder featurebasierte Installation
3. Zielserver: den lokalen Server auswählen
4. Serverrollen: Active Directory Domain Services anhaken → Abhängigkeiten mit Features hinzufügen bestätigen
5. Features: Standard belassen (RSAT-Tools werden automatisch eingeschlossen)
6. Auf Installieren klicken, nach Abschluss nicht neu starten

Via PowerShell

Install-WindowsFeature -name AD-Domain-Services -IncludeManagementTools

-IncludeManagementTools installiert auch RSAT for AD DS (inkl. dsa.msc, ADAC, PowerShell-Modul ActiveDirectory). Danach zeigt der Server Manager ein gelbes Warnsymbol mit der Aufforderung, den Server zum Domänencontroller heraufzustufen.

Verifizieren: Get-WindowsFeature AD-Domain-Services, RSAT-AD-PowerShell zeigt bei beiden Einträgen den Install State Installed.

Schritt 3: Erste Domäne und Gesamtstruktur erstellen

Jetzt wird der Server zum ersten Domänencontroller in einer neuen Gesamtstruktur (Forest) heraufgestuft. DNS wird dabei automatisch integriert.

Domänennamen-Konventionen

Verwenden Sie eine Subdomain einer registrierten öffentlichen Domain, z. B. corp.firma.com, nicht .local, .lan oder .corp (Begründung in den FAQ). Der NetBIOS-Name entsteht automatisch aus dem ersten Label (max. 15 Zeichen), z. B. CORP.

Via Server Manager (GUI)

1. Im Server Manager auf das gelbe Warnsymbol klicken → Server zu einem Domänencontroller heraufstufen
2. Bereitstellungskonfiguration: Neue Gesamtstruktur hinzufügen
3. Stammdomänenname eingeben, z. B. corp.firma.com
4. Optionen für Domänencontroller: Funktionsebene wählen (empfohlen: Windows Server 2016 oder höher), DNS-Server anhaken, DSRM-Passwort vergeben und sicher notieren
5. DNS-Delegierung: Warnung ignorieren, wenn kein übergeordneter DNS vorhanden
6. NetBIOS-Name prüfen (wird automatisch vorgeschlagen)
7. Pfade für NTDS-Datenbank, Protokolle und SYSVOL: Standardpfade unter %SYSTEMROOT%\NTDS und %SYSTEMROOT%\SYSVOL belassen oder auf separate Laufwerke umleiten
8. Voraussetzungsüberprüfung: Warnungen lesen, auf Installieren klicken → Server startet automatisch neu

Via PowerShell – einfache Variante

# DSRM-Passwort sicher abfragen (nie im Klartext im Skript speichern)
$DSRMPassword = Read-Host -AsSecureString 'DSRM-Passwort eingeben'

# Neue Gesamtstruktur erstellen, DNS wird automatisch installiert
Install-ADDSForest `
    -DomainName 'corp.firma.com' `
    -SafeModeAdministratorPassword $DSRMPassword `
    -InstallDNS `
    -Force

Via PowerShell – erweiterte Variante mit benutzerdefinierten Pfaden und Funktionsebenen

$DSRMPassword = Read-Host -AsSecureString 'DSRM-Passwort eingeben'

Install-ADDSForest `
    -DomainName 'corp.firma.com' `
    -SafeModeAdministratorPassword $DSRMPassword `
    -InstallDNS `
    -DomainMode 'WinThreshold' `
    -ForestMode 'WinThreshold' `
    -DatabasePath 'D:\NTDS' `
    -SysvolPath 'D:\SYSVOL' `
    -LogPath 'E:\Logs' `
    -Force

Hinweis zu Funktionsebenen: Die Domänenebene (DomainMode) darf nicht niedriger als die Gesamtstrukturebene (ForestMode) sein, höher darf sie sein. WinThreshold entspricht Windows Server 2016. Die neue Ebene von Windows Server 2025 (Details in den FAQ) entspricht bei der unbeaufsichtigten Installation dem Wert 10.

Der Server startet danach automatisch neu. Melden Sie sich mit CORP\Administrator an (dem lokalen Admin-Konto, das zum Domänenkonto geworden ist).

Prerequisite-Check vorab durchführen

# Voraussetzungen prüfen ohne zu installieren
Test-ADDSForestInstallation -DomainName 'corp.firma.com'

Verifizieren: Nach dem Neustart zeigt Get-ADDomain | Select-Object DNSRoot, NetBIOSName, DomainMode Ihren Domänennamen und den NetBIOS-Namen (z. B. CORP). Resolve-DnsName _ldap._tcp.dc._msdcs.corp.firma.com -Type SRV liefert einen Eintrag, der auf DC-01 zeigt.

Schritt 4: Organisationseinheiten (OUs) anlegen

Eine durchdachte OU-Struktur ist die Grundlage für Gruppenrichtlinien. Strukturieren Sie nach Abteilung, Region oder Rolle, passend zum Unternehmensaufbau.

Empfohlene OU-Hierarchie (Beispiel)

corp.firma.com
├── Firma                    (Top-Level-OU)
│   ├── Users                (Benutzerkonten)
│   ├── Computers            (Workstations)
│   ├── Servers              (Server-Objekte)
│   ├── Groups               (Sicherheits- und Verteilergruppen)
│   └── ServiceAccounts      (Dienstkonten)
└── (Built-in OUs bleiben unberührt)

OUs via ADUC anlegen (GUI)

1. dsa.msc öffnen (Suche oder Server Manager → Tools → Active Directory-Benutzer und -Computer)
2. Auf den Domänennamen rechtsklicken → Neu → Organisationseinheit
3. Name eingeben, z. B. Firma
4. Haken bei Objekt vor versehentlichem Löschen schützen belassen
5. Vorgang für Unterordner (Users, Computers etc.) wiederholen

OUs via PowerShell anlegen

# Top-Level-OU 'Firma'
New-ADOrganizationalUnit -Name 'Firma' -Path 'DC=corp,DC=firma,DC=com'

# Unter-OUs innerhalb von 'Firma'
New-ADOrganizationalUnit -Name 'Users'           -Path 'OU=Firma,DC=corp,DC=firma,DC=com'
New-ADOrganizationalUnit -Name 'Computers'       -Path 'OU=Firma,DC=corp,DC=firma,DC=com'
New-ADOrganizationalUnit -Name 'Servers'         -Path 'OU=Firma,DC=corp,DC=firma,DC=com'
New-ADOrganizationalUnit -Name 'Groups'          -Path 'OU=Firma,DC=corp,DC=firma,DC=com'
New-ADOrganizationalUnit -Name 'ServiceAccounts' -Path 'OU=Firma,DC=corp,DC=firma,DC=com'

New-ADOrganizationalUnit setzt ProtectedFromAccidentalDeletion standardmäßig auf $true; lassen Sie das aktiviert und heben Sie den Schutz nur zum Umbenennen oder Verschieben kurz auf.

OU-Eigenschaften prüfen

Get-ADOrganizationalUnit -Identity 'OU=Users,OU=Firma,DC=corp,DC=firma,DC=com' `
    | Select-Object Name, ProtectedFromAccidentalDeletion

Verifizieren: Get-ADOrganizationalUnit -Filter * -SearchBase 'OU=Firma,DC=corp,DC=firma,DC=com' | Select-Object Name listet Firma und die fünf Unter-OUs, und bei der geprüften OU steht ProtectedFromAccidentalDeletion auf True.

Schritt 5: Benutzer anlegen

Benutzerkonten legen Sie in der OU Users an, nicht im Standard-Container CN=Users. So greifen später GPOs zuverlässig.

Benutzer via ADUC anlegen (GUI)

1. In dsa.msc zur OU Firma\Users navigieren
2. Rechtsklick → Neu → Benutzer
3. Vorname, Nachname und Anmeldename (SamAccountName, z. B. mmusters) eingeben
4. Passwort vergeben, Benutzer muss Kennwort bei nächster Anmeldung ändern empfohlen
5. Konto ist nach dem Anlegen aktiv

Benutzer via PowerShell anlegen

# Passwort als SecureString (nie im Klartext im Skript – nur für Demo)
$SecurePassword = ConvertTo-SecureString 'P@ssw0rd!' -AsPlainText -Force

# Benutzer anlegen und direkt aktivieren
New-ADUser `
    -Name 'Max Mustermann' `
    -GivenName 'Max' `
    -Surname 'Mustermann' `
    -SamAccountName 'mmusters' `
    -UserPrincipalName 'mmusters@corp.firma.com' `
    -Path 'OU=Users,OU=Firma,DC=corp,DC=firma,DC=com' `
    -AccountPassword $SecurePassword `
    -Enabled $true `
    -ChangePasswordAtLogon $true

Wichtig: Ohne -AccountPassword und -Enabled $true wird der Benutzer deaktiviert angelegt. -SamAccountName ist Pflicht, sonst schlägt der Befehl fehl.

Mehrere Benutzer per Schleife anlegen

$Users = @(
    @{ Name='Anna Schmidt';    Sam='aschmidt'; UPN='aschmidt@corp.firma.com' },
    @{ Name='Tom Berger';      Sam='tberger';  UPN='tberger@corp.firma.com'  }
)

$DefaultPW = Read-Host -AsSecureString 'Standard-Passwort fuer neue Benutzer'

foreach ($u in $Users) {
    New-ADUser `
        -Name $u.Name `
        -SamAccountName $u.Sam `
        -UserPrincipalName $u.UPN `
        -Path 'OU=Users,OU=Firma,DC=corp,DC=firma,DC=com' `
        -AccountPassword $DefaultPW `
        -Enabled $true `
        -ChangePasswordAtLogon $true
    Write-Host "Angelegt: $($u.Name)"
}

Verifizieren: Get-ADUser -Filter * -SearchBase 'OU=Users,OU=Firma,DC=corp,DC=firma,DC=com' | Select-Object SamAccountName, Enabled zeigt die neuen Konten mit Enabled True. Eine Testanmeldung an einem Domänenrechner verlangt sofort ein neues Kennwort.

Schritt 6: Gruppen anlegen und Benutzer zuweisen

Gruppen legen Sie in Firma\Groups an. Für den Alltag empfiehlt sich das AGDLP-Prinzip (Account → Global Group → Domain Local Group → Permission); für den Start reicht eine globale Sicherheitsgruppe.

# Globale Sicherheitsgruppe anlegen
New-ADGroup `
    -Name 'GRP-IT-Admins' `
    -SamAccountName 'GRP-IT-Admins' `
    -GroupCategory Security `
    -GroupScope Global `
    -Path 'OU=Groups,OU=Firma,DC=corp,DC=firma,DC=com' `
    -Description 'IT-Administratoren'

# Benutzer zur Gruppe hinzufügen
Add-ADGroupMember -Identity 'GRP-IT-Admins' -Members 'mmusters'

Verifizieren: Get-ADGroupMember -Identity 'GRP-IT-Admins' | Select-Object SamAccountName listet mmusters.

Best Practices für Konten und Gruppen

1. Kein Arbeiten mit dem Domain-Admin-Konto im Alltag. Legen Sie für administrative Aufgaben ein separates Admin-Konto an (z. B. adm-mmusters) und nutzen Sie Run as administrator oder Enter-PSSession
2. Einheitliche Naming-Konventionen: VORNAME.NACHNAME oder INITIALEN+NACHNAME für Benutzer, GRP-ABTEILUNG-ZWECK für Gruppen
3. ServiceAccounts niemals als reguläre Benutzer anlegen – dafür Managed Service Accounts (MSA) oder Group MSA (gMSA) verwenden
4. Das DSRM-Passwort sicher in einem Passwort-Manager speichern – es wird nie automatisch aktualisiert

Troubleshooting

1. Problem: Install-ADDSForest schlägt mit DNS-Fehler fehl. Stellen Sie sicher, dass die statische IP gesetzt ist und der bevorzugte DNS-Server auf 127.0.0.1 zeigt. Führen Sie Test-ADDSForestInstallation -DomainName 'corp.firma.com' vorab aus.
2. Problem: New-ADUser meldet Fehler wegen fehlendem SamAccountName. -SamAccountName ist Pflichtparameter – immer angeben.
3. Problem: Benutzer kann sich nach dem Anlegen nicht anmelden. Konto ohne -Enabled $true und -AccountPassword angelegt. Aktivieren mit Enable-ADAccount -Identity 'mmusters', Passwort setzen mit Set-ADAccountPassword.
4. Problem: OU kann nicht gelöscht oder verschoben werden. ProtectedFromAccidentalDeletion ist aktiv. Kurzzeitig deaktivieren: Set-ADOrganizationalUnit -Identity 'OU=...' -ProtectedFromAccidentalDeletion $false, danach wieder aktivieren.
5. Problem: Server startet nach Install-ADDSForest nicht automatisch neu. Führen Sie Restart-Computer manuell aus – ohne Neustart ist der DC nicht funktionsfähig.
6. Problem: ForestMode/DomainMode-Fehler bei der Installation. Der DomainMode-Wert muss mindestens so hoch wie ForestMode sein. Prüfen Sie die Kombination und heben Sie DomainMode an oder senken Sie ForestMode.
7. Problem: NetBIOS-Name-Fehler. Der NetBIOS-Name darf maximal 15 Zeichen haben. Falls der automatisch generierte Name zu lang ist, geben Sie ihn explizit mit -DomainNetbiosName 'CORP' an.

Häufige Fragen

Warum soll ich keine .local-Domäne verwenden?

.local ist für Multicast-DNS reserviert (RFC 6762) und kollidiert mit Bonjour/Avahi. Endungen wie .lan oder .corp gehören Ihnen nicht, öffentliche Zertifizierungsstellen stellen dafür keine Zertifikate aus, und interne und externe Namen lassen sich schlecht trennen. Nutzen Sie eine Subdomain Ihrer registrierten Domain, z. B. corp.firma.com.

Was ist das DSRM-Passwort und warum ist es so wichtig?

Das Directory Services Restore Mode (DSRM)-Passwort ist ein lokales Administrator-Passwort für die Anmeldung am DC, wenn Active Directory nicht läuft, z. B. zur Wiederherstellung. Es wird einmalig gesetzt, nie automatisch aktualisiert und gehört sicher verwahrt (z. B. Passwort-Manager). Wer es kennt, kann den DC übernehmen.

Welche Funktionsebene soll ich wählen?

Für neue Umgebungen mindestens Windows Server 2016 (WinThreshold); ältere Ebenen sperren neuere Funktionen. Windows Server 2025 führt erstmals seit 2016 eine neue Ebene ein, u. a. nötig für 32-KB-Datenbankseiten, und setzt voraus, dass alle Domänencontroller unter Windows Server 2025 laufen. Niedrigere Ebenen nur bei älteren Domänencontrollern in der Umgebung.

Muss ich die Standard-Container (CN=Users, CN=Computers) nutzen?

Nein. Die Standard-Container sind keine OUs und unterstützen keine GPO-Verknüpfungen. Legen Sie eigene OUs an und verschieben Sie neue Objekte dorthin, oder legen Sie mit redircmp und redirusr die Standardziele für neue Computer- und Benutzerobjekte auf Ihre OUs fest.

Kann ich die AD-DS-Rolle auch auf einem Server Core installieren?

Ja, Microsoft empfiehlt Server Core (ohne GUI) für Domänencontroller wegen der kleineren Angriffsfläche. Die PowerShell-Befehle funktionieren identisch; GUI-Tools (dsa.msc, Server Manager) nutzen Sie von einem anderen Windows-Server oder einer Windows-10/11-Workstation mit RSAT.

Was ist der nächste sinnvolle Schritt nach dem Aufsetzen der Domäne?

Mit laufender Domäne und ersten OUs können Sie Gruppenrichtlinien (GPOs) einsetzen, um Sicherheitseinstellungen, Software-Deployment und Desktop-Richtlinien zentral zu konfigurieren. Details zeigt die weiterführende Anleitung zu Gruppenrichtlinien.

Fazit

Die Umgebung steht: Domänencontroller mit integriertem DNS, OU-Struktur und erste Benutzerkonten. Im Betrieb gilt: Domain-Admin-Konto nie für Alltagsaufgaben, DSRM-Passwort sicher verwahren, OUs mit ProtectedFromAccidentalDeletion schützen. Nächster Schritt sind Gruppenrichtlinien.

Weiterführende Anleitungen und Quellen

1. Gruppenrichtlinien (GPO): Grundlagen und Praxis – der nächste Schritt nach dieser Anleitung
2. Alle Windows-Server-Anleitungen von Schönfelder EDV

Offizielle Microsoft-Dokumentation: Install Active Directory Domain Services (Microsoft Learn) · Install-ADDSForest PowerShell-Referenz · AD-Funktionsebenen