Für einen Windows Server 2025 als Domänencontroller muss die Domäne SYSVOL per DFS Replication (DFSR) replizieren. Windows Server 2016 ist laut Microsoft die letzte Version mit File Replication Service (FRS); schon ab Windows Server 1709, also auch bei 2019, 2022 und 2025, bricht die Heraufstufung in einer FRS-Domäne mit dem Hinweis ab, dass zuerst mit DFSRMIG migriert werden muss. Diese Anleitung zeigt die vollständige Abfolge mit dfsrmig.exe von State 0 bis State 3 (Eliminated), inklusive Verifikation, Troubleshooting und häufigsten Fallstricken.

Voraussetzungen

Domänenfunktionsebene (DFL) mindestens Windows Server 2008, damit dfsrmig läuft. Für einen späteren Server-2025-DC muss die DFL mindestens Windows Server 2016 sein, alle DCs also Windows Server 2016 oder neuer.
Dienst „DFS Replication“ (DFSR) läuft auf allen DCs
Mitgliedschaft in „Domain Admins“ oder „Enterprise Admins“ für den ausführenden Account
Benutzerrecht „Manage Auditing and Security Log“ (SeSecurityPrivilege) der Gruppe „Administrators“ auf allen DCs zugewiesen
Vollständig gesunde AD-Replikation: repadmin /replsum und dcdiag ohne kritische Fehler
SYSVOL wird auf allen DCs geteilt, Registry-Wert SysvolReady = 1 gesetzt
Zugang zum PDC-Emulator (alle setglobalstate/getglobalstate-Befehle laufen dort)
Ausreichend freier Festplattenplatz auf allen DCs für temporäres Doppelhalten von SYSVOL und SYSVOL_DFSR in den Phasen 1 und 2
System-State-Backup aller DCs vor Beginn von State 3
Hardware: keine zusätzlichen Anforderungen, die Migration läuft auf den vorhandenen DCs

Schritt 1: Aktuellen Migrationsstatus und AD-Gesundheit prüfen

Stellen Sie vorab sicher, dass die Domäne noch FRS nutzt und die AD-Replikation fehlerfrei läuft. Alle Befehle führen Sie auf dem PDC-Emulator aus; andere DCs können wegen Replikationslatenz veraltete Zustände anzeigen.

# Aktuellen globalen Migrationsstatus abfragen
dfsrmig /getglobalstate

# Erwartete Ausgabe bei FRS-Betrieb:
# Current DFSR global state: Start
# Successful.

Zeigt die Ausgabe „Start“, nutzt die Domäne noch FRS. „Eliminated“ bedeutet, DFSR ist bereits aktiv; dann ist keine Migration mehr nötig. Den PDC-Emulator ermitteln Sie mit netdom query fsmo. Prüfen Sie anschließend die AD-Replikation:

repadmin /replsum
dcdiag /e /test:Replications
dcdiag /e /test:Advertising
dcdiag /e /test:KnowsOfRoleHolders

Alle Tests müssen fehlerfrei bestehen; Replikationsprobleme beheben Sie vor dem ersten setglobalstate. Ein DC, der den neuen globalen Status nie erhält, bleibt dauerhaft in einem Zwischenzustand. Grundlagen: Active Directory: Domäne einrichten.

Verifizieren: dfsrmig /getglobalstate meldet Start (oder dass noch kein globaler Zustand gesetzt ist), repadmin /replsum zeigt in der Spalte fails überall 0, und alle drei dcdiag-Tests enden mit passed test.

Schritt 2: Zu State 1 (Prepared) migrieren

In State 1 repliziert FRS SYSVOL weiter. Parallel baut DFSR auf jedem DC %SystemRoot%\SYSVOL_DFSR\sysvol auf und synchronisiert initial. Clients und Gruppenrichtlinien merken nichts.

# State 1 (Prepared) setzen – nur auf dem PDC-Emulator ausführen!
dfsrmig /setglobalstate 1

# AD-Replikation beschleunigen (optional, empfohlen)
repadmin /syncall /APed
dfsrdiag pollad

# Konvergenz aller DCs abwarten, dann prüfen:
dfsrmig /getglobalstate
dfsrmig /getmigrationstate

Warten Sie, bis dfsrmig /getmigrationstate folgende Meldung für alle DCs ausgibt:

All Domain Controllers have migrated successfully to Global state (Prepared).
Migration has reached a consistent state on all Domain Controllers.
Succeeded.

Wichtig: Erst zum nächsten State übergehen, wenn dieser Text erscheint. Solange DCs einen Übergangszustand melden (etwa „Waiting for initial synchronization“, bei RODCs „Preparing“), ist die Umstellung nicht abgeschlossen.

Prüfen Sie anschließend auf allen DCs, ob das neue DFSR-Verzeichnis existiert:

dir %SystemRoot%\SYSVOL_DFSR\sysvol

Verifizieren: dfsrmig /getmigrationstate meldet Migration has reached a consistent state on all Domain Controllers mit Global state Prepared, und %SystemRoot%\SYSVOL_DFSR\sysvol ist auf allen DCs vorhanden und enthält den Ordner Ihrer Domäne mit Policies und scripts.

Schritt 3: Zu State 2 (Redirected) migrieren

In State 2 übernimmt DFSR die aktive SYSVOL-Freigabe, die nun auf SYSVOL_DFSR zeigt. FRS läuft im Hintergrund weiter, aber nicht mehr für SYSVOL. Clients merken nichts.

# State 2 (Redirected) setzen
dfsrmig /setglobalstate 2

# Konvergenz abwarten
dfsrmig /getglobalstate
dfsrmig /getmigrationstate

# SYSVOL-Freigabe prüfen – muss jetzt auf SYSVOL_DFSR zeigen
net share

Empfehlung: Bleiben Sie mehrere Tage in State 2 und beobachten Sie das DFSR-Ereignisprotokoll (Ereignisanzeige, Anwendungs- und Dienstprotokolle, DFS Replication) auf Fehler. State 2 ist der letzte Zustand mit Rollback (zurück zu Prepared oder Start); ab State 3 gibt es keinen Rückweg.

Verifizieren: dfsrmig /getmigrationstate meldet einen konsistenten Zustand mit Global state Redirected, und in der Ausgabe von net share zeigt die Freigabe SYSVOL auf …\SYSVOL_DFSR\sysvol.

Schritt 4: System-State-Backup vor State 3

Erstellen Sie vor dem irreversiblen letzten Schritt ein System-State-Backup aller Domänencontroller. State 3 (Eliminated) löscht den Inhalt des alten FRS-Verzeichnisses %SystemRoot%\SYSVOL; ohne Backup gibt es danach keine Wiederherstellung. Das Feature „Windows Server-Sicherung“ muss installiert sein.

# System-State-Backup auf jedem DC durchführen
wbadmin start systemstatebackup -backuptarget:<ZielLaufwerk>

# Beispiel: Backup auf externes Laufwerk E:
wbadmin start systemstatebackup -backuptarget:E:

Fahren Sie erst fort, wenn das Backup auf allen DCs erfolgreich war. Einrichtung und Wiederherstellungstest: Windows Server Backup einrichten und Wiederherstellung testen.

Verifizieren: wbadmin get versions listet auf jedem DC eine aktuelle Sicherung, bei der unter Can recover bzw. „Wiederherstellbar“ der Systemstatus aufgeführt ist.

Schritt 5: Zu State 3 (Eliminated) migrieren

In State 3 repliziert FRS SYSVOL nicht mehr, der Inhalt von %SystemRoot%\SYSVOL (FRS-Pfad) wird gelöscht, und DFSR übernimmt dauerhaft mit %SystemRoot%\SYSVOL_DFSR. Die Migration ist damit abgeschlossen und nicht umkehrbar.

# State 3 (Eliminated) setzen – nur auf dem PDC-Emulator!
dfsrmig /setglobalstate 3

# Konvergenz aller DCs abwarten
dfsrmig /getglobalstate
dfsrmig /getmigrationstate

Erwartete Ausgabe nach vollständiger Konvergenz:

All Domain Controllers have migrated successfully to Global state (Eliminated).
Migration has reached a consistent state on all Domain Controllers.
Succeeded.

Verifizieren: Die obige Ausgabe erscheint, und dfsrmig /getglobalstate meldet Eliminated.

Schritt 6: Post-Migration-Verifikation

Prüfen Sie danach, ob SYSVOL und NETLOGON freigegeben sind und die AD-Replikation sauber läuft.

# SYSVOL- und NETLOGON-Freigaben prüfen (auf allen DCs)
net share
# SYSVOL und NETLOGON müssen in der Ausgabe erscheinen

# DFSR nutzt dauerhaft %SystemRoot%\SYSVOL_DFSR, das alte SYSVOL ist leer
dir %SystemRoot%\SYSVOL_DFSR\sysvol

# SYSVOL-Gesundheit per dcdiag
dcdiag /e /test:SysVolCheck
dcdiag /e /test:DFSREvent

# AD-Replikation nochmals prüfen
repadmin /replsum

# DFSR-Replikationsstatus prüfen
dfsrdiag replicationstate

Tauchen SYSVOL und NETLOGON in net share auf, repliziert DFSR korrekt. Falls nicht, prüfen Sie den Registry-Wert SysvolReady (siehe Troubleshooting-Abschnitt).

Verifizieren: net share listet SYSVOL und NETLOGON mit Pfaden unter SYSVOL_DFSR, dcdiag /test:SysVolCheck endet mit passed test, und repadmin /replsum zeigt keine Fehler.

Schritt 7: FRS-Dienst deaktivieren

Der FRS-Dienst (ntfrs) wird nicht automatisch deaktiviert. Microsoft empfiehlt, ihn nach Eliminated auf jedem DC zu stoppen und zu deaktivieren, sofern FRS nicht für andere Replikationsgruppen genutzt wird:

# FRS-Dienst stoppen und deaktivieren (cmd/PowerShell)
sc stop ntfrs
sc config ntfrs start=disabled

# Alternativ per PowerShell:
Get-Service ntfrs | Stop-Service -PassThru | Set-Service -StartupType Disabled

Auf DCs, auf denen der Dienst nicht vorhanden ist, entfällt dieser Schritt.

Verifizieren: sc query ntfrs meldet STATE : 1 STOPPED, und sc qc ntfrs zeigt START_TYPE : 4 DISABLED.

Migrationszustände im Überblick

State	Name	FRS	DFSR	SYSVOL-Freigabe	Rollback möglich
0	Start	aktiv	inaktiv	FRS-Pfad	—
1	Prepared	aktiv	baut SYSVOL_DFSR auf	FRS-Pfad	Ja (zu State 0)
2	Redirected	läuft noch	übernimmt Freigabe	DFSR-Pfad	Ja (zu State 1 oder 0)
3	Eliminated	gestoppt	alleinig aktiv	DFSR-Pfad	Nein

Troubleshooting / Typische Fehler

Heraufstufung eines Server-2025-DC bricht ab („The specified domain … is still using the File Replication Service (FRS)“). Die Domäne nutzt noch FRS. Migration bis State 3 (Eliminated) abschließen, dann promovieren.
Error 5 / Access denied bei State-1-Transition. Ursache: Das Benutzerrecht „Manage Auditing and Security Log“ (SeSecurityPrivilege) wurde per GPO der Gruppe Administrators entzogen. Lösung: GPO prüfen (gpresult /h bericht.html), Administrators-Gruppe eintragen, dann gpupdate /force auf dem PDC-Emulator, anschließend dfsrmig /createglobalobjects ausführen.
DC verharrt dauerhaft in einem Übergangszustand (z. B. „Preparing“ oder „Waiting for initial synchronization“). Ursache: AD-Replikation hat den neuen globalen State nicht geliefert, oder SeSecurityPrivilege fehlt. Lösung: repadmin /syncall /APed und dfsrdiag pollad auf dem betreffenden DC. DFSR-Ereignisprotokoll auf Event ID 8028 prüfen. GPO korrigieren, dann dfsrmig /createglobalobjects auf PDC-Emulator.
dfsrmig /setglobalstate schlägt fehl oder liefert veraltete Infos. Befehl lief nicht auf dem PDC-Emulator. FSMO-Rolleninhaber prüfen: netdom query fsmo.
SysvolReady = 0 nach Migration – SYSVOL und NETLOGON werden nicht geteilt. DFSR-Initialisierung nicht abgeschlossen oder fehlerhaft; zuerst DFSR-Ereignisprotokoll prüfen. Den Registry-Wert manuell auf 1 setzen (HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\SysvolReady) ist nur als temporärer Workaround nach Behebung der Ursache zulässig.
RODC nach Migration hinzugefügt: Replikation bleibt stecken (Event ID 8028). Ursache: Für den neuen RODC wurden keine DFSR-AD-Objekte automatisch erstellt. Lösung: dfsrmig /createglobalobjects auf dem PDC-Emulator ausführen, dann dfsrdiag pollad auf dem RODC.
Domänenfunktionsebene zu niedrig (Windows Server 2003). dfsrmig verweigert unter DFL Windows Server 2008 die Ausführung. Erst alle DCs auf mindestens Windows Server 2008 aktualisieren, DFL anheben, dann migrieren.
Ungesunde AD-Replikation vor Migrationsbeginn. Einzelne DCs erhalten die neue Konfiguration nicht. Alle repadmin /replsum-Fehler vor dem ersten setglobalstate beheben.

Häufige Fragen

Wie erkenne ich, ob meine Domäne noch FRS oder bereits DFSR nutzt?

Auf dem PDC-Emulator dfsrmig /getglobalstate ausführen: „Current DFSR global state: Start“ bedeutet FRS, „Eliminated“ bedeutet DFSR. Alternativ in ADSI Edit (adsiedit.msc) unter CN=DFSR-GlobalSettings,CN=System,DC=<domain>,DC=<tld> das Attribut msDFSR-Flags prüfen.

Kann ich einen Server-2025-DC hinzufügen, wenn die Domäne noch in State 2 (Redirected) ist?

Nein, auch State 2 reicht nicht; nötig ist State 3 (Eliminated). Erst wenn dfsrmig /getmigrationstate „All Domain Controllers have migrated successfully to Global state (Eliminated)“ meldet, fügen Sie einen Server-2025-DC hinzu.

Wie lange dauert die Migration in großen Umgebungen?

Abhängig von Replikationslatenz und SYSVOL-Größe: je Phase mindestens 15 Minuten, standortverteilt Stunden bis Tage; zwischen State 2 und 3 mehrere Tage Beobachtung. dfsrmig /getmigrationstate zeigt den Stand aller DCs.

Was passiert mit Gruppenrichtlinien während der Migration?

Nein. In State 1 und 2 sind beide Verzeichnisse aktiv und Gruppenrichtlinien greifen ohne Unterbrechung; bei korrekter Ausführung ist die Migration für Endgeräte transparent.

Muss ich den FRS-Dienst nach der Migration manuell deaktivieren?

Ja, siehe Schritt 7: sc stop ntfrs && sc config ntfrs start= disabled auf allen DCs nach State 3.

Was tun, wenn ein DC nach dfsrmig /setglobalstate 1 dauerhaft im Zustand „Preparing“ hängt?

Siehe Troubleshooting: repadmin /syncall /APed und dfsrdiag pollad auf dem DC, dann dfsrmig /getmigrationstate erneut. Sonst Event ID 8028 prüfen; häufig fehlt „Manage Auditing and Security Log“. GPO korrigieren (gpresult /h), dann dfsrmig /createglobalobjects auf dem PDC-Emulator.

Ist der Rollback von State 2 zurück zu State 1 möglich?

Ja, vor Eliminated: von Redirected auf Prepared (dfsrmig /setglobalstate 1) oder direkt auf Start (dfsrmig /setglobalstate 0), nachdem alle DCs einen stabilen Zustand erreicht haben. Ab State 3 ist kein Rollback möglich, daher das System-State-Backup.

Fazit

Ohne abgeschlossene DFSR-Migration lässt sich kein DC ab Windows Server 2019 aufnehmen. Bei gesunder AD-Replikation ist die Migration mit dfsrmig.exe unkompliziert. Kritisch: immer auf dem PDC-Emulator arbeiten, jeden State konvergieren lassen, System-State-Backup vor State 3, FRS-Dienst danach deaktivieren. Heben Sie anschließend die Domänenfunktionsebene auf mindestens Windows Server 2016 an; dann ist die Umgebung bereit für Windows Server 2025.

Weiterführende Anleitungen und Quellen

Offizielle Quellen: dfsrmig – Microsoft Learn | Migrate SYSVOL replication from FRS to DFS Replication – Microsoft Learn | DFSR SYSVOL Troubleshooting (KB2567421) – Microsoft Learn | Windows Server version 1709 no longer supports FRS – Microsoft Learn