Für Domain Controller unter Windows Server 2016 oder 2019 empfiehlt Microsoft statt eines In-Place-Upgrades eine Neuinstallation. Diese Anleitung beschreibt die Side-by-Side-Migration auf Windows Server 2025 für KMU: neuen DC installieren und heraufstufen, FSMO-Rollen übertragen, alten DC herabstufen, mit Pre-Flight-Checkliste und Rollback per Hyper-V-Checkpoint.

Voraussetzungen

Forest Functional Level mindestens Windows Server 2016 (bei FFL 2012 R2 oder älter erst alle DCs auf WS2016 bringen und FFL anheben)
SYSVOL-Replikation per DFSR, nicht FRS: dfsrmig /GetMigrationState muss „Eliminated“ zurückgeben
Windows Server 2025 Lizenz (Standard oder Datacenter) + Installationsmedium/ISO
Neuer Server oder VM: Microsoft-Minimum 64-Bit-CPU mit 1,4 GHz, 2 GB RAM, 32 GB Speicher. Praxistauglich für einen DC mit Desktopdarstellung: 2 vCPUs, 4 GB RAM (von Microsoft empfohlen), 60 GB Systemlaufwerk. Bei Hyper-V: VM der Generation 2
Konto in Schema Admins + Enterprise Admins + Domain Admins für adprep und Heraufstufen
Konto mit Domain Admins für FSMO-Transfer und Demote
AD System State Backup des bestehenden DCs (wbadmin start systemstatebackup)
Hyper-V-Host mit freiem Speicher für den Checkpoint des alten DCs
Netzwerkverbindung zwischen altem und neuem DC: TCP 135 (RPC Endpoint Mapper), TCP/UDP 389 (LDAP), TCP 636 (LDAPS), TCP 3268/3269 (Global Catalog), TCP/UDP 88 (Kerberos), TCP/UDP 464 (Kerberos-Kennwortänderung), TCP/UDP 53 (DNS), TCP 445 (SMB), UDP 123 (Zeitdienst), TCP 49152–65535 (dynamische RPC-Ports)
DSRM-Passwort des bestehenden DCs dokumentiert

Schritt 1: Pre-Flight – Umgebung analysieren und absichern

Erfassen Sie den aktuellen Zustand. Alle Befehle laufen auf dem bestehenden DC:

# Forest- und Domain-Functional-Level prüfen
Get-ADDomain | FL Name, DomainMode
Get-ADForest | FL Name, ForestMode
# Mindestanforderung: beide mindestens 'Windows2016Domain' / 'Windows2016Forest'

# Aktuellen AD-Schema-Stand prüfen
(Get-ADObject (Get-ADRootDSE).schemaNamingContext -Property objectVersion).objectVersion
# Erwartet: 87 (WS2016), 88 (WS2019/2022), 91 (WS2025 bereits deployed)

# SYSVOL-Replikationsmethode prüfen (FRS vs. DFSR)
dfsrmig /GetMigrationState
# Ausgabe 'Eliminated' = DFSR aktiv. Alles andere = FRS noch aktiv!

# FSMO-Inhaber ermitteln
Get-ADDomain | FL InfrastructureMaster, RIDMaster, PDCEmulator
Get-ADForest | FL DomainNamingMaster, SchemaMaster
netdom query fsmo

Dokumentieren Sie die Ausgaben. Liegt das Functional Level unter 2016 oder ist DFSR nicht aktiv, beheben Sie das zuerst.

Erstellen Sie einen Hyper-V-Checkpoint des alten DCs als Rückweg für einen vollständigen Abbruch:

# Auf dem Hyper-V-Host ausführen, BEVOR adprep oder Promote startet
Checkpoint-VM -Name 'DC01-WS2016' -SnapshotName "Pre-WS2025-Migration-$(Get-Date -Format yyyyMMdd)"
# WARNUNG: Diesen Snapshot NUR bei vollständigem Migrationsabbruch einspielen!
# Nach erfolgtem Schema-Upgrade ist der Checkpoint wertlos (USN-Rollback-Risiko)

Erstellen Sie außerdem ein AD System State Backup:

wbadmin start systemstatebackup -backuptarget:E: -quiet

Verifizieren: Get-ADForest zeigt ForestMode mindestens Windows2016Forest, dfsrmig /GetMigrationState meldet „Eliminated“, Get-VMCheckpoint -VMName 'DC01-WS2016' auf dem Hyper-V-Host listet den neuen Checkpoint, und wbadmin get versions zeigt die eben erstellte Sicherung.

Schritt 2: Windows Server 2025 installieren und vorbereiten

Installieren Sie Windows Server 2025 als saubere Neuinstallation und konfigurieren Sie vor dem Heraufstufen:

Statische IP-Adresse, primärer DNS-Server = IP des bestehenden DCs
Computernamen setzen (z. B. DC-WS2025) und in die Domain aufnehmen, noch nicht heraufstufen
Windows Updates vollständig einspielen und neu starten
Bei Hyper-V: VM-Konfigurationsversion prüfen (Get-VM | FL Name,Version) und bei Bedarf mit Update-VMVersion anheben, sofern der Host sie unterstützt. Laut Microsoft nicht umkehrbar: Die VM läuft danach nicht mehr auf älteren Hosts.

Verifizieren: (Get-CimInstance Win32_OperatingSystem).Caption zeigt „Microsoft Windows Server 2025 …“, (Get-CimInstance Win32_ComputerSystem).Domain den Domänennamen, und Get-DnsClientServerAddress nennt die IP des bestehenden DCs als DNS-Server.

Schritt 3: AD DS Rolle installieren und DC promoten

Bei der Side-by-Side-Methode läuft adprep automatisch, wenn Sie den Promote-Assistenten im Server Manager oder die PowerShell-Cmdlets verwenden.

# AD DS Rolle installieren (löst beim anschließenden Promote automatisch adprep aus)
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Im Server Manager wählen Sie „Promote this server to a domain controller“ → „Add a domain controller to an existing domain“ und geben Domäne und Anmeldedaten an. Alternativ per PowerShell:

# DC-Promote per PowerShell (adprep läuft automatisch)
Install-ADDSDomainController `
    -DomainName 'contoso.local' `
    -InstallDns:$true `
    -Credential (Get-Credential) `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString 'DSRM Password') `
    -Force:$true

Vergeben Sie ein sicheres DSRM-Passwort und verwahren Sie es im Passwort-Manager; ohne es ist keine AD-Offline-Reparatur möglich. Der Server startet danach neu.

Beim ersten WS2025-DC hebt adprep das Schema von Version 87/88 auf Version 91 an (sch89.ldf, sch90.ldf, sch91.ldf). Schemaänderungen sind irreversibel; ein Checkpoint des alten DCs macht sie nicht rückgängig, da sie bereits repliziert sind.

Verifizieren: Get-ADDomainController -Filter * | FT Name,OperatingSystem listet den neuen DC mit Windows Server 2025, und die Schemaabfrage aus Schritt 1 liefert jetzt 91.

Schritt 4: Replikation und Global Catalog prüfen

Warten Sie nach dem Neustart einige Minuten auf die initiale Replikation und prüfen Sie dann:

# Replikationszusammenfassung prüfen
repadmin /replsummary
# Alle Replikationspartner müssen 0 Failures zeigen

# Detaillierte Replikationsübersicht
repadmin /showrepl

# DC-Diagnose durchführen
dcdiag /test:replications /v

Prüfen Sie, ob der neue DC Global Catalog ist: „Active Directory Sites and Services“ → Standort → Servers → DC-WS2025 → NTDS Settings → Properties → „Global Catalog“. Wichtig, wenn der alte DC der einzige GC war.

Verifizieren: repadmin /replsummary zeigt für alle Partner 0 Fehler, dcdiag /test:replications endet mit „passed test Replications“, und Get-ADDomainController -Identity DC-WS2025 | FL IsGlobalCatalog liefert True.

Schritt 5: FSMO-Rollen auf den neuen DC transferieren

Übertragen Sie alle fünf FSMO-Rollen, bevor Sie den alten DC herabstufen; sonst bleibt nur ein „Seize“ (Notfallverfahren).

# Alle 5 FSMO-Rollen auf den neuen DC transferieren
# 0=PDCEmulator, 1=RIDMaster, 2=InfrastructureMaster, 3=DomainNamingMaster, 4=SchemaMaster
Move-ADDirectoryServerOperationMasterRole -Identity 'DC-WS2025' -OperationMasterRole 0,1,2,3,4

# Verifikation: alle Rollen müssen jetzt auf DC-WS2025 zeigen
Get-ADDomain | FL InfrastructureMaster, RIDMaster, PDCEmulator
Get-ADForest | FL DomainNamingMaster, SchemaMaster
netdom query fsmo

Verifizieren: netdom query fsmo nennt für alle fünf Rollen DC-WS2025.

Die FSMO-Rollen im Überblick:

FSMO-Rolle	Reichweite	Auswirkung bei Ausfall
Schema Master	Forest (1×)	Keine Schemaänderungen möglich
Domain Naming Master	Forest (1×)	Keine Domains hinzufügen/entfernen
PDC Emulator	Domain (1×)	Zeitsynchro, Kennwortänderungen, GPO-Updates beeinträchtigt
RID Master	Domain (1×)	Keine neuen SIDs/Objekte nach RID-Pool-Erschöpfung
Infrastructure Master	Domain (1×)	Cross-Domain-Gruppenreferenzen veralten

Schritt 6: DNS umstellen

Vor dem Herabstufen müssen alle Clients und Server den neuen DC als primären DNS-Server nutzen, sonst brechen danach Namensauflösung und AD-Authentifizierung zusammen.

# Auf dem neuen DC selbst (Beispiel-IP 192.168.1.10): eigene IP als ersten DNS-Server eintragen
Set-DnsClientServerAddress -InterfaceAlias 'Ethernet' -ServerAddresses ('192.168.1.10','127.0.0.1')

# DHCP-Server: Option 006 (DNS-Server) auf die IP des neuen DCs aktualisieren
# Danach mindestens eine DHCP-Lease-Dauer abwarten, bevor Sie den alten DC herabstufen

Prüfen Sie danach, dass der neue DC die DNS-Zonen repliziert hat und A-Records sowie NS-Einträge korrekt auflöst.

Verifizieren: Auf einem Client zeigt ipconfig /all die IP des neuen DCs als ersten DNS-Server, und nslookup -type=SRV _ldap._tcp.dc._msdcs.contoso.local liefert einen Eintrag für DC-WS2025.

Details: DHCP- und DNS-Rolle auf Windows Server.

Schritt 7: Alten DC demoten

Sind FSMO-Rollen übertragen und DNS umgestellt, stufen Sie den alten DC herab:

# Alten DC demoten (auf dem alten DC ausführen)
Uninstall-ADDSDomainController `
    -LocalAdministratorPassword (Read-Host -AsSecureString 'Local Admin Password') `
    -DemoteOperationMasterRole:$true `
    -RemoveApplicationPartitions:$true `
    -Force:$true
# -DemoteOperationMasterRole:$true greift ggf. verbliebene FSMO-Rollen automatisch auf

Danach ist er Mitgliedsserver.

Verifizieren: Get-ADDomainController -Filter * | FT Name listet den alten DC nicht mehr, und dcdiag auf dem neuen DC meldet keine Fehler zum alten Server.

Schritt 8: AD bereinigen und Functional Level anheben (optional)

Reste des alten DCs in AD bereinigen Sie manuell. Das Computerobjekt löschen Sie nur, wenn der Server endgültig außer Betrieb geht:

# Nur bei Außerbetriebnahme: Server aus der Domäne nehmen, danach Computerobjekt löschen (auf neuem DC)
Get-ADComputer -Identity 'OLDDC01' | Remove-ADObject -Recursive

# DNS: Veraltete A-Records und NS-Einträge des alten DCs im DNS Manager löschen
# AD Sites and Services: Serverobjekt des alten DCs manuell über die GUI entfernen
#   Pfad: Sites > [Ihr Standort] > Servers > OLDDC01 > rechte Maustaste > Delete

Das Anheben des Functional Levels auf Windows Server 2025 ist optional; WS2025-DCs laufen im FFL/DFL 2016. Das neue Level ist vor allem Voraussetzung für „Database 32k pages“ und lässt sich laut Microsoft nur zurückstufen, solange keine Funktion es voraussetzt. Deshalb erst nach Kompatibilitätsprüfung der Anwendungen:

# Domain Functional Level anheben (optional, nach Nutzung neuer Funktionen nicht umkehrbar)
Set-ADDomainMode -Identity 'contoso.local' -DomainMode Windows2025Domain

# Forest Functional Level anheben (optional, nach Nutzung neuer Funktionen nicht umkehrbar)
Set-ADForestMode -Identity 'contoso.local' -ForestMode Windows2025Forest

Verifizieren: In „Active Directory Sites and Services“ ist unter Servers kein Objekt des alten DCs mehr vorhanden, der DNS-Manager zeigt keine NS- oder A-Einträge des alten DCs, und nach einer Anhebung liefern (Get-ADDomain).DomainMode und (Get-ADForest).ForestMode den neuen Wert.

Vergleich: In-Place-Upgrade vs. Side-by-Side

Kriterium	In-Place-Upgrade	Side-by-Side (empfohlen)
Microsoft-Empfehlung für DCs	Nicht bevorzugt	Empfohlener Standard
AD-Datenbank-Risiko	Höher (Altlasten aus dem alten System)	Niedrig (saubere NTDS.dit)
AD-Performance-Verbesserungen	Nicht vollständig verfügbar	Vollständig verfügbar
Rollback-Möglichkeit	Sehr eingeschränkt	Hyper-V-Checkpoint vor Promote
Downtime	Länger (Upgrade-Prozess)	Nahezu null bei korrekter Ausführung
adprep	Manuell erforderlich	Automatisch beim Promote

Troubleshooting / Typische Fehler

„The forest functional level of the domain in which you are trying to install is not compatible with this version of Windows Server.“ – FFL unter 2016. Erst alle DCs auf WS2016, dann FFL anheben.
SYSVOL-Replikation funktioniert nicht, GPOs greifen nicht – SYSVOL noch per FRS (dfsrmig /GetMigrationState). DFSR-Migration abschließen, bevor der erste WS2025-DC heraufgestuft wird.
„Adprep could not contact a replica for partition“ – adprep manuell auf dem falschen DC oder keine Verbindung zu Schema bzw. Infrastructure Master. adprep /forestprep auf dem Schema-Master-DC (oder mit Konnektivität dazu) ausführen.
Authentifizierungsausfall nach Demote – Clients nutzen noch den alten DC als DNS. DHCP-Option 006 korrigieren, ggf. ipconfig /flushdns und ipconfig /renew.
Replikationswarnungen nach Demote (Event 1308, 1311, 2023) – Serverobjekt des alten DCs in AD Sites and Services manuell löschen.
Probleme mit Universal Groups im Multi-Domain-Forest – neuer DC ist kein Global Catalog (Schritt 4).
Performance-Probleme oder falsche Hardwareinformationen auf Hyper-V – veraltete VM-Konfigurationsversion (z. B. 5.0 von Hyper-V 2012 R2). Update-VMVersion -VMName 'DC-WS2025' auf dem Host (nicht umkehrbar).
FSMO-Rollen nach Demote nicht verfügbar – Rollen nicht übertragen. Per ntdsutil seizen (Notfallverfahren), danach dcdiag.

Häufige Fragen

Kann ich meinen bestehenden WS2016/2019-DC direkt per In-Place-Upgrade auf WS2025 hochrüsten?

Technisch ja, Microsoft bevorzugt aber die Neuinstallation, die alle AD-Performance-Verbesserungen ohne Altlasten bringt.

Muss ich adprep manuell ausführen, bevor ich den neuen DC promote?

Nein. Mit Server Manager oder PowerShell (Install-WindowsFeature) und Promote-Assistent laufen adprep /forestprep und adprep /domainprep automatisch. Manuell nur beim In-Place-Upgrade oder für ein bewusst vorgezogenes Schemaupgrade.

Was passiert, wenn mein Forest noch auf Functional Level 2012 R2 ist?

Die Heraufstufung eines WS2025-DCs wird blockiert. Erst alle DCs auf mindestens WS2016 bringen (ebenfalls Side-by-Side), FFL auf 2016 anheben, dann WS2025 einführen.

Wie sieht ein sicherer Rollback-Pfad für KMU aus?

System-State-Backup und Hyper-V-Checkpoint des alten DCs vor dem ersten Schritt; den Checkpoint nur bei vollständigem Abbruch einspielen (Schemaerweiterung bleibt). Dauerhaft zusätzlich regelmäßig wbadmin start systemstatebackup.

Muss ich den Domain/Forest Functional Level nach der Migration auf 2025 anheben?

Nein, siehe Schritt 8: WS2025-DCs laufen im FFL/DFL 2016 ohne Einschränkungen; das neue Level nur nach Planung anheben.

Was ist das DSRM-Passwort und warum ist es so wichtig?

Das Directory Services Restore Mode (DSRM)-Passwort wird beim Heraufstufen vergeben und ist der einzige Zugang, wenn AD im Reparaturmodus startet (z. B. nach Datenbank-Korruption). Getrennt vom Domain-Admin-Kennwort verwahren.

Fazit

Die Side-by-Side-Migration liefert einen sauberen AD-Zustand und einen klaren Rückweg bis zum Heraufstufen. Pflicht: FFL mindestens 2016, SYSVOL per DFSR, alle FSMO-Rollen übertragen, DNS vor dem Demote umstellen. Danach lohnt ein Review der Active-Directory-Grundkonfiguration und Benutzer-/OU-Struktur und der Gruppenrichtlinien und GPO-Struktur.

Weiterführende Anleitungen und Quellen

Quellen: Microsoft Learn: Upgrade domain controllers to a newer version of Windows Server · Microsoft Learn: Active Directory Domain Services Functional Levels · Microsoft Learn: Windows Server Active Directory schema updates · CheckYourLogs.Net: Zero-Downtime AD DS Migration from Windows Server 2016 to 2025 · blog.rmilne.ca: Windows Server 2025 DC Requires AD DS FFL 2016 Minimum