Active Directory verstehen und sauber verwalten

Active Directory ist das Rückgrat fast jeder Windows-Infrastruktur. Wenn hier das Design wackelt, bekommst du es überall zu spüren: bei Logins, Berechtigungen, Softwareverteilung, Security. Wer AD versteht, hat deshalb einen massiven Vorteil in fast jeder IT-Rolle, von Helpdesk über Systemadministration bis Security.

Was Active Directory eigentlich ist

Active Directory Domain Services (AD DS) ist ein Verzeichnisdienst. Vereinfacht gesagt: eine zentrale Datenbank mit Sicherheitsfunktionen, in der Objekte wie Benutzer, Computer, Gruppen, Drucker und vieles mehr verwaltet werden.

Wichtige Eigenschaften:

• Zentral: Authentifizierung und Autorisierung laufen über das AD.
• Strukturiert: Objekte sind hierarchisch organisiert, ähnlich wie in einem Dateisystem.
• Repliziert: Mehrere Domain Controller halten eine konsistente Kopie der AD-Daten.
• Sicher: Kerberos, NTLM, ACLs, Gruppenrichtlinien hängen direkt am AD.

Sobald du mit Windows-Domänen, Fileservern, Exchange, SCCM, Intune-Hybridszenarien oder vielen Security-Themen zu tun hast, bist du mitten in der AD-Welt.

Domänen, Gesamtstrukturen und Standorte: das grobe Gerüst

Bevor du OUs und Gruppen planst, musst du die logische und physische AD-Struktur verstehen.

Domäne und Gesamtstruktur

• Domäne: Sicherheits- und Verwaltungseinheit mit eigener Datenbank, eigenen Richtlinien und eigener Namensgebung, z. B. „firma.local“ oder „ad.firma.de“.
• Gesamtstruktur (Forest): Eine oder mehrere Domänen mit gemeinsamem Schema und globalem Katalog. In vielen Umgebungen existiert genau eine Gesamtstruktur mit einer Domäne.

Grundsatz für mittelgroße und kleinere Unternehmen: Eine Gesamtstruktur, eine Domäne. Mehrdomänen-Designs machen vieles komplexer und sind nur bei speziellen Anforderungen sinnvoll, etwa bei klar getrennten Geschäftsbereichen oder besonderen rechtlichen Vorgaben.

Standorte (Sites)

AD-Sites repräsentieren physische Netzwerke bzw. Standorte, z. B. „München“, „Berlin“. Sie sind wichtig für:

• Replikationspfade und -intervalle
• Auswahl des „nächsten“ Domain Controllers für Logins
• Optimierung des WAN-Traffics

Fehler, die man ständig sieht:

• Nur eine Default-Site, obwohl mehrere Standorte existieren.
• Domain Controller stehen in falschen Sites.
• Keine saubere Zuordnung von Subnetzen zu Sites.

Folge: Clients authentifizieren sich über langsame Verbindungen, Replikation dauert, Logins ziehen sich.

OUs: Struktur fürs tägliche Leben, nicht fürs Organigramm

Organisationseinheiten (OUs) sind Container, in denen du Objekte logisch gruppierst und verwaltest. Auf OUs verknüpfst du Gruppenrichtlinien und delegierst Rechte.

Wichtige Regeln:

• OUs sind für Verwaltung und Technik, nicht für das HR-Organigramm.
• OUs sollten relativ stabil sein, auch wenn Teams oder Abteilungen sich ändern.
• Du brauchst getrennte OUs für verschiedene Arten von Objekten: Benutzer, Computer, Servicekonten.

Typisches, praxistaugliches Muster:

• OU=Standorte
• OU=München
• OU=Benutzer
• OU=Computer
• OU=Server
• OU=Dienste
• OU=Servicekonten
• OU=Admins
• OU=Richtlinien
• OU=Hardening
• OU=Clients

Vermeide:

• OUs nur nach Abteilungen („OU=Vertrieb“, „OU=Marketing“), in denen alles gemischt wird.
• Zu tiefe OU-Hierarchien, bei denen niemand mehr versteht, wo welche Richtlinie greift.
• Objekte direkt im Domänenstamm. Die sollten immer in OUs liegen.

Gruppen: Rollen, nicht Personen

AD-Gruppen sind dein zentrales Werkzeug für Berechtigungen. Wer hier sauber arbeitet, spart sich unzählige Sonderfälle.

Es gibt zwei Achsen:

• Gruppentyp: Sicherheitsgruppe oder Verteilergruppe
• Gültigkeitsbereich: Lokal, Global, Universell

Ein bewährtes Modell ist AGDLP:

• Accounts: Benutzerkonten
• in Globalen Gruppen: z. B. „GG_Abteilung_Muenchen“
• in Domänenlokalen Gruppen: z. B. „DLG_Fileserver_Marketing_RW“
• mit Permissions auf Ressourcen: Freigaben, Ordner, Anwendungen

Konkretes Beispiel:

1. Alle Marketing-Mitarbeiter in die globale Gruppe GG_Marketing.
2. Für das Share \\fs01\Marketing eine domänenlokale Gruppe DLG_FS01_Marketing_RW erstellen.
3. GG_Marketing in DLG_FS01_Marketing_RW aufnehmen.
4. DLG_FS01_Marketing_RW bekommt auf dem Ordner die NTFS-Berechtigung „Ändern“.

Vorteile:

• Du änderst bei Mitarbeiterwechseln nur Gruppenmitgliedschaften, nicht Ressourcenrechte.
• Du kannst Gruppen sauber dokumentieren und wiederverwenden.
• Du minimierst „Sonderrechte“ und Wildwuchs.

Typische Fehler:

• Benutzer direkt auf Ressourcen berechtigen.
• Zu viele verschachtelte Gruppen ohne Konzept.
• Universelle Gruppen ohne Not, was Replikation und Globalen Katalog belastet.

Gruppenrichtlinien (GPOs): Machtvoll, aber gefährlich

Gruppenrichtlinien steuern Konfigurationen für Benutzer und Computer: Sicherheitseinstellungen, Softwareverteilung, Skripte, Registry-Werte und mehr.

Grundprinzip: GPOs werden in dieser Reihenfolge angewendet:

1. Lokale Richtlinien
2. Site
3. Domäne
4. OU, von oben nach unten

Die letzte gewinnende Einstellung setzt sich durch, außer es greifen „Erzwingen“ oder „Vererbung blockieren“.

Best Practices:

• GPOs thematisch trennen: z. B. „Client-Sicherheit“, „Browser-Einstellungen“, „Office-Konfiguration“.
• So wenig wie möglich auf Domänenebene, dort nur wirklich globale Einstellungen.
• Keine Monolithen mit hunderten Einstellungen, die niemand mehr überblickt.
• Test-OUs nutzen, etwa „OU=Test-Clients“, um neue GPOs vor dem Rollout zu prüfen.
• Mit Werkzeugen wie „gpresult“ oder „rsop.msc“ die wirksamen Richtlinien analysieren.

Typische Fehlkonfigurationen:

• GPO mit Kennwortrichtlinien auf OU-Ebene, in der Erwartung, dass sie Domain-weite Kennwortrichtlinien überschreibt. Klassische Falle.
• Sicherheitsrelevante Einstellungen in User-GPOs, obwohl sie auf Computerebene nötig wären.
• „Erzwingen“ und „Vererbung blockieren“ inflationär einsetzen, bis niemand mehr versteht, was wann gilt.

Eine einfache GPO-Strategie spart dir später sehr viel Troubleshooting.

Replikation: Warum deine Domain Controller synchron bleiben

AD-Daten werden zwischen Domain Controllern repliziert. Wenn das fehlerhaft läuft, bekommst du:

• unterschiedliche Gruppenmitgliedschaften auf verschiedenen DCs
• seltsame Login-Probleme
• GPOs, die „manchmal“ greifen und manchmal nicht

Wichtige Punkte:

• Domain Controller sollten möglichst in passenden Sites stehen.
• Replikation innerhalb eines Standorts ist standardmäßig häufig, zwischen Standorten seltener.
• DNS ist kritisch. Falsche DNS-Einträge führen zu Replikationsfehlern.

Häufige Probleme:

• Ein neuer DC bekommt falsche oder gar keine Site-Zuordnung.
• Firewalls blockieren RPC oder erforderliche Ports zwischen DCs.
• Zeitdienst (NTP) ist falsch konfiguriert, Kerberos-Tickets schlagen fehl.

Praxis-Tipp: Nutze regelmäßig Werkzeuge wie repadmin und dcdiag, um die Gesundheit des AD zu prüfen. Besonders nach Änderungen an Netzstruktur oder DCs.

Delegation: Arbeit verteilen, ohne Sicherheit zu verbrennen

Nicht jede Aufgabe im AD sollte bei Domain-Admins hängen bleiben. Gleichzeitig willst du keine Vollzugriffe verteilen.

Delegation bedeutet: du gibst bestimmten Personen oder Rollen definierte Rechte auf bestimmte OUs oder Objekte.

Beispiele:

• Helpdesk darf Kennwörter in der OU „Benutzer\München“ zurücksetzen.
• Anwendungsadmins dürfen Servicekonten in der OU „Dienste\Servicekonten“ verwalten.
• Standort-Admins dürfen Computerobjekte in „Computer\Berlin“ anlegen und löschen.

Best Practices:

• Delegation immer an Gruppen, nie direkt an einzelne Benutzer.
• Möglichst feingranulare Rechte vergeben: z. B. „Kennwort zurücksetzen“ statt „Vollzugriff“.
• Delegation dokumentieren: wer darf was, wo und warum.

Typische Fehlkonfigurationen:

• „Es ist einfacher, wenn du Domain-Admin wirst“ als schnelle Lösung.
• Rechte direkt auf einzelne Objekte statt auf OUs.
• Keine Trennung zwischen Betriebs- und Sicherheitsaufgaben.

Eine durchdachte Delegation entlastet zentrale Admins und macht Prozesse schneller, ohne die Sicherheit zu opfern.

Typische AD-Fehlkonfigurationen und wie du sie erkennst

Ein paar Klassiker, die in vielen Umgebungen auftauchen:

Problem	Symptom	Ursache
Benutzer im Domänenstamm	Chaos bei GPOs, unklare Verantwortlichkeiten	Historisch gewachsen, nie aufgeräumt
Direktberechtigungen auf Ordnern	Berechtigungswildwuchs, schwer nachvollziehbar	Kein Gruppenmodell, „schnelle“ Einzel-Lösungen
Nur eine OU „Users“ und „Computers“	GPOs greifen zu breit oder gar nicht	Keine OU-Planung
Alles auf Domänenebene geregelt	Kleinste Änderung betrifft alle, hohes Risiko	Bequemlichkeit, fehlendes Verständnis
Admin-Konten gleichzeitig normale Konten	Risiko bei Phishing, Malware, Fehlbedienung	Keine Trennung von Admin- und Benutzerkonten
Veraltete DCs und Funktionslevel	Moderne Features fehlen, Security-Stand veraltet	„Läuft doch“ und Angst vor Migration

Wenn du ein bestehendes AD übernimmst, lohnt sich ein strukturierter Health-Check: OU-Struktur, Gruppen- und Rechtekonzept, GPO-Landschaft, DC-Stand, DNS, Replikation.

Warum AD-Know-how Basis für viele IT-Rollen ist

Active Directory ist kein Nischenthema. In vielen Rollen brauchst du es täglich:

• Helpdesk / 1st Level: Benutzer anlegen, Kennwörter zurücksetzen, Gruppenmitgliedschaften prüfen, Konten entsperren.
• Systemadministration: GPOs planen, Server- und Client-OUs strukturieren, Rechtekonzepte umsetzen, Replikation überwachen.
• Netzwerk / Security: Authentifizierungswege verstehen, Kerberos und NTLM einschätzen, Angriffsflächen im AD erkennen.
• Cloud- und Hybrid-Rollen: Azure AD Connect, Synchronisation, Identitäts- und Rollenmodelle, Single Sign-on.
• Projekt- und Applikationsbetrieb: Servicekonten, SPNs, Berechtigungen für Anwendungen in AD-Strukturen integrieren.

Wer sich hier sicher bewegt, versteht plötzlich viele „mysteriöse“ Effekte in Windows-Umgebungen: warum Logins langsam sind, weshalb bestimmte Anwendungen nur für manche funktionieren, wieso ein GPO „offensichtlich ignoriert“ wird.

Wenn du dein Wissen gezielt vertiefen möchtest oder praxisnahe Übungen suchst, findest du passende Trainings und aktuelle Termine bei cmt.de.

Konkreter Fahrplan: So baust du solides AD-Wissen auf

Ein mögliches Vorgehen, wenn du dein AD-Know-how systematisch aufbauen willst:

1. Grundlagen festigen

• Domäne, Gesamtstruktur, Sites, DCs, DNS
• Authentifizierungsmechanismen: Kerberos, NTLM (Überblick reicht zu Beginn)

2. OU-Design verstehen und überarbeiten

• Ist-Struktur aufnehmen und dokumentieren
• Zielstruktur entwerfen: nach Standort, Objekttyp, Rolle
• Testweise OUs einführen, Migration planen

3. Gruppenkonzept einführen

• AGDLP oder ähnliches Modell definieren
• Neue Berechtigungen nur noch gruppenbasiert vergeben
• Schrittweise Altlasten abbauen

4. GPOs aufräumen und standardisieren

• Bestehende GPOs inventarisieren
• Dubletten, veraltete oder ungenutzte GPOs entfernen
• Klare Namenskonventionen und Struktur festlegen

5. Replikation und DC-Gesundheit regelmäßig prüfen

• Monitoring etablieren
• Replikationsfehler ernst nehmen, nicht ignorieren
• Zeitdienst und DNS als kritische Basis im Blick behalten

6. Delegation und Rollen klären

• Rollen definieren: Helpdesk, Standort-Admins, Applikationsadmins
• Delegationskonzept erstellen und in OUs abbilden
• Dokumentation pflegen und regelmäßig überprüfen

Wenn du diese Punkte beherrschst, bist du im AD deutlich weiter als viele andere und schaffst dir eine stabile Basis für fast alle weiteren Themen in der Windows- und Hybrid-IT-Welt.