Active Directory für Unternehmen: Wann lohnt sich eine Windows-Domäne?

Drei Computer, drei lokale Benutzerkonten und ein gemeinsamer Ordner auf einem NAS: Für einen kleinen Betrieb kann das vollkommen ausreichend sein.

Mit jedem zusätzlichen Arbeitsplatz wird eine solche Umgebung allerdings schwieriger zu verwalten. Neue Mitarbeiter benötigen Benutzerkonten, Zugriffsrechte müssen eingerichtet werden, Kennwortrichtlinien sollen eingehalten werden und bestimmte Einstellungen sollten auf allen Computern identisch sein.

Spätestens dann fällt häufig der Begriff Active Directory.

Eine Windows-Domäne kann die Verwaltung einer Unternehmens-IT erheblich vereinfachen. Sie ist aber kein Selbstzweck und auch nicht für jeden Betrieb automatisch die richtige Lösung.

Entscheidend ist deshalb nicht die Anzahl der Computer allein, sondern die Frage, welche Anforderungen zentral verwaltet werden müssen.

Was ist Active Directory überhaupt?

Active Directory Domain Services, kurz AD DS, ist der klassische Verzeichnisdienst von Microsoft für Windows-Netzwerke.

Vereinfacht gesagt entsteht damit eine zentrale Instanz, in der Informationen über Benutzer, Computer, Gruppen und weitere Netzwerkobjekte verwaltet werden.

Statt jeden Arbeitsplatz vollständig einzeln zu konfigurieren, können Benutzer und Geräte zentral organisiert werden.

Ein Mitarbeiter besitzt beispielsweise ein Domänenkonto und kann sich damit – entsprechend seiner Berechtigungen – an verschiedenen Firmencomputern anmelden.

Auch Zugriffe auf Dateifreigaben, Anwendungen, Drucker oder andere Ressourcen können über diese Identität gesteuert werden.

Ohne Domäne wird jeder Arbeitsplatz schnell zu einer eigenen Insel

Bei wenigen Computern fällt eine dezentrale Verwaltung kaum auf.

Ein Benutzer wird lokal angelegt, ein Netzlaufwerk manuell verbunden, der Drucker eingerichtet und einige Einstellungen werden von Hand vorgenommen.

Bei zehn, zwanzig oder fünfzig Arbeitsplätzen sieht die Situation anders aus.

Plötzlich müssen dieselben Tätigkeiten immer wieder durchgeführt werden:

• Benutzerkonten anlegen und entfernen,
• Passwörter und Berechtigungen verwalten,
• Netzlaufwerke einrichten,
• Drucker verbinden,
• Sicherheitseinstellungen konfigurieren,
• bestimmte Windows-Einstellungen vereinheitlichen,
• Zugriffe auf Unternehmensdaten kontrollieren.

Technisch lässt sich vieles davon auch ohne Active Directory lösen. Die entscheidende Frage ist allerdings, wie viel manueller Aufwand dadurch entsteht und wie konsistent die Umgebung anschließend bleibt.

Ein Benutzerkonto statt zahlreicher lokaler Konten

Einer der offensichtlichsten Vorteile einer Domäne ist die zentrale Benutzerverwaltung.

Ohne Active Directory besitzt ein Mitarbeiter möglicherweise auf mehreren Computern unterschiedliche lokale Benutzerkonten.

Ändert sich sein Passwort oder verlässt der Mitarbeiter das Unternehmen, müssen diese Konten gegebenenfalls einzeln bearbeitet werden.

In einer Domäne wird der Benutzer zentral verwaltet.

Wird sein Konto deaktiviert, kann diese Identität nicht mehr regulär für die Anmeldung an Domänenressourcen verwendet werden.

Besonders beim Eintritt und Austritt von Mitarbeitern wird dieser Unterschied schnell relevant.

Berechtigungen sollten nicht an einzelne Personen gebunden werden

Ein häufiger Fehler in gewachsenen Unternehmensnetzwerken besteht darin, Zugriffsrechte direkt an einzelne Benutzer zu vergeben.

Dann sieht eine Dateifreigabe irgendwann beispielsweise so aus:

• Anna darf lesen,
• Peter darf ändern,
• Thomas darf lesen,
• Julia darf ändern,
• der ehemalige Mitarbeiter Markus steht ebenfalls noch darin.

Das funktioniert technisch, wird aber mit der Zeit schwer nachvollziehbar.

Sinnvoller ist häufig eine rollenbasierte Struktur mit Sicherheitsgruppen.

Beispielsweise:

• Verkauf – Lesen
• Verkauf – Ändern
• Buchhaltung – Ändern
• Geschäftsführung – Vertrauliche Dokumente

Benutzer werden anschließend den passenden Gruppen zugeordnet.

Wechselt ein Mitarbeiter die Abteilung, müssen nicht sämtliche Dateiberechtigungen einzeln gesucht und geändert werden. Seine Gruppenmitgliedschaften werden angepasst.

Eine gut geplante Gruppenstruktur macht Berechtigungen dadurch wesentlich übersichtlicher.

Gruppenrichtlinien sind eine der größten Stärken einer Windows-Domäne

Active Directory ermöglicht gemeinsam mit Gruppenrichtlinien, zahlreiche Einstellungen zentral auf Benutzer oder Computer anzuwenden.

Dadurch lassen sich beispielsweise Sicherheits- und Systemeinstellungen standardisieren, ohne jeden Arbeitsplatz einzeln konfigurieren zu müssen.

Je nach Umgebung können Gruppenrichtlinien unter anderem verwendet werden für:

• Kennwort- und Sicherheitseinstellungen,
• Windows-Firewall-Konfigurationen,
• bestimmte Microsoft-Defender-Einstellungen,
• Zuordnung von Netzlaufwerken,
• Bereitstellung von Druckern,
• Browser- oder Systemeinstellungen,
• Einschränkungen für Benutzer,
• Konfiguration von Windows-Komponenten.

Der eigentliche Vorteil besteht weniger darin, dass eine einzelne Einstellung zentral gesetzt werden kann.

Entscheidend ist die Konsistenz: Neue Computer können automatisch dieselben grundlegenden Richtlinien erhalten wie bereits vorhandene Geräte.

Warum Organisationseinheiten nicht einfach Ordner sind

In Active Directory können Benutzer und Computer in sogenannten Organisationseinheiten – Organizational Units beziehungsweise OUs – strukturiert werden.

OUs sehen auf den ersten Blick etwas wie Ordner aus, erfüllen aber eine wesentlich wichtigere Aufgabe.

Sie ermöglichen eine logische Struktur, auf die unter anderem Gruppenrichtlinien und administrative Zuständigkeiten angewendet werden können.

Eine vereinfachte Struktur könnte beispielsweise so aussehen:

 

Unternehmen
├── Benutzer
│   ├── Verwaltung
│   ├── Verkauf
│   └── Technik
│
├── Computer
│   ├── Arbeitsplätze
│   ├── Notebooks
│   └── Spezialgeräte
│
└── Server

 

Eine gute OU-Struktur sollte sich dabei an administrativen Anforderungen orientieren und nicht einfach das Organigramm des Unternehmens eins zu eins kopieren.

Zu viele Ebenen und Sonderfälle können eine Domäne genauso unübersichtlich machen wie gar keine Struktur.

Active Directory und DNS gehören eng zusammen

Einer der häufigsten Punkte bei schlecht aufgebauten Windows-Domänen ist DNS.

Active Directory verwendet DNS, damit Computer Dienste und insbesondere Domänencontroller im Netzwerk finden können.

Ein Domänenclient sollte deshalb nicht einfach irgendeinen öffentlichen DNS-Server wie den Router oder einen externen DNS-Dienst als primären DNS-Resolver verwenden, wenn dadurch die interne Active-Directory-Namensauflösung umgangen wird.

Die korrekte DNS-Struktur ist ein zentraler Bestandteil einer stabilen Domäne.

Viele vermeintliche „Active-Directory-Probleme“ sind in der Praxis eigentlich DNS-Probleme.

Was macht ein Domain Controller?

Ein Domain Controller stellt Active Directory Domain Services für die Domäne bereit.

Dort befinden sich unter anderem Informationen über Benutzer, Gruppen, Computer und weitere Verzeichnisobjekte.

Der Domain Controller ist außerdem wesentlich an der Authentifizierung von Benutzern und Computern beteiligt.

Das bedeutet gleichzeitig: Ein Domain Controller ist keine beliebige Nebenrolle auf irgendeinem Windows-PC.

Er gehört zur zentralen Infrastruktur eines Unternehmens und sollte entsprechend geplant, geschützt, überwacht und gesichert werden.

Warum ein zweiter Domain Controller sinnvoll sein kann

Wenn die gesamte Benutzeranmeldung und Namensauflösung eines Unternehmens von einem einzigen Domain Controller abhängt, entsteht eine unnötig starke Abhängigkeit von diesem System.

Bei größeren oder besonders ausfallkritischen Umgebungen kann deshalb ein zweiter Domain Controller sinnvoll sein.

Active Directory repliziert Verzeichnisinformationen zwischen den Domain Controllern. Fällt ein System aus, steht dadurch weiterhin ein weiterer Verzeichnisdienst zur Verfügung.

Ob ein zweiter Domain Controller notwendig ist, hängt allerdings vom jeweiligen Betrieb, der Infrastruktur und den Anforderungen ab.

Auch hier gilt: Mehr Server sind nicht automatisch eine bessere Architektur.

Virtualisierung macht Domain Controller flexibler

Domain Controller werden heute häufig als virtuelle Maschinen betrieben.

Eine Virtualisierungsplattform wie Hyper-V ermöglicht, mehrere Serverrollen logisch voneinander zu trennen, obwohl sie auf derselben physischen Hardware betrieben werden.

Beispielsweise können auf einem Host getrennte virtuelle Maschinen existieren für:

• Active Directory und DNS,
• Anwendungsserver,
• weitere interne Dienste.

Dadurch müssen nicht zwangsläufig für jede Serverrolle eigene physische Geräte betrieben werden.

Trotzdem bleibt eine saubere Backup- und Wiederherstellungsstrategie notwendig. Virtualisierung ersetzt weder Redundanz noch Datensicherung.

Mehr zu diesem Thema finden Sie unter Servertechnik für Unternehmen.

Active Directory ist nicht automatisch ein Dateiserver

Ein weiterer häufiger Irrtum: Active Directory und Dateiserver sind zwei unterschiedliche Aufgaben.

Ein Domain Controller stellt den Verzeichnis- und Authentifizierungsdienst bereit.

Ein Dateiserver stellt Dateien und Freigaben zur Verfügung.

Beide Systeme können miteinander zusammenarbeiten, weil Zugriffsrechte auf Dateifreigaben über Domänenbenutzer und Sicherheitsgruppen gesteuert werden können.

Daraus folgt aber nicht, dass sämtliche Unternehmensdaten direkt auf dem Domain Controller gespeichert werden sollten.

Serverrollen sollten bewusst geplant und voneinander getrennt werden, wenn dies für Sicherheit, Wartung und Wiederherstellung sinnvoll ist.

Ab wie vielen Mitarbeitern lohnt sich Active Directory?

Dafür gibt es keine seriöse feste Zahl.

Die Aussage „ab zehn Computern braucht man eine Domäne“ wäre zu pauschal.

Ein Betrieb mit fünf Arbeitsplätzen kann bereits Anforderungen besitzen, die eine zentrale Verwaltung sinnvoll machen.

Ein anderer Betrieb mit fünfzehn sehr einfachen Geräten kann möglicherweise mit einer anderen Lösung gut zurechtkommen.

Wichtiger als die Anzahl der Computer sind Fragen wie:

• Arbeiten mehrere Mitarbeiter an unterschiedlichen Computern?
• Müssen gemeinsame Zugriffsrechte zentral verwaltet werden?
• Existieren interne Serveranwendungen?
• Sollen Sicherheitseinstellungen zentral erzwungen werden?
• Gibt es häufige Mitarbeiterwechsel?
• Müssen neue Arbeitsplätze regelmäßig eingerichtet werden?
• Gibt es Anforderungen an zentrale Authentifizierung?
• Wie wichtig ist eine einheitliche Konfiguration der Geräte?

Je häufiger diese Fragen mit „ja“ beantwortet werden, desto interessanter wird eine zentral verwaltete Identitäts- und Geräteumgebung.

Wann Active Directory unnötig sein kann

Nicht jeder kleine Betrieb benötigt einen lokalen Windows-Server.

Wenn beispielsweise nur wenige Benutzer vorhanden sind, sämtliche Anwendungen cloudbasiert arbeiten und keine klassischen Domänenressourcen benötigt werden, kann eine reine Cloud-Strategie sinnvoller sein.

Einen Domain Controller nur zu installieren, „weil Firmen eben einen Server haben“, erzeugt zusätzliche Infrastruktur ohne konkreten Nutzen.

Server müssen aktualisiert, überwacht, gesichert und irgendwann ersetzt werden.

Die zentrale Frage lautet deshalb immer: Welches Problem soll Active Directory lösen?

Active Directory und Microsoft Entra ID sind nicht dasselbe

Seit Microsoft 365 und Cloud-Diensten häufiger eingesetzt werden, entsteht oft Verwirrung zwischen klassischem Active Directory und Microsoft Entra ID.

Beide Systeme verwalten Identitäten, sind technisch aber nicht dasselbe.

Klassisches Active Directory Domain Services wurde für traditionelle Windows-Netzwerke entwickelt und stellt unter anderem klassische Domänenfunktionen wie Kerberos- und NTLM-Authentifizierung, LDAP, Group Policy und Domain Join bereit.

Microsoft Entra ID ist dagegen ein cloudbasierter Identity-Service, der insbesondere für Microsoft 365, SaaS-Anwendungen, moderne Authentifizierung und Cloud-Ressourcen verwendet wird.

Deshalb sollte die Frage nicht lauten:

„Was ist besser – Active Directory oder Entra ID?“

Sondern:

„Welche Identitätsdienste benötigen unsere Anwendungen und Geräte?“

Hybride Umgebungen können beide Welten verbinden

Viele Unternehmen verwenden heute nicht ausschließlich lokale oder ausschließlich cloudbasierte Systeme.

Ein typisches Beispiel:

• lokales Active Directory für interne Geräte und Anwendungen,
• Microsoft 365 für E-Mail und Zusammenarbeit,
• Microsoft Entra ID für Cloud-Identitäten und moderne Authentifizierung.

Solche hybriden Umgebungen können sinnvoll sein, sollten aber sauber geplant werden.

Besonders wichtig ist dabei, dass Identitäten, Anmeldenamen, Berechtigungen und Synchronisation nachvollziehbar bleiben.

Eine schlecht geplante hybride Umgebung kann sonst komplizierter werden als die beiden Systeme jeweils für sich.

Weitere Informationen zu Microsofts Cloud-Diensten finden Sie unter Microsoft 365 & Cloud.

Eine Domäne ersetzt kein Berechtigungskonzept

Active Directory bietet die technischen Werkzeuge für zentrale Berechtigungen.

Es entscheidet aber nicht automatisch, wer auf welche Unternehmensdaten zugreifen sollte.

Dafür benötigt der Betrieb ein sinnvolles organisatorisches Konzept.

Beispielsweise sollte nicht jeder Mitarbeiter automatisch Administratorrechte erhalten, nur weil dies kurzfristig bequemer ist.

Ebenso sollten Freigaben nicht nach dem Prinzip „alle dürfen alles“ aufgebaut werden.

Ein sinnvolles Grundprinzip ist Least Privilege: Benutzer und Systeme erhalten nur die Berechtigungen, die sie für ihre Aufgaben tatsächlich benötigen.

Lokale Administratorrechte sind ein wichtiges Thema

In vielen kleinen Unternehmensnetzwerken arbeiten Benutzer dauerhaft mit lokalen Administratorrechten.

Das ist bequem, weil jede Software installiert und jede Systemeinstellung verändert werden kann.

Gleichzeitig erhöht es das Risiko, dass unerwünschte Software oder Schadprogramme weitreichende Änderungen am Arbeitsplatz vornehmen können.

Eine zentral verwaltete Umgebung ermöglicht, Benutzerrechte wesentlich kontrollierter zu vergeben und administrative Tätigkeiten von der normalen täglichen Arbeit zu trennen.

Auch Active Directory benötigt ein Backup

Ein Domain Controller ist zentrale Infrastruktur. Entsprechend wichtig ist eine saubere Sicherungs- und Wiederherstellungsstrategie.

Dabei sollte nicht einfach davon ausgegangen werden, dass ein Snapshot der virtuellen Maschine automatisch jedes Problem löst.

Backup, Wiederherstellung und gegebenenfalls mehrere Domain Controller erfüllen unterschiedliche Aufgaben.

Ein funktionierendes Konzept sollte berücksichtigen, wie die Domäne nach unterschiedlichen Fehlerbildern wiederhergestellt werden kann.

Mehr zum Unterschied zwischen Redundanz und Datensicherung finden Sie in unserem Beitrag Warum ein RAID noch lange kein Backup ist.

Was passiert beim Ausfall des Servers?

Diese Frage sollte bereits bei der Planung gestellt werden.

Befinden sich Active Directory, DNS, Anwendungen und Dateidaten auf einer zentralen Serverplattform, muss klar sein, welche Auswirkungen ein Ausfall auf den Betrieb hätte.

Je nach Unternehmen kann beispielsweise akzeptabel sein, dass bestimmte Dienste einige Stunden nicht verfügbar sind.

In einem anderen Betrieb können bereits wenige Minuten Stillstand erhebliche Auswirkungen haben.

Daraus ergeben sich Anforderungen an:

• Serverhardware,
• Virtualisierung,
• Redundanz,
• Backup,
• Monitoring,
• Dokumentation,
• Wiederherstellungszeiten.

Eine Windows-Domäne sollte deshalb nicht isoliert, sondern als Teil der gesamten IT-Infrastruktur betrachtet werden.

Ein Beispiel aus einem wachsenden Unternehmen

Stellen wir uns einen Betrieb mit zwölf Arbeitsplätzen vor.

Anfangs wurden alle Computer einzeln eingerichtet. Jeder Mitarbeiter besitzt ein lokales Benutzerkonto und Netzlaufwerke werden manuell verbunden.

Nach einigen Jahren entstehen typische Probleme:

• alte Benutzerkonten befinden sich noch auf mehreren Computern,
• niemand weiß genau, wer Zugriff auf welche Freigaben besitzt,
• neue Arbeitsplätze benötigen viel manuelle Konfiguration,
• Passwort- und Sicherheitseinstellungen unterscheiden sich,
• Mitarbeiter wechseln zwischen Arbeitsplätzen,
• administrative Kennwörter sind historisch gewachsen.

In einer sauber geplanten Domäne können Benutzer, Gruppen und Computer anschließend zentral organisiert werden.

Berechtigungen werden über Gruppen vergeben, grundlegende Systemeinstellungen über Richtlinien definiert und neue Arbeitsplätze in eine bestehende Verwaltungsstruktur aufgenommen.

Die Domäne macht den Betrieb dabei nicht automatisch sicher.

Sie schafft jedoch eine zentrale technische Grundlage, auf der Sicherheit und Administration wesentlich kontrollierter umgesetzt werden können.

Eine schlecht aufgebaute Domäne kann mehr Probleme schaffen als sie löst

Active Directory ist seit vielen Jahren eine bewährte Technologie. Das bedeutet allerdings nicht, dass jede Installation automatisch gut aufgebaut ist.

Typische Probleme in historisch gewachsenen Domänen sind beispielsweise:

• unübersichtliche Organisationseinheiten,
• unklare Gruppenstrukturen,
• direkt an Benutzer vergebene Berechtigungen,
• zu viele Administratoren,
• veraltete Gruppenrichtlinien,
• DNS-Fehlkonfigurationen,
• alte oder nicht mehr benötigte Benutzerkonten,
• fehlende Dokumentation,
• kein getestetes Wiederherstellungskonzept.

Deshalb ist eine kleine, verständliche und sauber dokumentierte Struktur meist besser als eine unnötig komplexe Enterprise-Architektur für einen Betrieb mit zwanzig Mitarbeitern.

Fazit: Active Directory lohnt sich nicht wegen der Mitarbeiterzahl

Ob eine Windows-Domäne sinnvoll ist, lässt sich nicht an einer einzelnen Zahl festmachen.

Active Directory wird interessant, sobald Benutzer, Computer, Berechtigungen und Richtlinien nicht mehr effizient einzeln verwaltet werden können.

Für Unternehmen mit internen Serverdiensten, gemeinsamen Daten und mehreren Arbeitsplätzen kann eine sauber geplante Domäne die Administration erheblich vereinfachen.

In anderen Betrieben kann eine moderne cloudbasierte Verwaltung die bessere und schlankere Lösung sein.

Entscheidend ist deshalb nicht, ob ein Unternehmen „einen Server haben sollte“.

Entscheidend ist: Welche Identitäten, Geräte und Ressourcen müssen zentral verwaltet werden – und welche Architektur löst diese Anforderungen mit möglichst wenig unnötiger Komplexität? 

Weitere Informationen finden Sie unter Servertechnik für Unternehmen und Microsoft 365 & Cloud. Wenn Sie eine bestehende Windows-Domäne überprüfen oder eine neue Infrastruktur planen möchten, erreichen Sie uns über die Kontaktseite.