Server, die einfach laufen — sauber geplant, gehärtet, dokumentiert
Active Directory ist das Rückgrat fast jeder Firmen-IT — und gleichzeitig das beliebteste Angriffsziel von Cyber-Kriminellen. Ein schlecht eingerichtetes AD ist wie ein Haus mit offener Tür: Wenn ein Angreifer einmal drin ist, hat er Zugriff auf alles.
Ich plane, baue und betreibe deine Windows-Server-Umgebung so, dass sie sicher ist, nachvollziehbar, und im Notfall in 4 Stunden wiederherstellbar. Mit klarer Trennung von Admin-Konten (Tier-Modell), gehärteten Gruppenrichtlinien und Backups, die wirklich funktionieren.
Was du am Ende hast
- ✓Saubere AD-Struktur (OU, Gruppen)
- ✓Tier-Modell (Tier 0/1/2)
- ✓Gehärtete GPOs nach BSI
- ✓LAPS für lokale Admin-Passwörter
- ✓Backup mit getestetem Restore
- ✓Hybrid-Anbindung an Entra ID
- ✓Komplette Doku als PDF
Server-Themen im Überblick
Ob du einen neuen Server aufbaust, eine bestehende Umgebung übernehmen lässt oder dein AD nach einem Audit härten musst — diese Bausteine setze ich für dich um.
AD-Design & Aufbau
OU-Struktur, Gruppen-Modell (Rollen + Ressourcen), Sites & Services, DNS, Service-Accounts.
GPO-Härtung
Sicherheits-Baselines, BitLocker, Firewall-Regeln, Lockout-Policies, Anmeldebeschränkungen.
Tier-Modell
Strikte Trennung von Admin-Konten und Workstations — verhindert Lateral Movement.
LAPS
Lokales Admin-Passwort pro Gerät, automatisch rotiert. Nie wieder das gleiche Passwort überall.
DFS & Fileservices
Namensraum für Dateifreigaben, Replikation zwischen Standorten, Quotas, NTFS-Berechtigungen.
Backup & Recovery
3-2-1-Strategie: 3 Kopien, 2 Medien, 1 offsite. Inklusive getestetem Wiederherstellungs-Plan.
Hybrid mit Entra Connect
AD und Entra ID synchronisieren — Single-Sign-On für Cloud-Apps mit lokalen Identitäten.
Defender for Identity
Erkennt Angriffe auf dein AD in Echtzeit — Pass-the-Hash, Golden Ticket, ungewöhnliche Logins.
Monitoring
Health-Checks, AD Replikation, DC-Performance, Alerts bei Auffälligkeiten.
Das Tier-Modell — warum Admin-Trennung deinen Tag rettet
Stell dir vor: Ein Mitarbeiter klickt auf einen Phishing-Link. Sein Konto wird übernommen. In einem schlecht aufgesetzten AD ist alles offen, weil Admin-Konten oft gleichzeitig auf Servern und Arbeitsplätzen verwendet werden. Im Tier-Modell ist das strikt getrennt — und ein einzelner Klick kann die Firma nicht mehr lahmlegen.
Domain Controller & PKI
Die kritischsten Systeme — wer hier rein kommt, kontrolliert alles. Schutz auf höchster Stufe.
- Eigene Admin-Konten (keine Mehrfachverwendung)
- Keine Anmeldung an Workstations
- Privileged Access Workstations (PAW)
- Nur über sichere Bastion erreichbar
Server & Anwendungen
File-Server, Datenbanken, Anwendungsserver — wichtig, aber weniger kritisch als Domain Controller.
- Eigene Server-Admin-Konten
- Keine Anmeldung an Workstations
- Keine Anmeldung an DCs
- Verwaltung über sichere Jumphosts
Workstations & Helpdesk
Laptops und PCs der Mitarbeitenden. Helpdesk-Mitarbeiter dürfen hier administrieren — aber nur hier.
- Eigene Helpdesk-Admin-Konten
- LAPS für lokale Admins
- Keine Domain-Admin-Anmeldung
- Standardanwender ohne lokale Admin-Rechte
PowerShell-Snippets aus echten Projekten
Hier ein paar typische PowerShell-Befehle, mit denen ich AD-Umgebungen automatisiere. Alles, was wiederholt wird, sollte automatisiert sein — sonst schleichen sich Fehler ein.
# Standard-OUs für eine saubere AD-Struktur anlegen $baseDN = "DC=hugetec,DC=local" $ous = @( "OU=Tier0,$baseDN", "OU=Tier1,$baseDN", "OU=Tier2,$baseDN", "OU=Users,OU=Tier2,$baseDN", "OU=Workstations,OU=Tier2,$baseDN", "OU=Servers,OU=Tier1,$baseDN", "OU=ServiceAccounts,OU=Tier1,$baseDN" ) foreach ($ou in $ous) { $name = ($ou -split ",")[0] -replace "OU=","" $path = $ou -replace "^OU=[^,]+,","" New-ADOrganizationalUnit -Name $name -Path $path ` -ProtectedFromAccidentalDeletion $true }
# Prüft Replikation, FSMO-Rollen, DC-Status Import-Module ActiveDirectory # Replikations-Status aller DCs repadmin /replsummary # DCdiag - umfassender DC-Health-Check dcdiag /v /e /q # FSMO-Rollen anzeigen netdom query fsmo # Letzte Anmeldung aller Domain-Admins Get-ADGroupMember "Domain Admins" | ForEach-Object { Get-ADUser $_ -Properties LastLogonDate, Enabled | Select-Object Name, LastLogonDate, Enabled }
In 5 Schritten zur sauberen Server-Umgebung
IST-Analyse
Was ist da? Domain Controller, Server, GPOs, Backup-Konzept, Schwachstellen.
Konzept
Zielbild mit OU-Plan, GPO-Baseline, Tier-Modell, Migrationspfad.
Umsetzung
Domain Controller, GPOs, PKI, NPS, Backup, Monitoring — schrittweise.
Hardening
BSI-Empfehlungen, Microsoft-Baselines, LAPS, Defender for Identity.
Übergabe
Komplette Doku, Schulung deiner Admins, optional Managed Service.
Stimmen aus der Praxis
Hinweis: Bitte echte Kundenstimmen einsetzen.
„[Hier echtes Zitat zur Server-/AD-Einrichtung einsetzen.]"
— [Kundenname], [Position], [Firma]Was Kunden zu Windows Server fragen
Wie viele Domain Controller brauche ich wirklich?
Was ist mit dem alten Windows Server 2012 / 2016?
Brauche ich noch Active Directory in Zeiten von Microsoft 365?
Wie sichere ich Domain Controller gegen Angriffe?
Was ist ein typischer Aufwand für die Härtung eines bestehenden AD?
Bietest du auch laufenden Betrieb (Managed Service)?
Glossar — Windows Server & AD verständlich
Server, der Active Directory hostet — verwaltet Benutzer, Geräte, Anmeldungen.
Logischer Container in AD, in dem Objekte (Benutzer, Computer) organisiert werden.
Gruppenrichtlinie — zentrale Konfiguration für Geräte und Benutzer (z.B. Bildschirmsperre nach 5 Min).
Spezielle AD-Rollen (Schema Master, RID Master usw.), die nur ein DC gleichzeitig haben darf.
Local Administrator Password Solution — automatisch rotierende lokale Admin-Passwörter pro Gerät.
Distributed File System Namespaces (logische Pfade) und Replication (Datei-Replikation zwischen Servern).
Authentifizierungs-Protokoll von AD — sicherer und schneller als das alte NTLM.
Tool, das lokales AD mit Microsoft Entra ID synchronisiert — Voraussetzung für Hybrid-Identitäten.
Lass uns deine Server-Umgebung sichern
15 Minuten kostenlos. Wir besprechen deinen Status und ich nenne dir die wichtigsten Quick-Wins, die du sofort umsetzen kannst — auch ohne mich zu beauftragen.