Was Microsoft Active Directory ist

Active Directory Domain Services (AD DS) ist der Verzeichnisdienst von Windows Server. Er speichert Benutzer, Gruppen, Computer und andere Objekte in einer hierarchischen Struktur und repliziert sie zwischen allen Domänencontrollern einer Domäne. Die Anmeldung läuft über Kerberos, Abfragen über LDAP.

AD DS ist eine Rolle in Windows Server und wird mit dessen Lizenz genutzt. Mit Windows Server 2025 kamen eine neue Funktionsebene, eine größere Datenbankseite, LDAP-Signierung als Standard und TLS 1.3 für LDAP hinzu. Hersteller ist die Microsoft Corporation in Redmond.

Wofür es eingesetzt wird

Unternehmen und Verwaltungen nutzen AD DS als zentrales Verzeichnis für Anmeldung, Rechte und Gruppenrichtlinien in Windows-Umgebungen. Viele Anwendungen, Dateiserver und Netzwerkgeräte binden sich über LDAP oder Kerberos an. Oft wird es mit Microsoft Entra ID verbunden.

Die Verzeichnisdaten bleiben im eigenen Haus. Ein späterer Wechsel auf einen anderen Verzeichnisdienst ist über LDIF-Export möglich, Passwörter müssen dabei aber neu gesetzt oder auf anderem Weg übernommen werden.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz von AD DS auf selbst betriebenen Domänencontrollern mit Windows Server 2025; Fragen zum Rechtsraum und zu Nachweisen sind für lokal betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner in der EU ist die Microsoft Ireland Operations Limited mit Sitz in Dublin; Konzernmutter ist die Microsoft Corporation in Redmond, USA. Der von einem Händler wiedergegebene Microsoft Customer Agreement nennt die irische Gesellschaft als Vertragspartner. Beleg: Microsoft 365 – Informationen zu rechtlichen Asp… · Microsoft Customer Agreement, ohne Versionsangabe
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Verzeichnisdaten und Domänencontroller beim Betreiber; eine Herausgabeanordnung gegen Microsoft erfasst sie nicht unmittelbar. Daten, die an Microsoft fließen (Diagnosedaten, Aktivierung, Supportfälle), unterliegen über die US-Konzernmutter dem CLOUD Act, der eine Herausgabe unabhängig vom Speicherort vorsieht. Beleg: 18 U.S.C. § 2713 (CLOUD Act) · Configure Windows diagnostic data in your organi… · Microsoft 365 – Informationen zu rechtlichen Asp…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Domänencontroller, Datenbank und Schlüssel liegen im Selbstbetrieb beim Betreiber; der Verzeichnisdienst braucht für Anmeldung und Replikation keine Verbindung zu Microsoft. Die Aktivierung von Windows Server ist über Active-Directory-basierte Aktivierung ohne Kontakt zu Microsoft möglich. Updates bezieht und installiert der Betreiber selbst. Beleg: Active Directory Domain Services overview · Kerberos authentication overview · License and activate Windows Server
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Microsoft Corporation ist im GLEIF-Register (LEI INR2EJN1ERAN0W5ZP974, Washington, USA) eingetragen; als oberste konsolidierende Muttergesellschaft ist keine andere Gesellschaft gemeldet (Ausnahme „NON_CONSOLIDATING“), Microsoft ist börsennotiert. Ein Kontrollwechsel zwischen 05.11.2024 und 05.11.2026 ist nicht bekannt. Der Sitz in den USA wird unter 1.1 bewertet. Beleg: LEI-Datensatz Microsoft Corporation (INR2EJN1ERA… · Microsoft Corporation, Meldeausnahme oberste Mut…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: AD DS läuft auf Domänencontrollern des Betreibers; den Speicherort der Verzeichnisdaten und ihrer Sicherungen bestimmt der Betreiber. Microsoft hält fest, dass Daten in lokal betriebener Software nicht Teil der EU Data Boundary sind, weil Microsoft nicht kontrolliert, was in lokalen Umgebungen der Kunden geschieht. Diagnosedaten von Windows Server prüft nach v1.2 Frage 2.3. Beleg: EU Data Boundary transfers for all services
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	AD DS läuft auf Domänencontrollern mit Windows Server, die auf eigener Hardware, virtuell oder bei einem Dienstleister betrieben werden können. Alle Domänencontroller einer Domäne halten eine vollständige Kopie der Verzeichnisdaten. Beleg: Active Directory Domain Services overview · Windows Server 2025 Pricing (Lizenzmodell)
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Windows Server bietet die Stufe „Diagnostic data off“ (Security); dann werden laut Microsoft keine Windows-Diagnosedaten gesendet, auch keine Absturzdaten. Microsoft empfiehlt für Windows Update mindestens die Stufe „Required“. Andere Verbindungen zu Microsoft (z. B. Windows Update, Zertifikatsprüfungen) sind keine Diagnosedaten; die Anleitung zu ihrer Abschaltung nennt nur Windows Server 2016 und 2019, CRL- und OCSP-Abfragen lassen sich nicht abschalten. Bewertet als „teilweise“, weil die Abschaltung der Empfehlung für Windows Update widerspricht und nicht alle Verbindungen zu Microsoft abschaltbar sind. Beleg: Configure Windows diagnostic data in your organi… · Manage connections from Windows operating system…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Im Selbstbetrieb verbleiben Verzeichnisdaten (Benutzer, Gruppen, Kennwort-Hashes) beim Betreiber. Windows Server sendet jedoch Diagnosedaten an Microsoft, solange der Betreiber nicht „Diagnostic data off“ einstellt; Microsoft ist dafür Verantwortlicher nach seiner Datenschutzerklärung, die die Verwendung von Daten zum Training eigener KI-Modelle vorsieht. Ein vertraglicher Ausschluss ohne Zutun des Kunden ist nicht belegt. Beleg: Configure Windows diagnostic data in your organi… · Datenschutzerklärung (Microsoft Privacy Statement)

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Windows Server ist proprietäre Software, lizenziert je Prozessorkern mit Zugriffslizenzen (CALs). Der Quellcode steht nicht unter einer OSI-Lizenz. Beleg: Windows Server 2025 Pricing (Lizenzmodell)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt Windows Server mit Lizenz je Kern sowie Zugriffslizenzen für jeden Benutzer oder jedes Gerät voraus. Windows Server muss nach der Installation aktiviert werden. Beleg: Windows Server 2025 Pricing (Lizenzmodell) · License and activate Windows Server
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Bewertet wird die unbefristete Volumenlizenz. Microsoft bezeichnet sie als herkömmliche unbefristete Lizenzierung; die Alternative ist ein nutzungsabhängiges Abonnement über Azure Arc. Sicherheitsupdates gibt es nach Lebenszyklus bis 15. November 2034, unabhängig von einem laufenden Vertrag. Neue Versionen erfordern neue Lizenzen. Beleg: What's new in Windows Server 2025 · Windows Server 2025 Pricing (Lizenzmodell) · Windows Server 2025 – Microsoft Lifecycle

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Microsoft hat ein ISO-27001-Zertifikat, dessen Geltungsbereich laut Microsoft-Seite Cloud-Dienste umfasst; Windows Server und seine Entwicklung sind dort nicht genannt. Windows Server 2025 ist in der Liste der Common-Criteria-Zertifizierungen aufgeführt, einer Produktprüfung, die kein ISO- oder C5-Nachweis ist. Auslegung: Für lokal betriebene Software belegt das nur einen Teil der Frage. Beleg: ISO/IEC 27001 (Compliance Offering) · Common Criteria certifications (Windows-Plattform)
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Das Microsoft Security Response Center betreibt einen öffentlichen Meldeweg nach dem Prinzip der koordinierten Offenlegung. Sicherheitslücken werden im Security Update Guide mit CVE, Schweregrad, CVSS und betroffenen Produkten veröffentlicht, Updates erscheinen regelmäßig am zweiten Dienstag des Monats. Beleg: Coordinated Vulnerability Disclosure · Security Update Guide FAQs
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Microsoft Ireland Operations Limited (EU). Nach dem von einem Händler wiedergegebenen Microsoft Customer Agreement gilt irisches Recht; Gerichtsstand ist Irland bei Klagen gegen europäische Microsoft-Gesellschaften, bei Klagen gegen Gesellschaften außerhalb Europas King County (USA). Version des Vertragstexts und Standort des Supports für lokal betriebene Produkte sind nicht aus einer Primärquelle belegt. Beleg: Microsoft 365 – Informationen zu rechtlichen Asp… · Microsoft Customer Agreement, ohne Versionsangabe
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Auslegung: Verzeichnisdaten (Benutzer, Gruppen, Kennwort-Hashes) verarbeitet Microsoft im Selbstbetrieb nicht. Diagnosedaten verarbeitet Microsoft als Verantwortlicher außerhalb des Auftragsverarbeitungsregimes; für Support-Daten gilt der DPA mit Liste im Service Trust Portal und Vorankündigung (sechs Monate bzw. 30 Tage). Ob diese Liste Standorte nennt und vollständig ist, war ohne Anmeldung nicht prüfbar. Beleg: Configure Windows diagnostic data in your organi… · Supplier management overview (Service Trust, Unt…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration der Domänencontroller liegen beim Betreiber; Microsoft hat keinen Zugriff auf Verzeichnisdaten, solange der Betreiber ihn nicht gewährt. Für Windows Server beschreibt Microsoft Fernsupport, bei dem der Kunde nach eigener Supportanfrage den Zugriff je Sitzung mit Zugriffsstufe und Dauer freigibt und jederzeit widerrufen kann. Diese Funktion setzt Azure Arc und bestimmte Lizenzarten voraus. Beleg: Remote support for Arc-enabled Windows Server

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Verzeichnisobjekte lassen sich mit dem Werkzeug ldifde im offenen Format LDIF exportieren und importieren, auch in andere Verzeichnisdienste. Die Doku dazu ist archiviert (Stand Windows Server 2008). Das Protokoll ist als Microsoft Open Specification [MS-ADTS] dokumentiert; es erweitert LDAP und weicht in Teilen davon ab. Beleg: Import or Export Directory Objects Using Ldifde · Using LDIFDE to export users from Active Directory · [MS-ADTS]: Active Directory Technical Specificat…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Anmeldung nutzt Kerberos Version 5 nach IETF-Standard, das Verzeichnis ist über LDAP erreichbar; neue Bereitstellungen mit Windows Server 2025 verlangen standardmäßig LDAP-Signierung, LDAP über TLS 1.3 wird unterstützt. NTLMv1 ist entfernt, NTLMv2 abgekündigt. SAML oder OpenID Connect bietet AD DS nicht selbst, sondern über die separate Rolle AD FS, für die Microsoft den Umstieg auf Entra ID empfiehlt. Beleg: Kerberos authentication overview · What's new in Windows Server 2025 · Features removed or no longer developed in Windo… · AD FS overview
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Der Export mit ldifde oder über LDAP erfolgt mit Bordmitteln und ohne Mitwirkung von Microsoft. Das Passwortattribut unicodePwd lässt sich laut Microsoft aber nicht lesen; Passwörter gehen bei einem LDIF-Export also nicht mit. Ein Export von Gruppenrichtlinien in ein herstellerunabhängiges Format ist in der geprüften Doku nicht beschrieben. Beleg: Import or Export Directory Objects Using Ldifde · Set a user password with Ldifde (unicodePwd)

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob für Support zu lokal betriebenen Produkten ein Datenstandort in der EU zugesagt wird. Die EU Data Boundary nennt nur Online-Dienste.
Welches Recht im Volumenlizenzvertrag (z. B. Enterprise Agreement) gilt. Eingesehen wurde nur eine Händlerwiedergabe des Microsoft Customer Agreement ohne Version.
Wie sich Gruppenrichtlinien vollständig in ein offenes Format übertragen lassen. Die geprüfte Doku beschreibt das nicht.
Ob die aktuelle Doku zu ldifde für Windows Server 2025 Einschränkungen nennt. Gefunden wurde nur die archivierte Fassung.
Welche Diagnosedatenstufe Windows Server 2025 ab Werk eingestellt hat, weil die abgerufene Microsoft-Seite den Standard nur für die Azure Edition nennt.
Ob die Unterauftragsverarbeiter-Liste im Service Trust Portal Standorte je Dienstleister nennt, weil der Abruf eine Anmeldung erfordert.

Fragen vor einer Entscheidung

Welche Anwendungen und Geräte hängen über LDAP oder Kerberos an Ihrem Verzeichnis, und welche nutzen noch NTLM?
Wie würden Benutzer, Gruppen und Passwörter bei einem Wechsel des Verzeichnisdienstes übertragen?
Welche Diagnosedatenstufe ist auf Ihren Domänencontrollern eingestellt, und wie werden Updates bezogen?
Ist Ihr Verzeichnis mit Entra ID synchronisiert, und welche Daten fließen dabei in die Cloud?

Microsoft Active Directory