Domain Controller In-Place-Upgrade:
die 10-Punkte-Checkliste

Upgrade von 2 AD-Servern

Einzeln, ohne Ausfall

Foto: pixelz.cc

Das In-Place-Upgrade eines Domain Controllers scheitert an einer unscheinbaren Stelle: adprep läuft dabei nicht von selbst. Zehn Punkte führen zwei DCs ohne Namens- oder IP-Wechsel von Server 2016 auf 2025.

Auf einen Blick

• Beim In-Place-Upgrade eines bestehenden DC läuft adprep nicht automatisch. Fehlt es, bricht das Setup ab.
• Es gilt immer nur ein DC gleichzeitig. Vorher wandern die FSMO-Rollen auf den DC, der online bleibt, und nach jedem Server beobachtest du 24 Stunden.
• Das Schema springt von 87 (Server 2016) auf 91 (Server 2025). Die Version lässt sich mit einer Abfrage prüfen.
• Den Functional Level hebst du zuletzt an. Die Anhebung ist nicht umkehrbar.

Das Problem: Neu aufsetzen oder in-place

Eine Neuinstallation mit Promote und Demote ist die sauberere Variante. In kleinen Umgebungen mit zwei DCs ist sie aufwendig, denn DNS, DHCP und DFS laufen darauf, und die Adressen sind fest vergeben. Das In-Place-Upgrade erhält Hostnamen, Adressen, Dienste und die FSMO-Konfiguration.

Zwei Stolperfallen kommen dazu. Erstens läuft adprep beim In-Place-Upgrade eines bestehenden DC nicht von selbst, und ohne das vorbereitete Schema bricht das Setup ab. Zweitens werden bestehende Replikationsfehler beim Upgrade mit aktualisiert, statt zu verschwinden. Deshalb beginnt die Checkliste mit Backup und Health-Check. Eine ergänzende Liste von Prüfungen vor dem Start steht im Artikel Zwölf Prüfungen vor adprep: Windows Server 2025 sicher upgraden.

Die Schemaversionen im Überblick

Das Schema trägt eine Versionsnummer (objectVersion). Nach adprep /forestprep ist sie höher.

Die Werte gehören vor dem Einsatz gegen die Abfrage von objectVersion im eigenen Forest geprüft, die Schema-Referenz von Microsoft erklärt den Hintergrund.

Die zehn Punkte

1. Sicherung: Backups und Snapshots aller DCs, bei VMs gleichzeitig.
2. Ist-Aufnahme: DNS, DHCP, GPO-Backup und DFS-Export.
3. Eventlogs: Active Directory Web Services, DFS Replication, Directory Service und DNS Server.
4. FSMO auf den DC verschieben, der während des Upgrades online bleibt.
5. Replikation kontrollieren (repadmin).
6. Patchstand abgleichen.
7. Schemaversion abfragen.
8. adprep /forestprep und /domainprep vom Installationsmedium ausführen.
9. Das Schema auf dem zweiten DC und die Replikation kontrollieren.
10. Setup mit der Option «Dateien und Apps behalten» starten.

Die Befehle dazu

Der Health-Check besteht aus drei Befehlen. Sie zeigen, ob die Replikation sauber läuft, bevor jemand etwas ändert.

dcdiag /v
repadmin /replsummary
repadmin /showrepl

Danach werden die FSMO-Rollen ermittelt und auf DC02 verschoben, das online bleibt. Die Zahlen 0 bis 4 stehen für PDC, RID, Infrastructure, Schema und Domain Naming.

netdom query fsmo
Move-ADDirectoryServerOperationMasterRole -Identity DC02 -OperationMasterRole 0,1,2,3,4

Die Schemaversion liefert eine Abfrage auf das Schema-Objekt:

Get-ADObject (Get-ADRootDSE).schemaNamingContext -Property objectVersion

adprep kommt vom Installationsmedium der Zielversion, im Ordner support\adprep. Die Rechte sind streng. Für /forestprep brauchst du die Rechte der Schema- und der Enterprise-Administratoren, für /domainprep genügen die der Domänen-Administratoren.

D:\support\adprep\adprep.exe /forestprep
D:\support\adprep\adprep.exe /domainprep

Danach kontrollierst du die Schemaversion auf DC02 und wartest die Replikation ab. Erst dann startet das Setup auf DC01.

Nach dem Setup: prüfen und beobachten

Nach dem ersten Upgrade gehören die Dienste NTDS, DNS, DHCP, Netlogon, DFSR, KDC und W32Time auf den Prüfstand, ausserdem dcdiag, die Replikation und die Eventlogs. Dann folgen 24 Stunden Beobachtung. Erst wenn alles ruhig bleibt, schwenkst du die FSMO-Rollen auf DC01 und behandelst DC02 genauso. Am Schluss verteilst du die Rollen zurück, hebst den Functional Level an und löschst die Snapshots. Wer vorher wissen will, welche Clients und Geräte den DC noch nutzen, setzt zuerst den Monitor aus dem Artikel Wer redet noch mit meinem DC? Domain Controller sicher abbauen ein.

In-Place aktualisierte DCs behalten das 8k-Datenbankformat. Das ist eine Eigenheit, die sich später bei Neuaufbauten bemerkbar machen kann.

Voraussetzungen

• Passende Gruppenmitgliedschaft: je nach Schritt Schema, Enterprise oder Domain.
• Das Installationsmedium der Zielversion mit support\adprep.
• Funktionierende Backups, ein Wartungsfenster und ein Change.
• Beide DCs stehen als DNS-Server bei den Clients, und die Redundanz von DHCP ist geklärt.
• Ein unterstützter Upgrade-Pfad, zum Beispiel 2016 auf 2025.

Typische Fehler

• Das Setup bricht ab: adprep fehlt.
• «Zugriff verweigert» bei adprep: Es fehlen Rechte.
• Einzelnen DC aus einem Snapshot zurückgesetzt: Das birgt das Risiko eines USN-Rollbacks.
• Beide DCs gleichzeitig aktualisiert: Es gibt kein DNS und keine Anmeldung.
• Snapshots zu lange stehen gelassen: Sie belasten den Speicher und sind für Rollbacks heikel.

Grenzen

Die Liste ist eine Checkliste und keine vollständige Anleitung. Verbindlich bleibt die Herstellerdokumentation zur Zielversion. VM-Snapshots sind für den Rollback eines DC heikel, ein Systemstate-Backup ist besser. Die Anhebung des Functional Level lässt sich nicht rückgängig machen. Zudem übernimmt ein In-Place-Upgrade Altlasten, deshalb bleibt die Neuinstallation grundsätzlich die sauberere Wahl.

Einordnung: Was das für Systemtechniker in kleinen Umgebungen heisst

Für zwei DCs mit festen IPs ist das In-Place-Upgrade oft der schnellere Weg, wenn Backup, Health-Check und Reihenfolge stimmen. Das Wartungsfenster fällt kürzer aus als bei einem Neuaufbau, und Clients merken nichts von neuen Namen oder Adressen. Der Preis ist die Altlast: Wer ein aufgeräumtes Verzeichnis will, plant später ohnehin eine Konsolidierung, wie sie der Artikel Active Directory konsolidieren: In fünf Schritten zu einer Domäne beschreibt. Rechne pro DC mit dem Setup selbst, dazu 24 Stunden Beobachtung, und trenne beide Läufe um mindestens einen Tag.

Fazit

Das In-Place-Upgrade eines Domain Controllers gelingt mit Sicherung, Health-Check, Schwenk der FSMO-Rollen und einem manuellen adprep. Immer nur ein DC läuft im Setup, danach folgen 24 Stunden Beobachtung. Hebe den Functional Level erst zuletzt an. Arbeite die zehn Punkte in einem Testlab durch, bevor du sie auf produktive DCs anwendest.

Quellen: Active-Directory-Schema bei Microsoft Learn, Domain Controller upgraden bei Microsoft Learn. Die Checkliste ersetzt keine Herstellerdokumentation. Zuletzt geprüft: 24. Oktober 2026.

Geschrieben von Andreas Brauckmann