# Active Directory: zentrale Verwaltung im Firmennetz

> Active Directory ist der Verzeichnisdienst von Microsoft, der Benutzer, Computer und Ressourcen eines Firmennetzes zentral verwaltet. Alle Objekte liegen in einer Domäne, die von einem Domänencontroller verwaltet wird. Ein Benutzer meldet sich einmal an und kann überall im Netz gemäß seinen Rechten arbeiten. Gruppenrichtlinien setzen Einstellungen zentral für viele Geräte und Konten durch.

**Autor:** Mr. Benjamin · **Beruf:** IT-Grundlagen
**Veröffentlicht:** 2026-07-26 · **Aktualisiert:** 2026-07-26
**Quelle:** https://yellowbluetech.de/blog/active-directory-grundlagen

---

In einer Firma mit 200 Rechnern jedes Konto einzeln auf jedem Gerät anzulegen, wäre ein Albtraum. Genau das nimmt Active Directory ab: Es verwaltet Benutzer, Rechner und Rechte an einer zentralen Stelle – und macht große Netze damit überhaupt erst beherrschbar.

## Was ist Active Directory?

Active Directory (AD) ist ein **Verzeichnisdienst**: eine zentrale Datenbank, die alle Objekte eines Netzwerks – **Benutzer, Computer, Drucker, Gruppen** – und ihre Eigenschaften und Rechte speichert und verwaltet.

> **Merksatz**
>
> Der zentrale Gewinn ist **Single Sign-on**: Ein Benutzer meldet sich **einmal** mit einem Konto an und kann danach im ganzen Netz auf alles zugreifen, wofür er berechtigt ist – ohne sich an jedem System neu anzumelden.

## Die wichtigsten Bausteine

| Begriff | Bedeutung |
| --- | --- |
| **Domäne** | Verwaltungseinheit, die alle Objekte zusammenfasst |
| **Domänencontroller (DC)** | Server, der die AD-Datenbank hält und Anmeldungen prüft |
| **Organisationseinheit (OU)** | Ordner zur Gliederung, z. B. nach Abteilung |
| **Gruppe** | fasst Benutzer zusammen, um Rechte gebündelt zu vergeben |
| **Gruppenrichtlinie (GPO)** | zentrale Regel für Einstellungen auf vielen Geräten |

## Warum Gruppen und Richtlinien?

Rechte vergibt man nicht an einzelne Personen, sondern an **Gruppen**. Kommt jemand neu ins Team, wird das Konto der passenden Gruppe hinzugefügt und erbt damit sofort alle nötigen Rechte.

**Gruppenrichtlinien** setzen Einstellungen zentral durch – etwa Passwortregeln, Hintergrundbilder, erlaubte Software oder Laufwerksverbindungen. Eine Änderung an einer Stelle wirkt auf alle betroffenen Geräte.

> **Prüfungstipp**
>
> Zwei Punkte werden gern geprüft. Erstens die Rollenverteilung: Der **Domänencontroller** authentifiziert die Benutzer und hält die AD-Datenbank. Zweitens das Prinzip der Rechtevergabe **über Gruppen statt einzeln** – das ist effizienter, weniger fehleranfällig und leicht nachvollziehbar. Denk beim Thema Berechtigungen an das **Prinzip der minimalen Rechte**: nur so viele Rechte wie nötig.

## Ordnung, die sich auszahlt

> **Hinweis**
>
> Der eigentliche Wert von AD zeigt sich im Alltag: Ein Mitarbeiter verlässt die Firma, sein Konto wird an einer Stelle deaktiviert – und schon ist der Zugriff auf alle Systeme gesperrt. Rechte lassen sich zentral prüfen, Passwortregeln netzweit durchsetzen, neue Rechner mit einer Richtlinie fertig konfigurieren. Diese zentrale Steuerung ist auch für den Datenschutz und die [IT-Sicherheit](/blog/schutzziele-cia-triade) wichtig, weil sie nachvollziehbar macht, wer worauf zugreifen darf. Der offene Standard hinter vielen Verzeichnisdiensten ist LDAP; Active Directory ist die verbreitete Microsoft-Umsetzung.

## Selbstkontrolle

**Frage:** Ein neuer Kollege soll dieselben Zugriffsrechte wie sein Team bekommen. Was ist der sinnvollste Weg in Active Directory?

- [ ] Jedes einzelne Recht von Hand zuweisen
- [x] Das Konto der passenden Gruppe hinzufügen
- [ ] Auf jedem Rechner ein lokales Konto anlegen
- [ ] Dem Kollegen das Passwort eines Kollegen geben

**Erklärung:** Rechte werden in Active Directory über Gruppen vergeben. Man fügt das neue Benutzerkonto der passenden Gruppe hinzu, und es erbt automatisch alle Rechte dieser Gruppe. Jedes Recht einzeln zuzuweisen wäre aufwendig und fehleranfällig, und lokale Konten auf einzelnen Rechnern widersprechen der zentralen Verwaltung.

## Häufige Fragen

### Was ist der Unterschied zwischen Domäne und Arbeitsgruppe?

In einer Arbeitsgruppe verwaltet jeder Rechner seine Konten selbst, es gibt keine zentrale Stelle – geeignet für sehr kleine Netze. In einer Domäne übernimmt der Domänencontroller die zentrale Verwaltung aller Konten und Rechte. Ab einer gewissen Größe ist die Domäne praktisch alternativlos, weil die dezentrale Pflege sonst unbeherrschbar wird.

### Was passiert, wenn der Domänencontroller ausfällt?

Dann können sich Benutzer unter Umständen nicht mehr anmelden und zentrale Dienste stehen still. Deshalb betreibt man in der Praxis mindestens zwei Domänencontroller, die ihre Daten untereinander abgleichen. Fällt einer aus, übernimmt der andere, sodass der Betrieb weiterläuft.

### Was ist eine Gruppenrichtlinie genau?

Eine Sammlung von Einstellungen, die zentral definiert und automatisch auf die zugeordneten Benutzer oder Computer angewendet wird. Damit lassen sich etwa Passwortlängen, Sperrbildschirme, erlaubte Programme oder verbundene Netzlaufwerke netzweit vorgeben. Der Administrator ändert die Regel einmal, und sie greift bei der nächsten Anmeldung auf allen betroffenen Geräten.

### Gibt es Active Directory auch in der Cloud?

Ja, Microsoft bietet mit Entra ID, dem früheren Azure AD, einen cloudbasierten Verzeichnisdienst an. Er ist nicht einfach das klassische AD im Internet, sondern für Cloud- und Web-Anmeldungen ausgelegt und arbeitet mit anderen Protokollen. Viele Firmen betreiben beides parallel und gleichen die Konten miteinander ab.

**Weiterlesen:** [Benutzer- und Rechteverwaltung im Betriebssystem](/blog/benutzer-rechteverwaltung) · [Client-Server-Modell einfach erklärt](/blog/client-und-server) · [Was ist ein Netzwerk? LAN, WAN und WLAN](/blog/was-ist-ein-netzwerk)

## Das Wichtigste in Kürze

- **Active Directory** ist ein **Verzeichnisdienst**: zentrale Verwaltung von Benutzern, Rechnern und Rechten.
- Alle Objekte liegen in einer **Domäne**, verwaltet vom **Domänencontroller**.
- **Single Sign-on**: einmal anmelden, überall gemäß Rechten arbeiten.
- Rechte werden **über Gruppen** vergeben, nicht einzeln.
- **Gruppenrichtlinien (GPO)** setzen Einstellungen zentral auf vielen Geräten durch.