Komplettes Setup von Windows Server 2025 von der reinen Installation bis zum produktionsbereiten Server

Windows Server 2025 gibt es hauptsächlich in zwei Editionen. Standard ist für leicht virtualisierte Büros konzipiert und deckt zwei virtuelle Windows Server-Maschinen pro Lizenzsatz ab. Datacenter deckt eine unbegrenzte Anzahl virtueller Maschinen auf dem Host ab und fügt Funktionen wie „Storage Spaces Direct“ hinzu – die meisten Büros mit einem Server benötigen das ehrlich gesagt nicht. Während der Einrichtung wählen Sie auch die Schnittstelle aus: Desktop Experience bietet Ihnen den vollständigen Windows-Desktop, während Server Core überhaupt keinen Desktop hat und über Befehle und Remote-Tools verwaltet wird.

1. Kleines Büro, erster Server, Mitarbeiter, die mit der Maus arbeiten – wählen Sie Standard mit Desktop-Erfahrung
2. Server Core ist schlanker und erfordert weniger Neustarts, aber wählen Sie es nur, wenn Sie mit PowerShell vertraut sind
3. Das Herunterladen der Evaluierungs-ISO eignet sich gut zum Lernen – sie läuft 180 Tage; Planen Sie die Lizenz, bevor Sie die Produktion darauf aufbauen

Booten Sie von ISO oder USB, wählen Sie Benutzerdefiniert: Nur Windows installieren und installieren Sie es auf dem Laufwerk oder RAID-Volume, das Sie für das System vorbereitet haben. Bei der Einrichtung wird vor der ersten Anmeldung nach einem Administratorkennwort gefragt. Dies ist das leistungsstärkste Konto, das das Büro jemals besitzen wird. Machen Sie es daher lang und eindeutig und speichern Sie es noch am selben Tag im Kennworttresor und nicht auf einer Notiz.

1. Bei Desktop Experience landen Sie auf dem Desktop und der Server-Manager öffnet sich von selbst
2. Auf Server Core landen Sie im Menü SConfig – durch Eingabe von sconfig in einer beliebigen Eingabeaufforderung gelangen Sie jederzeit wieder dorthin zurück
3. Installieren Sie noch keine einzelne Rolle. Die nächsten beiden Schritte entscheiden darüber, wie schmerzlos der Rest Ihres Jahres verlaufen wird

Ein Server ist der einzige Computer, dessen Adresse niemals verschoben werden darf, da jeder andere Computer für Anmeldungen, DNS und Dateien auf ihn verweist. Geben Sie ihm eine feste Adresse innerhalb Ihres LAN, außerhalb des Bereichs, den Ihr Router ausgibt – zum Beispiel 192.168.1.10, wenn der Router 192.168.1.1 ist und DHCP bei 192.168.1.100 beginnt.

1. Legen Sie die statische IP, die Subnetzmaske und das Gateway in den Netzwerkadaptereigenschaften fest (oder über SConfig-Option 8).
2. Benennen Sie den Computer jetzt um – etwas Kurzes und Rollenbasiertes wie SRV-DC01. Das Umbenennen ist heute kostenlos; Nach der Heraufstufung auf einen Domänencontroller wird dies zu einem Vorgang, den Sie nicht einfach so ausführen möchten
3. Stellen Sie die richtige Zeitzone ein und vergewissern Sie sich, dass die Uhr richtig ist – Anmeldungen und Zertifikate sind in aller Stille auf die genaue Uhrzeit angewiesen

Dies ist der Schritt, den ungeduldige Setups überspringen und der später die seltsamsten Fehler verursacht. Bei einer brandneuen Installation liegen die Patches um Monate zurück, und Rollenassistenten scheitern regelmäßig auf Basis halber Patches aus Gründen, die wie schwarze Magie aussehen.

1. Öffnen Sie Einstellungen → Windows Update und führen Sie Nach Updates suchen aus
2. Installieren Sie alles, starten Sie neu, wenn Sie dazu aufgefordert werden, und überprüfen Sie es dann noch einmal – neue Updates erscheinen oft erst nach der vorherigen Runde
3. Wiederholen Sie diesen Vorgang, bis Windows zweimal hintereinander meldet, dass Sie auf dem neuesten Stand sind, und stellen Sie sicher, dass kein Neustart mehr aussteht

Erst jetzt ist die Basis stabil genug, um darauf Rollen aufzubauen. Der Begleitleitfaden zu diesem Schritt erklärt die Falle des ausstehenden Neustarts und bewertet die neue Hotpatching-Option ehrlich.

Bei einem typischen Büroserver haben die ersten drei Rollen eine natürliche Reihenfolge, da jede auf der vorherigen basiert.

1. Active Directory-Domänendienste – Installieren Sie die Rolle über den Server-Manager und führen Sie dann den Hochstufungsassistenten aus, um die Domäne zu erstellen. Promotion installiert und konfiguriert automatisch DNS für die Domain, und genau aus diesem Grund steht AD an erster Stelle
2. Wählen Sie den Domänennamen bewusst – eine Subdomäne der Unternehmensdomäne wie ad.company.com ist das moderne Muster; Ein Name wie office.local funktioniert immer noch in einem geschlossenen Büro. Bewahren Sie das DSRM-Passwort im Tresor auf. Es ist der Notfallschlüssel für die Domäne
3. DHCP – installieren Sie die Rolle als Zweites, autorisieren Sie sie dann in Active Directory und erstellen Sie den Adressbereich. Ein nicht autorisierter DHCP-Server in einer Domäne weigert sich absichtlich, Adressen herauszugeben – das ist ein Sicherheitsmerkmal, kein Fehler
4. Fügen Sie nach Bedarf Datei- und Speicherdienste für Freigaben hinzu

Bevorzugen Sie PowerShell? Dieselben Rollen werden mit Install-WindowsFeature AD-Domain-Services -IncludeManagementTools gefolgt von Install-ADDSForest und DHCP mit Install-WindowsFeature DHCP -IncludeManagementTools installiert.

Behalten Sie Windows und die Rollen auf C: und legen Sie alles, was das Büro erstellt – freigegebene Ordner, Benutzerdokumente, umgeleitete Profile – auf einem separaten Datenvolumen ab. Diese eine Layout-Entscheidung zahlt sich jahrelang aus.

1. Daten auf einem eigenen Volume können gesichert, Snapshots mit Schattenkopien erstellt und sogar auf einen neuen Server verschoben werden, ohne das System zu berühren
2. Wenn das Datenlaufwerk voll ist, bootet der Server trotzdem und meldet Leute an. Wenn C: voll ist, stoppt alles
3. Das Backup-Ziel sollte wieder eine andere physische Festplatte sein – eine Partition auf derselben Festplatte bietet keinen Schutz vor dem Ausfall dieser Festplatte

Sie sollten diesen Server von Ihrem Schreibtisch aus verwalten und nicht davor stehen – der Fernzugriff muss jedoch über eine Tür mit Schloss erfolgen, nicht über ein offenes Fenster.

1. Aktivieren Sie Remotedesktop nur für Administratoren und lassen Sie die Authentifizierung auf Netzwerkebene aktiviert
2. Niemals leiten Sie Port 3389 vom Internet an den Server weiter. Wenn Sie Zugriff von außen benötigen, kommen Sie zuerst über ein VPN herein – Scanner finden exponiertes RDP innerhalb weniger Stunden
3. Von Ihrem eigenen PC aus können Sie mit Server Manager (über RSAT) oder Windows Admin Center (kostenloser Download von Microsoft) diesen und die nächsten Server von einer Konsole aus verwalten

Dreißig Minuten Kontrollen sind jetzt günstiger als ein Vorfall später.

1. Bestätigen Sie, dass die Windows Defender-Firewall für alle Profile aktiviert ist. Durch die Installation von Rollen werden nur die Ports geöffnet, die diese Rollen benötigen
2. Erstellen Sie Ihr eigenes benanntes Administratorkonto und verwenden Sie es für Verwaltungsaufgaben, sodass in den Protokollen eine Person und kein gemeinsames Konto angezeigt wird. Behalten Sie den integrierten Administrator als Break-Glass-Login bei
3. Überprüfen Sie, ob die SMB-Signierung aktiviert ist, und installieren Sie zum Glück keine Legacy-Funktionen wie SMBv1 – Server 2025 installiert sie nicht standardmäßig, und das ist Absicht
4. Legen Sie ein monatliches Update-Fenster fest und notieren Sie es. Server patchen sich nicht versehentlich verantwortungsvoll