# Forest Recovery: erst Vertrauen, dann Skalierung
Typ: Checkliste
Herkunft: active-directory / backup-recovery / ad-forest-recovery-sequence
Version: ad-forest-recovery-sequence-2026-07-26
Geprüft: 2026-07-26

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Der Forest ist kompromittiert. Das Incident-Team hat geprüfte System-State-Backups und ein genehmigtes Forest-Recovery-Runbook. Ordne die groben Kontrollpunkte so, dass kein unbewerteter schreibbarer DC die Wiederherstellung wieder kompromittiert.

## Schritte
1. Alle potenziell kompromittierten DCs und schreibbaren Replikationspartner isolieren; Recovery-Netz und Zuständigkeiten herstellen.
2. Den vorgesehenen ersten schreibbaren DC je Domäne kontrolliert aus geprüftem Backup gemäß Runbook wiederherstellen.
3. Metadaten nicht wiederherzustellender DCs bereinigen und FSMO-Rollen gemäß Plan behandeln.
4. krbtgt, Vertrauens- und weitere betroffene Identitätsgeheimnisse nach dem Recovery-Plan rotieren; beim krbtgt den zweiten Reset nach der konfigurierten Ticketlebensdauer ausführen.
5. DNS, SYSVOL, Global Catalog und Replikation gegen den Sollzustand validieren; Sicherheits- und Betriebsfreigabe einholen.
6. Übrige DCs frisch bereitstellen und schrittweise der verifizierten Topologie hinzufügen.

## Begründung
Warum: Isolation kommt vor jeder Replikation, damit die Wiederherstellung keinen gefährlichen Schreibpartner akzeptiert. Erst wenn die erste vertrauenswürdige Autorität, Rollen/Metadaten und Credentials behandelt sind, lässt sich der Verzeichnisbetrieb verifizieren und skalieren.
Folgen: **+** Die Reihenfolge schützt die wiederhergestellte Autorität vor Reinfektion und macht jeden Kontrollpunkt prüfbar. **−** Sie verlangt ein vorbereitetes Runbook, geprüfte Backups und eine längere, koordinierte Wiederanlaufphase.

## Quellen
1. Microsoft Learn — AD Forest Recovery guide
2. Microsoft Learn — AD Forest Recovery: Perform initial recovery
3. Microsoft Learn — AD Forest Recovery: Reset the krbtgt password