# Blackout: Der letzte sichere Weg zum neuen Rolleninhaber
Typ: Checkliste
Herkunft: active-directory / topology-replication / ad-fsmo-crisis-sequence
Version: ad-fsmo-crisis-sequence-2026-07-29
Geprüft: 2026-07-29

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
DC01 hält PDC-Emulator und RID-Master. Der Storage-Verbund ist irreparabel zerstört; Recovery Owner und Incident Lead bestätigen schriftlich, dass die alte DC-Installation nicht zurückkehren darf. DC02 repliziert sauber mit DC03. Du musst den Notfallwechsel ausführen.

## Schritte
1. Betroffene Rollen, abhängige Betriebsfunktion, aktuellen Rolleninhaber und Replikationszustand der Kandidaten erfassen.
2. Den bestätigten dauerhaften Verlust, die Freigabe zum Seize und das Verbot einer Rückkehr der alten Installation dokumentieren.
3. Einen gesunden Ziel-DC mit aktuellem Replikationsstand auswählen und dessen relevante Naming Contexts prüfen.
4. Die ausgefallenen Rollen auf dem freigegebenen Ziel-DC seizen.
5. Nach einem Seize verhindern, dass die alte DC-Installation wieder als Controller online geht; Metadaten bereinigen und für eine Rückkehr neu aufbauen.
6. Neuen Rolleninhaber, erfolgreiche eingehende Replikation und die jeweils abhängige Rollenfunktion verifizieren.

## Begründung
Warum: Transfer wäre der Normalweg, solange der bisherige Inhaber kontrolliert mitwirken könnte. Im Fall ist sein dauerhafter Verlust bereits bestätigt; deshalb gehört der Seize hinter ein explizites Verlust- und Freigabe-Gate und auf einen aktuellen, gesunden Ziel-DC. Der neue Rolleninhaber wartet außerdem auf erfolgreiche eingehende Replikation des relevanten Naming Context, bevor er aktiv wird.
Folgen: **+** Die Folge verhindert einen vorschnellen, schwer reversiblen Rollenwechsel und einen konkurrierenden Alt-DC. **−** Der Krisenplan braucht aktuelle Owner, gesunde Ziel-DCs und einen vorbereiteten Metadata-Cleanup.

## Quellen
1. https://learn.microsoft.com/en-us/troubleshoot/windows-server/active-directory/transfer-or-seize-operation-master-roles-in-ad-ds
2. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/manage-fsmo-roles
3. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/deploy/ad-ds-metadata-cleanup