Backup & Recovery: Restore-Modi, Objekt-Recovery und Forest-Wiederherstellung
Einführung · 7 Abschnitte · ~8 Min Lesezeit · Stand
Replikation ist kein Backup
AD repliziert Multi-Master: jede Änderung an einem DC wandert automatisch zu allen anderen. Das schützt gegen Hardware-Ausfall eines einzelnen DC — aber nicht gegen einen logischen Fehler.
Löscht jemand versehentlich eine OU mit hunderten Konten oder korrumpiert ein fehlerhaftes Skript Attribute, dann repliziert AD diesen Schaden zuverlässig auf alle DCs. Zehn Domain Controller machen die Löschung nur zehnfach vorhanden, nicht rückgängig.
Authoritative vs. non-authoritative Restore
Wird ein DC aus einem Backup zurückgespielt, entscheidet der Restore-Modus, was mit den wiederhergestellten Objekten passiert:
| **Non-authoritative** | Der DC kommt mit altem Stand hoch und lässt sich von den anderen DCs auf den aktuellen Stand nachführen. Das ist der Normalfall, um einen ausgefallenen DC wieder einzureihen. |
|---|---|
| **Authoritative** | Ein Objekt/eine Teilstruktur wird mit erhöhter Versionsnummer markiert, sodass sie sich beim Replizieren gegen alle anderen DCs durchsetzt — nötig, um versehentlich Gelöschtes zurückzuholen. |
Objekt-Recovery: drei Wege, zwei Fallen
Für ein einzelnes gelöschtes Konto gibt es drei Optionen — mit sehr unterschiedlichem Ergebnis:
| **AD-Papierkorb (Recycle Bin)** | Stellt das Objekt mit allen Attributen wieder her — auch link-valued wie Gruppenmitgliedschaften — und mit derselben SID. Muss vorab aktiviert sein (irreversibel). Der saubere Weg. |
|---|---|
| **Tombstone-Reanimation** | Belebt den „Grabstein“ wieder, aber link-valued Attribute (Gruppen) und geleerte Attribute sind weg und müssen manuell rekonstruiert werden. Notlösung ohne Papierkorb/Backup. |
| **Neu anlegen** | Erzeugt eine neue SID. Alle über die alte SID vergebenen Zugriffe (ACLs, Profile, Postfach) sind verloren — auch wenn der Name identisch ist. |
USN-Rollback: warum man einen DC nicht „zurückspult“
Jeder DC nummeriert seine Änderungen fortlaufend über die USN (Update Sequence Number) und identifiziert seine Datenbank-Instanz über eine Invocation-ID. Die anderen DCs merken sich „von diesem Partner habe ich bis USN *n* gesehen“.
Setzt du einen DC per VM-Snapshot oder Image auf einen älteren Stand zurück — ohne AD-fähigen Restore — kann seine USN hinter das fallen, was die Partner schon gesehen haben. Er würde USNs erneut verwenden, die Partner aber für „schon repliziert“ halten. Ergebnis: USN-Rollback mit Replikationsdivergenz. Unterstützte AD-Versionen erkennen diesen Zustand typischerweise und halten die Replikation an (mit passenden Ereignissen); darauf darfst du dich nicht als Recovery-Mechanismus verlassen.
Tombstone Lifetime & Lingering Objects
Gelöschte Objekte werden nicht sofort entfernt, sondern als Tombstone aufbewahrt — für die Tombstone Lifetime (TSL). In neu erstellten Forests mit aktuell unterstützten Windows-Server-Versionen sind das typischerweise 180 Tage; bestehende Forests können einen anderen, auch historischen oder bewusst konfigurierten Wert haben. Danach räumt die Garbage Collection den Grabstein endgültig weg.
War ein DC länger als die TSL offline, hat er die Löschungen nie mitbekommen und die Grabsteine sind auf den anderen DCs bereits weggeräumt. Verbindest du ihn jetzt einfach wieder, „kennt“ er Objekte, die überall sonst gelöscht sind — Lingering Objects. Sie können sogar re-repliziert werden und tote Konten oder Gruppen zurückbringen.
Forest Recovery: der geordnete Ablauf
Ist der ganze Forest zerstört oder kompromittiert (z. B. Ransomware, ein manipulierter Schema-/Domänen-Zustand), hilft kein einzelner Restore. Microsofts Forest-Recovery-Leitfaden gibt einen strikten Ablauf vor — die Kernidee: Vertrauen wiederherstellen, bevor irgendein DC wieder ans Produktionsnetz kommt.
- DCs isolieren
- 1. schreibbaren DC je Domäne aus geprüftem Backup (non-auth) restoren
- Metadaten der übrigen DCs bereinigen + FSMO seizen
- krbtgt (2×), Computerkonto- & Trust-Passwörter zurücksetzen
- Global Catalog & DNS neu aufbauen, Replikation verifizieren
- übrige DCs frisch neu aufsetzen & einreihen
Zusammenfassung — gleich im Check
Du kennst jetzt die Achsen: authoritative vs. non-authoritative Restore, die drei Wege der Objekt-Recovery (Papierkorb/Reanimation/Neuanlage), die USN-Rollback-Falle bei Snapshot-Reverts, Tombstone Lifetime & Lingering Objects, den geordneten Forest-Recovery-Ablauf und warum Replikation kein Backup ist.