Viele polnische KMU sitzen in derselben Konstellation: Unter dem Tisch steht ein Windows Server mit einem Active Directory aus dem Jahr 2015, während alles außer dem Windows-Login längst in Microsoft 365 gelandet ist. Der Server läuft nächstes Jahr aus dem Support, die Verlängerung der CAL-Lizenzen kostet so viel wie ein neuer Laptop, und jedes Update passiert an einem Freitagabend. Die Frage, die wir einmal pro Woche hören: „Müssen wir diesen Server wirklich ersetzen — oder können wir ihn einfach abschalten?"
Die Antwort ist nicht ideologisch. Nicht jedem KMU nützt heute eine reine Cloud-Identität, und nicht jedes KMU sollte AD DS noch fünf Jahre lang betreiben. Die Entscheidung hängt davon ab, was Ihr Domain Controller tatsächlich leistet — und die meisten Inhaber hatten nie einen Anlass, das zu prüfen. In diesem Text geht es darum, wie man das ohne Marketing durchrechnet.
Was Ihr Domain Controller wirklich tut
Bevor Sie entscheiden, ob Sie AD abschalten, müssen Sie wissen, wozu es aktuell dient. In einem typischen 30-Personen-Handels- oder Fertigungsbetrieb ist die Liste kürzer, als man denkt:
- Anmeldung an den Arbeitsplatz-PCs (Kerberos-Authentifizierung).
- Gruppenrichtlinien (GPO) — Netzwerklaufwerke, Druckereinstellungen, Passwortrichtlinien.
- Authentifizierung an Dateifreigaben auf demselben Server.
- Autorisierung im ERP oder in einer Branchenanwendung („mit Domänenkonto anmelden").
- Authentifizierung am Multifunktionsgerät oder Scan-to-Mail-Scanner.
Meist kommt eins von zwei Bildern heraus. Entweder ist die Hälfte der Liste längst in der Cloud (Dateien in SharePoint, E-Mail in Exchange Online) und AD hält nur noch die Workstation-Anmeldung — oder AD ist wirklich das Rückgrat für ein ERP und ein Lagersystem, die auf Kerberos laufen.
Der Unterschied zwischen diesen beiden Szenarien ist enorm. Das erste lässt sich normalerweise innerhalb eines Quartals nach Entra ID + Intune migrieren, und der Server kann außer Betrieb gehen. Das zweite bedeutet 2–3 Jahre hybrid, bis entweder das ERP wechselt oder der Hersteller OAuth/SAML nachrüstet.
Was Entra ID kompromisslos ersetzt
Entra ID (früher Azure AD) in der Variante, die zu Microsoft 365 Business Premium gehört, ersetzt AD DS in den meisten „weichen" Szenarien:
- Laptop-Anmeldung — Windows 10/11 im Modus Microsoft Entra joined meldet sich mit einer Cloud-Identität an und funktioniert vollständig ohne Domain Controller im LAN.
- MFA und Conditional Access — Anmeldung nur von vertrauenswürdigen Geräten, aus Polen, in den Arbeitszeiten, pro Anwendung. Klassische GPO können das nicht.
- SSO zu M365, Teams, SharePoint, aber auch zu praktisch jedem modernen SaaS (Salesforce, HubSpot, Slack, GitHub, Autenti, Comarch-Cloud-Module).
- Zugriffsgruppen — dieselben Gruppen steuern SharePoint, SaaS-Berechtigungen und Intune-Rechte.
- Automatisches Offboarding — ein in M365 deaktiviertes Konto verschwindet aus allen integrierten Systemen, ohne dass jemand sich merken muss, „wo er sonst noch einen Zugang hatte".
Dazu kommt Intune — der Cloud-Ersatz für GPO auf Laptops. Nicht alles aus GPO hat ein Intune-Pendant (gleich mehr dazu), aber ca. 80 % eines typischen KMU-Regelwerks lässt sich ohne Revolution übernehmen: BitLocker, Bildschirmsperre, WLAN/VPN-Konfiguration, USB-Beschränkungen, erzwungene Windows-Updates.
Was Entra ID nicht eins zu eins ersetzt
Wenn jemand Ihnen die Migration als „wir schalten den Server einfach ab" verkauft, lohnt es sich, nach konkreten Fällen zu fragen. Typische Reibungspunkte im KMU:
- ERP-Systeme mit Kerberos/NTLM — ältere Comarch XL, Microsoft Dynamics AX 2012, individuelle .NET-Anwendungen mit Servicepools unter einem Domänenkonto. Ohne AD authentifizieren sie sich schlicht nicht. Lösung: Hybrid über Entra Connect Sync — oder mittelfristig ein ERP-Wechsel.
- SMB-Dateiserver — wenn Sie mehrere hundert Gigabyte CAD-Zeichnungen oder gescannte Buchhaltungsbelege lagern, ist die Migration nach SharePoint oft nicht sinnvoll (Pfadlängen, Versionierung, Kosten). Alternative: Azure Files mit Entra-Kerberos-Authentifizierung — das ist dann aber hybride Architektur, keine reine Cloud.
- Druckwarteschlangen auf einem Druckserver — ältere Kyocera/Sharp/Konica-MFPs sind nach PrintNightmare aus dem Netzwerkdruck ausgeschlossen. Universal Print funktioniert, benötigt aber neuere Treiber und eine eigene Lizenz.
- Branchenanwendungen, die nach einer „Domäne" fragen — CAM, LIMS, Zeiterfassungs- und Zutrittssysteme. Selbst 2026 kann ein großer Teil davon kein OAuth. Fragen Sie den Hersteller schriftlich, bevor Sie einen DC-Rückbau planen.
- Klassische GPO-Funktionen, die Intune nicht hat — Laufwerksmappings per PowerShell-Skript, IP-Drucker über Ports, Outlook-Konfiguration mit .PRF-Datei. Das lässt sich in Intune nachbauen, aber nicht per Klick.
Ein Migrationspfad, der den Betrieb nicht bricht
Wir empfehlen keine „Big-Bang"-Umstellung an einem Wochenende. In neun von zehn Projekten läuft es in drei Etappen:
- Hybrid. Sie installieren Entra Connect Sync, lokale AD-Konten landen in der Cloud. Die Nutzer melden sich weiterhin wie gewohnt an, MFA und SSO funktionieren aber sofort.
- Cloud-first für neue Laptops. Jedes neue Gerät ist Entra joined, wird über Autopilot bereitgestellt und mit Intune verwaltet. Alte Laptops bleiben bis zum natürlichen Austausch am AD.
- DC außer Betrieb. Sobald 80–90 % der Arbeitsplätze Entra joined sind, die letzten Anwendungen auf OAuth/SAML laufen und die Dateifreigaben in SharePoint oder Azure Files liegen — schalten Sie den Domain Controller ab, erstellen einen Snapshot und archivieren ihn drei Jahre lang zur Sicherheit.
In einem 30-Personen-Betrieb dauert das üblicherweise 12–18 Monate. Nicht, weil die Arbeit schwer wäre, sondern weil das Tempo von der Laptop-Erneuerung und den Release-Zyklen der Branchenanwendungen vorgegeben wird.
Ein konkretes Beispiel — 35-Personen-Distributor
Im Winter 2025/2026 haben wir diese Migration bei einem 35-Personen-Distributor bei Poznań durchgeführt. Ausgangslage: Windows Server 2016 mit EOL im Januar 2027, Server Standard + 35× CAL laut Reseller-Angebot bei ca. 22 000 PLN (rund 5 100 EUR) zur Verlängerung, M365 Business Premium seit zwei Jahren im Einsatz, das ERP Comarch Optima auf einem separaten Server mit SQL Express.
Wir haben drei Dinge getan. Erstens ein Audit: Es zeigte sich, dass AD nur noch die Windows-Anmeldung und zwei gemappte Netzlaufwerke hielt, deren Inhalte längst in SharePoint lagen (mit unvollständiger Synchronisation). Zweitens der Plan: neue Laptops per Autopilot, Intune statt GPO, Netzlaufwerke nach Abschluss der SharePoint-Migration mit nativen Berechtigungen abgeschaltet. Drittens die Umsetzung über 4 Monate, an Wochenenden, ohne einen einzigen Ausfalltag.
Ergebnis: Der Domain Controller wurde im April ausgeschaltet, rund 22 000 PLN Einsparung bei Lizenzen, die nicht verlängert werden mussten, etwa 6 Stunden im Monat weniger externe Administration (die Rechnung sank um ca. 30 %) — und das für den Kunden Wichtigste: kein „am Freitagabend kann sich niemand anmelden, weil die Kiste im Kämmerchen abgestürzt ist" mehr.
Wann Sie besser bei AD bleiben
Anti-Hype: Nicht jedem KMU nützt der Wechsel jetzt. AD DS ein, zwei Jahre laufen zu lassen, ist sinnvoll, wenn:
- Ihr kritisches System (ERP, CAM, LIMS) AD-Authentifizierung voraussetzt und der Hersteller keine Entra-Roadmap hat.
- Sie einen großen Datenbestand vor Ort haben (2 TB+), den SharePoint nicht sinnvoll aufnimmt und für den Azure Files das Budget sprengt.
- Die Firma mitten in einer anderen Migration steckt (ERP, WMS) und Identität die dritte Baustelle gleichzeitig wäre — ein bewährtes Chaosrezept.
- Sie Produktions-PCs mit Windows LTSC oder ältere Terminals haben, die dieses Jahr schlicht nicht in Entra aufgenommen werden können.
In solchen Szenarien lohnt es sich, den Server zu verlängern, ein, zwei Jahre zu warten und Entra beim natürlichen Hardware-Wechsel neu zu prüfen.
Wo Sie anfangen sollten
Bevor Sie Lizenzen und Hardware kalkulieren, investieren Sie einen Tag in ein Audit: Was authentifiziert sich tatsächlich gegen AD? Öffnen Sie den Event Viewer am DC, prüfen Sie die Kerberos-Logs, exportieren Sie die GPO-Liste und fragen Sie jeden Abteilungsleiter, was er „in der Domäne" hat. In acht von zehn Fällen ist die Liste halb so lang, wie sie sich anfühlt — und die Entscheidung wird einfacher.
Wenn Sie das mit jemandem machen möchten, der Ihnen keine Lizenzen auf Vorrat verkauft — sprechen Sie mit uns. Das erste Gespräch ist kostenlos, dauert 30 Minuten, und Sie gehen mit einer konkreten Liste heraus, nicht mit einem Angebot.
Entra ID ersetzt AD nicht in jeder Firma. Es ersetzt es dort, wo AD nichts Wichtigeres mehr tut, als einen Laptop anzumelden.