Warum eine Firma eine Domäne nutzen sollte, und warum manche sich noch dagegen wehren

Auch heute begegnen uns Firmen, die ihre Rechner ohne zentrale Domäne betreiben. Jeder Rechner hat eigene lokale Konten, Passwörter werden einzeln gesetzt, und der Zugang zu Dateien oder Anwendungen wird von Fall zu Fall geregelt.

Auf den ersten Blick kann das einfach wirken. Die Firma muss keinen Domänenserver betreiben, keine Cloud-Lizenzen bezahlen und die gewohnte Arbeitsweise nicht ändern. Bei wenigen Rechnern kann das eine Zeit lang ohne größere Probleme laufen.

Mit der wachsenden Zahl von Benutzern, Geräten und Firmendaten wird eine Umgebung ohne Domäne jedoch schwerer zu verwalten und aus Sicht der Cybersicherheit deutlich riskanter.

Eine Domäne muss dabei nicht nur den klassischen physischen Server in der Firma bedeuten. Eine moderne Firma kann eine lokale Active-Directory-Domäne nutzen, die Cloud-Identität Microsoft Entra ID oder eine hybride Lösung, die beides verbindet.

Was eine Domäne im Netzwerk bedeutet

Eine Domäne erlaubt es, Benutzerkonten, Rechner, Passwörter, Berechtigungen und Sicherheitsregeln zentral zu verwalten.

Statt dass jeder Rechner eine eigene Liste von Benutzern führt, gibt es einen zentralen Ort, an dem festgelegt wird:

• wer sich anmelden darf,
• auf welche Daten ein Benutzer zugreifen kann,
• welche Sicherheitsregeln gelten,
• welche Anwendungen installiert werden,
• ob ein Benutzer Systemeinstellungen ändern darf,
• was beim Ausscheiden eines Mitarbeiters passieren soll.

In einer klassischen Umgebung übernimmt diese Aufgabe Microsoft Active Directory. Beim Cloud-Modell kann eine Firma Microsoft Entra ID zusammen mit Werkzeugen zur Geräteverwaltung nutzen, etwa Microsoft Intune.

Warum manche Firmen sich gegen eine Domäne wehren

Die Gründe ähneln sich oft. Die Firma hat einige Rechner, die Benutzer sind an ihre Arbeitsweise gewöhnt, und die Geschäftsleitung will nicht in etwas investieren, das auf den ersten Blick keine neue Funktion bringt. Die Rechner laufen, Dateien öffnen sich, und die Mitarbeiter können sich anmelden.

Häufige Argumente sind:

• „Wir haben nur ein paar Rechner.“
• „Bisher ging es auch ohne Domäne.“
• „Wir wollen keinen weiteren Server kaufen.“
• „Wir wollen nicht von einem IT-Administrator abhängig sein.“
• „Die Benutzer wollen ihre Rechner selbst einrichten.“
• „Das ist unnötig kompliziert.“
• „Eine Domäne ist nur etwas für große Firmen.“

Diese Argumente sind nachvollziehbar, lassen aber oft das künftige Wachstum der Firma, die Sicherheitsrisiken und die Zeit außer Acht, die die Verwaltung jedes einzelnen Rechners kostet.

Eine Domäne ist nicht nur etwas für große Konzerne. Sie kann schon bei wenigen Benutzern sinnvoll sein, vor allem wenn die Firma mit empfindlichen Daten arbeitet, gemeinsame Speicher nutzt oder die Zugriffe der Mitarbeiter kontrollieren muss.

Welche Probleme in einer Firma ohne Domäne entstehen

Ohne zentrale Verwaltung hat jeder Rechner eigene Benutzerkonten und eigene Einstellungen. Das führt zu Unterschieden zwischen den Geräten und nach und nach zum Verlust der Kontrolle.

1. Benutzer haben oft Administratorrechte

In kleineren Firmen ist es üblich, dass Mitarbeiter unter dem Konto des lokalen Administrators arbeiten. Sie können damit Programme installieren, Sicherheitseinstellungen ändern oder den Schutz des Rechners abschalten. Öffnet ein Benutzer einen schädlichen Anhang oder startet ein befallenes Programm, kann ein Angreifer dieselben Administratorrechte bekommen. In einer Domänenumgebung kann ein Mitarbeiter als normaler Benutzer arbeiten, und Eingriffe als Administrator nimmt nur ein dafür bestimmter Verwalter vor.

2. Passwörter lassen sich nicht wirksam kontrollieren

Ohne Domäne kann ein Benutzer auf jedem Rechner ein anderes Passwort haben. Die Firma weiß nicht sicher, ob die Passwörter stark genug sind, ob sie sich nicht wiederholen und ob sie wirklich nur die berechtigte Person kennt. Oft werden gemeinsame Konten oder dasselbe Passwort auf mehreren Geräten genutzt. Gelangt ein Passwort an einen Angreifer, kann es für den Zugriff auf weitere Rechner oder Dienste verwendet werden. Eine Domäne erlaubt einheitliche Passwortregeln, das Sperren von Konten und eine mehrstufige Anmeldung.

3. Das Ausscheiden eines Mitarbeiters ist ein Sicherheitsproblem

Verlässt ein Mitarbeiter die Firma, müssen seine Zugänge auf jedem Rechner, jedem Server und in jeder Anwendung einzeln entfernt werden. Wird ein Konto vergessen, kann der frühere Mitarbeiter weiterhin auf Daten oder Firmendienste zugreifen. In einer Domäne lässt sich das Benutzerkonto zentral sperren. Damit schränkt die Firma den Zugang zu Rechnern, Dateien und weiteren angebundenen Systemen sofort ein.

4. Rechner haben unterschiedliche Sicherheitseinstellungen

Ein Rechner hat vielleicht die Firewall richtig eingerichtet, beim zweiten sind die Updates abgeschaltet, und der dritte läuft mit einem veralteten Virenschutz. Ohne zentrale Verwaltung ist schwer zu prüfen, ob alle Geräte denselben Sicherheitsstandard erfüllen. Eine Domäne erlaubt es, Sicherheitsrichtlinien zentral auf alle Geräte oder auf ausgewählte Benutzergruppen anzuwenden.

5. Die Zugriffe auf Dateien sind unübersichtlich

In einer Umgebung ohne Domäne werden oft gemeinsame Ordner mit einem einzigen Passwort für die ganze Firma genutzt. Es ist nicht klar, wer Zugang zu den Daten hat und wer eine bestimmte Änderung vorgenommen hat. Bei einer richtig eingerichteten Domäne lassen sich Berechtigungen nach Position oder Abteilung vergeben. Die Buchhaltung kann Zugang zu den Finanzunterlagen haben, der Vertrieb zu den Verträgen und die Geschäftsleitung zu den vertraulichen Berichten.

6. Die Verwaltung jedes Rechners dauert länger

Ein neuer Benutzer muss auf mehreren Geräten angelegt werden. Eine Passwortänderung muss einzeln vorgenommen werden. Programme und Einstellungen werden von Hand eingerichtet. Was am Anfang wie eine Ersparnis wirkt, wird später zu höheren Kosten für Verwaltung und Fehlersuche.

Die wichtigsten Vorteile einer Domäne für die Firma

Zentrale Verwaltung der Benutzer

Ein Benutzer hat ein Firmenkonto, mit dem er sich am Rechner, an den Firmendaten und je nach Lösung auch an weiteren Anwendungen anmeldet. Der Verwalter kann das Konto von einer Stelle aus anlegen, sperren oder ändern.

Einheitliche Sicherheitsregeln

Die Firma kann zentral festlegen:

• Regeln für die Anmeldung,
• das Sperren des Bildschirms,
• die Verschlüsselung der Datenträger,
• die Firewall,
• Updates,
• die Einschränkung von USB-Geräten,
• das Verbot, nicht freigegebene Anwendungen zu starten,
• Regeln für den Fernzugriff.

Nichts davon muss auf jedem Rechner einzeln eingerichtet werden.

Bessere Kontrolle der Berechtigungen

Eine Domäne erlaubt es, Zugriffe an Benutzergruppen zu vergeben. Statt Berechtigungen einzeln zu setzen, kommt ein Benutzer in die Gruppe, die seiner Position entspricht. Ändert sich die Position, ändert sich nur die Mitgliedschaft in der Gruppe.

Schnellere Reaktion auf Vorfälle

Beim Verdacht auf ein missbrauchtes Konto kann der Verwalter den Benutzer sofort sperren, eine Passwortänderung erzwingen oder den Zugang zu empfindlichen Daten entziehen. Ohne zentrale Identität muss man womöglich jedes Gerät und jedes System einzeln durchgehen.

Besseres Audit und Nachvollziehbarkeit

Eine Domänenumgebung kann Anmeldungen, Änderungen an Konten und Zugriffe auf ausgewählte Ressourcen aufzeichnen. Die Firma kann so besser feststellen, wer sich angemeldet hat, wann er sich angemeldet hat und welche Änderungen er vorgenommen hat. Auditaufzeichnungen sind bei einem Sicherheitsvorfall, bei einer internen Prüfung und beim Erfüllen gesetzlicher Anforderungen wichtig.

Ein einfacherer Start für neue Mitarbeiter

Für einen neuen Mitarbeiter wird ein Konto angelegt und den passenden Gruppen zugeordnet. Damit bekommt er automatisch die Zugänge, die seine Position verlangt. Der Einstieg ist schneller, übersichtlicher und weniger vom Einrichten per Hand abhängig.

Hat eine Domäne auch Nachteile?

Ja. Eine Domäne ist nicht ohne Risiko und muss richtig entworfen und betreut werden. Zu den wichtigsten Nachteilen gehören:

• sie braucht fachliche Betreuung,
• die Einführung kostet etwas,
• sie braucht regelmäßige Updates,
• sie macht abhängig von einer zentralen Identität,
• Administratorkonten können missbraucht werden,
• bei schlechtem Entwurf wird alles verwickelter.

Erlangt ein Angreifer die Rechte eines Domänenadministrators, kann er Zugang zu einem erheblichen Teil der Firmenumgebung bekommen. Deshalb müssen normale und administrative Konten getrennt sein, deshalb braucht es eine mehrstufige Anmeldung, deshalb sollte die Zahl der Administratoren klein bleiben, und deshalb müssen heikle Änderungen überwacht werden. Eine Domäne erhöht die Sicherheit nur dann, wenn sie richtig eingerichtet und regelmäßig gepflegt wird.

Lokale Domäne oder Cloud-Identität?

Eine Firma muss heute nicht automatisch einen physischen Server kaufen, nur um eine zentrale Benutzerverwaltung zu bekommen. Es gibt drei grundlegende Möglichkeiten.

Lokale Active-Directory-Domäne

Die klassische Domäne läuft auf Domänenservern in der Firma oder im Rechenzentrum. Sie eignet sich vor allem für Firmen, die:

• lokale Server betreiben,
• ältere Unternehmensanwendungen nutzen,
• fortgeschrittene Gruppenrichtlinien brauchen,
• eine Umgebung in Fertigung oder Technik haben,
• auch bei einem Internetausfall arbeiten müssen.

Der Nachteil ist, dass die Domänenserver betrieben, aktualisiert und gesichert werden müssen.

Microsoft Entra ID

Eine Cloud-Identität erlaubt es, Benutzer und Rechner ohne eigenen Domänenserver zu verwalten. Sie eignet sich vor allem für Firmen, die Microsoft 365 und Cloud-Anwendungen nutzen und deren Mitarbeiter von verschiedenen Orten aus arbeiten. Zusammen mit Microsoft Intune kann eine Firma Geräte, Sicherheitsrichtlinien, Verschlüsselung und Anwendungen über die Cloud verwalten. Der Vorteil ist der einfachere Betrieb ohne lokale Domänenserver. Der Nachteil ist die Abhängigkeit von der Internetanbindung, von den Lizenzen und von der richtigen Einrichtung der Cloud-Dienste.

Hybride Domäne

Das hybride Modell verbindet ein lokales Active Directory mit einer Cloud-Identität. Die Benutzer können ein Konto für den Zugang zu lokalen Servern und zu Cloud-Diensten haben. Zugleich kann die Firma Anwendungen behalten, die eine klassische Domäne verlangen. Das hybride Modell eignet sich vor allem für Firmen, die schrittweise in die Cloud wechseln, die lokale Infrastruktur aber nicht sofort abschalten können oder wollen.

Braucht auch eine kleine Firma eine Domäne?

Die Zahl der Rechner ist nicht das einzige entscheidende Kriterium. Eine Domäne oder eine zentrale Cloud-Identität hat auch in einer kleineren Firma Sinn, wenn diese:

• mit personenbezogenen oder empfindlichen Daten arbeitet,
• einen gemeinsamen Datenspeicher nutzt,
• mehrere Mitarbeiter hat,
• den Zugang zu Daten kontrollieren muss,
• Mitarbeiter hat, die aus der Ferne arbeiten,
• Microsoft 365 nutzt,
• Zugänge schnell entziehen muss,
• Geräte zentral verwalten will,
• Sicherheits- oder Aufsichtsanforderungen unterliegt.

Eine Firma mit fünf Rechnern und empfindlichen Kundendaten kann eine zentrale Verwaltung dringender brauchen als eine Firma mit mehr Geräten, auf denen nichts Wichtiges liegt.

Wie man ohne unnötige Umstände auf eine Domäne wechselt

Der Wechsel sollte mit einer Analyse der bestehenden Umgebung beginnen. Zu klären ist:

• wie viele Benutzer und Rechner die Firma hat,
• welche Anwendungen sie nutzt,
• wo die Daten liegen,
• wer Zugang zu den Daten hat,
• ob die Firma Microsoft 365 nutzt,
• ob sie lokale Server braucht,
• wie die Sicherungen geregelt sind,
• welche Sicherheitsregeln es bereits gibt.

Danach lässt sich entscheiden, ob eine lokale Domäne, eine Cloud-Identität oder eine hybride Lösung besser passt. Die Migration muss nicht auf einen Schlag geschehen. Rechner lassen sich nach und nach aufnehmen, Benutzerprofile in Etappen übertragen und neue Richtlinien zuerst an einer kleinen Gruppe von Geräten testen. Wichtig ist, dass der Wechsel den Benutzern die Arbeit erleichtert und nicht erschwert.

Eine Domäne allein reicht nicht

Eine Domäne einzuführen löst nicht alle Sicherheitsprobleme. Zu einer sicheren Lösung sollte auch gehören:

• eine mehrstufige Anmeldung,
• die Trennung der Administratorkonten,
• den Grundsatz der geringstmöglichen Berechtigungen,
• zentral gesteuerte Updates,
• der Schutz der Endgeräte,
• die Verschlüsselung der Datenträger,
• regelmäßige Sicherungen,
• das Monitoring der Sicherheitsereignisse,
• Schulungen der Benutzer,
• ein Plan für die Reaktion auf einen Vorfall.

Eine Domäne ist die Grundlage der zentralen Verwaltung, sie muss aber Teil eines größeren Sicherheitskonzepts sein.

Zum Schluss: Ohne Domäne verliert die Firma die Kontrolle

Eine Firma ohne Domäne kann eine Zeit lang ohne sichtbare Probleme laufen. Das Risiko wächst jedoch mit jedem neuen Benutzer, jedem Rechner, jedem gemeinsamen Ordner und jedem Cloud-Dienst.

Das Hauptproblem ist nicht nur die unbequeme Verwaltung. Es ist der verlorene Überblick darüber, wer Zugang zu den Firmendaten hat, welche Berechtigungen die Benutzer haben und ob alle Geräte richtig abgesichert sind.

Eine Domäne oder eine zentrale Cloud-Identität bringt der Firma Kontrolle, einheitliche Regeln, eine einfachere Verwaltung und eine schnellere Reaktion auf Sicherheitsvorfälle. Für Firmen, die keinen eigenen Domänenserver betreiben wollen, kann Microsoft Entra ID mit einer Geräteverwaltung aus der Cloud die passende Lösung sein. Firmen mit lokalen Anwendungen können ein klassisches Active Directory oder ein hybrides Modell nutzen.

Die schlechteste Lösung ist weder die lokale noch die Cloud-Domäne. Das größte Risiko ist eine Umgebung ohne zentrale Verwaltung, in der jeder Rechner für sich läuft und die Firma keinen klaren Überblick über Konten, Berechtigungen und Sicherheitseinstellungen hat.