Seit dem 1. November ist Windows Server 2025 verfügbar, und in vielen hybriden IT-Landschaften kommt dadurch einiges in Bewegung. Bei zahlreichen Kunden, die ich betreue, stehen ohnehin größere Aktualisierungen an. Mal ist das Supportende älterer Versionen der Anlass, mal sollen neue Features endlich in den Produktivbetrieb gehen. Wer Server sowohl lokal als auch in Azure verwaltet, bekommt mit Windows Server 2025 einige interessante Möglichkeiten an die Hand, muss sich aber auch auf neue Herausforderungen einstellen.
Hotpatching funktioniert jetzt auch außerhalb von Azure
Die für viele wichtigste Neuerung betrifft das Hotpatching, das nicht mehr ausschließlich VMs in Azure vorbehalten ist. Mit Windows Server 2025 (Standard/Datacenter) lässt es sich erstmals auch auf On-Premises-Servern nutzen, sofern diese über Azure Arc eingebunden sind. Noch läuft die Funktion als Preview und ist entsprechend mit Vorsicht zu genießen. Der Nutzen liegt trotzdem auf der Hand, denn Sicherheitsupdates lassen sich ohne Neustart einspielen. Ihr braucht dafür ein Azure-Abonnement, weil Microsoft Hotpatching als Zusatzdienst anbietet. Die Server bindet ihr im Azure-Portal unter Azure Arc → Maschinen → Hinzufügen ein. Im Moment rate ich dazu, Hotpatching zunächst auf Testsystemen zu evaluieren und die Patch-Ketten genau im Auge zu behalten. Bei Preview-Diensten gehört eine Rückfallstrategie ohnehin immer dazu.
flowchart TD
OnPremiseServer["On-Premises Server"] --> AzureArc["Azure Arc Anbindung"]
AzureArc --> HotpatchService["Hotpatch-Dienst (Vorschau)"]
HotpatchService --> UpdateDeployment["Update ohne Reboot"]
Abbildung: Hotpatching mit Windows Server 2025 für Server, die über Azure Arc angebunden sind
Weitere Details zu den Voraussetzungen und zum aktuellen Stand liefert Microsoft selbst in den Artikeln zu den Neuerungen in Windows Server 2025 und in der Hotpatch-Dokumentation.
Ein Active-Directory-Upgrade will gut geplant sein
Viele Unternehmen verbinden den Umstieg auf Windows Server 2025 mit einem Active-Directory-Upgrade. Die neue Funktionsebene der Gesamtstruktur hat dabei gleich mehrere Vorteile. So arbeitet die Datenbank mit 32k-Seiten, was mehr Performance und größere Verzeichnisse ermöglicht. Außerdem wird die LDAP-Kommunikation ab dieser Ebene standardmäßig per TLS abgesichert, für die Sicherheit ein deutlicher Fortschritt. In der Praxis müsst ihr vor allem bei Legacy-Anwendungen prüfen, ob sie bereits mit LDAP über TLS zurechtkommen. Andernfalls drohen nach der Migration unerwartete Authentifizierungsprobleme.
Domain Controller lassen sich im laufenden Betrieb auf Windows Server 2025 aktualisieren, ein In-Place-Upgrade wird also unterstützt. In vielen Umgebungen beobachte ich allerdings, dass die neuen Controller zunächst parallel zu den alten laufen und der Umzug schrittweise erfolgt. Dieses Vorgehen hat sich bewährt und ist nach wie vor sinnvoll. Prüft auf jeden Fall, ob eure Backup- und Monitoring-Lösungen mit der neuen Funktionsebene der AD-Gesamtstruktur kompatibel sind.
Praxistipp: Plant für Domain-Controller-Upgrades ein Rollback-Szenario ein. Snapshots oder Systemstate-Backups sparen im Ernstfall viel Zeit.
SMB über QUIC und weitere Neuerungen machen die Server sicherer
Gern unterschätzt wird, dass SMB über QUIC jetzt in allen Editionen enthalten ist. Damit wird verschlüsselte Dateiübertragung über das Internet oder unsichere Netzwerke auch für kleinere Umgebungen praktikabel. Vor allem im Zusammenspiel mit Azure Files oder in Hybrid-Szenarien eröffnet das neue Möglichkeiten für mobiles Arbeiten und sorgt für mehr Sicherheit.
Deutlich spürbar ist auch, dass Credential Guard nun auf allen geeigneten Systemen standardmäßig aktiviert ist. Anmeldeinformationen sind dadurch wesentlich besser vor Angriffen wie Pass-the-Hash geschützt. Das ist ein klarer Gewinn, zumal viele Administrationsworkstations ohnehin auf Windows-Server-Basis laufen. Wer seine Systeme konsequent härten will, sollte den Credential-Guard-Status regelmäßig kontrollieren, am einfachsten über die Gruppenrichtlinienverwaltung.
Für viele neue Szenarien führt kein Weg an Azure Arc vorbei
Viele der modernen Funktionen, allen voran Hotpatching, setzen eine Anbindung von Windows Server 2025 über Azure Arc voraus. Das Onboarding ist mittlerweile gut dokumentiert. Im Azure-Portal könnt ihr unter Azure Arc → Maschinen → Hinzufügen einzelne Server oder ganze Gruppen von Servern einbinden. Dafür braucht ihr ein Azure-Abonnement und lokale Administratorrechte auf dem Server. In größeren Umgebungen lohnt es sich, das Ganze per Skript oder Policy zu automatisieren. Soll das Patchmanagement über Hotpatch laufen, solltet ihr vorher den Abrechnungsmodus und die Auswirkungen auf bestehende Wartungsfenster genau prüfen.
Ob alle relevanten Server schon angebunden sind, zeigt euch die folgende PowerShell-Abfrage (auf dem Zielserver, mit Adminrechten):
Get-AzConnectedMachine | Where-Object { $_.OSName -like "*Windows Server 2025*" }
Dafür muss das Modul „Az.ConnectedMachine“ installiert sein, außerdem müsst ihr bei Azure angemeldet sein.
Ohne solides Fundament verpuffen die neuen Möglichkeiten
Windows Server 2025 bringt für hybride Szenarien viele Verbesserungen, vom Hotpatching über neue AD-Funktionen bis zu SMB über QUIC. Die Praxis zeigt aber schon jetzt, dass beim Management und bei der modernen Wartung ohne Azure Arc wenig geht und jede Migration sauber vorbereitet sein will. Wer seine Hybrid-Strategie auf ein stabiles Fundament stellen möchte, sollte jetzt die Onboarding-Prozesse verbessern und gezielt Testumgebungen für die neuen Funktionen aufbauen.
Dann ist ein Update mehr als ein lästiger Pflichttermin und bringt spürbare Verbesserungen für Sicherheit und Alltag. Schaut dazu auch in meine früheren Beiträge zu Azure Arc und ESU für Windows Server 2012 und zum Azure Update Manager. Vieles davon gilt genauso für Windows Server 2025.
