Wie man gelöschte Benutzerobjekte in Active Directory wiederherstellt

Wenn Objekte in Active Directory gelöscht werden – egal ob Benutzer, Gruppen oder ganze Organisationseinheiten – verschwinden sie nicht einfach spurlos. Stattdessen verbleiben sie in einer Art Zwischenspeicher: Sie sind zwar *logisch* gelöscht, aber weiterhin in der AD-Datenbank gespeichert. Das bedeutet: Wenn sie versehentlich gelöscht wurden, besteht eine gute Chance, sie innerhalb von etwa 180 Tagen wiederherzustellen, vorausgesetzt, Sie handeln schnell. Und nein, Sie können sie nicht einfach über die grafische Benutzeroberfläche löschen, ohne vorher etwas eingerichtet zu haben. Entscheidend ist, ob der Active Directory-Papierkorb aktiviert ist. Ist er deaktiviert, gestaltet sich die spätere Wiederherstellung schwieriger und erfordert Befehlszeilentools oder Backups. Wichtig: Die Aktivierung des Papierkorbs ist unwiderruflich. Ihn also unüberlegt zu aktivieren, kann die Situation verschlimmern. Prüfen Sie daher vorher alles gründlich.

Bei den meisten Systemen – insbesondere älteren – ist es etwas ungewöhnlich, aber die Schaltfläche „Objekt wiederherstellen“ wird erst angezeigt, wenn der Papierkorb aktiv ist. Prüfen Sie daher zunächst, ob diese Funktion aktiviert ist. Diese Anleitung beschreibt, wie Sie dies überprüfen, die Funktion gegebenenfalls aktivieren und gelöschte Objekte mithilfe von PowerShell oder anderen Tools wiederherstellen. Denn Active Directory macht es einem natürlich immer wieder schwer, wenn man denkt, man sei fertig. Ist die Funktion nicht aktiviert, gibt es zwar auch Möglichkeiten zur Wiederherstellung, diese sind aber nicht so einfach und erfordern Tools wie adrestore.exe oder sogar die Wiederherstellung einer vollständigen Sicherung, was sehr aufwendig ist.

Wie man gelöschte AD-Objekte repariert und wiederherstellt

Prüfen Sie, ob der Active Directory-Papierkorb aktiviert ist.

Stellen Sie zunächst sicher, dass Ihre Domäne den Papierkorb unterstützt. Starten Sie PowerShell mit Administratorrechten auf einem Domänencontroller und führen Sie folgenden Befehl aus:

Get-ADForest | Select-Object forestmode

Überprüfen Sie als Nächstes, ob die Funktion bereits aktiviert ist:

Get-ADOptionalFeature "Recycle Bin Feature" | select-object name, EnabledScope

Falls die Funktion deaktiviert ist und Sie sie aktivieren möchten, führen Sie folgenden Befehl aus:

Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "yourdomain.com"

Alternativ können Sie die Funktion über ein grafisches Tool aktivieren: Öffnen Sie das Active Directory-Verwaltungscenter (geben Sie dazu „Active Directory-Verwaltungscenter“ ein dsac.exe), stellen Sie eine Verbindung zu Ihrer Domäne her, wählen Sie das Stammverzeichnis aus und klicken Sie unter den Domäneneigenschaften auf Papierkorb aktivieren. Ganz einfach, aber dennoch eine einmalige Aktion.

Wiederherstellen eines gelöschten Benutzers aus dem AD-Papierkorb

Nach der Aktivierung werden gelöschte Objekte im ausgeblendeten Container „Gelöschte Objekte“ gespeichert. Um den Inhalt anzuzeigen, öffnen Sie das Active Directory-Verwaltungscenter und navigieren Sie zum Container Gelöschte Objekte. Alternativ können Sie dies auch über PowerShell durchführen.

Get-ADObject -Filter 'ObjectClass -eq "user"' –IncludeDeletedObjects

Wählen Sie das Objekt aus, das Sie wiederherstellen möchten, klicken Sie mit der rechten Maustaste und wählen Sie „Wiederherstellen“, um es an seinen ursprünglichen Speicherort zurückzusetzen. Alternativ können Sie bei Bedarf „Wiederherstellen nach“ auswählen und einen anderen Container festlegen. Nach der Wiederherstellung stehen dem Benutzer in der Regel die meisten Attribute, einschließlich Gruppenzugehörigkeiten, wieder zur Verfügung – manchmal geschieht dies auf wundersame Weise.

Um sicherzugehen, dass das Objekt tatsächlich gelöscht wurde, verwenden Sie Folgendes:

Get-ADUser jsanti -Properties * | Select-Object IsDeleted, whenDeleted

Wenn Sie den Benutzer bereits gelöscht, aber den genauen Namen vergessen haben, versuchen Sie, im Container „Gelöschte Objekte“ mit folgendem Suchbegriff zu suchen:

Get-ADObject -Filter 'Name -like "*santi*"' –IncludeDeletedObjects

Sie finden die GUID oder den sAMAccountName des gelöschten Objekts. So stellen Sie es mithilfe der GUID wieder her:

Restore-ADObject -Identity 'GUID-here'

Oder mit dem sAMAccountName:

Get-ADObject -Filter 'SAMAccountName -eq "jsanti"' –IncludeDeletedObjects | Restore-ADObject

Nach der Wiederherstellung öffnen Sie Active Directory-Benutzer und -Computer ( dsa.msc), um zu überprüfen, ob das Objekt wieder vorhanden ist. Vergessen Sie nicht, das Benutzerkonto erneut zu aktivieren und das Passwort zurückzusetzen, bevor Sie den Zugriff wieder gewähren – denn diese Tools stellen Passwörter nicht immer automatisch wieder her.

Andere Objekte bergen & größere Missgeschicke

Für einzelne Objekte wie Gruppen, Computer oder Organisationseinheiten gilt die gleiche Vorgehensweise – suchen Sie das Objekt im Container „Gelöschte Objekte“ und führen Sie Folgendes aus:

Restore-ADObject -Identity 'ObjectGUID'

Wollen Sie ganze Organisationseinheiten oder verschachtelte Objekte wiederherstellen? Dann müssen Sie zuerst die übergeordnete Organisationseinheit und anschließend die untergeordneten Einheiten der Reihe nach wiederherstellen. Zum Beispiel:

1. Stellen Sie die Organisationseinheit selbst wieder her:

Get-ADObject -Filter {...} | Restore-ADObject

2. Verschachtelte Objekte mithilfe eines Filters für das Attribut „LastKnownParent“ wiederherstellen, das dem Distinguished Name der Organisationseinheit entspricht.

Was passiert, wenn der Papierkorb nicht aktiviert ist?

Laden Sie das Tool adrestore herunter. Entpacken Sie es und listen Sie anschließend in einer Eingabeaufforderung mit Administratorrechten die gelöschten Objekte mit folgendem Befehl auf:

.\adrestore64.exe

Um ein bestimmtes Objekt anzuzeigen, verwenden Sie:

.\adrestore64.exe "Object Name"

Oder zur Wiederherstellung per GUID:

.\adrestore64.exe -r GUID

Diese Methode ist recht primitiv – sie stellt nicht alle Attribute, Gruppenzugehörigkeiten oder andere AD-Funktionen wieder her. Sie erstellt eher eine Momentaufnahme der grundlegenden Objektinformationen und stellt diese anschließend wieder her. Für eine vollständige Wiederherstellung, insbesondere wenn die Daten kritisch sind, sollten Sie Ihr letztes AD-Backup wiederherstellen ntdsutil.