Windows Server Dedicated Server

Ein Windows-Server-Dedicated-Server ist eine physische Single-Tenant-Maschine, die Windows Server direkt auf der Hardware ausführt — kein Hypervisor, keine geteilte Tenancy. Sie erhalten vollen Administratorzugriff über RDP, jeden physischen Core und vorhersehbare Leistung für lizenzsensible Workloads wie SQL Server, Active Directory und IIS.

Da die Maschine vollständig Ihnen gewidmet ist, ist die Lizenzierung flexibel: Bringen Sie Ihr eigenes Windows-Image und Ihre eigene Lizenz mit (BYOL) oder ergänzen Sie eine Windows-Server-Lizenz über unser SPLA und zahlen Sie monatlich, angebotsweise während des Bestellvorgangs beziffert. Wir bieten Windows Server 2022 und Windows Server 2025 an.

Unsicher, welche Windows-Server-Version Sie betreiben sollen? Lesen Sie unseren Leitfaden zu Windows-Server-Versionen.

Windows-Server-Lizenzierung: BYOL und SPLA

Windows Server wird pro physischem Core lizenziert, nicht pro virtueller Maschine, mit einem Minimum von 8 Core-Lizenzen pro Prozessor und 16 pro Server. Auf einem Serverside-Dedicated-Server haben Sie zwei Wege, und Sie entscheiden bei der Bestellung.

Bring your own License (BYOL): Da die Hardware vollständig dediziert und Single-Tenant ist, können Sie im Allgemeinen Ihre eigenen Windows-Server-Lizenzen darauf einsetzen — unter Microsofts Outsourcing Software Management Rights und Flexible Virtualization Benefit. Das ist die zentrale Abgrenzung zu geteiltem oder Multi-Tenant-Hosting, wo diese Rechte nicht gelten. Beachten Sie, dass Windows Server selbst nicht von der klassischen License Mobility über Software Assurance abgedeckt ist, sodass die Berechtigung von Ihrer konkreten Lizenz und deren Abonnement- oder Software-Assurance-Status abhängt — das sollten Sie mit Ihrem Reseller klären.

SPLA (Services Provider License Agreement): Alternativ können wir Windows Server für Sie über unser SPLA lizenzieren. Das ist Microsofts monatliches Modell pro physischem Core für Hosting-Anbieter — Sie mieten die Lizenz, solange Sie den Server betreiben, ohne Vorabkauf und ohne Windows-Server-CALs zu verwalten. Wir beziffern die SPLA-Gebühr während des Bestellvorgangs; sie skaliert mit der Core-Anzahl der gewählten Maschine, was ein Grund ist, warum höher taktende CPUs mit weniger Cores für viele Windows-Workloads die wirtschaftliche Wahl sein können.

• Per-Core-Lizenzierung: Die Rechnung folgt den physischen Cores (min. 8/Prozessor, 16/Server), nicht der VM-Anzahl
• BYOL ist auf unserer dedizierten Single-Tenant-Hardware verfügbar — prüfen Sie Ihren Lizenz- + SA/Abonnement-Status
• SPLA ist monatlich, ohne CALs, bei der Bestellung beziffert und skaliert mit der Core-Anzahl
• Sie behalten in beiden Fällen vollen Administratorzugriff

Standard- vs. Datacenter-Edition

Die Edition, die Sie lizenzieren, ändert Ihre Virtualisierungsrechte, und das zählt, wenn Sie Hyper-V auf der Maschine betreiben wollen. Ansonsten sind beide Editionen für die meisten Rollen funktional vergleichbar.

Standard gewährt zwei Betriebssystemumgebungen pro vollständig lizenziertem Server — in der Praxis der Host plus zwei Windows-Server-VMs (oder zwei VMs, wenn der Host nur die Hyper-V-Rolle ausführt). Ein zweiter Satz Core-Lizenzen über dieselben Cores gestapelt kauft weitere zwei VMs. Datacenter gewährt unbegrenzt viele Windows-Server-VMs auf den lizenzierten Cores und wird damit ab etwa acht bis zehn VMs auf einem Host zur wirtschaftlichen Wahl. Wenn Sie Windows nicht virtualisieren und nur eine einzige Windows-Workload auf dem Blech wollen, ist Standard in der Regel die richtige Wahl.

• Standard: 2 Windows-VMs (OSEs) pro vollständig lizenziertem Server; die Cores für +2 neu lizenzieren
• Datacenter: unbegrenzt viele Windows-VMs auf den lizenzierten Cores
• Der Umstieg auf Datacenter lohnt ab rund 8–10 VMs pro Host
• Beide sind unter BYOL oder SPLA abgedeckt — die Edition wird bei der Bestellung gewählt

RDP-Härtung: die Nummer-eins-Windows-Angriffsfläche

Remote Desktop ist die Art, wie Sie einen Windows-Server administrieren, und ein RDP-Endpunkt, der auf TCP 3389 offen zum gesamten Internet steht, ist die meistangegriffene Fläche unter Windows. Automatisiertes Password-Spraying und Brute-Force gegen exponiertes 3389 ist konstant. Lassen Sie es niemals offen zur Welt stehen — setzen Sie etwas davor und schränken Sie ein, wer es erreichen kann.

Sie verwalten Ihre eigenen Firewall-Regeln auf Netzwerkebene über Ihr Dashboard, sodass die Filterung vor der Maschine stattfindet statt nur in der Windows-Firewall auf dem Server — Self-Service-DDoS-Mitigation und Regelverwaltung upstream, die Windows-Firewall dahinter, eine mehrschichtige Verteidigung, bei der keine der beiden Ebenen Ihr Single Point of Failure ist. Sperren Sie sich doch einmal aus — eine falsche Regel, eine Firewall-Änderung, eine falsche RDP-Einstellung —, gibt Ihnen die KVM-Konsole Out-of-Band-Zugriff, wenn RDP nicht erreichbar ist: Sehen Sie der Maschine beim Booten zu, beheben Sie den NIC-Treiber, die Firewall oder die Einstellung, die es kaputt gemacht hat, und kommen Sie wieder hinein, ohne ein Support-Ticket zu öffnen.

Über die Netzwerkschicht hinaus sollten Sie auch das OS selbst härten. Eine sinnvolle Baseline auf einer frischen Serverside-Windows-Maschine:

• 3389 auf eine IP-Allowlist beschränken (Ihr Büro/VPN-Egress) oder gar nicht exponieren
• RDP über ein RD-Gateway oder ein VPN erreichen statt über den rohen Port
• Network Level Authentication (NLA) verlangen, damit Anmeldedaten geprüft werden, bevor eine Sitzung startet
• Kontosperr-Richtlinien setzen, um Brute-Force-Versuche abzustumpfen
• Das Standard-Administratorkonto umbenennen/deaktivieren und starke, eindeutige Anmeldedaten verwenden
• Unsere Inline-Filterung vor den Endpunkt setzen — aber als Verteidigung in der Tiefe behandeln, nicht als Ersatz für das Obige

Was Teams auf Windows-Bare-Metal betreiben

Bare Metal passt zu Windows-Workloads, die lizenz- oder latenzsensibel sind, denn feste physische Cores und kein Hypervisor-Overhead machen sowohl Lizenzierung als auch Leistung vorhersehbar.

• SQL Server — die per-Core-Lizenzierung belohnt eine bekannte, feste physische Core-Anzahl, und lokales NVMe hält I/O-gebundene Abfragen schnell
• Active Directory und Domänendienste als dedizierter Domänencontroller oder Identitäts-Tier
• IIS und ASP.NET / .NET-Anwendungshosting mit dem vollen Uplink dahinter
• Hyper-V-Virtualisierungshost — mit der Datacenter-Edition für unbegrenzt viele Windows-Gäste kombinieren
• Windows-basierte Game-Server — unsere DDoS-Profile sind pro Titel über die in unserem Netzwerk gehosteten Spiele abgestimmt

Isolieren Sie Domänencontroller im privaten Netzwerk

Active Directory ist der Fall, in dem die Netzwerktopologie am meisten zählt: Ein Domänencontroller sollte fast nie direkt auf einer öffentlichen Adresse liegen. Stellen Sie Ihre Server in ein privates Netzwerk untereinander und halten Sie die DCs auf dieser privaten Seite, wobei nur die Member, die tatsächlich ins Internet zeigen müssen — ein öffentliches Web-Front-End, ein Edge-Relay —, in einer kundendefinierten DMZ platziert werden. Domänenreplikation, LDAP und Kerberos-Verkehr bleiben dann vollständig von der öffentlichen Schnittstelle fern.

Das ist das klassische mehrstufige Muster: der exponierte Member in der DMZ, der Identitäts-Tier dahinter isoliert und das private Netzwerk, das alles trägt, was Ihre eigene Grenze nie verlassen sollte. Sie definieren die Segmentierung, sodass der DC nie ein Paket aus dem offenen Internet beantworten muss.

Windows Server 2022 oder 2025?

Windows Server 2025 erreichte am 1. November 2024 die allgemeine Verfügbarkeit als aktuelles Long-Term-Servicing-Channel-Release, sodass sowohl 2022 als auch 2025 unterstützte, aktuelle Optionen sind. 2025 bringt einen neueren Kernel, Sicherheitshärtung (Verbesserungen bei Anmeldedaten und Active Directory, SMB over QUIC nun in Standard und Datacenter statt nur in der Azure Edition), Leistungssteigerungen und Unterstützung für Hotpatching.

Hotpatching lässt Sie viele Sicherheitsupdates auf laufenden Code anwenden, ohne neu zu starten, und senkt die Zahl der Neustart-Monate pro Jahr. Es wird für Windows Server 2025 über Azure Arc bereitgestellt; Microsofts kommerzielle Konditionen dafür haben sich seit dem Start verändert, prüfen Sie also die aktuelle Regelung, statt eine feste Gebühr anzunehmen. Wenn neustartfreies Patchen Priorität hat, ist 2025 die Version der Wahl.

Wählen Sie 2022 für maximale Kompatibilität mit Software, die dagegen zertifiziert ist, und einen längeren Track Record; wählen Sie 2025 für den neueren Funktionsumfang, Hotpatching und die längste Support-Laufbahn. Wir bespielen beide in unter einer Minute, sodass die Wahl von Ihrer Software abhängt, nicht von unserem Provisioning.

Patching und Sicherheitshaltung

Windows Server wird mit aktiviertem Microsoft Defender Antivirus ausgeliefert und erhält kumulative Sicherheitsupdates im monatlichen „Patch Tuesday“-Rhythmus (der zweite Dienstag jedes Monats), mit Out-of-Band-Korrekturen für dringende CVEs. Da Ihr Serverside-Server standardmäßig unmanaged ist, liegt es in Ihrer Verantwortung, aktuell zu bleiben — eine ins Internet gerichtete Windows-Maschine, die den Patch Tuesday verpasst, ist ein leichtes Ziel.

Setzen Sie von Tag eins an einen Patching-Plan auf: Planen Sie Updates über Windows Update, WSUS oder Ihr Konfigurationsmanagement-Tooling, halten Sie Defender (oder Ihre gewählte EDR) aktiv und aktuell und planen Sie Neustart-Fenster ein — oder betreiben Sie Windows Server 2025 mit Hotpatching, um zu verkürzen, wie oft diese Neustarts den Betrieb unterbrechen. Managed Patching kann vereinbart werden, falls Sie es lieber uns überlassen.