Vertrauensstellung zur Domäne fehlgeschlagen: Lösung

Kurz gesagt: Die Meldung, dass die Vertrauensstellung zwischen Arbeitsstation und Domäne fehlgeschlagen ist, bedeutet: Das Computerkennwort des Rechners passt nicht mehr zu dem, was im Active Directory hinterlegt ist, oder das Computerkonto wurde gelöscht. Meist lässt sich das mit einem lokalen Administratorkonto und dem PowerShell-Befehl Test-ComputerSecureChannel -Repair beheben, ohne den Rechner neu in die Domäne aufzunehmen. Hilft das nicht, nimmst du ihn aus der Domäne und wieder hinein.

Stand: 03.11.2026

Was bedeutet die Fehlermeldung?

Im englischen Original lautet sie „The trust relationship between this workstation and the primary domain failed.“ Auf deutschen Systemen erscheint die entsprechende Meldung zur Vertrauensstellung zwischen Arbeitsstation und primärer Domäne. Die Anmeldung mit dem Domänenkonto schlägt fehl, mit einem lokalen Konto geht es noch.

Hintergrund: Jeder Rechner in einer Domäne hat ein eigenes Computerkonto mit einem Kennwort, das er regelmäßig mit dem Domänencontroller abgleicht. Über dieses Kennwort baut er einen sicheren Kanal (Secure Channel) zum Domänencontroller auf. Microsoft nennt als typische Ursachen, dass das Computerkennwort nicht mehr mit der Domänendatenbank übereinstimmt oder dass das Computerkonto in der Domäne gelöscht oder beschädigt wurde. Das passiert zum Beispiel, wenn ein Rechner aus einem älteren Image oder Snapshot zurückgesetzt wird. Dann kennt er ein Kennwort, das der Domänencontroller längst nicht mehr akzeptiert.

Wie reparierst du die Vertrauensstellung per PowerShell?

Du brauchst dafür ein lokales Administratorkonto auf dem Rechner und Zugangsdaten eines Domänenkontos, das Computerkonten zurücksetzen darf.

1. Mit dem lokalen Administratorkonto anmelden.
2. PowerShell als Administrator öffnen.
3. Den sicheren Kanal testen mit Test-ComputerSecureChannel. Liefert der Befehl True, ist der Kanal in Ordnung und das Problem liegt laut Microsoft woanders, etwa bei DNS oder im Netzwerk. Bei False geht es weiter.
4. Den Kanal reparieren mit Test-ComputerSecureChannel -Repair -Credential (Get-Credential) und die Domänen-Zugangsdaten eingeben.
5. Falls nötig, das Computerkennwort zurücksetzen: $credential = Get-Credential, dann Reset-ComputerMachinePassword -Credential $credential und Restart-Computer -Force.
6. Nach dem Neustart mit dem Domänenkonto anmelden und prüfen, ob alles läuft.

Wie geht es mit der Eingabeaufforderung?

Alternativ beschreibt Microsoft den Weg über netdom in einer Eingabeaufforderung mit Administratorrechten:

1. Den Kanal prüfen: netdom verify Computername /domain:DeineDomäne
2. Das Computerkennwort zurücksetzen: netdom resetpwd /server:Domänencontroller /userd:DomäneBenutzer /passwordd:* und das Kennwort eingeben.
3. Den sicheren Kanal zurücksetzen: netdom reset /domain:DeineDomäne /userd:Benutzer /passwordd:*
4. Den Rechner neu starten.

Was tun, wenn die Reparatur nicht hilft?

Dann nimmst du den Rechner aus der Domäne und wieder auf. Microsoft beschreibt das als Weg, die Vertrauensstellung wiederherzustellen. Über die Systemsteuerung geht das so:

1. Mit dem lokalen Administratorkonto anmelden.
2. Systemsteuerung (Control Panel) öffnen, oben rechts die Ansicht auf Kategorie stellen.
3. System und Sicherheit > System (System and Security > System) öffnen und Domäne oder Arbeitsgruppe (Domain or workgroup) wählen. Unter Windows 10 heißt der Punkt Einstellungen ändern (Change settings).
4. Auf der Registerkarte Computername (Computer Name) auf Ändern (Change) klicken.
5. Unter Mitglied von (Member of) Arbeitsgruppe (Workgroup) wählen, einen beliebigen Namen eingeben, mit OK bestätigen und neu starten.
6. Wieder lokal anmelden, dieselben Schritte gehen, diesmal Domäne wählen, den Domänennamen eingeben und mit Domänen-Zugangsdaten bestätigen.
7. Neu starten und mit dem Domänenkonto anmelden.

Per PowerShell geht das Austreten mit Remove-Computer -UnjoinDomainCredential (Get-Credential) -PassThru -Verbose -Restart und das Beitreten mit Add-Computer -DomainName „DeineDomäne“ -Credential (Get-Credential), gefolgt von Restart-Computer.

Beachte: Für den Beitritt braucht der Rechner eine Windows-Edition, die das unterstützt, zum Beispiel Pro, Enterprise oder Pro for Workstations. Microsoft weist außerdem auf das Update KB5020276 hin, das den Domänenbeitritt absichert.

Wie beugst du dem Fehler vor?

• Rechner nicht aus alten Images oder Snapshots zurücksetzen, ohne danach den sicheren Kanal zu prüfen.
• Computerkonten im Active Directory nur löschen, wenn der Rechner wirklich ausgemustert ist.
• Für eine funktionierende Zeitsynchronisierung sorgen. Microsoft weist darauf hin, dass abweichende Uhrzeiten Probleme bei der Kerberos-Anmeldung verursachen können.
• Ein lokales Administratorkonto mit bekanntem, sicher verwahrtem Kennwort bereithalten, sonst kommst du im Fehlerfall nicht an den Rechner.

So unterstützen wir dich

Wenn sich Mitarbeitende morgens nicht anmelden können, zählt jede Minute. Wir reparieren die Vertrauensstellung meist direkt per Fernwartung und schauen uns an, warum sie gebrochen ist. Vor Ort sind wir in Osnabrück und Umgebung. Mehr zu unserem IT-Support für Unternehmen findest du auf unserer Leistungsseite.

Häufige Fragen

Gehen beim Neuaufnehmen in die Domäne Daten verloren?

Die Dateien auf dem Rechner bleiben erhalten.

Warum brauche ich ein lokales Administratorkonto?

Weil die Anmeldung mit dem Domänenkonto gerade nicht funktioniert. Microsoft beschreibt alle Reparaturschritte mit Anmeldung über das lokale Administratorkonto.

Was bedeutet es, wenn Test-ComputerSecureChannel True meldet?

Dann ist der sichere Kanal intakt. Microsoft rät, in diesem Fall nach anderen Ursachen wie DNS oder Netzwerkproblemen zu suchen.

Wer darf die Vertrauensstellung reparieren?

Du brauchst lokale Administratorrechte auf dem Rechner und ein Domänenkonto mit den nötigen Rechten. Die Befehle fragen die Domänen-Zugangsdaten beim Ausführen ab.

Quellen

• Join a computer to a domain (inklusive Repair domain trust relationship) (Microsoft Learn, abgerufen am 03.11.2026)