Um doppelte Computer-SIDs zu prüfen, führen Sie Microsoft Sysinternals PsGetSid auf jedem betroffenen Windows-PC aus und vergleichen die vollständigen SID-Werte. Stimmen sie auf zwei nachweislich verschiedenen PCs überein, haben diese Installationen dieselbe lokale Computer-SID. Bei einem bestätigten Duplikat kann Wittytool Disk Clone eine neue lokale Computer-SID erzeugen. Verwenden Sie für den Vergleich weder die SID des angemeldeten Benutzers noch die eines AD-Computerkontos.
Diese Anleitung beschreibt den Vergleich zweier PCs und die Abfrage einer festgelegten Computerliste. Die Abfragen ändern weder SIDs noch Computerkonten. Der Ablauf gilt für Windows-Arbeitsstationen und Mitgliedsserver; Domänencontroller erfordern eine eigene AD-bezogene Untersuchung.
Zwei PCs auf doppelte Computer-SIDs prüfen
PsGetSid von Microsoft herunterladen
Laden Sie das PsTools-Paket von der offiziellen PsGetSid-Seite herunter und entpacken Sie es auf beiden PCs. Öffnen Sie PowerShell im entpackten Ordner. Prüfen Sie beim ersten Start gegebenenfalls die Lizenzabfrage.
Wenn eine Verbindung fehlschlägt, bestimmen Sie zuerst beide Endpunkte: den anfragenden und den empfangenden PC. Bei einer Klonprüfung identifizieren Sie das Quellsystem und den bereitgestellten Klon.
PsGetSid auf jedem PC ausführen
Führen Sie diese Befehle lokal auf dem ersten und anschließend auf dem zweiten Computer aus:
hostname
.\PsGetsid.exeOhne Computer- oder Kontonamen fragt PsGetSid die SID des lokalen Computers ab. Erfassen Sie Hostname, SID und Zeitpunkt gemeinsam. Ergänzen Sie keinen Benutzernamen wie Administrator, da sonst ein Konto abgefragt wird.
Haben geklonte Computer denselben Namen, unterscheiden Sie sie anhand einer Inventarnummer oder der VM-Verwaltung. Zwei Einträge desselben PCs oder derselben VM belegen kein Duplikat.
Die vollständige Computer-SID vergleichen
Vergleichen Sie den gesamten von PsGetSid ausgegebenen Wert. Entfernen Sie nicht dessen letzte Zahl. Die folgenden Beispielwerte veranschaulichen den Vergleich.
| Computer | Computer-SID | Ergebnis |
|---|---|---|
| PC-A | S-1-5-21-111111111-222222222-333333333 | Referenz |
| PC-B | S-1-5-21-111111111-222222222-333333333 | Identisch mit PC-A |
| PC-C | S-1-5-21-444444444-555555555-666666666 | Abweichend von PC-A und PC-B |
PC-A und PC-B bilden ein Paar mit doppelter SID. PC-C gehört nicht dazu. Sein abweichender Wert sagt nichts über weitere, noch ungeprüfte Computer aus.
Computer-SID, Benutzer-SID und AD-Computer-SID unterscheiden
Mit „SID“ können unterschiedliche Kennungen gemeint sein. Prüfen Sie vor dem Vergleich, welches Objekt tatsächlich abgefragt wurde.
| Kennung | Was wird identifiziert? | Für diesen Vergleich geeignet? |
|---|---|---|
| Lokale Computer-SID | Die lokale Kontendomäne einer Windows-Installation. | Ja, diesen Wert zwischen PCs vergleichen. |
| Lokale Benutzer-SID | Ein lokales Konto: Computer-SID als Präfix plus Konto-RID. | Nicht als vollständige Computer-SID vergleichen. |
| Domänenbenutzer-SID | Ein Benutzerkonto in einer AD-Domäne. | Nein. Derselbe Domänenbenutzer kann sich an mehreren PCs anmelden. |
| SID des AD-Computerkontos | Das Computerkonto in Active Directory. | Nein. Sie ist von der lokalen Computer-SID zu unterscheiden. |
Beispielsweise bezeichnet S-1-5-21-111111111-222222222-333333333-1001 hier einen lokalen Benutzer. Die abschließende 1001 ist seine relative Kennung, die RID. Die Computerabfrage von PsGetSid enthält diese Konto-RID bereits nicht. Weitere Einzelheiten erklärt Microsoft zur Struktur und zum Geltungsbereich von SIDs.
Warum whoami /user keine Computer-SID prüft
Der Befehl whoami liefert Informationen zum ausführenden Konto. Mit /user erhalten Sie dessen Benutzer-SID. Meldet sich derselbe Domänenbenutzer an zwei PCs an, sind übereinstimmende Benutzer-SIDs zu erwarten.
Auch bekannte Kennungen wie S-1-5-18 für LocalSystem sind absichtlich identisch. Sie belegen keine doppelte Computer-SID zweier Installationen.
Warum Get-ADComputer keine lokalen Computer-SIDs prüft
Get-ADComputer liest AD-Computerobjekte aus. Eine Gruppierung ihrer Eigenschaft SID vergleicht Verzeichniskonten, nicht die lokalen Computer-SIDs der Arbeitsstationen. Eindeutige AD-Konto-SIDs schließen doppelte lokale Computer-SIDs nicht aus.
Das Ntdsutil-Verfahren für doppelte SIDs betrifft ein anderes Problem bei der Vergabe von Domänenkonto-SIDs. Es ersetzt keine Abfrage geklonter Endpunkte. Führen Sie bei dieser Arbeitsplatzprüfung keine Befehle zur Verzeichnisbereinigung aus.
Mehrere Computer mit PsGetSid prüfen
Einen entfernten PC oder eine Computerliste abfragen
Fragen Sie im PsTools-Ordner einen bestimmten Endpunkt ab:
.\PsGetsid.exe \\PC-ARemoteabfragen benötigen eine funktionierende Verbindung und ein Konto mit Administratorrechten auf dem Ziel. Geben Sie bei abweichenden Anmeldedaten den Benutzernamen an und lassen Sie PsGetSid das Kennwort abfragen:
.\PsGetsid.exe \\PC-A -u CONTOSO\AdminNameErsetzen Sie die beispielhaften Computer- und Kontonamen. Schreiben Sie das Kennwort nicht direkt in den Befehlsverlauf.
Erstellen Sie für eine festgelegte Gruppe die Datei computers.txt im selben Ordner. Jede Zeile enthält einen erreichbaren Computernamen:
PC-A
PC-B
PC-CFühren Sie die Listenabfrage in PowerShell aus und speichern Sie die Ausgabe:
.\PsGetsid.exe '@computers.txt' 2>&1 |
Tee-Object -FilePath .\sid-check-log.txtPsGetSid unterstützt Computerlisten. Die Anführungszeichen übergeben @computers.txt in PowerShell als wörtliches Argument. Tee-Object zeigt die Ausgabe an und schreibt die Protokolldatei. Verwenden Sie je Erfassung einen neuen Dateinamen, damit ältere Ergebnisse erhalten bleiben.
Erfolgreiche und fehlgeschlagene Abfragen getrennt erfassen
Prüfen Sie das Protokoll für jeden Computer und führen Sie eine Übersicht mit diesen Spalten:
| Spalte | Zu erfassende Information |
|---|---|
| Computer oder Inventarnummer | Name oder Kennzeichnung des tatsächlichen Endpunkts. |
| Computer-SID | Der vollständige Rückgabewert; bei einem Fehler bleibt das Feld leer. |
| Status | Erfasst, Zugriff verweigert, nicht erreichbar oder ein anderer konkreter Fehler. |
| Erfassungszeitpunkt | Datum und Uhrzeit der Prüfung. |
Gleichen Sie die Übersicht mit der ursprünglichen Zielliste ab. Sollten 20 PCs geprüft werden und liegen nur 17 SIDs vor, bleiben drei PCs ungeprüft – auch wenn alle 17 erfassten Werte verschieden sind.
Diese Befehle erfassen Ausgaben, erzeugen jedoch keinen fertigen Duplikatbericht. Bewahren Sie das Originalprotokoll auf, um jeden Eintrag nachvollziehen zu können.
Übereinstimmende SIDs gruppieren und PCs verifizieren
Filtern Sie in der Tabelle nach erfolgreichen Erfassungen mit nicht leerer Computer-SID. Sortieren Sie anschließend nach dem vollständigen SID-Wert. Markieren Sie Wiederholungen oder gruppieren Sie die Computer je SID in einer Pivot-Tabelle.
Prüfen Sie vor dem Festhalten einer Duplikatgruppe:
- Jeder Eintrag gehört zu einem anderen PC oder einer anderen VM und ist keine erneute Erfassung desselben Endpunkts.
- Kurzname, vollständiger DNS-Name und Alias führen nicht dazu, dass derselbe PC doppelt gezählt wird.
- Die Werte stammen aus den aktuellen Installationen und nicht aus Protokollen vor einer Neuinstallation oder SID-Änderung.
Wir empfehlen, die lokale Abfrage auf jedem verdächtigen Computer zu wiederholen, bevor Sie eine Änderung planen. Erfassen Sie Fehler separat; leere Zellen sind keine übereinstimmenden SIDs.
Ergebnisse richtig einordnen
| Befund | Schlussfolgerung | Nächster Schritt |
|---|---|---|
| Zwei verschiedene PCs liefern dieselbe vollständige Computer-SID. | Zwischen diesen Installationen liegt ein Duplikat vor. | Belege sichern und einen geeigneten Lösungsweg prüfen. |
| Alle erfassten Computer-SIDs unterscheiden sich. | Innerhalb der geprüften Gruppe wurden keine Duplikate gefunden. | Sicherstellen, dass jeder vorgesehene Endpunkt erfolgreich geprüft wurde. |
| Einige PCs liefern Fehler oder keine SID. | Die Prüfung ist unvollständig. | Abfragefehler beheben oder lokal prüfen. |
| Es wurden nur Benutzer- oder AD-Konto-SIDs verglichen. | Die lokalen Computer-SIDs wurden noch nicht geprüft. | Computerwerte mit PsGetSid erfassen. |
| Gleiche Computer-SIDs und ein Anmeldefehler. | Das Duplikat ist bestätigt, die Fehlerursache benötigt weitere Belege. | Verbindung, Windows-Versionen und Authentifizierungsprotokolle abgleichen. |
Wenn die SID-Abfrage fehlschlägt
| Problem | Nächste Prüfung |
|---|---|
| PsGetSid wird nicht erkannt. | Prüfen, ob das Paket entpackt wurde und PowerShell im Ordner mit der ausführbaren Datei geöffnet ist. Vor dem Namen .\ angeben. |
| Zugriff verweigert. | Die Rechte des Kontos auf dem Ziel prüfen. Ein erhöhtes Terminal auf dem eigenen PC verleiht nicht automatisch Remoteadministratorrechte. |
| Der entfernte Computer ist nicht erreichbar. | Hostname, Netzwerkverbindung und freigegebenen Remoteverwaltungszugriff prüfen. Ist der Remotezugriff nicht möglich, PsGetSid direkt auf dem betreffenden PC ausführen. |
| Die Abfrage liefert keine Computer-SID. | Den Eintrag als unvollständig markieren. Prüfen, ob das richtige Objekt abgefragt wurde und eine Fehlermeldung vorliegt. |
Verwenden Sie nicht (Get-CimInstance Win32_ComputerSystem).SID: Die offizielle Klasse Win32_ComputerSystem besitzt keine Eigenschaft SID. Eine leere Ausgabe bedeutet daher nicht, dass Windows keine Computer-SID hat.
Verhindert das vermutete Problem bereits die Remoteauthentifizierung, fragen Sie die SID lokal ab. Ein Remoteabfragefehler allein zeigt nicht, ob auf dem Ziel ein SID-Duplikat vorliegt.
Was tun bei bestätigten doppelten Computer-SIDs?
Bei abgewiesenen Anmeldedaten erfassen Sie die Windows-Version und gleichen den Verbindungsfehler mit den Protokollen ab. Microsoft beschreibt Authentifizierungsfehler durch doppelte SIDs für Windows 11 24H2, Windows 11 25H2 und Windows Server 2025 nach einschlägigen Updates ab dem 29. August 2025. Dazu gehört die Prüfung des LSA-Ereignisses 6167. Eine allgemeine Kennwortfehlermeldung reicht nicht aus.
Für eine imagebasierte Bereitstellung folgen Sie vor der Aufnahme eines auf anderen Computern vorgesehenen Images der Microsoft-Anleitung zur Sysprep-Generalisierung. Eine SID-Abfrage generalisiert kein Image.
In einer vorhandenen Installation kann Wittytool Disk Clone eine neue lokale Computer-SID erzeugen und die davon abgeleiteten lokalen Konto-SIDs aktualisieren. Vorhandene Benutzer, Einstellungen, installierte Anwendungen und Daten bleiben dabei erhalten. Domänenbenutzer-SIDs werden nicht geändert; die Funktion umfasst nicht alle Generalisierungsschritte von Sysprep.
Vor einer Identitätsänderung empfehlen wir eine aktuelle Sicherung und ein Wartungsfenster. Bei Domänen-PCs verlassen Sie für diesen Ablauf zunächst die Domäne, ändern die SID und treten anschließend mit Zugriff auf einen Domänencontroller wieder bei. Die einzelnen Schritte finden Sie in der Anleitung zur SID-Änderung.
Erfassen Sie nach der Änderung die Computer-SIDs erneut und wiederholen Sie den betroffenen Verbindungstest. Prüfen Sie Identität und Funktion getrennt: Verschiedene SIDs beweisen allein nicht, dass alle Authentifizierungsprobleme behoben sind.
Häufige Fragen
Können zwei Computer dieselbe Computer-SID haben?
Ja. Nach dem Klonen einer nicht generalisierten Windows-Installation können verschiedene Systeme dieselbe lokale Computer-SID haben. Fragen Sie beide PCs mit PsGetSid ab, bestätigen Sie, dass es verschiedene Geräte oder VMs sind, und vergleichen Sie die vollständigen Werte.
Zeigt whoami /user die Computer-SID an?
Nein. Der Befehl zeigt die SID des ausführenden Benutzers. Derselbe Domänenbenutzer hat auf verschiedenen PCs dieselbe Benutzer-SID. Für die lokale Computer-SID führen Sie PsGetSid ohne Kontonamen aus.
Kann ich Computer-SIDs prüfen, ohne sie zu ändern?
Ja. Die hier verwendeten PsGetSid-Befehle fragen bestehende Kennungen ab. Sie ändern keine SIDs, Computernamen oder AD-Objekte. Beim Entpacken, Bestätigen der Erststartbedingungen und Speichern eines Protokolls können dennoch lokale Dateien oder Einstellungen entstehen.
Beweist eine doppelte Computer-SID die Ursache eines Anmeldefehlers?
Nein. Eine Übereinstimmung bestätigt das Duplikat zwischen den geprüften Installationen. Für den Zusammenhang mit einem Authentifizierungsfehler prüfen Sie zusätzlich Windows-Versionen und Protokolle einschließlich des passenden LSA-Ereignisses 6167. Ein fehlgeschlagener Remoteabruf allein beweist kein Duplikat.