Wenn Ihr DHCP-Server keine IP zuweist, ist meist der DHCP-Dienst gestoppt, der Adresspool erschöpft, das Scope falsch konfiguriert oder ein Relay-Agent unterbrochen. Prüfen Sie zuerst den Dienststatus, danach den Pool und die VLAN-/Relay-Konfiguration. Erst dann Client-seitig mit ipconfig /release und /renew reagieren.
Symptome
- Clients bekommen eine 169.254.x.x-APIPA-Adresse statt einer IP aus Ihrem Subnetz.
- ipconfig /renew läuft in einen Timeout oder meldet "DHCP-Server nicht erreichbar".
- Nur bestimmte VLANs oder Etagen sind ohne IP, andere Bereiche funktionieren normal.
- Ereignisanzeige protokolliert DHCP-Event-IDs 1041, 1046 oder 1059 auf dem Server.
- Neue Geräte bekommen keine IP, bereits geleaste Clients bleiben zunächst online.
Häufige Ursachen
DHCP-Dienst gestoppt oder nicht autorisiert
Der Windows-DHCP-Dienst ist beendet oder der Server ist im Active Directory nicht mehr autorisiert. Ohne Autorisierung antwortet der Dienst auf keine DISCOVER-Pakete.
Adresspool erschöpft
Der Scope hat keine freien Leases mehr, weil zu viele aktive Geräte im Netz sind oder alte Reservierungen den Bereich blockieren. Neue Clients erhalten dann keine Adresse.
Falsches Scope oder Subnetz
Scope-Bereich, Subnetzmaske oder Standardgateway passen nicht zum tatsächlichen Netz. Der Server ignoriert Anfragen aus einem Subnetz, für das kein passendes Scope existiert.
DHCP-Relay bzw. IP-Helper fehlt
In geswitchten Umgebungen mit VLANs erreichen Broadcasts den DHCP-Server nur über einen Relay-Agent. Fehlt der ip helper-address-Eintrag am L3-Switch, bleiben Anfragen liegen.
Firewall blockiert UDP 67/68
Eine Host- oder Perimeter-Firewall verwirft DHCP-Verkehr auf UDP 67 (Server) und 68 (Client). Auch IPS-Regeln gegen "Rogue DHCP" können legitime Antworten filtern.
Schritt-für-Schritt-Lösung
- Dienststatus und Autorisierung des DHCP-Servers prüfen
Öffnen Sie services.msc und prüfen Sie, ob der Dienst "DHCP-Server" läuft. In der DHCP-Konsole muss der Server einen grünen Pfeil zeigen. Ist er nicht autorisiert, klicken Sie mit rechts auf den Servernamen und wählen Sie "Autorisieren". Auf Linux prüfen Sie systemctl status isc-dhcp-server. - Auslastung und Konfiguration des Scopes kontrollieren
Öffnen Sie in der DHCP-Konsole den betroffenen Scope und sehen Sie sich "Adressleases" an. Liegt die Auslastung nahe 100 Prozent, erweitern Sie den Bereich oder verkürzen die Leasedauer auf 8 Stunden. Prüfen Sie außerdem Subnetzmaske, Startadresse, Endadresse und die Optionen 003 (Router) und 006 (DNS). - VLAN, Relay-Agent und IP-Helper überprüfen
Wenn Clients aus einem anderen VLAN keine IP erhalten, muss am L3-Switch oder Router pro VLAN-Interface ein Helper konfiguriert sein, z. B. ip helper-address auf Cisco-Geräten. Testen Sie mit einem Portmirror oder Debug, ob DHCPDISCOVER am Server ankommt. - Firewall- und Portregeln für UDP 67/68 freigeben
Kontrollieren Sie die Windows-Defender-Firewall auf dem DHCP-Server: Die eingehende Regel "DHCP-Server (UDP eingehend)" muss aktiv sein. Auf Perimeter-Firewalls prüfen Sie Regeln zwischen Client-VLAN und Server-VLAN. Deaktivieren Sie temporär IPS-Signaturen gegen Rogue DHCP zur Verifikation. - Client-seitig Lease erneuern und Konfiguration prüfen
Führen Sie am Client als Administrator ipconfig /release gefolgt von ipconfig /renew aus (Linux: dhclient -r und dhclient). Prüfen Sie, ob die Netzwerkkarte auf "IP automatisch beziehen" steht und keine statische Adresse konfiguriert ist. Deaktivieren Sie testweise VPN-Clients, die den Adapter kapern. - Konflikte, doppelte Server und Logs analysieren
Suchen Sie mit Wireshark nach DHCP-Verkehr und prüfen Sie, ob ein zweiter, nicht autorisierter DHCP-Server (etwa ein privater Router) antwortet. Werten Sie unter Windows das Ereignisprotokoll "DHCP-Server" aus und beachten Sie IDs 1020, 1041 und 1046 für gezielte Hinweise auf Berechtigungen und Pool-Zustand. - Datenbank sichern und Dienst neu starten
Wenn Konfiguration und Netz sauber sind, sichern Sie die DHCP-Datenbank über "Sichern" in der Konsole, dann starten Sie den Dienst mit Restart-Service DHCPServer neu. Bei anhaltenden Problemen hilft "Abgleichen" des Scopes, um Inkonsistenzen zwischen Registry und Datenbank aufzulösen.
Typische Symptome, wahrscheinliche Ursache und passender Fix
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Client bekommt 169.254.x.x | Kein DHCP-Server erreichbar | Dienststatus und Relay prüfen |
| Fehler "Scope zu 100% ausgelastet" | Adresspool erschöpft | Bereich erweitern, Leases verkürzen |
| Nur ein VLAN ohne IP | Fehlender ip helper-address | Relay am L3-Interface setzen |
| Server startet, autorisiert sich aber nicht | AD-Berechtigung fehlt | Enterprise-Admin-Rechte prüfen |
| Doppelte IPs im Netz | Zweiter DHCP-Server aktiv | Rogue-Server suchen und deaktivieren |
| Event-ID 1059 | Server konnte nicht binden | Feste IP am Serveradapter setzen |
So beugen Sie vor
- Leasedauer an die Netzgröße anpassen, in dichten Gäste-WLANs eher 2 bis 8 Stunden.
- Nur einen autorisierten DHCP-Server pro Broadcast-Domäne betreiben und dokumentieren.
- Monitoring auf Scope-Auslastung ab 80 Prozent einrichten (z. B. per PRTG oder Zabbix).
- Redundanz über DHCP-Failover mit zwei Servern im Load-Balance-Modus einrichten.
Häufige Fragen
Wie erkenne ich, dass wirklich der DHCP-Server das Problem ist und nicht der Client?
Testen Sie mit mindestens zwei unterschiedlichen Geräten im gleichen Subnetz, idealerweise per Kabel. Erhalten beide eine APIPA-Adresse (169.254.x.x), liegt das Problem serverseitig oder am Relay. Bekommt nur ein Gerät keine IP, prüfen Sie Treiber, Adaptereinstellungen und mögliche statische Konfiguration am Client.
Was ist ein DHCP-Relay und wann brauche ich es?
Ein DHCP-Relay-Agent leitet DHCP-Broadcasts über Subnetzgrenzen hinweg an den zentralen Server weiter. Sie brauchen ihn, sobald Clients in einem anderen VLAN oder IP-Netz stehen als der DHCP-Server. Konfiguriert wird er am Layer-3-Switch oder Router pro Client-VLAN, typischerweise über ip helper-address.
Sollte ich für Server und Drucker DHCP oder statische IPs verwenden?
Für Server, Drucker und Netzwerkgeräte empfiehlt sich DHCP mit Reservierung anhand der MAC-Adresse. So bleibt die Adresse stabil, gleichzeitig behalten Sie die zentrale Verwaltung im DHCP. Rein statische Konfiguration ist nur sinnvoll für Geräte, die schon vor DHCP-Verfügbarkeit erreichbar sein müssen.