Entra Connect: Bis 7. April 2027 handeln oder mit dem neuen Migrationstool zu Cloud Sync wechseln

• Ab dem 7. April 2027 hört Entra Connect auf zu synchronisieren, wenn der Server nicht mindestens Version 2.6.84.0 nutzt und die anwendungsbasierte Authentifizierung eingerichtet ist.
• Seit Version 2.6.91.0 vom 16. September 2026 enthält Entra Connect einen geführten Assistenten für den Wechsel zu Entra Cloud Sync.
• Der Assistent steht schrittweise für geeignete Umgebungen bereit: ein Forest, höchstens 2.000 Objekte und keine eigenen Synchronisationsregeln.
• Microsoft empfiehlt das Sicherheitsupdate 2.6.92.0 so schnell wie möglich, die Version 2.6.79.0 wurde zurückgezogen.
• Wer Entra Connect noch auf Windows Server 2016 betreibt, hat mit dem Supportende am 12. Januar 2027 einen zweiten Grund, jetzt zu planen.

Entra Connect (früher Azure AD Connect) synchronisiert in den meisten Unternehmen mit lokalem Active Directory die Benutzer, Gruppen und Kennwort-Hashes nach Microsoft Entra ID. Ohne diese Synchronisation melden sich Mitarbeiter nicht mehr mit ihren gewohnten Zugangsdaten bei Microsoft 365 an, neue Benutzer kommen nicht in der Cloud an und Kennwortänderungen greifen nicht.

Microsoft stellt die bisherige Anmeldung von Entra Connect am Tenant ab. Laut der offiziellen Versionshistorie gilt:

• Bis zum 7. April 2027 muss jeder Server mindestens Version 2.6.84.0 nutzen und die anwendungsbasierte Authentifizierung (Application-Based Authentication) eingerichtet haben.
• Erfüllt ein Server diese Voraussetzungen nicht, stoppt die Synchronisation nach diesem Datum.
• Alle Versionen 1.x sind bereits nicht mehr unterstützt und synchronisieren nicht mehr.

Zusätzlich empfiehlt Microsoft das Sicherheitsupdate 2.6.92.0 vom 23. September 2026 so schnell wie möglich. Die Version 2.6.79.0 wurde zurückgerufen. Wer sie installiert hat, soll sie deinstallieren und 2.6.92.0 einspielen.

Unternehmen haben im Kern zwei Möglichkeiten:

1. Entra Connect aktualisieren: Update auf 2.6.92.0 und im Assistenten die Option zur anwendungsbasierten Authentifizierung einrichten. Der Server bleibt, die Umgebung bleibt, wie sie ist.
2. Zu Entra Cloud Sync wechseln: Statt eines vollständigen Synchronisationsservers läuft nur noch ein schlanker Agent im lokalen Netz, die Konfiguration liegt im Entra Admin Center. Microsoft bezeichnet Cloud Sync als strategische Richtung.

Welche Variante passt, hängt vor allem davon ab, welche Funktionen Sie heute nutzen. Einen ausführlichen Vergleich beider Werkzeuge mit Tabelle finden Sie auf unserer Seite zu Microsoft Entra ID.

Mit Version 2.6.91.0 vom 16. September 2026 hat Microsoft einen geführten Assistenten für den Wechsel von Entra Connect zu Cloud Sync eingeführt. Er steht nur in der öffentlichen Azure Cloud zur Verfügung und wird laut Microsoft Learn schrittweise für geeignete Organisationen freigeschaltet. Sie finden ihn auf dem aktiven Entra Connect Server im Assistenten unter Konfigurieren als Aufgabe Transition to Cloud Sync.

Der Ablauf in Kurzform:

1. Anmeldung mit der Rolle Hybrid Identity Administrator und Domänen-Admin-Zugangsdaten je Forest.
2. Prüfung der Umgebung mit Ergebnis je Bereich: unterstützt, Aufmerksamkeit nötig oder blockiert.
3. Der Assistent installiert den Cloud Sync Agent und legt je Domäne eine zunächst deaktivierte Cloud Sync Konfiguration an.
4. Test mit Provision on Demand an ausgewählten Benutzern oder Gruppen.
5. Aktivierung: Cloud Sync übernimmt, Entra Connect wechselt in den Staging-Modus und schreibt nicht mehr nach Entra ID.
6. Prüfung der Ergebnisse und Abschluss der Migration.

Microsoft empfiehlt, Entra Connect während einer Prüfphase von zwei Wochen installiert zu lassen. Wichtig: Der Assistent vergleicht nur Gesamtzahlen und den Zustand der Jobs. Ob einzelne Benutzer, Gruppenmitgliedschaften und das Zurückschreiben von Kennwörtern korrekt funktionieren, müssen Sie selbst prüfen.

Der geführte Weg ist bewusst auf einfache Umgebungen begrenzt. Voraussetzungen laut Microsoft:

• ein einziger Active Directory Forest
• höchstens 2.000 synchronisierte Objekte
• höchstens 30 eingeschlossene Organisationseinheiten je Domäne

Blockiert wird der Assistent unter anderem durch eigene Synchronisationsregeln, Gruppenfilterung, einen angepassten UPN, Verzeichniserweiterungen, Gerätesynchronisation und nicht unterstützte Writeback-Szenarien. Gerade die Gerätesynchronisation ist in vielen Unternehmen noch aktiv, weil Clients per Hybrid Join angebunden sind. Warum Microsoft für neue Clients Entra Join empfiehlt, erklären wir im Beitrag Entra Join statt Hybrid Join.

Größere oder komplexere Umgebungen können trotzdem zu Cloud Sync wechseln, aber nicht per Assistent, sondern schrittweise mit einer Pilot-OU und einer geplanten Übergangsphase. Manche Szenarien brauchen weiterhin Entra Connect, zum Beispiel sehr große Verzeichnisse oder komplexe Regeln über mehrere Forests.

• Version prüfen: Welche Entra Connect Version läuft auf Ihren Servern? Alles unter 2.6.84.0 braucht vor dem 7. April 2027 ein Update.
• Anmeldung umstellen: Ist die anwendungsbasierte Authentifizierung eingerichtet? Wenn nicht, im Assistenten nachholen.
• Betriebssystem prüfen: Läuft der Server noch auf Windows Server 2016, endet dessen Support am 12. Januar 2027. Mehr dazu im Beitrag zum Windows Server 2016 Support Ende.
• Cloud Sync bewerten: Prüfen Sie, ob Ihre Umgebung die Voraussetzungen für Cloud Sync erfüllt. Wer ohnehin einen neuen Server bräuchte, spart sich mit Cloud Sync den Betrieb eines vollständigen Synchronisationsservers.
• Conditional Access prüfen: Mit 2.6.91.0 kamen neue Berechtigungen für Microsoft Graph hinzu. Wer Richtlinien für bedingten Zugriff auf einzelne Apps anwendet, sollte diese vor dem Update kontrollieren.

Die InSys AG^® ist Microsoft Solutions Partner für Security und begleitet Unternehmen bei der Anbindung von Active Directory an Microsoft Entra ID. Wir prüfen Ihre bestehende Synchronisation, empfehlen den passenden Weg und setzen Update oder Migration mit Ihnen um. Einen schnellen Überblick über den Zustand Ihrer Umgebung gibt der Microsoft Tenant Sicherheitscheck. Alle Leistungen rund um Microsoft 365 Security finden Sie in unserer Business Unit.