Entra Join statt Hybrid Join: Warum Microsoft Clients nicht mehr in der Domäne sehen will

• Microsoft empfiehlt Microsoft Entra Join als Standard für neue und zurückgesetzte Windows-Geräte, Hybrid Join soll kein langfristiger Zielzustand sein.
• Hybrid-Join-Geräte bleiben Mitglied der lokalen Domäne und benötigen für die Erstanmeldung und Kennwortänderungen eine Verbindung zum Domänencontroller.
• Microsoft Entra registriert ist für private Geräte (BYOD) gedacht, Entra Join für firmeneigene Windows-PCs, die vollständig aus der Cloud verwaltet werden.
• Ein unterstützter Weg, Domänen- oder Hybrid-Geräte ohne Neuinstallation auf Entra Join umzustellen, existiert nicht, der Wechsel erfolgt am besten beim Hardwaretausch.
• Mit dem Wechsel zu Entra Join entfallen VPN-Abhängigkeit und Gruppenrichtlinien, Sicherheit hängt an Identität und Gerätezustand statt am Firmennetz.

Über viele Jahre war die Regel einfach: Ein Firmen-PC wird Mitglied der Active-Directory-Domäne. Mit Microsoft Entra ID kam der Hybrid Join hinzu, bei dem das Gerät in der Domäne bleibt und zusätzlich eine Identität in der Cloud erhält. Für viele IT-Abteilungen ist das bis heute der Standard für neue Geräte.

Microsoft sieht das inzwischen klar anders. In der Intune-Dokumentation empfiehlt Microsoft, neue und zurückgesetzte Windows-Geräte per Microsoft Entra Join einzubinden, und beantwortet die Frage, ob Hybrid Join ein langfristiger Zielzustand sein soll, mit einem deutlichen Nein. Organisationen ohne technische, politische oder regulatorische Hindernisse sollen ihre Windows-Clients auf Entra Join umstellen oder diesen Schritt planen.

Für Administratoren lohnt sich ein genauer Blick auf die vier möglichen Zustände eines Geräts. In Microsoft Entra ID sind sie am Attribut trustType zu erkennen: Workplace für registrierte, ServerAD für hybrid eingebundene und AzureAD für Entra-joined-Geräte.

Nur Active Directory (klassischer Domänenbeitritt)

• Identität: Computerkonto im lokalen Active Directory, keine Geräteidentität in Microsoft Entra ID.
• Anmeldung: mit dem Domänenkonto, Authentifizierung per Kerberos oder NTLM gegen den Domänencontroller.
• Verwaltung: Gruppenrichtlinien und gegebenenfalls Configuration Manager.
• Einschränkungen: Ohne Cloud-Identität kann Conditional Access den Gerätezustand nicht auswerten. Gerätebasierte Zugriffsregeln für Microsoft 365 sind damit nicht möglich.

Microsoft Entra registriert

• Zweck: private oder persönliche Geräte (BYOD) sowie Smartphones und Tablets. iOS- und Android-Geräte sind in Microsoft Entra ID immer registriert, nicht eingebunden.
• Anmeldung: Der Nutzer meldet sich mit einem lokalen oder privaten Konto am Gerät an und fügt sein Geschäftskonto nur für Apps und den Zugriff auf Microsoft 365 hinzu.
• Verwaltung: optional mit Intune, entweder als vollständige Geräteverwaltung oder nur als App-Schutz für Unternehmensdaten.
• Einsatz: nicht als Standard für firmeneigene Windows-PCs geeignet.

Microsoft Entra Hybrid Join

• Identität: Das Gerät ist Mitglied der lokalen Domäne und zusätzlich in Microsoft Entra ID registriert. Die Geräteobjekte werden dafür aus dem Active Directory synchronisiert.
• Anmeldung: mit dem Domänenkonto. Für die Erstanmeldung und Kennwortänderungen ist eine Verbindung zum Domänencontroller zwingend nötig. Laufen die zwischengespeicherten Anmeldedaten ab, brauchen Nutzer außerhalb des Büros ein VPN.
• Verwaltung: Gruppenrichtlinien, Intune oder beides parallel, was laut Microsoft zusätzlichen Aufwand und Komplexität bedeutet.
• Vorteile: Compliance-Richtlinien und Conditional Access funktionieren, wenn das Gerät mit Intune verwaltet wird.
• Einschränkungen: Hybrid Join gilt laut Microsoft nicht als cloudnativ. Autopilot Reset wird nicht unterstützt, ein Zurücksetzen erfordert ein vollständiges Löschen des Geräts.

Microsoft Entra Join

• Identität: Das Gerät ist nur in Microsoft Entra ID eingebunden und nicht Mitglied einer lokalen Domäne.
• Anmeldung: mit dem Geschäftskonto, idealerweise per Windows Hello for Business. Ein VPN ist auch bei abgelaufenen zwischengespeicherten Anmeldedaten nicht nötig.
• Bereitstellung: per Windows Autopilot, über die Ersteinrichtung von Windows, über die Einstellungen-App oder per Bereitstellungspaket.
• Verwaltung: vollständig über Intune mit Konfigurationsrichtlinien, Compliance und Conditional Access.
• Zugriff auf lokale Ressourcen: Dateifreigaben und lokale Anwendungen bleiben mit Single Sign-on erreichbar, zum Beispiel über Windows Hello for Business mit Cloud Kerberos Trust.
• Einschränkungen: Ressourcen, die eine Authentifizierung über das Computerkonto im Active Directory voraussetzen, funktionieren nicht. Gruppenrichtlinien greifen nicht, für den Druck empfiehlt Microsoft Universal Print.

Hinter der Empfehlung steht ein grundlegender Wechsel des Sicherheitsmodells. Früher galt das Firmennetz als vertrauenswürdig: Wer im Netz oder per VPN verbunden war, bekam Zugriff. Heute arbeiten Nutzer von überall, und die wichtigsten Daten liegen in Microsoft 365. Zero Trust ersetzt den Netzwerkperimeter durch Identität und Gerätezustand.

Ein Hybrid-Join-Gerät bleibt dagegen an die lokale Domäne gebunden. Es braucht den Domänencontroller für die Anmeldung, oft ein VPN und meist parallel Gruppenrichtlinien. Wie wir im Beitrag zu Gruppenrichtlinien und Intune gezeigt haben, kommen Richtlinien bei mobilen Geräten dadurch verspätet oder gar nicht an.

Microsoft verfolgt mit Entra Join mehrere Ziele:

• Unabhängigkeit vom Firmennetz: Anmeldung, Richtlinien und Updates funktionieren über jede Internetverbindung.
• Moderne Windows-Funktionen: Laut Microsoft stehen eingebaute Funktionen wie moderne Verwaltung und Authentifizierung bei Hybrid Join unter Umständen nicht vollständig zur Verfügung.
• Einfache Bereitstellung: Mit Windows Autopilot kommt ein neues Gerät direkt vom Händler zum Nutzer und richtet sich selbst ein. Autopilot Reset setzt Entra-joined-Geräte bei Bedarf schnell zurück.
• Weniger lokale Infrastruktur: Jedes Gerät, das nicht mehr Mitglied der Domäne ist, verringert die Abhängigkeit vom lokalen Active Directory.

Der Zielzustand für Windows-Clients ist Microsoft Entra Join mit Verwaltung über Microsoft Intune. Hybrid Join bleibt für bestehende Domänengeräte sinnvoll, bis sie ersetzt oder neu installiert werden. Beide Gerätetypen können laut Microsoft nebeneinander betrieben werden, eine gemischte Umgebung erhöht aber Komplexität und Supportaufwand.

Wichtig für die Planung: Microsoft bietet keinen unterstützten Weg, ein Domänen- oder Hybrid-Gerät ohne Zurücksetzen von Windows auf Entra Join umzustellen. Microsoft empfiehlt deshalb, den Wechsel mit einem ohnehin anstehenden Ereignis zu verbinden, etwa einem Hardwaretausch, einem Betriebssystem-Upgrade oder einer Neuinstallation.

Windows Server bleiben vorerst Mitglied der Domäne. Die Empfehlung betrifft Clients, nicht Server.

1. Neue Geräte nur noch per Entra Join: Stellen Sie neue und zurückgesetzte Clients ab sofort per Windows Autopilot und Entra Join bereit, nicht mehr per Hybrid Join.
2. Abhängigkeiten prüfen: Ermitteln Sie Anwendungen, Dateifreigaben und Drucker, die das Computerkonto im Active Directory voraussetzen, und planen Sie Alternativen.
3. Richtlinien in Intune abbilden: Migrieren Sie Gruppenrichtlinien vorab in Intune Konfigurationsrichtlinien, damit neue Geräte vom ersten Tag an korrekt konfiguriert sind.
4. Anmeldung modernisieren: Führen Sie Windows Hello for Business mit Cloud Kerberos Trust ein, damit der Zugriff auf lokale Ressourcen ohne Kennwort funktioniert.
5. VPN überdenken: Mit Microsoft Global Secure Access erreichen Entra-joined-Geräte lokale Anwendungen ohne klassisches VPN.
6. Bestand schrittweise umstellen: Bestehende Hybrid-Geräte im Rahmen des regulären Hardwaretauschs ersetzen.

Als Microsoft Solutions Partner für Security begleitet die InSys AG^® Unternehmen beim Umstieg auf cloudnative Clients: von der Analyse der Abhängigkeiten über die Einrichtung von Microsoft Entra ID und Windows Autopilot bis zum Rollout. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Weitere Leistungen finden Sie auf unserer Übersicht zu Microsoft 365 Security und Lizenzen.

Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.