Schlagwort: Entra

Stand: 12. August 2026

Wenn ich mir die Entra-Neuerungen dieses Monats ansehe, fällt mir vor allem eines auf: Microsoft räumt gerade sehr systematisch die Gründe weg, aus denen wir bei Kunden bisher lokale Infrastruktur betreiben mussten. Einzeln betrachtet sind das kleine Features. In Summe verschiebt sich die Architektur.

Und es geht dabei längst nicht mehr nur um Benutzerkonten und Single Sign-on. Entra wird zunehmend zur Steuerungsebene für hybride Identitäten, Geräte, externe Benutzer und deren gesamten Lebenszyklus.

Auf einen Blick

• Cloud Sync synchronisiert jetzt Computerobjekte aus dem lokalen Active Directory. Damit fällt der letzte große Funktionsunterschied zu Entra Connect Sync weg.
• Exchange-Attribut-Writeback ist allgemein verfügbar und skaliert auf bis zu 600.000 cloudverwaltete Mailboxen pro Tenant.
• Sponsorlose Gastkonten lassen sich über Lifecycle Workflows automatisiert erkennen und bereinigen.
• Entra External ID akzeptiert Registrierungen über externe Identity Provider jetzt auch ohne E-Mail-Adresse.
• Microsoft vergibt seit Juli 2026 Transition-Windows für den Wechsel auf Cloud Sync, zunächst aber nur an einfach aufgebaute Tenants. Wer Funktionen nutzt, die Cloud Sync nicht abdeckt, bleibt vorerst bewusst auf Connect Sync.
• Der 30. September 2026 ist kein Abschaltdatum für Connect Sync, sondern eine Mindestversions-Frist. Die beiden Themen werden derzeit häufig verwechselt.

Neuerung	Status	Betrifft
Device Sync in Entra Cloud Sync	Public Preview	Hybrid-AD-Umgebungen mit Hybrid Join
Exchange-Attribut-Writeback über Cloud Sync	Allgemein verfügbar (GA)	Exchange-Hybrid-Umgebungen
Erkennung sponsorloser Gäste in Lifecycle Workflows	Public Preview	B2B-Kollaboration, ID Governance
E-Mail optional im User Flow (External ID)	Allgemein verfügbar	CIAM, Kunden- und Partnerportale
GPO Backup/Restore in Entra Domain Services	Public Preview	Entra Domain Services
Automatische SSO-Genehmigung auf verwalteten Geräten	Allgemein verfügbar	Windows 11, ab Patchday Juli 2026

Entra Cloud Sync synchronisiert jetzt Geräte aus dem Active Directory

Technisch ist das für mich die spannendste Neuerung des Monats.

Cloud Sync war bisher auf Benutzer, Gruppen und Kontakte beschränkt. Microsoft positioniert den Dienst schon länger als die moderne, cloudverwaltete Alternative zu Entra Connect Sync, aber in Beratungsgesprächen kam an dieser Stelle immer der gleiche Einwand: „Wir brauchen aber Hybrid Join.“ Damit war die Diskussion regelmäßig beendet.

Genau das ändert sich jetzt. Computerobjekte lassen sich aus dem lokalen Active Directory nach Entra ID synchronisieren, anschließend können die Geräte einen Entra Hybrid Join durchführen. Die Funktion steckt in der Public Preview und ist standardmäßig deaktiviert. Technisch läuft sie über einen AD2AADDeviceSync-Job innerhalb einer bestehenden AD-zu-Entra-ID-Konfiguration.

Voraussetzungen für Device Sync

Bevor Sie das im Lab ausprobieren, lohnt ein Blick auf die Anforderungen laut Microsoft Learn:

• Microsoft Entra Provisioning Agent in der Version 1.1.1107 oder neuer
• eine bestehende AD-zu-Entra-ID-Cloud-Sync-Konfiguration
• die Tenant-ID sowie die verifizierte Domäne, mit der sich die Geräte authentifizieren. Bei föderierten Umgebungen ist das die föderierte Domäne, sonst die primäre *.onmicrosoft.com-Domäne.
• einen konfigurierten Service Connection Point (SCP). Dafür brauchen Sie temporär ein Konto mit Enterprise-Admin-Rechten in jeder betroffenen Gesamtstruktur.
• mindestens die Rolle Hybrid Identity Administrator für die Konfiguration im Entra Admin Center

Einzelne Geräte lassen sich über Provision on demand im Device-Tab testen, alternativ können Sie den gesamten Vorgang über Microsoft Graph steuern. Für einen ersten Test empfehle ich eine dedizierte OU mit einer Handvoll Rechnern, nicht die Produktiv-OU.

Warum das für Hybrid-Identity-Architekturen wichtig ist

Für Kunden mit klassischer AD-Infrastruktur ist das ein größerer Schritt, als es zunächst klingt.

Die fehlende Gerätesynchronisation war für viele Organisationen der letzte verbleibende Grund, Entra Connect Sync überhaupt weiterzubetreiben. Mit der Preview fällt genau dieses Argument weg.

Nebenbei verschwindet damit auch ein Stück Angriffsfläche. Ein Entra-Connect-Server hält Zugriff auf die Anmeldeinformationen und Attribute sämtlicher synchronisierter Objekte und gehört deshalb zwingend nach Tier-0. Wie relevant das in der Praxis ist, hat der Angriff über Azure AD Connect gezeigt, bei dem genau dieser Server als Brücke zwischen lokaler und Cloud-Umgebung missbraucht wurde. Cloud Sync ersetzt den schwergewichtigen Server durch leichtgewichtige Agents. Das macht die Architektur nicht automatisch sicher, verkleinert aber den Blast Radius eines einzelnen Systems spürbar.

Trotzdem, und das sage ich meinen Kunden derzeit sehr deutlich: Cloud Sync ist noch kein vollständiger Ersatz. Diese Funktionen bleiben vorerst Entra Connect Sync vorbehalten:

Funktion	Entra Connect Sync	Entra Cloud Sync
Benutzer, Gruppen, Kontakte	Ja	Ja
Geräte, Hybrid Join	Ja	Preview
Erweiterte Synchronisationsregeln	Ja	Nein
Vollständiges attributbasiertes Filtering	Ja	Eingeschränkt
Sehr große Objektmengen	Ja	Skalierungsgrenzen beachten
Getrennte Gesamtstrukturen ohne Konnektivität	Nein	Ja
Lokale SQL-Datenbank erforderlich	Ja	Nein

Für neue Deployments und anstehende Modernisierungsprojekte gehört Cloud Sync klar auf die Architektur-Roadmap. Eine laufende, saubere Entra-Connect-Installation würde ich deswegen aber nicht anfassen, solange sie tut, was sie soll.

Cloud Sync ist das Zielbild, aber niemand muss jetzt migrieren

Vorweg, weil hier gerade sehr viel Halbwissen kursiert: Sie müssen Ihren Entra Connect Sync nicht ablösen. Der Dienst läuft weiter, wird weiter unterstützt und lässt sich in einer aktuellen Version völlig regulär betreiben, auch über den Herbst hinaus.

Was Microsoft im April 2026 angekündigt hat, ist ein begleiteter Übergang in Wellen. Seit Juli 2026 erfahren Tenants über das Microsoft 365 Message Center, über Entra Connect Health und per E-Mail ihren individuellen Transition-Zeitplan.

Entscheidend ist dabei, wer in den ersten Wellen überhaupt angesprochen wird, nämlich Tenants, deren Synchronisationsbedarf Cloud Sync heute schon vollständig abdeckt. Also einzelne Gesamtstruktur, Standard-Attributflüsse, keine exotischen Regeln. Wer erweiterte Funktionen nutzt oder ein großes Verzeichnis betreibt, gehört ausdrücklich nicht dazu und wird erst kontaktiert, wenn Cloud Sync die entsprechenden Szenarien beherrscht.

Ehrlich muss man allerdings auch sagen: Freiwillig ist der Wechsel nur auf Sicht. Microsoft formuliert Cloud Sync als Zielarchitektur für alle Kunden, und die Benachrichtigungen fragen nicht nach Interesse, sie teilen ein Zeitfenster zu. Für komplexe Umgebungen reden wir dabei aber über einen Zeitraum von Jahren, nicht von Monaten.

Für die Praxis heißt das zweierlei. Ist Ihre Konfiguration schlicht, kann die Nachricht mit Ihrem Zeitfenster jederzeit eintreffen, dann lohnt sich ein Pilot besser jetzt als unter Termindruck. Haben Sie dagegen eine Abhängigkeit, die Cloud Sync nicht abbildet, bleiben Sie bewusst auf Connect Sync, dokumentieren den Blocker und behalten die Feature-Vergleichsliste im Auge. Beides ist eine völlig legitime Entscheidung. Nur die Inventur Ihrer Sync-Konfiguration sollten Sie in beiden Fällen nicht aufschieben, die dauert erfahrungsgemäß deutlich länger als die eigentliche Umstellung.

Nicht verwechseln: Der 30. September 2026 ist kein Abschaltdatum für Connect Sync

Rund um dieses Thema kursieren derzeit zwei Termine, die regelmäßig durcheinandergeworfen werden. Es handelt sich aber um zwei völlig unabhängige Vorgänge.

Erstens die Härtungsfrist am 30. September 2026. Microsoft hat im Mai 2025 die Version 2.5.79.0 von Entra Connect Sync veröffentlicht, die eine Backend-Service-Änderung zur Absicherung enthält. Wer bis zum Stichtag nicht mindestens auf dieser Version ist, bei dem stellen sämtliche Synchronisationsdienste den Betrieb ein, und zwar so lange, bis das Upgrade nachgeholt wird. Der Effekt ist also reversibel. Es handelt sich um eine Mindestversions-Anforderung, nicht um eine Abkündigung des Produkts.

Wichtig dabei: 2.5.79.0 ist lediglich das Minimum. Aktuell ist Version 2.6.84.0 vom 7. Juli 2026, die zusätzlich Security-Fixes enthält. Die zwischenzeitlich veröffentlichte 2.6.79.0 wurde nach dem Release zurückgezogen, wer sie installiert hat, muss deinstallieren und die aktuelle Version einspielen. Und noch ein Punkt, der oft falsch verstanden wird: Der Stichtag bezieht sich ausschließlich auf die Connect-Sync-Version, nicht auf die Windows-Server-Version des Sync-Servers.

Zweitens der Übergang auf Cloud Sync. Dieser Vorgang hat weder ein Enddatum noch einen Stichtag. Es ist ein begleiteter Übergang in Wellen, keine erzwungene Umstellung.

Wer am 1. Oktober 2026 auf einer aktuellen Connect-Sync-Version läuft, synchronisiert also unverändert weiter. Die Migration auf Cloud Sync bleibt ein Architekturprojekt mit eigenem Zeitplan und ist kein Notfall, der an diesem Datum hängt.

Sponsorlose Gastkonten automatisch erkennen und löschen

Kommen wir zu Entra ID Governance und zu einem Thema, das mir in fast jedem Tenant-Assessment begegnet: externe Benutzer.

Gastkonten sind in vielen Microsoft-365-Umgebungen ein unterschätztes Sicherheitsproblem. Ein externer Kollege wird für ein Projekt eingeladen, bekommt Zugriff auf Teams, SharePoint oder eine Enterprise Application, und irgendwann endet das Projekt. Ohne funktionierenden Governance-Prozess bleibt das Konto danach noch Monate oder Jahre bestehen. Ich habe Tenants gesehen, in denen mehr als die Hälfte der Gastkonten seit über einem Jahr keine Anmeldung mehr aufwies.

Besonders problematisch sind sponsorlose Gäste, also externe Benutzer, für deren Zugriff im Unternehmen niemand mehr verantwortlich ist.

Microsoft erweitert dafür die Lifecycle Workflows. Sie können Prozesse aufbauen, die solche Konten erkennen und anschließend automatisiert behandeln, inklusive einer neuen Preview-Aufgabe, mit der sich Benachrichtigungen über die bevorstehende Entfernung sponsorloser Gäste versenden lassen.

Im selben Update sind weitere Lifecycle-Workflow-Funktionen dazugekommen: ein What-if-Modus zur Simulation von Workflows, das Abbrechen laufender Ausführungen sowie die Aufgabe User Attribute Updates, mit der sich bis zu zehn Attribute automatisiert setzen oder leeren lassen. Gerade der What-if-Modus ist eine sinnvolle Ergänzung, wenn man Workflows baut, die am Ende Konten löschen.

Wichtig: Guest Governance ist seit Januar 2026 kostenpflichtig

Bevor Sie solche Workflows planen, sollten Sie die Abrechnungssituation kennen. Dieser Punkt sorgt aktuell für die meisten Überraschungen.

Seit dem 30. Januar 2026 verlangt Microsoft für Guest-Governance-Funktionen in Entra ID Governance eine verknüpfte Azure-Subscription. Ohne diese Verknüpfung lassen sich gastbezogene Richtlinien nicht mehr anlegen oder aktualisieren. Betroffen sind unter anderem Access Reviews mit Gästen im Scope, Entitlement-Management-Richtlinien mit Sponsor-Genehmigern und Lifecycle Workflows, deren Ausführungsbedingungen userType eq 'Guest' enthalten.

Abgerechnet wird pro monatlich aktivem Gastbenutzer, wobei ein Gast pro Monat nur einmal berechnet wird, auch wenn mehrere Governance-Aktionen greifen. Wenn Sie 2.000 Gastkonten automatisiert bereinigen wollen, kalkulieren Sie diese Kosten also besser vorab durch.

Identity Governance wird damit operativer

Genau darin liegt für mich die eigentliche Entwicklung.

Identity Governance war lange gleichbedeutend mit regelmäßigen Access Reviews und Genehmigungsprozessen. Microsoft baut daraus zunehmend automatisierte Lifecycle-Prozesse.

Das Ziel kann schließlich nicht sein, einmal pro Quartal eine Excel-Liste mit 2.000 Gastkonten durchzugehen. Gute Governance heißt, dass unnötige Berechtigungen möglichst automatisch auffallen und verschwinden.

Wer viele Dienstleister, Projektpartner oder B2B-Kollaborationen hat, sollte deshalb prüfen, wie belastbar die eigenen Sponsor- und Guest-Prozesse tatsächlich sind.

Der Sicherheitsaspekt ist dabei nicht theoretisch. Die Analyse der Gruppe Storm-2949 hat gezeigt, dass moderne Cloud-Angriffe selten über spektakuläre Exploits laufen, sondern über vergessene Identitäten, überprivilegierte Konten und fehlende Governance. Ein Gastkonto ohne Sponsor ist genau so ein Kandidat.

Entra External ID: Registrierung ohne E-Mail-Adresse

Auch Entra External ID wird flexibler.

Bei der Registrierung über einen externen OpenID-Connect-Identity-Provider war bisher eine E-Mail-Adresse erforderlich. Lieferte der Provider keinen entsprechenden Claim, schlug die Registrierung schlicht fehl. Wer schon einmal einen branchenspezifischen IdP angebunden hat, kennt diesen Fehler vermutlich.

Microsoft erlaubt nun, die E-Mail-Adresse auf Ebene des User Flows optional zu machen. Benutzer können sich dadurch allein über ihre Identität beim angebundenen Provider registrieren. Fehlt der Claim und ist das Attribut als optional konfiguriert, wird das Konto ohne E-Mail-Adresse angelegt.

Das klingt nach einer Kleinigkeit, erweitert die möglichen CIAM-Szenarien aber erheblich. Nicht jedes Identitätssystem nutzt die E-Mail-Adresse als primäres Identifikationsmerkmal. In Kundenportalen, Mitgliederplattformen oder bei nationalen eID- und Banking-Identitäten sind Kundennummern oder Mitgliedskennungen oft deutlich relevanter.

Ein Hinweis aus der Praxis: Wenn Sie die E-Mail-Adresse in einem User Flow optional machen, betrifft das alle Anwendungen, die diesen User Flow verwenden. Testen Sie die Änderung deshalb vor dem produktiven Rollout, sonst fällt es Ihnen an der falschen Stelle auf die Füße.

Exchange-Attribute aus der Cloud verwalten, jetzt allgemein verfügbar

Diese Neuerung dürfte vor allem Administratoren klassischer Hybrid-Exchange-Umgebungen interessieren, und sie hat den Preview-Status inzwischen verlassen.

Phase 1 verschiebt die Source of Authority für Exchange-spezifische Attribute eines synchronisierten Benutzers in die Cloud. Gesteuert wird das pro Postfach über IsExchangeCloudManaged = $true. Identitätsattribute wie Name, Abteilung und Anmeldename kommen weiterhin aus dem lokalen Active Directory, während Exchange-Eigenschaften über Exchange Online, das Exchange Admin Center oder Exchange Online PowerShell verwaltet werden. Der Schritt lässt sich jederzeit zurücknehmen, was die Sache angenehm risikoarm macht.

Phase 2 ergänzt das Writeback. Änderungen an unterstützten Exchange-Attributen werden über Cloud Sync zurück ins lokale Active Directory geschrieben. Ändert sich beispielsweise eine Proxy-Adresse in Exchange Online, landet der neue Wert automatisch im AD. Lokale Line-of-Business-Anwendungen, die Exchange-Attribute direkt aus dem Verzeichnis lesen, arbeiten damit weiter mit aktuellen Daten. Und solche Anwendungen gibt es in der Praxis deutlich häufiger, als die Dokumentation vermuten lässt.

Die wichtigsten Eckdaten laut Microsoft Learn und dem GA-Announcement:

• Unterstützung für bis zu 600.000 cloudverwaltete Mailboxen pro Tenant, in der Preview lag die Grenze noch bei 200.000
• verfügbar in Commercial, GCC High, DoD und 21Vianet
• Writeback erfordert zwingend Entra Cloud Sync. Für Entra Connect Sync wird es die Funktion nicht geben.
• Provisioning Agent ab Version 1.1.1107.0, bei parallelem Betrieb von Entra Connect Sync mindestens Version 2.5.190.0
• neu bei GA: Auch das mail-Attribut wird zurückgeschrieben. Wer bereits in der Preview aktiv war, muss die Standard-Attributzuordnungen einmalig wiederherstellen, damit das Mapping angelegt wird.

Cloud Sync läuft dabei parallel zu einer bestehenden Entra-Connect-Sync-Installation. Connect Sync synchronisiert weiterhin die Identitäten, Cloud Sync übernimmt ausschließlich das Exchange-Writeback.

Ein weiterer Schritt Richtung Cloud-only Management

Strategisch passt die Funktion gut zur Gesamtentwicklung.

Viele Organisationen betreiben längst sämtliche Benutzer-Mailboxen in Exchange Online, halten aber trotzdem lokale Exchange-Komponenten am Leben, weil bestimmte Attribute weiterhin aus dem Active Directory verwaltet werden müssen. Genau diese Verantwortlichkeiten entkoppelt die neue Architektur.

Für alle, die ihren letzten lokalen Exchange Server loswerden wollen, ist das ein wichtiger Baustein. Microsoft hat dafür inzwischen auch einen vollständigen Leitfaden zur Deinstallation veröffentlicht. Ein Hinweis am Rande, weil die Frage regelmäßig kommt: Die msExch*-Schemaerweiterungen bleiben nach der Deinstallation im Active Directory bestehen. Schemaerweiterungen lassen sich nun einmal nicht zurücknehmen.

Weitere Neuerungen im August-Update

Kurz erwähnt, weil sie in den meisten Zusammenfassungen untergehen:

• Automatische SSO-Genehmigung auf verwalteten Geräten. Eine mit dem Juli-Patchday eingeführte Windows-11-Registry-Policy erlaubt es, Single-Sign-on-Anfragen auf verwalteten Entra-ID-Geräten automatisch zu genehmigen, statt Benutzer manuell bestätigen zu lassen. Damit bekommt die Zustimmungsabfrage „Mit Anmeldung fortfahren?“, die Microsoft 2024 wegen des Digital Markets Act eingeführt hat, endlich eine administrativ steuerbare Lösung. Besonders relevant für nicht-persistente VDIs, bei denen die Abfrage bisher in jeder neuen Sitzung auftauchte.
• GPO Backup und Restore in Entra Domain Services (Preview). Gruppenrichtlinienobjekte lassen sich aus automatisch vorgehaltenen Sicherungspunkten wiederherstellen.
• Termine zum Vormerken. Die Preview des memberOf-Regeloperators endet am 3. November 2026. Automatische Zuweisungsrichtlinien, die memberOf verwenden, werden bereits ab dem 27. Oktober 2026 in Quarantäne gestellt und verarbeiten dann keine Zuweisungen mehr.

Das größere Bild: Hybrid Identity wandert in die Cloud

Betrachtet man die Neuerungen zusammen, wird die Strategie ziemlich deutlich.

Microsoft schafft hybride Identitäten nicht von heute auf morgen ab. Stattdessen werden einzelne Verantwortlichkeiten schrittweise aus der lokalen Infrastruktur herausgelöst.

Benutzer und Gruppen lassen sich zunehmend cloudseitig verwalten. Exchange-Attribute wandern nach Exchange Online und bei Bedarf wieder zurück. Cloud Sync übernimmt immer mehr Provisioning-Aufgaben und synchronisiert in der Preview inzwischen auch Geräte. Parallel automatisiert Entra ID Governance die Prozesse für Benutzer, Gäste und Berechtigungen.

Damit verändert sich auch die Frage, die am Anfang jedes Hybrid-Identity-Projekts steht.

Früher lautete sie: „Wie synchronisieren wir unser Active Directory zuverlässig in die Cloud?“

Künftig eher: „Welche Objekte müssen überhaupt noch lokal verwaltet werden, und für welche kann Entra bereits die führende Plattform sein?“

Das ist ein deutlich grundlegenderer Architekturwechsel, als die einzelnen Release Notes vermuten lassen.

Was Sie jetzt prüfen sollten

• Cloud-Sync-Readiness klären. Analysieren Sie, welche Funktionen Ihre Entra-Connect-Sync-Installation tatsächlich nutzt und ob Cloud Sync diese abbilden kann. Daraus ergibt sich, ob Sie zu den früh angesprochenen Tenants gehören oder bewusst warten.
• Guest Governance überprüfen. Externe Benutzer brauchen einen klaren Sponsor sowie automatisierte Prozesse für Ablauf, Review und Löschung. Kalkulieren Sie die MAU-basierte Abrechnung von Anfang an mit ein.
• Hybrid Exchange hinterfragen. Welche technischen Gründe machen einen lokalen Exchange Server heute noch erforderlich? Mit dem GA des Writebacks fällt ein weiterer davon weg.
• External-ID-Architektur modernisieren. Bei Kunden-, Partner- oder Mitgliederportalen eröffnen die flexibleren Federation- und User-Flow-Optionen neue Szenarien.
• Agent-Versionen aktualisieren. Provisioning Agent 1.1.1107 oder neuer sowie Entra Connect Sync 2.5.190.0 oder neuer sind Voraussetzung für die neuen Funktionen.
• Härtungsfrist einhalten. Entra Connect Sync muss bis zum 30. September 2026 auf mindestens Version 2.5.79.0 laufen, besser direkt auf der aktuellen 2.6.84.0.

Fazit

Auf den ersten Blick wirken die Entra-Neuerungen im August 2026 wie eine Sammlung kleiner technischer Erweiterungen. Zusammengenommen zeigen sie einen klaren Trend: Microsoft macht die Cloud zur Steuerungsebene für hybride Identitäten.

Cloud Sync übernimmt weitere Aufgaben, Governance-Prozesse werden automatisiert, und klassische Abhängigkeiten von lokalen Systemen verschwinden Stück für Stück.

Das heißt nicht, dass Sie Ihr lokales Active Directory morgen abschalten können. Solange es existiert, sollte es auch abgesichert bleiben. Der Entra ID Kennwortschutz für das lokale AD ist dafür nach wie vor eine der am häufigsten lizenzierten und am seltensten aktivierten Funktionen.

Es heißt aber sehr wohl, dass bestehende Hybrid-Identity-Architekturen regelmäßig auf den Prüfstand gehören. Denn die entscheidende Frage ist längst nicht mehr, ob Identity Management stärker in die Cloud wandert, sondern wie schnell die eigene Umgebung diesen Schritt sinnvoll mitgehen kann.

Häufige Fragen

Kann Microsoft Entra Cloud Sync Geräte synchronisieren?

Ja. Über den AD2AADDeviceSync-Job lassen sich Computerobjekte aus dem lokalen Active Directory nach Entra ID synchronisieren, anschließend können die Geräte einen Entra Hybrid Join durchführen. Die Funktion befindet sich in der Public Preview und ist standardmäßig deaktiviert.

Ersetzt Cloud Sync jetzt Entra Connect Sync?

Noch nicht. Erweiterte Synchronisationsregeln, umfangreiches attributbasiertes Filtering und sehr große Objektmengen bleiben weiterhin Gründe für Entra Connect Sync, und wer solche Anforderungen hat, soll laut Microsoft ausdrücklich darauf bleiben. Cloud Sync ist aber die erklärte Zielarchitektur, und seit Juli 2026 vergibt Microsoft gestaffelt individuelle Transition-Windows, beginnend mit einfach aufgebauten Tenants.

Wird Entra Connect Sync am 30. September 2026 abgeschaltet?

Nein. An diesem Datum stellen ausschließlich Installationen unterhalb der Version 2.5.79.0 die Synchronisation ein, und zwar so lange, bis das Upgrade nachgeholt wird. Wer auf einer aktuellen Version läuft, derzeit 2.6.84.0, synchronisiert unverändert weiter. Der Übergang auf Cloud Sync ist ein davon unabhängiger, gestaffelter Prozess ohne festes Enddatum.

Wie viele Mailboxen unterstützt das Exchange-Attribut-Writeback?

Seit dem GA bis zu 600.000 cloudverwaltete Mailboxen pro Tenant. In der Public Preview lag die Grenze bei 200.000.

Welche Agent-Version wird für Device Sync benötigt?

Der Microsoft Entra Provisioning Agent muss in Version 1.1.1107 oder neuer installiert sein.

Kann sich ein Benutzer in Entra External ID ohne E-Mail-Adresse registrieren?

Ja, sofern das E-Mail-Attribut im User Flow als optional konfiguriert ist. Liefert der externe OpenID-Connect-Identity-Provider keinen E-Mail-Claim, wird das Konto ohne E-Mail-Adresse angelegt. Die Einstellung wirkt auf alle Anwendungen, die diesen User Flow verwenden.

Kostet die automatisierte Bereinigung von Gastkonten etwas?

Ja. Guest-Governance-Funktionen in Entra ID Governance setzen seit dem 30. Januar 2026 eine verknüpfte Azure-Subscription voraus und werden pro monatlich aktivem Gastbenutzer abgerechnet.

---