Azure

Cross-Tenant-Synchronisierung (mandantenübergreifende Synchronisierung)

Overview

Die Cross-Tenant-Synchronisierung (Microsoft: mandantenübergreifende Synchronisierung) automatisiert in Microsoft Entra ID das Erstellen, Aktualisieren und Löschen von B2B-Zusammenarbeitsbenutzern und Gruppen über Tenants hinweg. Sie basiert auf dem Entra-Bereitstellungsdienst und arbeitet als Einweg-Push vom Quell- in den Zieltenant. Microsoft sieht sie für Tenants innerhalb einer Organisation vor, etwa nach Firmenübernahmen oder bei Konzernen mit mehreren Tenants.

Die synchronisierten Benutzer erscheinen im Zieltenant als externe Mitglieder (Standard) oder externe Gäste, ohne Einladungsmail und ohne Zustimmungsdialog. Sie erreichen dort Teams, SharePoint und andere Apps, bleiben aber Conditional Access, den mandantenübergreifenden Zugriffseinstellungen und der Berechtigungsverwaltung unterworfen. Verlässt jemand das Unternehmen, entfernt die Synchronisierung das B2B-Konto automatisch.

Abgrenzung: Gastzugriff über B2B-Zusammenarbeit lädt Externe einzeln ein, die Cross-Tenant-Synchronisierung automatisiert genau diese Konten für die eigene Organisation. Entra Connect synchronisiert lokales Active Directory nach Entra ID, nicht Tenant zu Tenant. B2B Direct Connect ist die Technik hinter freigegebenen Teams-Kanälen und legt keine Konten an. Die Multitenant-Organisation (MTO) im Microsoft 365 Admin Center baut auf der Cross-Tenant-Synchronisierung auf und erzeugt eigene Sync-Jobs mit dem Präfix MTO_Sync. Eine Tenant-Migration ersetzt die Funktion nicht, der Microsoft 365 Tenant bleibt jeweils eigenständig.

Einordnung in die Kategorie Azure: Die Funktion ist Teil der Entra-ID-Plattform, wird im Entra Admin Center konfiguriert und über Entra-Lizenzen abgerechnet, so wie Entra Connect.

How it works

Die Einrichtung verteilt sich auf beide Tenants:

  1. Im Zieltenant aktivierst Du unter Mandantenübergreifende Zugriffseinstellungen für den Partner die eingehende Synchronisierung von Benutzern und optional Gruppen sowie die automatische Einlösung (eingehend).
  2. Im Quelltenant aktivierst Du die automatische Einlösung (ausgehend) und legst unter Mandantenübergreifende Synchronisierung eine Konfiguration an: Bereich (zugewiesene Benutzer und Gruppen oder alle Benutzer, ergänzt um Bereichsfilter), Attributzuordnungen und Transformationen.
  3. Der Bereitstellungsdienst läuft in festen Zyklen ab 40 Minuten, die Erstsynchronisierung dauert deutlich länger. Ein internes Attribut (alternativeSecurityIdentifier) ordnet Quellbenutzer vorhandenen B2B-Konten zu, damit jede Person nur ein Konto hat.
  4. Synchronisiert werden interne Mitglieder des Quelltenants, Sicherheitsgruppen (Quelle statisch oder dynamisch, auch Microsoft-365-Gruppen, im Ziel als statische Sicherheitsgruppe), Erweiterungsattribute und unter Bedingungen das Attribut manager. Nicht synchronisiert werden Gäste des Quelltenants, Geräte, Kontakte, Fotos, rollenzuweisbare und verschachtelte Gruppen.
  5. Wird ein Benutzer im Quelltenant gelöscht oder fällt aus dem Bereich, landet er im Zieltenant im vorläufigen Löschzustand und wird nach 30 Tagen endgültig gelöscht. accountEnabled = false im Quelltenant sperrt die Anmeldung im Ziel.

Pro Quell-Ziel-Paar gibt es nur eine Konfiguration in eine Richtung, eine gegenseitige Synchronisierung braucht je Richtung eine eigene. Cloudübergreifend werden kommerzielle Cloud, Azure Government und 21Vianet in festgelegten Paaren unterstützt.

Benefits

  • Konten in Partnertenants entstehen und verschwinden automatisch mit dem Personalbestand, das ersetzt Einladungsskripte und manuelle Aufräumaktionen.
  • Benutzer erhalten keine Einladungsmails und Zustimmungsdialoge, weil die automatische Einlösung in beiden Tenants aktiviert ist.
  • Als externe Mitglieder erscheinen synchronisierte Benutzer in der Personensuche und im Adressbuch, was die Zusammenarbeit in Teams und SharePoint erleichtert.
  • Die Kontrolle bleibt im Zieltenant: Conditional Access und Zugriffseinstellungen gelten weiter, die Synchronisierung lässt sich dort jederzeit stoppen.

Practical example

Eine Unternehmensgruppe aus dem Schwarzwald mit einer Muttergesellschaft und zwei zugekauften Töchtern betreibt drei Microsoft-365-Tenants, eine Zusammenführung ist erst in zwei Jahren geplant. Die IT richtet eine Cross-Tenant-Synchronisierung von jedem Tochtertenant in den Tenant der Muttergesellschaft ein und synchronisiert dort die Mitarbeitenden aus Vertrieb und Technik als externe Mitglieder. Vorab testet sie die Konfiguration mit fünf Benutzern und kontrolliert die Attributzuordnungen. Danach finden die Kollegen einander in Teams und arbeiten in gemeinsamen SharePoint-Websites, ohne dass jemand Gäste einladen oder ausgeschiedene Konten von Hand entfernen muss.

Things to keep in mind

  • Die Topologie vorab festlegen (zentraler Tenant, Satelliten oder Mesh), weil jede Richtung eine eigene Konfiguration braucht.
  • Bestehende B2B-Gäste behalten den Benutzertyp Gast, wenn Du die Attributzuordnung nicht anpasst: Für die Umstellung auf Mitglied die Zuordnung bewusst ändern.
  • Mit einer kleinen Testgruppe starten und den Bereitstellungsprotokollen folgen, bevor Du den Bereich erweiterst.
  • Den Einsatz zwischen rechtlich getrennten Organisationen mit dem Datenschutz abstimmen, Microsoft holt keine Einwilligung der Benutzer ein.
  • Von der MTO erzeugte Konfigurationen mit Präfix MTO_Sync nicht umbenennen oder ändern, sie werden vom Microsoft 365 Admin Center verwaltet.

Licensing & availability

Im Quelltenant braucht jeder synchronisierte Benutzer eine Lizenz für Microsoft Entra ID P1 (enthalten unter anderem in Microsoft 365 Business Premium, E3, E5 und EMS E3). Die Synchronisierung von Gruppen sowie die cloudübergreifende Synchronisierung erfordern Microsoft Entra ID Governance oder Microsoft Entra Suite, die auch in Microsoft 365 E7 enthalten sind. Im Zieltenant ist für die Synchronisierung keine Lizenz pro Benutzer nötig, laut Lizenzübersicht von Microsoft aber mindestens eine Entra-ID-P1-Lizenz, um die automatische Einlösung zu aktivieren. Funktionen im Zieltenant können eigene Lizenzen erfordern, für externe Gäste gilt das Abrechnungsmodell von Microsoft Entra External ID. Die Multitenant-Organisation in Microsoft 365 setzt Entra ID P1 oder höher voraus. Stand: Oktober 2026.

Conclusion

Die Cross-Tenant-Synchronisierung ist das passende Werkzeug für Unternehmensgruppen mit mehreren Tenants, die dauerhaft oder bis zur Zusammenführung eng zusammenarbeiten. Plane Topologie, Benutzertyp und Lizenzen vorab, dann ersetzt sie Einladungsprozesse vollständig.

Further reading

Related articles