M365

Hybrid Identity

Allgemeine Infos

Hybrid Identity beschreibt das Zusammenspiel von lokalem Active Directory und Microsoft Entra ID: Benutzer und Gruppen werden weiter im AD gepflegt, per Synchronisierung in Entra ID abgebildet und können sich mit denselben Anmeldedaten an lokalen und Cloud-Ressourcen anmelden. Für die meisten Mittelständler mit Bestands-AD ist das der Normalzustand.

Das Konzept besteht aus zwei Entscheidungen: dem Synchronisierungswerkzeug (Microsoft Entra Connect Sync oder Microsoft Entra Cloud Sync) und der Anmeldemethode (Passwort-Hash-Synchronisierung PHS, Passthrough-Authentifizierung PTA oder Verbund mit AD FS).

Abgrenzung: Microsoft Entra Connect ist das Werkzeug und hat einen eigenen Eintrag, Hybrid Identity ist das Architekturkonzept. Aktuelle Änderungen: Alle Versionen von Entra Connect Sync 1.x funktionieren nicht mehr. Versionen 2.x laufen 12 Monate nach Erscheinen einer neueren Version aus, und bis 7. April 2027 ist ein Upgrade auf mindestens 2.6.84.0 mit anwendungsbasierter Authentifizierung Pflicht, sonst stoppt die Synchronisierung.

Funktionsweise & Details

Eine hybride Identität entsteht in mehreren Schichten:

  1. Synchronisierung: Entra Connect Sync läuft als Dienst auf einem Windows Server und gleicht Benutzer, Gruppen, Kontakte und optional Geräte ab. Cloud Sync nutzt einen schlanken Bereitstellungs-Agenten, wird in der Cloud konfiguriert, synchronisiert alle zwei Minuten und unterstützt mehrere Agenten für Hochverfügbarkeit.
  2. Quelle der Wahrheit bleibt das AD. Attribute wie der UPN müssen auf eine in Entra ID verifizierte Domäne enden, sonst setzt Entra ID das Suffix onmicrosoft.com.
  3. Anmeldung mit PHS: Ein Hash des Kennwort-Hashes wird synchronisiert, die Anmeldung läuft vollständig in der Cloud. PTA prüft das Kennwort über lokale Agenten am Domänencontroller, AD FS übergibt die Anmeldung an die eigene Verbundinfrastruktur.
  4. Microsoft empfiehlt, PHS in jedem Fall zu aktivieren, auch als Rückfallebene. ID Protection benötigt PHS für den Bericht zu kompromittierten Anmeldeinformationen.
  5. Zusätzliche Funktionen: Kennwortrückschreiben für SSPR, Seamless SSO für Domänenrechner, Entra hybrid join für Geräte.

Vorteile & Nutzen

  • Eine Anmeldung für lokale und Cloud-Ressourcen, wodurch Benutzer nur ein Kennwort kennen müssen
  • Schrittweise Migration in die Cloud, ohne das AD sofort abzulösen
  • MFA und Conditional Access gelten auch für synchronisierte Konten
  • Mit PHS bleibt die Cloud-Anmeldung verfügbar, wenn lokale Server oder Domänencontroller ausfallen

Praxisbeispiel

Ein Fensterbauer mit 190 Mitarbeitenden und zwei Standorten betreibt Entra Connect Sync mit Passthrough-Authentifizierung. Nach der Bewertung der Microsoft-Empfehlungen stellt die IT auf PHS mit Seamless SSO um und ersetzt die PTA-Agenten. Vorher werden UPN-Suffixe von firma.local auf firma.de umgestellt. Ein zweiter Connect-Server im Staging-Modus dient als Reserve, Connect Health überwacht die Synchronisierung.

Worauf sollte man achten?

  • Den Entra-Connect-Server wie einen Domänencontroller behandeln (Tier 0), weil er Kennwort-Hashes verarbeitet und weitreichende Rechte hat
  • Entra Connect Sync aktuell halten und das Upgrade auf 2.6.84.0 oder neuer mit anwendungsbasierter Authentifizierung vor dem 7. April 2027 einplanen
  • PHS auch bei PTA oder AD FS aktivieren, um eine Rückfallebene bei Ausfällen der lokalen Infrastruktur zu haben
  • Mit dem Migrationsleitfaden prüfen, ob Cloud Sync die eigenen Anforderungen abdeckt, denn nicht jedes Szenario wird unterstützt
  • AD FS nur behalten, wenn es zwingende Gründe gibt, und Verbunddomänen mit gestaffeltem Rollout auf Cloud-Anmeldung umstellen

Lizenz & Verfügbarkeit

Microsoft Entra Connect Sync und Cloud Sync sind kostenlos. Kennwortrückschreiben für SSPR erfordert Entra ID P1 oder P2, Microsoft Entra Connect Health ebenfalls Entra ID P1 oder P2. Stand: Oktober 2026.

Fazit

Hybrid Identity ist für Unternehmen mit lokalem AD der Normalfall. Wähle PHS als Basis, halte die Synchronisierung aktuell und sichere den Sync-Server mit derselben Sorgfalt wie Deine Domänencontroller.

Weiterführende Links

Verwandte Artikel