Microsoft Entra Cloud Sync einfach erklärt

Viele Unternehmen führen Mitarbeiterkonten weiterhin im lokalen Active Directory, während die Beschäftigten täglich mit Teams, Exchange Online, OneDrive und weiteren Cloud-Apps arbeiten. Damit eine Person an beiden Orten als dieselbe Identität auftritt, braucht es eine Synchronisierung zwischen Active Directory und Entra ID.

Microsoft Entra Cloud Sync verfolgt dafür einen anderen Ansatz als das lange etablierte Entra Connect: Der Großteil der Verarbeitung findet in der Cloud statt, im Netzwerk bleibt nur ein kleiner Agent. Dieser Artikel erklärt, wie das funktioniert, wann es passt und wo die Grenzen liegen.

Warum Identitätssynchronisation zwischen Active Directory und Entra ID nötig ist

Ein Beispiel: Die Personalabteilung meldet, dass am Montag eine neue Kollegin anfängt. Die IT legt ihr Benutzerkonto im Active Directory an. Name, geschäftliche E-Mail-Adresse, Abteilung, Vorgesetzte, Gruppenzugehörigkeiten und Passwort beginnen dort. Die Kollegin muss sich aber auch von zu Hause bei Teams anmelden, braucht ein Exchange-Online-Postfach, Dateizugriff in SharePoint und womöglich Zugang zu Lohnabrechnung, CRM oder Schulungsplattformen.

Dafür muss die Identität an beiden Orten existieren und sich auf dieselbe Person beziehen. Anmeldename und Gruppeninformationen müssen in der Cloud ankommen. Ändert sich das Passwort im Active Directory, braucht Microsoft 365 einen sicheren Weg, es zu bestätigen.

Man kann sich Active Directory als Aktenschrank im Keller vorstellen, der die vertrauten Personalunterlagen enthält. Entra ID sitzt als Empfang oben und entscheidet, wer Microsoft 365 betreten darf. Tauschen beide keine Informationen aus, wird die neue Kollegin an der Tür gestoppt. Früher bedeutete das viel Handarbeit: erst ein lokales Konto, dann ein zweites in der Cloud. Bei Namensänderung, Teamwechsel oder Austritt musste jemand an jeden Ort denken, an dem Daten lagen. Solche Dinge werden vergessen.

Entra Connect: Leistungsfähig, aber mit lokalem Betriebsaufwand

Lange erledigte Entra Connect diese Aufgabe. Es läuft auf einem Server im Firmennetzwerk, liest das Active Directory aus, wendet lokale Synchronisierungsregeln an, verwaltet einen eigenen lokalen Datenspeicher und sendet genehmigte Änderungen an Entra ID. Besonders bei hohem Bedarf an Kontrolle über den Datenfluss kann es viel leisten.

Diese Flexibilität bringt Pflichten mit sich:

• Jemand muss den Server betreuen und patchen.
• Jemand muss die lokalen Regeln verstehen, falls die Synchronisierung nicht wie erwartet funktioniert.
• Fällt der Haupt-Synchronisierungsserver aus, erreichen Änderungen Microsoft 365 unter Umständen nicht mehr, bis das Problem gelöst ist oder ein Wiederherstellungsplan greift.

In größeren Unternehmen heißt das: Neue Mitarbeiter erscheinen nicht in Cloud-Apps, deaktivierte Konten behalten länger den Zugriff, und die Support-Anfragen häufen sich. Das Problem ist nicht, dass Entra Connect schlecht wäre. Jede lokale Engine verursacht eben auch lokale Arbeit.

Was ist Microsoft Entra Cloud Sync?

Microsoft Entra Cloud Sync ist eine Cloud-verwaltete Methode, ausgewählte Personen, Gruppen und Kontakte aus dem Active Directory nach Entra ID zu kopieren. Die Verarbeitung rückt näher an den „Empfang“, während der „Aktenschrank“ bleibt, wo er ist: Das Active Directory bleibt der Ursprung der Mitarbeiterdaten.

Der Provisioning Agent als schlanker Kurier

Im Netzwerk läuft lediglich der Provisioning Agent. Er unterhält kein zweites Ablagesystem, liest die freigegebenen Verzeichnisinformationen, verschlüsselt sie und sendet sie über eine ausgehende Verbindung an Microsoft Entra. Der Agent baut also die Verbindung zur Cloud auf. Das Netzwerk muss nicht für unbekannte eingehende Verbindungen geöffnet werden, was ein nützliches Sicherheitsdetail ist.

Den größeren Teil der Arbeit erledigt Entra: Es prüft, ob eine Person in Entra ID schon existiert, wendet den gewählten Geltungsbereich und die Feldzuordnungen an und erstellt oder aktualisiert dann das Cloud-Objekt. Konfiguriert wird alles im Entra-Portal. Es gibt keine große lokale Synchronisierungsengine und keine lokale SQL-Datenbank. Microsoft kümmert sich um Updates des Agenten, sodass sich das Team auf die Identitätsregeln konzentrieren kann.

Attribute, Mappings und einfache Ausdrücke

Ein Mapping beantwortet die Frage, welches Feld im Active-Directory-Datensatz welches Feld in Entra ID füllt, etwa Anzeigename, Abteilung, Telefonnummer oder Vorgesetzte. Die Standard-Mappings decken für viele Unternehmen normale Mitarbeiterkonten ab. Wechselt jemand von Vertrieb zu Kundenerfolg, erreicht diese Änderung das Cloud-Konto. Auch Gruppeninformationen lassen sich synchronisieren, wenn eine Gruppe Zugriff auf eine Microsoft-365-Ressource gewährt.

Für kleine Anpassungen unterwegs gibt es einfache Ausdrücke, zum Beispiel um bei bestimmten Konten einen Suffix an den Anzeigenamen anzuhängen. Das ersetzt komplexe lokale Regeln. Cloud Sync bietet sinnvolle Kontrolle für gängige Identitätsaufgaben, übernimmt aber nicht automatisch jede komplexe Anpassung einer langjährigen Entra-Connect-Konfiguration.

Passwörter und Zuständigkeit

Cloud Sync kann die Kennwort-Hash-Synchronisierung nutzen. Das klingt bedenklicher, als es ist: Das lesbare Passwort wird nicht an Microsoft Entra gesendet. Das Active Directory erzeugt geschützte Informationen zur Passwortüberprüfung, mit denen Entra ID die Anmeldung verifiziert. Das Passwort bleibt im Active Directory beheimatet; ändert man es dort, werden die aktualisierten Verifizierungsinformationen synchronisiert.

Zudem gilt eine klare Eigentumsregel: Ein aus dem Active Directory synchronisierter Benutzer wird weiter dort gepflegt. Änderungen an Abteilung oder Jobtitel erfolgen im Active Directory, Cloud Sync überträgt sie. Dass die Felder in der Cloud gesperrt sind, ist gewollt und zeigt, woher das Konto stammt. Die Zuständigkeit lässt sich später durch eine geplante Änderung der Autoritätsquelle verschieben, doch Cloud Sync macht aus lokalen Konten nicht stillschweigend Cloud-Konten.

Hochverfügbarkeit und mehrere Gesamtstrukturen

Bei Entra Connect läuft meist ein aktiver Sync-Server, ein zweiter steht im Staging-Modus bereit. Das erfordert Planung, Tests und einen klaren Übernahmeprozess. Bei Cloud Sync können Sie dagegen mehrere Provisioning Agents in derselben Active-Directory-Domäne installieren. Alle verbinden sich mit derselben Konfiguration in Microsoft Entra. Entra überwacht die verfügbaren Agents, und fällt einer aus, setzt ein anderer die Arbeit fort. Das ist integrierte Hochverfügbarkeit: Es gibt keinen Single Point of Failure mehr.

Das ersetzt keine verantwortungsvolle IT. Der Zustand der Agents sollte überwacht, die Server aktuell gehalten und der Wiederherstellungsplan getestet werden. Der Druck von einer einzelnen Maschine ist aber genommen.

Getrennte Active-Directory-Gesamtstrukturen

Auch mit mehreren Gesamtstrukturen, etwa nach einer Übernahme, kommt Cloud Sync zurecht. Sie installieren einen Agenten in der Nähe jeder Gesamtstruktur. Jeder liest sein lokales Verzeichnis und verbindet sich nach außen mit demselben Microsoft-Entra-Mandanten. Eine direkte Netzwerkverbindung zwischen den Gesamtstrukturen ist nicht nötig. Ein Unternehmen mit Standorten in London und Toronto kann so beide Benutzergruppen in dasselbe Entra ID bringen und gewinnt Zeit, die umfassendere Verzeichnisarbeit zu planen, ohne den Zugriff auf Teams, E-Mail und Cloud-Apps zu blockieren.

Praktische Voraussetzungen bleiben: Jeder Agent braucht eine zuverlässige Verbindung zu seinem Active Directory und ausgehenden Zugriff durch Firewall oder Proxy auf die Microsoft-Cloud-Dienste. Installieren Sie ihn auf unterstützten Servern, geben Sie ihm die richtigen lokalen Zugriffsrechte und setzen Sie in der Produktion mehr als einen Agenten ein.

Synchronisierungsbereich, Tests und Schutzfunktionen

Bevor Konten nach Entra ID wandern, sollte feststehen, wer zum Synchronisierungsbereich gehört. In einem kleinen Unternehmen mit sauberem Verzeichnis können alle unterstützten Objekte einer Domäne passen. Größere Verzeichnisse enthalten oft alte Testbenutzer, Dienstkonten, Schulungskonten und Gruppen, die niemand in Microsoft 365 sehen möchte.

• Organisationseinheiten (OUs): Eine OU ist wie ein beschrifteter Ordner im Active Directory, etwa für Mitarbeiter, Auftragnehmer oder IT-Testkonten. Soll nur die OU der Mitarbeiter in Microsoft 365 landen, wählen Sie genau diese.
• Sicherheitsgruppen: Der gruppenbasierte Bereich ist feiner. Sie nehmen nur die Personen auf, die Sie testen möchten, ohne Konten im Verzeichnis zu verschieben. Das eignet sich gut für Pilotprojekte.

Beginnen Sie mit einer Testgruppe bekannter Benutzer, prüfen Sie Anmeldenamen, Abteilungsdetails und Gruppenmitgliedschaften und erweitern Sie den Bereich erst, wenn das Ergebnis überzeugt. Das erspart später eine langwierige Aufräumaktion.

Bedarfsgesteuerte Bereitstellung

Mit der bedarfsgesteuerten Bereitstellung wählen Sie einen Benutzer aus und sehen, was Cloud Sync mit dem Konto tun würde: Hat der Agent den Benutzer gefunden? Liegt er im Geltungsbereich? Gibt es in Entra ID ein passendes Konto? Würde es erstellt oder aktualisiert? Fügt jemand versehentlich eine Gruppe mit hunderten Mitarbeitern zur Pilotgruppe hinzu, fällt das beim Test mit einer Person auf, statt erst wenn viele Konten im Mandanten erscheinen.

Löschschutz und Protokolle

Versucht eine Konfiguration plötzlich, viele Benutzer oder Gruppen zu entfernen, kann der Dienst den Vorgang stoppen und die Konfiguration unter Quarantäne stellen, statt den Schaden an Entra ID weiterzugeben. Administratoren erhalten eine Warnung. Zusätzlich zeigen die Bereitstellungsprotokolle im Portal pro Benutzer, ob das Objekt übereinstimmte, ob ein Feld einen Fehler verursachte und ob der Agent verbunden war.

Cloud Sync oder Entra Connect: Wann passt welches Tool?

Neuer bedeutet nicht automatisch passender. Entscheidend ist, was Ihr Identitätssystem heute leisten muss.

Cloud Sync passt gut, wenn …

• Sie ein einfacheres lokales Setup und in der Cloud verwaltete Einstellungen wünschen,
• hauptsächlich Benutzer, Gruppen und Kontakte aus dem Active Directory benötigt werden,
• getrennte Gesamtstrukturen mit demselben Entra-Mandanten verbunden werden sollen, ohne die lokalen Netzwerke zu koppeln,
• Sie zunächst eine Geschäftseinheit, ein neues Büro oder eine kleine Gruppe per gruppenbasiertem Bereich anbinden möchten.

Entra Connect behält seine Berechtigung, wenn …

• Sie Anmeldemethoden wie Pass-through-Authentifizierung oder Verbund-Authentifizierung nutzen, die Cloud Sync nicht in gleicher Weise unterstützt. Die Pass-through-Authentifizierung prüft das Kennwort bei der Anmeldung direkt gegen das Active Directory, der Verbund leitet die Anmeldeanfrage an ein anderes Identitätssystem weiter.
• komplexe lokale Synchronisierungsregeln im Einsatz sind, etwa Daten aus ungewöhnlichen Feldern, detaillierte Filterlogik oder über Jahre gewachsene benutzerdefinierte Regeln.
• Ihr Exchange-Hybrid-Setup Details zurück ins Active Directory schreiben muss.

Was sich 2026 geändert hat

Cloud Sync umfasst jetzt die Gerätesynchronisierung für den hybriden Entra-ID-Beitritt. Das ist relevant, wenn Windows-Geräte noch zum lokalen Active Directory gehören, für Cloud-Zugriff und Verwaltung aber eine Identität in Entra ID brauchen. Für viele war das der Grund, bei Entra Connect zu bleiben. Gerätesetup, Windows-Pläne und die Nutzung von Intune sollten Sie dennoch prüfen.

Neu ist außerdem das Zurückschreiben von Exchange-Hybrid-Attributen als Public Preview. Das bedeutet, dass Microsoft noch Feedback aus der Praxis sammelt, bevor die Funktion offiziell freigegeben wird. Gehen Sie vorsichtiger damit um als mit etablierten Funktionen: aktuelle Dokumentation lesen, mit Nicht-Produktionskonten testen und die benötigten Attribute genau bestätigen. Exchange reagiert empfindlich, wenn Identitätsdetails nicht exakt übereinstimmen.

Die Wahl gleicht der zwischen Lieferwagen und schwerem LKW: Der kleine Wagen ist einfach zu bedienen und für lokale Routen ideal, der LKW trägt Lasten, für die der Wagen zu klein ist. Keine Entscheidung ist per se falsch.

Häufige Stolpersteine bei der Umstellung

• Umstieg nur wegen des „neuen“ Tools: Cloud Sync ersetzt nicht zwangsläufig jedes Entra-Connect-Setup.
• Verborgene Abhängigkeiten: Anmeldemethode, Exchange-Anforderungen, Geräte, Writeback und vor Jahren erstellte benutzerdefinierte Zuordnungen werden leicht übersehen.
• Zu großer Bereich: Testbenutzer, Dienstkonten und Schulungskonten landen sonst in Microsoft 365.
• Überkomplizierte Mappings: Clevere Regeln, die sechs Monate später niemand mehr versteht, sind schlechter als klare Standards.
• Nur ein Agent in der Produktion: Das schafft wieder einen Single Point of Failure.
• Verlass auf den grünen Status: Er allein beweist nicht, dass die Geschäftsregeln funktionieren. Die Portalprotokolle gehören dazu.

Praktische Takeaways

• Erstellen Sie eine einfache Identitätskarte: alle Active-Directory-Gesamtstrukturen und Domänen, ob Entra Connect läuft, welche Benutzer synchronisiert werden, welche Geräte hybride Identitäten brauchen und wo E-Mail noch am lokalen Active Directory hängt.
• Gleichen Sie Ihre Anforderungen mit der aktuellen Cloud-Sync-Unterstützung ab, zuerst Anmeldemethode und Exchange, dann Geräte, Writeback und eigene Zuordnungen.
• Stellen Sie in der Produktion mindestens zwei Provisioning Agents bereit.
• Starten Sie mit einer Test-OU oder kleinen Sicherheitsgruppe und den Standard-Mappings.
• Führen Sie vor der Synchronisierung eine bedarfsgesteuerte Bereitstellung für einen bekannten Benutzer durch.
• Prüfen Sie Ergebnis und Bereitstellungsprotokolle sorgfältig.
• Aktivieren Sie Benachrichtigungen und den Schutz vor versehentlichem Löschen.
• Überwachen Sie die Agents weiterhin und testen Sie Ihren Wiederherstellungsplan.

Fazit

Microsoft Entra Cloud Sync verlagert den Großteil der Synchronisierung in die Cloud und lässt im Netzwerk nur einen schlanken Agenten zurück. Das senkt den lokalen Betriebsaufwand, ermöglicht Ausfallsicherheit durch mehrere Agents und erleichtert Szenarien mit getrennten Gesamtstrukturen. Nach den Neuerungen von 2026 deckt es auch Gerätesynchronisierung ab. Für Unternehmen mit Pass-through- oder Verbund-Authentifizierung, komplexen Regeln oder anspruchsvollem Exchange-Hybrid-Betrieb bleibt Entra Connect weiterhin eine sinnvolle Wahl. Beginnen Sie deshalb nicht mit einer Komplettmigration, sondern mit einem kleinen, kontrollierten Test, der zeigt, ob Cloud Sync Ihre tatsächlichen Konten und Anforderungen verarbeiten kann.