Außerbetriebnahme von On-Premises-AD: Der Wechsel zu moderner Identität mit Entra ID

Von Mirko Peters · 2026-04-28

Unternehmen überdenken ihr altes lokales Active Directory (AD) grundlegend. Die Entwicklung geht schnell in Richtung einer Cloud-first-Identität, und Microsoft Entra ID steht im Zentrum dieser neuen Landschaft. Digitale Transformation, hybrides Arbeiten und SaaS-Plattformen wie Microsoft 365 sind zum Normalfall geworden. An alten Domänencontrollern festzuhalten wirkt daher zunehmend, als würde man

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Dieser Artikel räumt mit dem Hype auf und gibt Ihnen einen klaren Überblick: warum Unternehmen On-Premises-AD außer Betrieb nehmen, wie Entra ID dabei hilft und welche praktischen Schritte IT-Verantwortliche gehen sollten. Sie erhalten konkrete Hintergründe, Schritt-für-Schritt-Strategien und eine ungeschönte Einschätzung des Wegs nach vorn, vom Business Case bis zum Alltag nach dem endgültigen Abschalten der alten Domänencontroller.

Warum Unternehmen On-Premises-AD außer Betrieb nehmen

Was ist also so schlimm daran, von lokalem Active Directory wegzugehen? Seien wir ehrlich: Früher galt es in IT-Teams als Auszeichnung, die Windows-Server-Domänencontroller am Laufen zu halten. Heute verlangen aber jeder Außenstandort, jeder Remote-Mitarbeiter und jede Cloud-App nach etwas Flexiblerem, Günstigerem und Modernerem.

Zunächst gibt es den klaren Druck, alles in die Cloud zu verlagern. Das alte AD wurde für eine Welt gebaut, in der alle im selben Gebäude saßen. Heute liegen Anwendungen, Benutzer und sogar Drucker in der Cloud oder verteilen sich weltweit. Es ist sinnvoll, dass sich die Identitätsplattform mit ihnen bewegt, statt einen Serverraum voller Altlasten mitzuschleppen.

Ein weiterer starker Treiber ist die Kostensenkung. Der Betrieb von On-Premises-AD bedeutet Ausgaben für Hardware, Backup, Patching, Notfallwiederherstellung und Spezialwissen. Durch den Wechsel zu Entra ID und anderen cloudnativen Lösungen reduzieren Unternehmen diesen Aufwand und profitieren von besser planbaren, abonnementbasierten Kosten.

Der Effekt von Microsoft 365 lässt sich zudem nicht ignorieren. Wenn Sie mit Teams, SharePoint Online oder Exchange Online arbeiten, wirkt es widersprüchlich, sich weiterhin an ein klassisches AD zu binden. Moderne SaaS-Dienste erfordern eine moderne Identität: passwortlose Authentifizierung, Bedingter Zugriff und nahtlose Integration in Cloud-Sicherheitskontrollen. Genau hier kommt Entra ID ins Spiel.

Auch das Thema Remote-Arbeit darf nicht fehlen. Die Pandemie hat die Regeln neu geschrieben. Unternehmen müssen Mitarbeitende überall sicher anbinden, und zwar ohne VPN-Probleme. Die Verwaltung von Identitäten in der Cloud beseitigt diese Hürden und ermöglicht Single Sign-on von überall, auf jedem Gerät und zu jeder Zeit.

Kurz gesagt: Die Außerbetriebnahme von On-Premises-AD dient nicht nur dem Jagen nach neuer Technik. Es geht um Agilität, Sicherheit, Kosten und darum, dass die IT das Geschäft ermöglicht, statt es zu bremsen. Die Argumente für diesen Schritt häufen sich. Wenn Sie diesen Artikel lesen, spüren Ihre Verantwortlichen vermutlich denselben Druck. Der weitere Artikel führt Sie durch die nächsten Schritte, von den technischen Entscheidungen bis zum Alltag nach dem AD.

Entra Defining Target: Die richtige Identitätszukunft wählen

Die Wahl zwischen Microsoft Entra ID und Entra Domain Services (Entra DS) bestimmt maßgeblich, wie zukunftssicher Ihre Identitätsplattform tatsächlich ist. Entra ID, früher als Azure AD bekannt, ist auf reine Cloud-Identitäten ausgelegt und für SaaS-, Mobil- und Web-Apps gemacht. Die Lösung ist schlank und verzichtet auf den Ballast veralteter Protokolle. Aber reicht das für jeden aus?

Wenn Ihr Unternehmen noch Anwendungen betreibt, die eine altmodische Authentifizierung benötigen (denken Sie an Kerberos oder NTLM), bietet Entra DS einen hybriden Kompromiss. Sie erhalten viele vertraute Funktionen eines Domänencontrollers, ohne die alten Server im Serverschrank betreiben zu müssen. Entra DS bietet im Kern verwaltete Domänendienste. Das bedeutet weniger Aufwand, aber Sie werden die Altprotokolle nicht vollständig los.

Die entscheidende Frage lautet: Wie viel Altlast brauchen Sie? Ein reines Cloud-Modell mit Entra ID bringt Ihnen eine schlankere Sicherheit, einfachere Compliance und leistungsstarke Steuerungsmöglichkeiten wie Bedingter Zugriff. Entra DS deckt dagegen Ihre Anforderungen ab, wenn Sie an ältere Software, klassische Anwendungen oder Druckerabhängigkeiten gebunden sind, die noch nicht abgelöst werden können.

Das ist keine Lösung, die für alle gleich passt. Sie sollten jede App und jedes Fachverfahren inventarisieren – und fragen, wovon sie abhängen. Welche kommen mit SAML, OAuth oder moderner Authentifizierung zurecht? Gibt es in Ihrem Netzwerk Altlasten, die noch LDAP oder NTLM nutzen und über die niemand spricht? Ihr Zielbild hängt davon ab, geschäftliche Anforderungen mit der tatsächlichen Authentifizierungslandschaft in Einklang zu bringen. Und wenn Sie mit wuchernden Cloud-Richtlinien kämpfen oder Sicherheitslücken befürchten, werfen Sie einen Blick auf diesen Deep Dive zur Governance von Richtlinien in Entra ID oder lesen Sie über Angriffe auf die OAuth-Zustimmung in der Cloud-Ära.

Identity-Fabric-Architektur für sichere Cloud-Übergänge

Jetzt wird es spannend: die „Identity Fabric“. Das ist kein Marketing-Schlagwort, sondern die Art und Weise, wie Organisationen während des Umstiegs weg von AD alles über Cloud und verbleibende On-Premises-Systeme hinweg miteinander verknüpfen. Die Identity Fabric fungiert als digitaler Grenzschutz und setzt Richtlinien durch, unabhängig davon, wo sich Benutzer, Geräte oder Daten befinden.

Stellen Sie sich das als neues Perimeter-Modell vor: Statt Firewalls und Gebäudetüren wandert die Sicherheit mit Benutzer und App, nicht mit dem Netzwerk. Mit einer soliden Identity Fabric können Sie mobile Geräte, Remote-Standorte, Cloud-Apps und das eine oder andere Altsystem auf sichere und gut verwaltbare Weise zusammenführen.

Sie können nicht von heute auf morgen von AD auf die Cloud umschalten. Sie brauchen eine Brücke, etwa Microsoft Entra Connect oder Pass-through-Authentifizierung, damit sich alle während der Umstellung reibungslos anmelden können. Die Hybrid-Beitritt-Funktion verbindet für Ihre Windows-Geräte die Vorteile beider Welten, und die Verzeichnissynchronisierung stellt sicher, dass beim Wechsel zu einem Cloud-First-Zugriff niemand außen vor bleibt.

Auch Zero Trust ist von Grund auf eingebaut. Statt „interne“ Benutzer als sicher anzunehmen, wird jeder Zugriffsversuch erneut geprüft. Sie möchten bei der Entwicklung robuster, aber fairer Richtlinien unterstützt werden? Praxisnahe Einblicke zu bedingtem Zugriff finden Sie in dieser Betrachtung der Vertrauensprobleme in Microsoft-Richtlinien, und wie Sie Zero Trust unternehmensweit gestalten, erfahren Sie in praxisbezogenen Strategie- und Architekturempfehlungen. Das Fazit: Eine cloudzentrierte Identity Fabric bietet Ihnen eine Grundlage für Resilienz, Flexibilität und mehr Sicherheit, als verstaubte Serverräume es je könnten.

Migrations-Roadmap: Wie kommen wir dorthin?

Sie können nicht einfach in den Serverraum gehen, AD abschalten und den Tag für beendet erklären. Sie brauchen eine solide Roadmap – idealerweise eine, die nichts kaputt macht, Benutzer nicht verärgert und nicht noch einen IT-Feuerwehreinsatz auslöst. Der Weg von On-Premises-AD zur Cloud-Identität besteht aus klugen Phasen und stetigem Fortschritt, nicht aus großen Sprüngen ins Ungewisse.

Zuerst kommt die Discovery: Erfassen Sie gründlich jeden Benutzer, jede Gruppe, jeden Drucker und jede veraltete App, die noch auf AD angewiesen ist. Nutzen Sie diese Phase, um vergessene Dienstkonten aufzuspüren und zu verstehen, wer wovon abhängt. Betrachten Sie es als eine Art AD-Archäologie, um unangenehme Überraschungen während der Migration zu vermeiden.

Sobald Ihr Inventar steht, starten Sie einen Pilotbetrieb mit einer kleinen Gruppe. Beobachten Sie, was nicht funktioniert. Lernen Sie schnell, beheben Sie Probleme zügig und verfeinern Sie Ihr Vorgehen. Als Nächstes folgt die Verzeichnissynchronisierung mit Werkzeugen wie Microsoft Entra Connect. Sie hält Ihre Cloud- und On-Premises-Identitäten konsistent, während Sie die Umstellung planen.

Die Planung der Umstellung ist geschäftskritisch. Hier wechselt die Authentifizierung von On-Premises in die Cloud. Kommunikation ist entscheidend: Benutzer müssen wissen, was passiert, warum es passiert und wo sie Hilfe bekommen. Erst wenn Sie sicher sind, dass alles stabil läuft, sollten Sie das alte AD außer Betrieb nehmen.

Behalten Sie während des gesamten Prozesses Ihren Rollback-Plan im Blick. Sichern Sie den AD-Zustand, halten Sie ein Wiederherstellungsfenster vor und prüfen Sie auf Änderungen, die einen „Point of no Return“ darstellen, etwa DNS-Umstellungen oder Massenlöschungen von Objekten. Wenn eine kritische App nach der Umstellung nicht mehr funktioniert, ist die Möglichkeit zur Rückkehr Gold wert. Diese phasenweise Roadmap erspart Ihnen Ärger und Ausfallzeiten und hält Stakeholder zufrieden, während Sie den Weg zur Cloud-Identität gehen.

Leben ohne DC: Authentifizierung und Zugriff in einer reinen Cloud-Welt

Willkommen auf der anderen Seite – ohne Domänencontroller, die im Serverraum surren. Wie fühlt sich das im Alltag an? Ihre Benutzer melden sich jetzt über cloudbasierte Authentifizierung an. Schluss mit veralteten Kennwortabfragen und mit der Bindung an Server vor Ort. Ein wenig Umgewöhnung ist sicher nötig, doch für die meisten Anwender läuft es auf eine reibungslosere, einheitliche Single Sign-on-Anmeldung hinaus – von überall und auf jedem Gerät.

Auch die Geräteverwaltung verändert sich. Die klassischen Gruppenrichtlinien haben ausgedient. Stattdessen übernehmen Werkzeuge wie Microsoft Intune die Führung: Sie erzwingen die Gerätekonformität, verteilen Einstellungen und verwalten sogar BYOD-Richtlinien mit weniger Aufwand. Für die Sicherheit sorgen bedingte Zugriffsrichtlinien. Sie legen fest, wer worauf, wann und von wo aus zugreifen darf.

Hier wird Ordnung halten gleichzeitig einfacher und anspruchsvoller. Jedes Gerät – vom Firmenlaptop bis zum Smartphone – muss ordnungsgemäß registriert und konform sein. Es geht weniger darum, einem Gerät zu vertrauen, nur weil es sich „im Netzwerk“ befindet, sondern vielmehr darum, Identität und Status bei jedem einzelnen Zugriff zu prüfen.

Sie wollen Sicherheitslücken und uneingeschränkten Zugriff von Benutzern vermeiden? Orientieren Sie sich an bewährten Methoden: Optimieren Sie Ihre bedingten Zugriffsrichtlinien, um Vertrauenslücken zu schließen, oder lesen Sie die Sicherheitsleitfäden für Microsoft 365 mit praktischen Tipps, wie sich Schutz und eine angenehme Benutzererfahrung in Einklang bringen lassen. Mit den richtigen cloudnativen Werkzeugen kann der Betrieb ohne lokales AD Ihren IT-Alltag tatsächlich einfacher und deutlich sicherer machen als zuvor.

Exchange Server und Microsoft 365 nach der Außerbetriebnahme von AD verwalten

Wenn das lokale AD abgeschaltet ist, ändert sich auch die Exchange-Verwaltung. Wenn Sie Exchange Server betreiben, müssen Sie Postfächer zu Exchange Online verschieben oder die Koexistenz sauber gestalten. Während der Umstellung ist es entscheidend, Postfachbesitz und Berechtigungen an das neue Cloud-Identitätsmodell anzupassen.

Für Microsoft 365 stützt sich die Authentifizierung nun vollständig auf Entra ID oder die hybride Verzeichnissynchronisierung. Die Compliance bleibt weiterhin wichtig: Nutzen Sie einheitliche Überwachungswerkzeuge wie Microsoft Purview Audit, um administrative Aktionen zu erfassen, den E-Mail-Fluss zu überwachen und Protokolle für Untersuchungen aufzubewahren. Wenn Ihre Exchange-Umgebung umzieht, sollten Benutzerfreundlichkeit und Compliance stets im Mittelpunkt stehen.

Sicherheits- und Compliance-Auswirkungen der Außerbetriebnahme des lokalen AD

Den lokalen AD-Stecker zu ziehen, bringt neue Sicherheits- und Compliance-Herausforderungen mit sich. Beginnen wir mit den Überwachungsprotokollen: Rechtsabteilungen und Prüfer schätzen historische Anmeldeprotokolle, daher brauchen Sie einen Plan, um alte AD-Daten über Jahre hinweg zu archivieren und abrufbar zu halten. Vorschriften wie DSGVO, HIPAA und SOX dürfen Sie nicht ignorieren. Ihre Compliance-Lage hängt von einer ordnungsgemäßen Datenaufbewahrung und einem schnellen Zugriff für forensische Untersuchungen ab.

Auch die Bedrohungslandschaft verändert sich. Bei einer reinen Cloud-Identität wie Entra ID entwickeln sich Angriffe weiter – etwa Token-Diebstahl, fehlkonfigurierte bedingte Zugriffsrichtlinien und Rechteausweitung, wenn Sie nicht sorgfältig arbeiten. Bei der Sicherheit von Cloud-Plattformen geht es darum, im Blick zu behalten, wer was, von wo und wie oft tut. Ihre Überwachung muss mit robusten Werkzeugen und Echtzeitwarnungen nachziehen.

Governance steht künftig im Mittelpunkt. Achten Sie darauf, dass Ihre Kontrollen nicht nur Häkchen auf einer Liste sind. Beobachten Sie Compliance-Drift, die durch neue Zusammenarbeitsformen und Dateiversionen entsteht. Implementieren Sie eine kontinuierliche Überwachung mit Lösungen wie Defender for Cloud, die Echtzeit-Transparenz über Ihre gesamte Umgebung bieten, und bündeln Sie alles in handlungsorientierten Berichten für das Management.

Auch die Identitäts-Governance darf nicht vernachlässigt werden. Nutzen Sie erweiterte Überwachungsprotokolle und saubere Zugriffsüberprüfungen – siehe Microsoft Purview Audit –, damit Berechtigungen nicht außer Kontrolle geraten. Das Fazit: Setzen Sie nach der Außerbetriebnahme auf moderne Governance, durchdachte Richtlinien und starke Überwachung, damit Ihre Organisation sicher und compliant bleibt und vor neuartigen Identitätsbedrohungen geschützt ist.

Fazit: Rückblick auf einen Wendepunkt

Die Außerbetriebnahme von On-Premises-Active-Directory ist mehr als ein abzuhakender technischer Punkt. Sie markiert einen echten Meilenstein bei der Modernisierung Ihrer gesamten IT-Landschaft. Dieser Schritt bringt deutliche Vorteile: niedrigere Infrastrukturkosten, schnellere Reaktion auf geschäftliche Anforderungen und mehr Sicherheit durch cloudnative Kontrollmechanismen.

Sie haben erfahren, wie der Weg verläuft und worauf Sie achten sollten, von der Migration über die Compliance bis zum täglichen Betrieb. Mit dem Cutover ist die Arbeit allerdings nicht abgeschlossen. Laufende Optimierung, eine wachsame Identity Governance und regelmäßige Prozessüberprüfungen sorgen dafür, dass Ihr Unternehmen für alles gerüstet bleibt, was die Zukunft bereithält. Diese Umstellung ist mehr als ein Endpunkt, sondern ein neuer, besserer Anfang.

Kommentare, Podcast-Apps und Erkenntnisse aus der Community

Teilen Sie Ihre Erfahrungen: Was ist Ihre größte Herausforderung beim Abschied von On-Premises-AD? Schreiben Sie Ihre Erfahrungen oder Ihre besten Tipps unten in die Kommentare.
Hören und lernen: Entdecken Sie passende Microsoft-Cloud-Identity- und Sicherheits-Podcast-Episoden mit Einblicken und Interviews mit Praxisexperten.
Bleiben Sie mit der Community in Kontakt: Folgen Sie technischen Experten auf LinkedIn oder Twitter, um die neuesten Tipps und Migrationserfahrungen zu erhalten.
Machen Sie mit: Beteiligen Sie sich an Online-Foren, Webinaren oder Microsoft-Tech-Community-Gruppen und erfahren Sie, wie Kollegen ähnliche Herausforderungen lösen.