Microsoft Entra Cloud Sync vs. Entra Connect: die richtige Hybrid-Identitätslösung wählen

Von Mirko Peters · 2026-08-15

Vergleichen Sie Microsoft Entra Cloud Sync und Entra Connect, um zu ermitteln, welches Synchronisierungstool für hybride Identitäten zur IT-Architektur Ihrer Organisation passt.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Bei der Planung einer hybriden Identitätsstrategie für Microsoft 365 müssen IT-Administratoren zwischen Microsoft Entra Cloud Sync und dem klassischen Entra Connect wählen. Dieser Leitfaden erläutert die wesentlichen architektonischen Unterschiede, die Modelle für Hochverfügbarkeit und den Funktionsumfang, damit Sie das für Ihre Unternehmensinfrastruktur ideale Synchronisierungstool auswählen können.

Das Wichtigste in Kürze

• Entra Cloud Sync verlagert die zentrale Provisioning-Verarbeitung in die Microsoft-Cloud und nutzt dafür schlanke lokale Provisioning-Agents.
• Entra Connect setzt auf eine schwergewichtige lokale Synchronisierungs-Engine mit einer lokalen SQL-Datenbank.
• Cloud Sync bietet integrierte Hochverfügbarkeit über mehrere Active-Active-Provisioning-Agents, ohne komplexe Failover-Konfigurationen.
• Getrennte Active-Directory-Gesamtstrukturen, etwa nach Fusionen und Übernahmen, lassen sich mit Cloud Sync problemlos in einen einzigen Mandanten synchronisieren.
• Entra Connect bleibt für erweiterte benutzerdefinierte Regeln, Pass-Through-Authentifizierung und komplexe Verbundszenarien erforderlich.

Den architektonischen Wandel verstehen

Jahrelang setzten Organisationen, die hybride Microsoft-365-Umgebungen verwalten, weitgehend auf ein einziges klassisches Muster: eine dedizierte Synchronisierungs-Engine vor Ort. Dieses klassische Modell liest lokale Active-Directory-Datensätze, verarbeitet Geschäftsregeln lokal, verwaltet eine lokale SQL-Datenbank und überträgt Aktualisierungen an Microsoft Entra ID. Dieser Aufbau bot zwar große Flexibilität für komplexe Verzeichnisumgebungen, brachte aber auch erheblichen lokalen Aufwand mit sich. IT-Teams mussten den Synchronisierungsserver patchen, den Zustand der lokalen Datenbank überwachen und manuelle Notfallwiederherstellungspläne erstellen, um sich gegen unerwartete Hardwareausfälle abzusichern.

Demgegenüber verändert die moderne cloudbasierte Synchronisierung grundlegend, wo die eigentliche Arbeit stattfindet. Statt Verarbeitungslogik im Rechenzentrum des Unternehmens auszuführen, übernimmt der Dienst die meisten Provisioning-Regeln direkt in der Microsoft-Cloud. Der lokale Fußabdruck schrumpft erheblich auf einen schlanken Provisioning-Agent. Dieser fungiert als sicherer Kurier: Über ausgehende Verbindungen liest er lokale Active-Directory-Attribute und überträgt sie sicher in die Cloud. Indem die Rechenlast von der lokalen Infrastruktur verlagert wird, können Organisationen ihren täglichen Verwaltungsaufwand deutlich reduzieren.

Hochverfügbarkeit und Multi-Forest-Fähigkeiten

Eines der überzeugendsten betrieblichen Argumente für einen cloudbasierten Synchronisierungsansatz ist die integrierte Ausfallsicherheit. Fällt im klassischen Aufbau der primäre Synchronisierungsserver etwa durch einen Festplattenausfall oder unerwartete Wartungsarbeiten aus, bleiben neu angelegte Benutzerkonten und Kennwortänderungen sofort hängen, bevor sie die Cloud erreichen. Die Wiederherstellung nach einem solchen Ausfall erfordert oft, dass ein Server im Staging-Modus manuell hochgestuft wird.

Cloud Sync löst diese betriebliche Herausforderung durch Ausfallsicherheit mit mehreren Agents. Administratoren können mehrere schlanke Provisioning-Agents auf verschiedenen lokalen Servern installieren, die alle auf dieselbe Konfiguration im Entra-Portal verweisen. Microsoft Entra überwacht diese Agents automatisch und leitet den Datenverkehr nahtlos über einen funktionsfähigen sekundären Agent um, falls der primäre ausfällt. Komplexe Datenbank-Clustering- oder Staging-Server-Workflows sind nicht erforderlich.

Vereinfachung von Fusionen und Übernahmen

Darüber hinaus profitieren Organisationen mit getrennten Active-Directory-Gesamtstrukturen – ein häufiges Szenario nach Fusionen und Übernahmen – enorm von dieser Architektur. Anstatt monatelang komplexe, direkte Netzwerkvertrauensstellungen zwischen isolierten lokalen Gesamtstrukturen aufzubauen, kann die IT in jedem einzelnen Netzwerkperimeter einen Bereitstellungsagenten platzieren. Jeder Agent synchronisiert sein lokales Verzeichnis unabhängig voneinander in mit dem gleichen, einzigen Microsoft Entra-Mandanten. So erhalten Sie ein einheitliches Cloud-Erlebnis, ohne die lokale Netzwerkstruktur vorzeitig umbauen zu müssen.

Granulare Bereichsfestlegung und Risikominimierung

Die Identitätssynchronisierung erfordert eine präzise Steuerung darüber, welche Objekte die Grenze zwischen lokalen Verzeichnissen und der Cloud überschreiten dürfen. Eine unkontrollierte Synchronisierung kann versehentlich Testkonten, Dienstidentitäten und veraltete Benutzerobjekte direkt in Ihren Produktionsmandanten für Microsoft 365 übertragen. Beide Synchronisierungsmethoden bieten Filterfunktionen, doch der cloudverwaltete Ansatz vereinfacht die Bereichsfestlegung durch die Auswahl von Organisationseinheiten (OUs) und die Ausrichtung auf Sicherheitsgruppen.

Die gruppenbasierte Bereichsfestlegung ist besonders wertvoll bei Pilotbereitstellungen. Anstatt am ersten Tag das gesamte Unternehmensverzeichnis in die Cloud freizugeben, können Administratoren die Synchronisierung auf eine einzelne Sicherheitsgruppe mit einigen wenigen Testbenutzern beschränken. Dieser kontrollierte Rollout ermöglicht es der IT, Anzeigenamen, Abteilungszuordnungen und Gruppenmitgliedschaften gefahrlos zu überprüfen.

Zusätzlich bietet cloudverwaltete Software leistungsstarke Auswertungsfunktionen wie das Testen der bedarfsgesteuerten Bereitstellung. Bevor Regeln für Tausende von Benutzern ausgerollt werden, können Administratoren eine einzelne Identität testen, um genau zu prüfen, wie die Cloudkonfiguration das Objekt auswertet, zuordnet und aktualisiert. In Kombination mit dem integrierten Schutz vor versehentlichem Löschen, der Konfigurationen unter Quarantäne stellt, wenn ein unerwarteter Versuch einer massenhaften Löschung auftritt, verringern diese administrativen Schutzmechanismen das Risiko einer schwerwiegenden Beschädigung des Verzeichnisses erheblich.

Wann Sie stattdessen Entra Connect wählen sollten

Trotz der betrieblichen Vorteile eines cloudorientierten Synchronisierungsmodells ist es nicht für jedes Unternehmensszenario der universelle Ersatz. Organisationen sollten ihre spezifischen Authentifizierungsanforderungen und historisch gewachsenen Anpassungen sorgfältig prüfen, bevor sie eine Migrationsentscheidung treffen.

Sie sollten traditionelle Synchronisierungsmethoden weiterhin nutzen, wenn Ihre Organisation auf Folgendes angewiesen ist:

• Pass-through-Authentifizierung (PTA) oder Verbund: Wenn Ihre Anmeldearchitektur erfordert, dass Kennwörter bei der Anmeldung direkt gegen lokale Domänencontroller überprüft werden oder die Authentifizierung an einen externen Identitätsanbieter weitergeleitet wird, bleibt traditionelle Software unverzichtbar.
• Stark angepasste Synchronisierungsregeln: Komplexe Unternehmen mit jahrelang gewachsenen benutzerdefinierten Synchronisierungsregeln, speziellen Attributtransformationen und verschachtelter Logik für das Zusammenführen von Objekten über Gesamtstrukturen hinweg stellen möglicherweise fest, dass cloudverwaltete Feldzuordnungen ihre erweiterten Anforderungen noch nicht abbilden können.
• Abhängigkeiten vom Exchange-Hybrid-Writeback: Bestimmte komplexe lokale Exchange-Hybridkonfigurationen erfordern, dass bestimmte Verwaltungsattribute in lokale Active-Directory-Domänen zurückgeschrieben werden, und dafür sind traditionelle serverbasierte Verarbeitungsengines erforderlich.

Fazit

Welches Tool für die hybride Identitätssynchronisierung das richtige ist, hängt letztlich von der architektonischen Komplexität und der betrieblichen Reife Ihrer Organisation ab. Wenn Ihr Unternehmen eine schlanke, hochverfügbare und einfach zu verwaltende Lösung für die Standardbereitstellung von Benutzern und Gruppen über eine oder mehrere Gesamtstrukturen benötigt, bietet der cloudverwaltete Weg eine hervorragende, moderne Alternative. Umgebungen, die auf spezielle Authentifizierungsmethoden oder veraltete benutzerdefinierte Regeln angewiesen sind, sollten ihre Anforderungen jedoch vor einer Umstellung sorgfältig prüfen.

Um dieses Thema genauer zu beleuchten und Expertenanalysen zur Identitätsarchitektur von Microsoft zu hören, sehen Sie sich unbedingt die vollständige Audiodiskussion an. Hören Sie sich die gesamte Folge an, um praktische Einblicke und erprobte Strategien für Ihre Microsoft-365-Umgebung zu gewinnen.

Häufige Fragen

Kann ich Entra Cloud Sync und Entra Connect gleichzeitig betreiben?

Ja, aber beide können nicht gleichzeitig dieselben Benutzer oder Objekte verwalten. Jedes Tool muss einen eigenen, klar abgegrenzten Satz an Benutzern oder Organisationseinheiten verwalten, um Synchronisierungskonflikte zu vermeiden.

Unterstützt Entra Cloud Sync die Synchronisierung von Kennworthashes?

Ja, Cloud Sync unterstützt die Synchronisierung von Kennwort-Hashes vollständig. So können sich Benutzer mit ihren lokalen Active-Directory-Anmeldedaten sicher bei Microsoft 365 anmelden.

Wie viele Bereitstellungsagents kann ich für Cloud Sync installieren?

Sie können mehrere Bereitstellungsagents auf verschiedenen Servern innerhalb derselben Active-Directory-Domäne installieren. So erreichen Sie integrierte Hochverfügbarkeit und automatisches Failover.

Ersetzt Entra Cloud Sync Entra Connect vollständig?

Microsoft investiert weiterhin stark in Cloud Sync für Standardbereitstellungsaufgaben. Entra Connect bleibt jedoch für Organisationen unterstützt, die erweiterte benutzerdefinierte Regeln und bestimmte Authentifizierungsmethoden benötigen.