Eine nahtlose Migration zu Microsoft Entra ID durchführen

Von Mirko Peters · 2026-08-22

Warum jetzt zu Microsoft Entra ID migrieren? Organisationen wenden sich zunehmend von fragmentierten Identitätssystemen ab, um die Zugriffsverwaltung zu vereinfachen. Die Migration zu …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Warum jetzt zu Microsoft Entra ID migrieren?

Unternehmen wenden sich zunehmend von fragmentierten Identitätssystemen ab, um die Zugriffsverwaltung zu vereinfachen. Die Migration zu Microsoft Entra ID (früher Azure Active Directory) bietet eine universelle Identitätsplattform, die die Authentifizierung für Cloud- und lokale Ressourcen zentralisiert. Anders als Altanbieter wie SiteMinder, die auf headerbasierte Authentifizierung setzen, unterstützt Entra ID moderne Protokolle wie SAML, OpenID Connect und OAuth, um hybride Arbeitsumgebungen abzusichern.

Wer seinen Identitäts-Stack konsolidiert, kann phishingresistente Sicherheitsmaßnahmen einführen, die ältere lokale Systeme nur schwer nativ unterstützen. Mit dem Wechsel können Teams automatisierte Governance-Funktionen nutzen, darunter zeitlich begrenzten Zugriff über Privileged Identity Management und einen optimierten Lebenszyklusmanagement-Prozess. Außerdem ermöglicht die Plattform passwortlose Anmeldemethoden wie FIDO2-Schlüssel und die Microsoft Authenticator-App, wodurch das Risiko von Anmeldedatendiebstahl deutlich sinkt.

Der M365 FM Podcast berichtet regelmäßig über solche Übergänge und unterstützt Architekten dabei, den Wechsel von den veralteten Active Directory Federation Services zur cloudnativen Authentifizierung zu meistern. Laut einer Multi-Cloud-Studie aus dem Jahr 2025 verwalten mittlerweile 75 % der Unternehmen zwei oder mehr Identitätsanbieter. Eine Standardisierung auf eine einzige Steuerungsebene reduziert technische Schulden und verbessert Ihre gesamte Zero-Trust-Position.

Abhängigkeiten zuerst abbilden, dann synchronisieren

Bevor Sie eine Synchronisierung starten, sollten Sie Ihre aktuellen lokalen Abhängigkeiten gründlich prüfen. Dazu gehört die Bestandsaufnahme kritischer Dienste wie DNS, Gruppenrichtlinienobjekte und Altanwendungen, die auf Kerberos oder NTLM angewiesen sind. Übersehen Sie auch Infrastrukturkomponenten wie SMTP-Relays, RADIUS-Server und Druckerauthentifizierungen nicht, denn diese brechen bei einem Lift-and-Shift häufig. Während Plattformen wie der M365 FM Podcast den Wechsel zu modernen Protokollen betonen, betreiben viele Unternehmen noch Altarbeitslasten, die bestimmte Verbindungswege benötigen.

Zielzustand festlegen

Entscheiden Sie frühzeitig, ob Sie ein reines Cloud-Modell oder eine hybride Identitätskonfiguration anstreben. Ein hybrides Identitätsmodell ermöglicht es, Benutzer- und Gruppenobjekte zu synchronisieren und gleichzeitig notwendige lokale Komponenten beizubehalten. Ein reines Cloud-Modell hingegen entfernt AD FS vollständig und vereinfacht Ihren Verwaltungsaufwand. Wenn Sie hybride Komponenten behalten, nutzen Sie Microsoft Defender for Identity, um Schwachstellen frühzeitig zu erkennen und kompromittierte Identitäten in Ihrer verbleibenden lokalen Infrastruktur zu verwalten.

• Prüfen Sie veraltete Authentifizierungsprotokolle, darunter LDAP und Kerberos, die häufig kein direktes Cloud-Pendant haben.
• Bereinigen Sie veraltete Konten und beheben Sie UPN-Abweichungen, um Synchronisierungsfehler zu vermeiden.
• Lösen Sie verschachtelte Gruppen nach Möglichkeit auf, da sie in der Cloud komplexe und unbeabsichtigte Berechtigungsstrukturen erzeugen können.
• Prüfen Sie, ob Lösungen von Drittanbietern für die Geräteverwaltung (MDM) oder Netzwerke ohne Internetverbindung (Air Gap) es erforderlich machen, AD FS länger als geplant zu betreiben.

Der Übergang zu einem cloudnativen Identitätsmodell beginnt mit einer umfassenden Bestandsaufnahme Ihrer bestehenden Umgebung. Sobald Sie Ihre Infrastruktur im Detail kennen, implementieren Sie eine hybride Identitätsgrundlage mit Microsoft Entra Connect, um Ihr Verzeichnis zu synchronisieren. Ein entscheidender nächster Schritt ist die Migration weg von AD FS hin zu cloudnativen Authentifizierungsmethoden wie Password Hash Sync oder Pass-Through-Authentifizierung. Dabei konfigurieren Sie mit dem AD FS Application Migration Wizard die vertrauenden Anwendungen für Microsoft Entra ID neu. Schützen Sie Ihre Infrastruktur während dieses gesamten Prozesses mit geeigneten Sicherheitstools. Sobald Ihre Anwendungen und Benutzer vollständig umgestellt sind, können Sie schrittweise Ihre alten lokalen Domänencontroller außer Betrieb nehmen.

Cloudauthentifizierung mit Staged Rollout testen

Der Wechsel von Active Directory Federation Services (AD FS) zur cloudnativen Authentifizierung erfordert eine verlässliche Validierungsstrategie. Staged Rollout dient dabei als Brücke: Sie migrieren gezielt einzelne Benutzergruppen zur cloudbasierten Validierung und halten Ihre bestehende Verbundinfrastruktur als Fallback verfügbar. So minimieren Sie das Risiko, weil sich mögliche Probleme auf kleine Teile Ihrer Benutzerbasis beschränken.

Ihre Pilotphase konfigurieren

Überprüfen Sie vor dem Start zunächst Ihre Synchronisierungsmethode. Parallel zu Ihrer aktiven AD FS-Umgebung müssen Sie Password Hash Synchronization oder Pass-through-Authentifizierung konfigurieren. Sobald die Cloudidentitäten synchronisiert sind, wechseln Sie zum Microsoft Entra Admin Center und aktivieren das Feature für bestimmte Sicherheitsgruppen. Um Leistungsengpässe oder Timeouts für Benutzer zu vermeiden, begrenzen Sie Ihre anfängliche Pilotgruppe zunächst auf maximal 200 Benutzer.

• Lassen Sie Ihren föderierten Identitätsanbieter während des gesamten Rollouts online, damit ein nahtloser Fallback jederzeit möglich ist.
• Überwachen Sie Authentifizierungsmuster und den Migrationsstatus im Entra Admin Center.
• Denken Sie daran: Staged Rollout ist ein temporärer Mechanismus und keine langfristige Konfiguration. Bereiten Sie nach Abschluss der Tests die vollständige Domänenumstellung vor.

Ihre föderierte Domäne in eine verwaltete Domäne umwandeln

Der Wechsel von einem föderierten zu einem verwalteten Authentifizierungsmodell ist ein wichtiger Meilenstein. Er vereinfacht Ihre Umgebung und beseitigt die Abhängigkeit von älteren Infrastrukturkomponenten wie AD FS. Stellen Sie vor diesem Schritt sicher, dass Ihre Synchronisierungsstrategie belastbar ist. Der M365 FM Podcast betont immer wieder: Organisationen, die vor einer Umstellung ihren Synchronisierungsstatus nicht prüfen, riskieren, dass viele Benutzer ausgesperrt werden.

Welche Schritte sind entscheidend, um eine föderierte Domäne in Entra ID in eine verwaltete Domäne umzuwandeln? Damit Sie eine föderierte Domäne in eine verwaltete Domäne umwandeln können, müssen Sie zunächst sicherstellen, dass Password Hash Synchronization (PHS) oder Pass-through-Authentifizierung (PTA) vollständig konfiguriert und überprüft ist.

1. Stellen Sie mit Connect-MgGraph -Scopes "Domain.ReadWrite.All" eine Verbindung zum Microsoft Graph PowerShell SDK her.
2. Stellen Sie sicher, dass Ihnen die Rolle Domänennamen-Administrator oder Globaler Administrator zugewiesen ist, da diese Berechtigungen für die Änderung der Domäneneinstellungen zwingend erforderlich sind.
3. Führen Sie Update-MgDomain -DomainId <your-domain.com> -AuthenticationType "Managed" aus, um die Umwandlung zu starten.
4. Überprüfen Sie den Domänenstatus im Microsoft Entra Admin Center und testen Sie anschließend sofort mit einer Pilotbenutzergruppe, ob die Authentifizierung gegen die Cloud erfolgreich funktioniert.

Beachten Sie, dass die Umstellung der Domäne bis zu 60 Minuten dauern kann, bis sie wirksam wird. In diesem Zeitfenster bleiben bestehende Browsersitzungen in der Regel aktiv, neue Authentifizierungsanfragen laufen jedoch über den verwalteten Ablauf. Wenn Probleme auftreten, bleibt Staged Rollout Ihr bestes Sicherheitsnetz für eine gezielte Validierung.

Typische Stolpersteine bei der Migration einplanen

Welche typischen Herausforderungen sollten Cloud-Architekten bei der Umstellung auf Entra ID einplanen? Die größten Risiken entstehen, wenn Teams die Migration als einfachen Plattformwechsel behandeln statt als umfassende Neuarchitektur des Endpoint-Managements. Der Fokus liegt oft auf den Benutzerkonten, doch Ihre Infrastruktur stützt sich auch auf tief verankerte Protokolle wie RADIUS für den Netzwerkzugriff, SMTP-Relays für die Messaging-Dienste und die Authentifizierung von Altdruckern. Diese lassen sich nicht ohne Plan einfach in die Cloud verlagern.

Ein versäumtes, vollständiges Abhängigkeitsinventar vor der Synchronisierung von Objekten ist eine Hauptursache für Ausfallzeiten während der Migration. Bei der Zuordnung dieser Abläufe müssen Sie sich zwischen einer dauerhaften Hybridkonfiguration und einem reinen Cloud-only-Modell entscheiden. Ein unbestimmter, unverwalteter Zwischenzustand führt häufig zu Sicherheitslücken und betrieblichen Reibungsverlusten. In der Praxis zeigt sich, dass die frühzeitige Festlegung des Zielzustands die Komplexität beim Betrieb paralleler Umgebungen deutlich verringert.

Technische Schulden zeigen sich oft in veralteten Konten, tief verschachtelten Gruppenstrukturen und UPN-Abweichungen, die in die neue Umgebung übernommen werden und sie verunreinigen. Statt alten Ballast mitzunehmen, bereinigen Sie die Attribute in Active Directory, damit der Übergang zu Microsoft Entra ID reibungslos verläuft. Für diese Hürden bietet die Dokumentation zur Anwendungsmigration in Microsoft Entra einen strukturierten Ansatz zur Klassifizierung von Anwendungen. Sie hilft dabei, einfache Integrationen vor komplexen Altlasten zu priorisieren.

AD FS Application Migration Wizard und Tools nutzen

Der Umzug von Altanwendungen weg von Active Directory Federation Services (AD FS) wirkt oft wie der anspruchsvollste Teil eines Identitätsmodernisierungsprojekts. Zur Vereinfachung dient der AD FS Application Migration Wizard als spezialisiertes Werkzeug, um Relying-Party-Anwendungen zu erkennen, zu bewerten und zu konfigurieren. Durch Automatisierung können Architekten bestehende Konfigurationen scannen und Berichte zur Eignung der Anwendungen erhalten. Diese zeigen, welche Dienste sofort umziehen können und welche auf technische Hindernisse stoßen.

Gehen Sie bei diesem Übergang strukturiert nach einem Migrationszyklus vor. Beginnen Sie mit „Discovery and Scope“, um jede Anwendung zu erfassen, auch solche, die sich noch in der Entwicklung befinden. Priorisieren Sie die Klassifizierungsphase, indem Sie zunächst einfache SaaS-Anwendungen aus der Galerie angehen, die mehrere Identitätsanbieter unterstützen, und sich danach komplexen, älteren benutzerdefinierten Anwendungen zuwenden. Für Webanwendungen, die sich nicht vollständig modernisieren lassen, schließen Microsoft Entra Application Proxy und Secure Hybrid Access (SHA) die Lücke: Sie ermöglichen sicheren Remotezugriff ohne klassisches VPN.

Wählen Sie Ihre Cloud-Authentifizierungsmethode: PHS, PTA oder CBA

Die Wahl des richtigen Authentifizierungspfads bestimmt Ihre Sicherheitslage und das Benutzererlebnis. Microsoft empfiehlt Password Hash Synchronization (PHS) als bevorzugte Wahl für die meisten Organisationen. Durch die Synchronisierung der Kennwort-Hashes in die Cloud stehen wichtige Sicherheitsfunktionen wie Erkennung kompromittierter Anmeldeinformationen und Identity Protection zur Verfügung. Gleichzeitig ermöglicht PHS den Übergang zu modernen kennwortlosen Anmeldemethoden wie FIDO2-Schlüsseln.

Wenn regulatorische Vorgaben es verbieten, Passwort-Hashes in der Cloud zu speichern, ist Pass-through Authentication (PTA) eine geeignete Alternative. Bei dieser Methode werden die Anmeldedaten der Benutzer direkt gegen Ihr lokales Active Directory geprüft. Wenn Sie PTA einsetzen, installieren Sie mehrere leichtgewichtige Authentifizierungsagenten, um die Hochverfügbarkeit sicherzustellen. Diese Server werden zum zentralen Torwächter für Ihre cloudbasierten Anmeldungen.

Wenn Sie strenge Anforderungen an phishingresistente Authentifizierung erfüllen müssen, etwa die in EO 14028 beschriebenen, sollten Sie auf Microsoft Entra Certificate-based Authentication (CBA) umstellen. Dabei können sich Benutzer mit Smartcards oder Zertifikaten anmelden. Das bietet eine hochsichere Identitätsprüfung, die unabhängig von Ihrem lokalen Verbundserver funktioniert.

Damit die Benutzererfahrung während der Umstellung reibungslos bleibt, implementieren Sie Seamless SSO zusammen mit der gewählten Methode. Wenn Ihre Belegschaft macOS- oder iOS-Geräte nutzt, sollten Sie das Microsoft Enterprise SSO-Plug-in für Apple-Geräte bereitstellen. So gelingen Anmeldungen ohne ständige Authentifizierungsabfragen und bleiben dauerhaft bestehen. Unsere Erfahrung zeigt: Die Kombination dieser Methoden mit robusten Richtlinien für bedingten Zugriff bietet das beste Gleichgewicht zwischen Unternehmenssicherheit und Produktivität der Benutzer.

AD FS-Außerbetriebnahme planen

Die Außerbetriebnahme Ihrer Legacy-Verbundinfrastruktur ist der letzte Schritt auf dem Weg zu einer modernen Identitätsarchitektur. Bevor Sie endgültige Maßnahmen ergreifen, müssen Sie sicherstellen, dass kein Restverkehr mehr über Ihre AD FS-Farm läuft. Verwenden Sie den Bericht Connect Health Usage Analytics, um zu bestätigen, dass alle Authentifizierungsanfragen erfolgreich zu Microsoft Entra ID gewechselt sind.

Sobald Sie bestätigt haben, dass Ihre cloudverwaltete Authentifizierung stabil läuft und keine Benutzer mehr auf die Verbundserver zugreifen, sichern Sie die gesamte Umgebung vollständig. Diese Sicherheitsmaßnahme ist unverzichtbar, falls Sie bei der abschließenden Bereinigung die Konnektivität wiederherstellen müssen.

1. Entfernen Sie alle Einträge aus Ihrem lokalen Load Balancer, um den eingehenden Datenverkehr zu stoppen.
2. Aktualisieren oder löschen Sie die DNS-Einträge Ihrer Verbunddienste, damit Anfragen umgeleitet werden.
3. Deinstallieren Sie die Serverrollen Web Application Proxy und AD FS systematisch.
4. Bereinigen Sie verbleibende Konfigurationsdaten, indem Sie die Zertifikatcontainer über ADSI-Editor leeren. So stellen Sie sicher, dass die Umgebung vollständig bereinigt ist.

Das Entfernen dieser Legacy-Komponenten verringert Ihre Angriffsfläche und den Verwaltungsaufwand. Indem Sie diese Ebenen Schritt für Schritt entfernen, festigen Sie Ihre Umstellung auf ein cloudnatives Identitätsmodell.

Authentifizierungsrichtlinien vor der Frist migrieren

Microsoft fasst seine älteren Identitätssteuerungen in einer einheitlichen Richtlinie für Authentifizierungsmethoden zusammen, um eine detailliertere und zentrale Verwaltung zu ermöglichen. Dabei ersetzt eine einzige, optimierte Richtlinien-Engine im Microsoft Entra Admin Center die bisherigen, getrennten MFA- und SSPR-Oberflächen. Bis zum 30. September 2025 müssen alle Organisationen diese Umstellung abgeschlossen haben. Danach unterstützen die alten Verwaltungsportale weder die Konfiguration noch die Fehlerbehebung für Authentifizierungseinstellungen.

Um zu beginnen, navigieren Sie im Entra-Portal zu Schutz > Authentifizierungsmethoden > Richtlinien. Verwenden Sie den integrierten Migrationsassistenten, um Ihre aktuelle Umgebung zu prüfen und Konflikte zwischen bestehenden Legacy-Einstellungen und dem neuen Framework zu finden. Empfohlen wird, den Migrationsstatus auf 'Migration in progress' zu setzen. So können Sie die neuen Richtlinien testen, während die Legacy-Einstellungen für Ihre bestehenden Benutzer aktiv bleiben.

• Erweiterte Authentifizierungsmethoden wie FIDO2-Sicherheitsschlüssel, Temporary Access Pass (TAP) und zertifikatbasierte Authentifizierung werden ausschließlich über die neue Richtlinie verwaltet.
• Der Migrationsprozess ist umkehrbar. Wenn Sie während Ihrer Testphase das alte Verhalten wiederherstellen müssen, können Sie zwischen den Zuständen wechseln.
• Das automatisierte Tool migriert mandantenweite Einstellungen. Eine manuelle Überprüfung ist jedoch notwendig, um sicherzustellen, dass gruppenspezifische Konfigurationen korrekt übernommen werden.
• Mit dieser einheitlichen Richtlinie lassen sich moderne Sicherheitsstandards wie phishingresistente MFA besser umsetzen.

Wie bei jeder Identitätsumstellung sollten Sie die Auswirkungen auf die Benutzerregistrierung im Blick behalten. Wenn Sie eine Methode deaktivieren, die Benutzer derzeit verwenden, müssen sie sich möglicherweise neu registrieren, bevor sie auf Unternehmensressourcen zugreifen können. Die Überwachung der Anmeldeprotokolle im Microsoft Entra Admin Center hilft Ihnen dabei, sicherzustellen, dass diese Richtlinienaktualisierung den Geschäftsbetrieb nicht stört, während Sie auf eine einheitliche, sicherere Authentifizierung umstellen.

Absichern mit Conditional Access und Überwachung

Die Umstellung auf cloudnative Sicherheit erfordert eine sorgfältige Validierung, damit Benutzer nicht ausgesperrt werden. Bevor Sie neue Sicherheitsstandards erzwingen, testen Sie Ihre Conditional Access-Richtlinien immer im Nur-Bericht-Modus. Verwenden Sie das Was-wäre-wenn-Tool im Microsoft Entra Admin Center, um zu simulieren, wie sich bestimmte Richtlinien je nach Standort, Gerätestatus oder Sensibilität der Anwendung auf den Benutzerzugriff auswirken. Dieser proaktive Schritt stellt sicher, dass Ihre Sicherheitsregeln sowohl wirksam als auch störungsfrei sind.

Neben dem Testen sollten Sie auch Ihre Sperrschwellen anpassen. Konfigurieren Sie während der Umstellung die intelligente Sperre in Microsoft Entra ID mit einem kürzeren Intervall als in Ihren lokalen Active-Directory-Einstellungen, um Brute-Force-Angriffen unmittelbarer entgegenzuwirken. Um während der Umstellung den Überblick zu behalten, nutzen Sie die Hybrid-Auth-Arbeitsmappen, um Authentifizierungsabläufe zu überwachen und mögliche Auffälligkeiten zu erkennen. Überwachen Sie diese Anmeldeprotokolle nach der Migration eine bis zwei Wochen lang genau, um zu prüfen, ob sich Benutzer erfolgreich anmelden, und um bei Problemen schnell zurücksetzen zu können.

Für den langfristigen Schutz nutzen Sie Microsoft Entra Backup and Recovery, das jetzt allgemein verfügbar ist. Diese Funktion sichert automatisch kritische Verzeichnisobjekte, darunter Benutzer, Gruppen und Ihre neu konfigurierten Conditional Access-Richtlinien. Mit diesen integrierten Tools können Sie Ihren Mandanten im Falle versehentlicher oder böswilliger Änderungen wieder in einen bekannten, einwandfreien Zustand versetzen.

Dokumentation und Ressourcen zu Microsoft Entra ID im Überblick

Wo finden Sie die aktuelle Dokumentation und die Ressourcen, um Microsoft Entra ID zu beherrschen? Ihre wichtigste Anlaufstelle ist das offizielle Microsoft Learn-Portal. Dort finden Sie strukturierte Lernpfade, die von grundlegenden Identitätskonzepten bis hin zu fortgeschrittener Governance und Conditional Access-Richtlinien alles abdecken.

Für die tägliche Administration und tiefergehende technische Themen bietet die Entra-ID-Dokumentation umfassende Anleitungen zu App-Integration, Hybrididentität und Sicherheitsüberwachung. Wenn Sie lieber mit Trainer geleiteten Schulungen arbeiten, sehen Sie sich die kostenlosen Microsoft Virtual Training Days an. Dabei handelt es sich um Live-Sitzungen, die Sie auf Zertifizierungsprüfungen vorbereiten.

Außerdem ist es für Schritt mit den schnellen Produktaktualisierungen entscheidend, regelmäßig den Bereich „Neuerungen“ in der Entra-Dokumentation zu verfolgen.

Zugriff mit PIM und Identity Lifecycle Management steuern

Der Umstieg auf ein cloudnatives Identitätsmodell erfordert, dauerhafte Administratorzugriffe abzubauen. Microsoft Entra ID Privileged Identity Management (PIM) unterstützt dabei, indem es zeitbasierte und genehmigungsbasierte Rollenaktivierung ermöglicht. Anders als Altsysteme, die dauerhafte Berechtigungen vergeben, erzwingt PIM einen Zugriff bei Bedarf (Just-in-Time). Das reduziert die Angriffsfläche für privilegierte Konten deutlich.

Die Verwaltung von Identitätslebenszyklen beginnt oft mit der HR-gesteuerten Bereitstellung. Durch die Anbindung von Quellen wie Workday oder SuccessFactors automatisieren Organisationen das Anlegen, Aktualisieren und Deaktivieren von Benutzerkonten. So stimmen die Zugriffsrechte stets mit dem tatsächlichen Status der Mitarbeitenden überein. Das beseitigt das Risiko verwaister Konten, die sich in manuellen Umgebungen typischerweise ansammeln.

Zugriff und Compliance automatisieren

Für die laufende Ressourcenverwaltung automatisiert die Berechtigungsverwaltung Zugriffsanforderungen, Zuweisungen und Ablaufdaten für Anwendungen und Gruppen. Um eine Zero-Trust-Haltung aufrechtzuerhalten, sollten Administratoren regelmäßige Zugriffsüberprüfungen einrichten, die prüfen, ob Berechtigungen noch benötigt werden. Diese Überprüfungen unterstützen die Compliance, indem sie bestätigen, dass nur autorisierte Benutzer Zugriff auf sensible Gruppen oder Rollen behalten.

• Nutzen Sie dynamische Gruppen als automatisierte Quelle der Wahrheit für lokale Gruppen.
• Setzen Sie die gruppenübergreifende Mandantensynchronisierung ein, um die Gruppenmitgliedschaften in mehreren Umgebungen konsistent zu halten.
• Ermöglichen Sie Teams, Sitzungen zu widerrufen oder Benutzer zu deaktivieren, ohne ihnen übermäßige Verzeichnisberechtigungen zu gewähren.

Externe Identitäten und Zukunftssicherheit planen

Die Verwaltung externer Identitäten erfordert einen proaktiven Ansatz, da Microsoft sein Dienstangebot weiterentwickelt. Organisationen, die auf Azure AD B2C setzen, müssen sich auf eine manuelle Umstellung auf Microsoft Entra External ID vorbereiten, da es derzeit keinen nativen, vollständig automatisierten Weg zwischen diesen Plattformen gibt. Sie müssen Benutzerdaten aus Ihrem bestehenden Verzeichnis exportieren und in Ihren neuen Mandanten importieren. Auf GitHub steht ein von der Community unterstütztes Migrationstoolkit zur Verfügung, das Sie bei diesem Prozess unterstützt. Nutzen Sie zudem dessen Just-in-Time-(JIT-)Kennwortmigration, damit die erste Anmeldung der Benutzer reibungsloser verläuft.

Neben der Verwaltung externer Identitäten erfordert auch Ihre zentrale Synchronisierungsarchitektur Aufmerksamkeit. Microsoft leitet einen Übergang von Microsoft Entra Connect Sync zu dem cloudnativen Microsoft Entra Cloud Sync ein. Die offiziellen Migrationshinweise sollen ab Juli 2026 versendet werden. Dieser Schritt reduziert die Komplexität vor Ort, da die Synchronisierungslogik in die Cloud verlagert wird.

Sicherheit hat bei diesen Umstellungen Priorität. Ab dem 1. Juni 2026 blockiert Microsoft 'hard-match'-Vorgänge, die neue lokale Active-Directory-Benutzer mit bereits vorhandenen, cloudverwalteten Konten verknüpfen, die administrative Rollen innehaben. Diese Schutzmaßnahme soll Attributmanipulation verhindern und Ihre privilegiertesten Identitäten vor unbefugter Übernahme schützen. Überprüfen Sie daher bei der Zukunftssicherung Ihrer Umgebung jetzt Ihre bestehenden gruppenübergreifenden Verbindungen und administrativen Zuweisungen, damit es beim Inkrafttreten dieser Sicherheitsmechanismen nicht zu Dienstunterbrechungen kommt.

Der Weg zu nahtloser Identität in der Cloud

Ihre Modernisierung der Identitätsverwaltung ist ein mehrstufiger Prozess, der von der anfänglichen Erfassung und Abgrenzung des Umfangs bis zu einem vollständig verwalteten Cloudzustand reicht. Mit einer soliden hybriden Grundlage lösen Sie sich von veralteten Reibungspunkten und bewegen sich in Richtung der Funktionen von Microsoft Entra ID. Erfolgreiche Umstellungen beruhen auf gründlicher Validierung, insbesondere über Staged Rollout. Damit können Sie Authentifizierungsmethoden mit ausgewählten Benutzergruppen testen, bevor die vollständige Umstellung erfolgt.

Nach der Migration verlagert sich Ihre Arbeit auf die laufende Überwachung der Anmeldeprotokolle und der Konfigurationen für Richtlinien für Authentifizierungsmethoden. Konsistenz ist entscheidend. Vergewissern Sie sich vor der endgültigen Außerbetriebnahme stets, dass keine Aktivitäten über die alte Verbundanmeldung mehr stattfinden. Um mit diesen Veränderungen Schritt zu halten, hören Sie täglich in den M365 FM Podcast rein, der Ihnen Einblicke zu diesen Neuerungen liefert.

Warten Sie nicht bis zur letzten Frist, um Ihre technischen Altlasten abzubauen. Beginnen Sie noch heute damit, Ihre Abhängigkeiten zu prüfen, um kennwortlose Anmeldung und erweiterte Sicherheitsfunktionen nutzen zu können. Ob Sie Altanwendungen überarbeiten oder Richtlinien konsolidieren: Der Weg in die Cloud ist dank der offiziellen Dokumentation klarer denn je.