Password Hash Sync vs. PTA: Ein Leitfaden

Von Mirko Peters · 2026-04-30 · Aktualisiert 2026-07-18

Erfahren Sie in der Praxis, wie Sie Password Hash Sync und PTA einrichten, welche Architektur dahintersteckt und worauf es bei Sicherheit, Governance und dem Einsatz im Alltag ankommt.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Wenn Sie sowohl ein lokales Active Directory als auch Microsoft Entra ID (früher Azure AD) betreiben, lautet die Frage aller Fragen: „Wie kann ich Benutzer sicher und ohne Probleme authentifizieren, egal von wo aus sie sich anmelden?“ Genau hier kommen Password Hash Sync (PHS) und Pass-Through-Authentifizierung (PTA) ins Spiel. Beide schlagen eine Brücke zwischen lokaler Umgebung und Cloud, gehen bei Sicherheit, Compliance und Ausfallsicherheit aber sehr unterschiedliche Wege.

PHS und PTA leisten mehr, als Anmeldungen zu ermöglichen. Sie verbinden das klassische AD mit den cloudbasierten Diensten in Entra ID und machen hybride Arbeitsumgebungen überhaupt erst möglich und handhabbar. Welche Methode Sie wählen, beeinflusst nicht nur, wie sich Benutzer anmelden, sondern auch, wie sich Ihre Organisation vor Bedrohungen schützt, Compliance-Anforderungen erfüllt und für Wachstum plant.

Dieser Leitfaden liefert konkrete Antworten für technische Verantwortliche ebenso wie für geschäftlich denkende Entscheider. Wir vergleichen PHS und PTA direkt miteinander, schauen uns an, wie beide funktionieren, worin sie sich unterscheiden und worauf Sie bei der Auswahl achten sollten. Außerdem erhalten Sie einen vollständigen Überblick über Konfiguration, Sicherheitsebenen, Notfallwiederherstellung, Compliance und Leistung. Am Ende haben Sie einen praxisnahen Fahrplan, mit dem Sie Ihre Identitätsstrategie an den Best Practices von Microsoft ausrichten, ohne Schnickschnack, Hype oder unnötige Kopfschmerzen. Legen wir los.

Authentifizierungsmethoden im Vergleich: Password Hash Sync und Pass-Through-Authentifizierung in Entra ID

Hybride Identität bedeutet im Kern, das lokale Active Directory mit Microsoft Entra ID zu verbinden, und die gewählte Authentifizierungsmethode ist das Herzstück dieser Verbindung. Mit Password Hash Sync (PHS) und Pass-Through-Authentifizierung (PTA) stehen Ihnen zwei grundverschiedene Wege zur Verfügung, um Benutzer zu prüfen, die sich bei Cloud-Ressourcen anmelden. Beide Ansätze wirken sich nicht nur auf die Sicherheit aus, sondern auch auf Leistung, Compliance und die tägliche Benutzerfreundlichkeit. Wenn Sie Zweck und Kontext beider Optionen verstehen, treffen Sie die beste Entscheidung für Ihre Umgebung. Im Folgenden erläutern wir, wie PHS und PTA genau funktionieren, und gehen dabei auf die Details und Abläufe ein, auf die es am meisten ankommt.

Password Hash Authentication und PTA in Azure: Wie funktionieren sie?

Password Hash Synchronization (PHS) und Pass-Through-Authentifizierung (PTA) sind die beiden gängigsten Optionen, um Ihre lokale Identität mit der Microsoft-Cloud zu verbinden. Beide ermöglichen es Benutzern, sich mit ihren „klassischen“ AD-Anmeldedaten bei Cloud-Diensten anzumelden, funktionieren dabei aber recht unterschiedlich.

Bei Password Hash Sync konfigurieren Sie Azure AD Connect so, dass regelmäßig ein spezieller, nicht umkehrbarer kryptografischer Hashwert des Kennworts jedes aktivierten AD-Benutzers nach Entra ID exportiert wird. Dabei handelt es sich nicht einfach um den Rohhash von Ihrem Domänencontroller, sondern um einen Hash des Hashes. Damit kann nicht einmal Microsoft Ihr Kennwort zurückrechnen. Sobald diese Hashwerte in der Cloud liegen, kann Entra ID Benutzer direkt authentifizieren, schnell und unabhängig von Störungen in der lokalen Umgebung.

PTA hingegen belässt die Kennwortprüfung in Ihrem lokalen Active Directory. Sendet ein Benutzer eine Anmeldung an einen Microsoft-Cloud-Dienst, wird die Authentifizierungsanfrage von Entra ID sicher an einen der schlanken PTA-Agents weitergeleitet, die lokal laufen. Der Agent prüft Benutzername und Kennwort gegen Ihr AD und sendet eine Ja-oder-Nein-Antwort zurück. Entra ID lässt den Benutzer dann ein oder blockiert ihn.

Stellen Sie es sich so vor: PHS bedeutet, dass Kennwort-Hashes in der Cloud liegen und die Authentifizierung in Azure stattfindet. PTA bedeutet, dass kein Kennwort-Hash in der Cloud liegt und alle Anmeldeprüfungen direkt von Ihren lokalen Domänencontrollern über einen Agent erledigt werden. Ihre Wahl entscheidet darüber, wo die Authentifizierung tatsächlich stattfindet und wie stark Sie auf eine funktionierende Netzwerkverbindung angewiesen sind. Diese Grundlagen prägen alles, von der Sicherheitslage bis zur Ausfallsicherheit und dem Benutzererlebnis. Um zu sehen, wie all das mit Risiko, Compliance und Betrieb zusammenhängt, lesen Sie diesen Leitfaden zu Bedingtem Zugriff in Entra ID mit Strategien für eine straffe Identity Governance.

Gespeicherte Kennwort-Hashes und sichere Authentifizierungsabläufe

Bei PHS wird eine gehashte – und zusätzlich nochmals gehashte – Version des Kennworts jedes Benutzers verschlüsselt und nach Entra ID synchronisiert. Durch diese Speicherung in der Cloud kann Entra ID Anmeldeversuche direkt beantworten, selbst wenn das lokale AD nicht erreichbar ist.

PTA verzichtet auf eine Cloud-Kopie und speichert Passworthashes nie in Azure. Stattdessen nutzt PTA Agenten, die bei jeder Anmeldung eines Benutzers die Anmeldedaten live gegen das lokale AD prüfen. Der sichere Kanal sorgt dafür, dass Kennwörter nicht ungeschützt herumliegen. Kurz gesagt: PHS setzt auf in der Cloud gespeicherte, doppelt gehashte Anmeldedaten. PTA erzwingt bei jeder Authentifizierungsanfrage Echtzeitprüfungen und belässt die Anmeldedaten vor Ort.

Sicherheitsaspekte der Identität bei der hybriden Authentifizierung

Bei hybriden Identitäten geht es bei der Sicherheit nicht nur darum, eine Mauer zu errichten. Entscheidend ist, die richtigen Werkzeuge auszuwählen, mit denen sich die häufigsten Angriffe abwehren lassen, ohne den Tagesbetrieb zu behindern. Die Wahl zwischen PHS und PTA bestimmt, wo Kennwortdaten liegen, wie sie übertragen werden und wie sie sowohl im Ruhezustand als auch während der Übertragung geschützt sind. Außerdem müssen Sie berücksichtigen, wie beide Methoden Schutzmechanismen wie Conditional Access und Identity Protection einbinden.

Unternehmen stehen unter dem Druck, Compliance-Anforderungen zu erfüllen und mit sich wandelnden Bedrohungen Schritt zu halten. Ob Sie Diebstahl von Anmeldedaten, Phishing oder die Begrenzung des Schadensradius eines Vorfalls im Blick haben: Ihre Methode für die hybride Authentifizierung spielt dabei eine wesentliche Rolle. Sie sollten wissen, wie sich jeder Ansatz gegen Bedrohungen behauptet, wie er sich in mehrschichtige Schutzmaßnahmen einfügt und wie er in eine moderne, widerstandsfähige Identitätsarchitektur für Ihr Unternehmen passt. Einen praxisnahen Blick darauf, wie sich Benutzersicherheit und eine gute Benutzererfahrung in Einklang bringen lassen, bietet dieser M365-Sicherheitsleitfaden mit Best Practices für Microsoft-Umgebungen.

Lokale Schutzmaßnahmen und Sicherheitsebenen in der Cloud

PHS und PTA nutzen beide die Sicherheitsfunktionen des lokalen Active Directory und bringen sie über Entra ID in die Cloud. Bei PHS können Sie, sobald die Hashes in Azure liegen, cloudspezifische Schutzmaßnahmen ergänzen. Richtlinien für Conditional Access und die Bedrohungsbewertung von Identity Protection greifen bei allen Authentifizierungen und erleichtern es, Richtlinien konsequent durchzusetzen.

PTA unterstützt diese cloudbasierten Kontrollen ebenfalls. Da die Kennwortprüfung jedoch vor Ort erfolgt, bleiben die bewährten AD-Schutzmechanismen Ihre erste Verteidigungslinie. Zusätzliche Cloud-Kontrollen wie Conditional Access und MFA greifen weiterhin nach der Authentifizierung. Welchen Weg Sie auch wählen: Die Kombination aus lokalen Schutzmaßnahmen und modernen Funktionen von Entra ID ergibt einen widerstandsfähigen Defense-in-Depth-Identitätsstack. Möchten Sie sich mit den neuesten Cloud-Bedrohungen befassen? Die Analyse des OAuth-Zustimmungsangriffs erläutert reale Risiken und Abwehrmaßnahmen in Entra ID.

Kontosperrung, Kennwortablauf und Anmeldeerlebnis mit PHS und PTA

Kontosperrung: PTA erzwingt die lokale Sperre sofort. Mehrere falsche Kennworteingaben blockieren Cloud-Anmeldungen umgehend. Bei PHS verzögert sich die Sperre bis zur nächsten Synchronisierung der Passworthashes.
Kennwortablauf: PTA berücksichtigt die Kennwortgültigkeit aus AD in Echtzeit und verlangt eine Änderung in dem Moment, in dem ein Kennwort abläuft. PHS übernimmt dies bei der nächsten Synchronisierung. Benutzer können daher ein kurzes Zeitfenster nach Ablauf haben, wenn die Hashes nicht aktualisiert wurden.
Anmelderichtlinien: PTA spiegelt alle Anmeldezeiten-Steuerungen aus AD wider. Bei PHS werden Richtlinienänderungen erst nach der Synchronisierung wirksam, wodurch es in der Cloud kurz zu Verzögerungen kommt.
Risikomanagement: Die Echtzeitverbindung von PTA sorgt für eine strikte Durchsetzung von Richtlinien. PHS gibt dagegen etwas Unmittelbarkeit zugunsten höherer Ausfallsicherheit und Verfügbarkeit auf.

Benutzererfahrung: Single Sign-On und Barrierefreiheit in Entra ID

Der richtige Identitätsablauf betrifft mehr als Kennwörter oder Token. Entscheidend ist, dass Benutzer reibungslos, sicher und ohne ständige Hürden hineinkommen. Ihre Wahl der hybriden Authentifizierung, PHS oder PTA, beeinflusst unmittelbar, wie reibungslos (oder eben nicht) der Alltag für Endbenutzer verläuft, besonders bei Remote-Arbeit und verteilten Teams.

Dieser Abschnitt zeigt, wie jede Methode nahtloses Anmelden ermöglicht, wo Sie mit einem Zugriff „einrichten und vergessen“ rechnen können und was passiert, wenn etwas schiefgeht. Das gilt für einen kurzen Internetausfall, einen Absturz des PTA-Agenten oder ein vergessenes Kennwort. Wir konzentrieren uns darauf, Anmeldungen zu vereinfachen, unnötige Abfragen zu reduzieren und den Zugriff auch bei Netzwerkproblemen abzusichern, wobei Sicherheit stets im Vordergrund bleibt.

Nahtloses Single Sign-On mit PHS und PTA aktivieren

Kerberos-SSO-Unterstützung: Sowohl PHS als auch PTA können Seamless SSO nutzen. Dafür wird ein Computerkonto (AZUREADSSOACC) in AD benötigt. So erhalten Benutzer auf domänenverbundenen Geräten echtes Single Sign-on.
Anmeldeablauf: Ist Seamless SSO aktiviert, sehen Benutzer auf vertrauenswürdigen Geräten selten eine Kennwortabfrage – unabhängig davon, ob Sie PHS oder PTA verwenden, und auch bei Cloud-Apps. Ihre AD-Anmeldeinformationen werden im Hintergrund verwendet.
Weniger Abfragen: Seamless SSO reduziert die Anzahl der erneuten Authentifizierungen deutlich. Benutzer können so zwischen Apps, Geräten und Browsern wechseln, ohne nennenswert unterbrochen zu werden.
Sicherheit bei beiden Methoden: Seamless SSO ist bei PHS und PTA gleichermaßen sicher, doch die Wahrnehmung der Benutzer verbessert sich in beiden Fällen. Das ist entscheidend für eine hohe Produktivität und weniger Anrufe beim Helpdesk.

Vorübergehende Verbindungsprobleme bei PTA und Szenarien mit Cloud-Fallback

Ausfall des PTA-Agents: Gehen alle PTA-Agents offline oder verlieren sie die Verbindung zu Entra ID, können sich Benutzer nicht authentifizieren. Ohne lokale Prüfung ist keine Anmeldung möglich.
Ausfallsicherheit mit PHS: Benutzer mit PHS können sich weiterhin anmelden, selbst wenn Ihr lokales AD nicht verfügbar ist. Die Authentifizierung erfolgt in der Cloud anhand der gespeicherten Hashwerte.
Remote- und Niederlassungsstandorte: Für Standorte mit unzuverlässigen Verbindungen bietet PHS eine zusätzliche Absicherung. Benutzer können auch bei kurzen Verbindungsproblemen weiterarbeiten.
Failover-Strategien: Manche Organisationen aktivieren beide Methoden (mit PHS als Backup), um die Ausfallsicherheit zu erhöhen. Bei Störungen von PTA erfolgt so ein automatisches Failover.

Bereitstellung und Verwaltung der Authentifizierungs-Agents

Die Einrichtung einer hybriden Authentifizierung ist kein Vorgang, den Sie einmal erledigen und dann vergessen können. PHS und PTA bringen jeweils eigene betriebliche Anforderungen mit, von der Bereitstellung der Agent-Software bis zur Verwaltung von Berechtigungen. Damit diese Systeme zuverlässig laufen, müssen Sie den laufenden Betrieb gegen Sicherheits- und Compliance-Anforderungen abwägen.

Teams, die Password Hash Sync einführen, konzentrieren sich vor allem auf die Verwaltung von Azure AD Connect. Dazu gehören die Planung der Synchronisierungen, Updates und die Überwachung auf Fehler. Bei PTA verlagert sich der Schwerpunkt auf die Bereitstellung und Überwachung schlanker Agents auf mehreren lokalen Servern (zur Redundanz) sowie auf die Behebung von Netzwerkproblemen, die den Authentifizierungsverkehr stören können. Auch Berechtigungen, Patching und Verfahren für die Reaktion auf Sicherheitsvorfälle sind wichtig.

Mit der zunehmenden Nutzung von Cloud-Diensten sorgt eine saubere Agent-Verwaltung für zuverlässige Anmeldungen und bildet die Grundlage für die Skalierung, ohne den Betrieb zu gefährden. Wenn Sie Governance ernst nehmen, lesen Sie in diesem Leitfaden zur Governance-Strategie für Unternehmen, welche Rolle Kontrollen wie RBAC und Richtliniendurchsetzung in Azure spielen.

Berechtigungen für Azure AD Connect und PTA-Agents erweitern

Berechtigungen für Azure AD Connect: Während der Einrichtung werden Enterprise-Admin-Rechte benötigt. Für die laufende Synchronisierung genügen anschließend delegierte Berechtigungen. Arbeiten Sie nie mit höheren Rechten als nötig und prüfen Sie diese bei jedem Update.
Berechtigungen für PTA-Agents: Agents benötigen Dienstkontoanmeldedaten mit der Berechtigung „Anmelden als Dienst“ sowie Leserechte für AD. Sie sollten jedoch keine weitreichenden Domänenadmin-Rollen erhalten, um die Angriffsfläche zu verringern.
Best Practices für die Delegierung: Wenden Sie das Prinzip der minimalen Berechtigungen an. Vergeben Sie nur die tatsächlich benötigten Berechtigungen und prüfen Sie diese Rollen regelmäßig auf Abweichungen.
Compliance-Überwachung: Nutzen Sie Werkzeuge wie Microsoft Purview Audit, um Änderungen zu überwachen, Agent-Aktivitäten nachzuverfolgen und im Fall von Problemen forensische Untersuchungen zu unterstützen.

Kennwortrückschreibung einrichten und bestehende Konten zuordnen

Kennwortrückschreibung: Aktivieren Sie die Kennwortrückschreibung über Azure AD Connect, damit Benutzer ihre Kennwörter in der Cloud zurücksetzen können. Diese Änderungen werden automatisch mit dem lokalen AD synchronisiert. So sinkt die Last am Helpdesk.
Selbstbedienung für Benutzer: Nach der Aktivierung können Benutzer Kennwörter über Office.com oder die Microsoft Authenticator-App zurücksetzen und ändern. So bleiben sie produktiv und im Rahmen der Compliance.
Zuordnungsstrategien: Bevor Sie PHS aktivieren oder von PTA umstellen, stellen Sie sicher, dass Benutzerkonten zwischen Entra ID und AD korrekt zugeordnet sind. So vermeiden Sie doppelte Identitäten und Zugriffsprobleme.
Best Practices für die Migration: Testen Sie das Writeback mit einer Pilotgruppe, bestätigen Sie die Identitätszuordnung über immutableID- oder mail-Attribute und überwachen Sie nach dem Start die Synchronisierung auf Fehler und nicht übereinstimmende Anmeldedaten.

Migration von PTA zu PHS: Vorbereitung, Durchführung und Validierung

Der Wechsel von Pass-Through-Authentifizierung zu Password Hash Sync ist nicht einfach ein Schalter, den man umlegt und dann hofft, dass alles gut geht. Eine Migration erfordert sorgfältige Planung, die Dokumentation Ihrer Umgebung, die Sicherstellung, dass Cloud- und lokale Einstellungen übereinstimmen, sowie eine klare Kommunikation mit Benutzern und Stakeholdern.

Dieser Abschnitt führt Sie durch den gesamten Prozess: wie Sie Ihren Mandanten vorbereiten, die Kompatibilität mit PHS prüfen und mögliche Probleme einplanen, die bei einer solchen Umstellung auftreten können. Ziel ist es, Benutzerbeeinträchtigungen zu minimieren, Überraschungen zu vermeiden und einen reibungslosen Weg bereitzuhalten, falls ein Rollback nötig wird. Jede Phase enthält Kontrollpunkte und Best Practices, damit Ihre hybride Identität während der gesamten Umstellung stabil bleibt.

Mit einem durchdachten Migrationsplan können Sie die Authentifizierung in die Cloud verlagern, die Ausfallsicherheit erhöhen, Remote- und Niederlassungsstandorte besser unterstützen und den Weg für künftige Erweiterungen ebnen. Veränderungen sind schwierig, aber mit der richtigen Vorgehensweise bedeuten sie weniger Feuerwehreinsätze und mehr Fokus auf Ihr eigentliches Geschäft.

Vorbereitung, Mandantenübersicht und Bewertung der Änderungsbereitschaft

Bestehende Einstellungen inventarisieren: Dokumentieren Sie alle aktuellen Authentifizierungs- und Kennwortrichtlinien sowie die Details zur Agent-Bereitstellung, um Versäumnisse zu vermeiden.
Cloud-Kompatibilität bestätigen: Prüfen Sie, ob alle Konten synchronisiert und für PHS geeignet sind. Achten Sie besonders auf nicht standardmäßige Kennwortrichtlinien oder veraltete Verschlüsselungsverfahren.
Kommunikation planen: Informieren Sie Stakeholder, Helpdesk und Benutzer über die bevorstehenden Änderungen, mögliche Auswirkungen und neue Anmeldeabläufe.
Rollback-Plan erstellen: Entwickeln Sie einen klaren Rückfallplan für den Fall, dass während der Migration etwas schiefgeht. Legen Sie fest, was einen Rollback auslöst, und wie Sie ohne Dienstverlust zurückwechseln.
Termine mit minimaler Auswirkung planen: Wählen Sie Wartungsfenster mit geringer Benutzeraktivität und stellen Sie sicher, dass der Support während und nach der Umstellung bereitsteht. Mehr zu den Auswirkungen auf die Mandanten-Compliance finden Sie in dieser Folge zu Compliance-Drift.

PHS aktivieren, Produktivbetrieb umstellen, Erfolgsvalidierung und Notfall-Rollback

PHS in Azure AD Connect aktivieren: Aktivieren Sie Password Hash Sync und stellen Sie sicher, dass die Hashes für alle Benutzer zu synchronisieren beginnen. Verfolgen Sie den Fortschritt im Azure AD Connect-Dashboard und prüfen Sie, ob keine Fehler protokolliert werden.
Cloud-Zuordnungen validieren: Prüfen Sie gegenseitig, ob synchronisierte Identitäten korrekt zugeordnet sind und die Anmeldung mit PHS funktioniert, bevor Sie den Produktivverkehr umleiten. Achten Sie auf Abweichungen oder doppelte Konten.
Produktive Authentifizierung umleiten: Stellen Sie den Authentifizierungsverkehr schrittweise von PTA auf PHS um, zunächst mit Pilotgruppen und danach mandantenweit, sofern alles reibungslos verläuft.
Erfolg und Benutzererfahrung überwachen: Behalten Sie während und nach der Umstellung Anmeldezeiten, Dienststatus und Benutzerrückmeldungen im Blick. Reagieren Sie zügig auf Anmeldefehler oder unerwartete Fehler.
PTA-Agenten sicher außer Betrieb nehmen: Sobald Sie sich bei PHS sicher fühlen, entfernen Sie die PTA-Agenten gemäß Microsofts Bereinigungsprozess. Dokumentieren Sie die Änderung, aktualisieren Sie Ihre Pläne für die Reaktion auf Sicherheitsvorfälle und stellen Sie sicher, dass keine veralteten Abhängigkeiten mehr bestehen.
Notfall-Rollback-Plan: Falls die Umstellung aus dem Ruder läuft, seien Sie bereit, zurück auf PTA zu wechseln, indem Sie die Agenten wieder aktivieren und den Datenverkehr umkehren. Üben Sie das Vorgehen vorab, damit ein Rollback bei Bedarf in weniger als 30 Minuten durchgeführt werden kann.

Die richtige Authentifizierungsmethode für Ihre hybride Cloud-Identität wählen

Nachdem alle Fakten und Abläufe auf dem Tisch liegen, ist es an der Zeit, sie mit Ihren realen Anforderungen abzugleichen. Die Entscheidung zwischen PHS und PTA betrifft nicht nur die Technik, sondern auch Ihr Risikoprofil, Ihre Compliance-Lage, die Zuverlässigkeit des Netzwerks und wie viel praktische Verwaltung Ihr Team leisten kann. Die richtige Wahl passt nicht nur zu den technischen Zielen, sondern auch zu den geschäftlichen Realitäten, regulatorischen Besonderheiten und Benutzergewohnheiten.

Dieser letzte Abschnitt fasst Praxisnähe, bekannte Stolperfallen und typische Szenarien zusammen, damit Sie Ihren hybriden Identitätsplan selbstbewusst auf die Methode abstimmen können, die am besten zu Ihren Zielen passt, und Ihre Strategie anpassen können, wenn sich Ihre Organisation weiterentwickelt.

PTA statt PHS: Wann sich welcher Ansatz eignet

Verwenden Sie PTA, wenn: Sie strenge Vorgaben haben, die jede Form von Passwort-Hash in der Cloud untersagen, oder eine Durchsetzung von AD-Richtlinien in Echtzeit benötigen.
Verwenden Sie PHS, wenn: Sie Ausfallsicherheit wünschen. Authentifizierungen funktionieren weiterhin, selbst wenn das lokale AD nicht verfügbar oder nicht erreichbar ist. Das eignet sich hervorragend für verteilte Teams und Remote-Arbeit.
PTA eignet sich für: Stark regulierte oder große, zentralisierte Umgebungen mit einer zuverlässigen Verbindung zwischen Cloud und lokaler Infrastruktur.
PHS eignet sich für: Organisationen, die Verfügbarkeit, einfache Verwaltung und Cloud-first-Ausfallsicherheit priorisieren, insbesondere wenn Remote-Standorte oder instabile Netzwerke ein Thema sind.

Häufige Fragen, Multi-Faktor-Authentifizierung und Das Wichtigste in Kürze

Funktioniert die Multi-Faktor-Authentifizierung (MFA) mit beiden Methoden? Ja. Sowohl PTA als auch PHS unterstützen moderne MFA-Verfahren, etwa bedingten Zugriff, SMS, App-basierte Codes, FIDO2 und weitere. Entra ID erzwingt alle diese Verfahren nach der Authentifizierung.
Verliere ich lokale Richtlinien, wenn ich PHS verwende? Nicht vollständig. Die meisten Kennwortänderungen, Kontosperrungen und Ablaufzeiten werden nach der Synchronisierung übernommen. PTA wendet sie jedoch in Echtzeit an. Für geschäftskritische Richtliniendurchsetzung ist PTA möglicherweise die bessere Wahl.
Was passiert, wenn unser Netzwerk ausfällt? Bei PTA werden sämtliche Cloud-Authentifizierungen gestoppt, sobald Ihre PTA-Agenten nicht erreichbar sind. PHS funktioniert weiterhin, und Benutzer können sich dank der cloudbasierten Hashes anmelden. Planen Sie Ihre Failover-Strategie entsprechend.
Wie handhabe ich Compliance-Berichte und Auditprotokollierung? PTA protokolliert Ereignisse vor allem lokal (auf den Agenten und Domänencontrollern). PHS überträgt dagegen den Großteil der Aktivitäten in Entra ID und bietet damit eine umfassendere, cloudweite Transparenz für SIEM- und Compliance-Teams. Die Protokollierung und Überwachung in der Cloud lässt sich für eine breit angelegte Governance einfacher umsetzen. Mehr darüber, wie Sie das Identitätsrisiko reduzieren, erfahren Sie in dieser Episode über Entra ID Conditional Access.
Das Wichtigste in Kürze: PTA und PHS haben beide ihre Berechtigung. Wägen Sie operativen Aufwand, Ausfallsicherheit, regulatorische Anforderungen und Benutzerfreundlichkeit ab, bevor Sie sich entscheiden. Behalten Sie außerdem Identitätsschulden und die wachsende Zahl an Conditional-Access-Richtlinien im Blick. Starke, durchsetzbare Richtlinien sind die Grundlage für echte Sicherheit, wie im oben genannten Leitfaden beschrieben. Wenn Sie Sicherheit und Governance über breitere Plattformen hinweg organisieren, lohnt sich ein Blick auf die Sicherheitspraktiken für Power Platform als ergänzende Strategien für das Identitätsmanagement.