Password Hash Synchronization vs. Pass-Through Authentication: Die richtige Methode für die hybride Identität wählen

Von Mirko Peters · 2026-08-15

Vergleichen Sie Password Hash Synchronization und Pass-Through Authentication in Microsoft Entra Connect. Wählen Sie die passende hybride Identitätsmethode für Ihre Organisation.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Wahl der richtigen Authentifizierungsmethode in Microsoft Entra Connect ist entscheidend für den Erfolg einer hybriden Identität. Dieser Deep Dive vergleicht Password Hash Synchronization und Pass-Through Authentication, analysiert deren Architektur, Sicherheitsaspekte und Ausfallsicherheit und hilft IT-Administratoren, den optimalen Ansatz für ihre Umgebung auszuwählen.

Das Wichtigste in Kürze

• Password Hash Synchronization ermöglicht es Microsoft Entra ID, die Cloud-Authentifizierung eigenständig durchzuführen, ohne bei jeder Anmeldung das lokale Active Directory abzufragen.
• Pass-Through Authentication leitet Cloud-Anmeldeanfragen über sichere lokale Agents weiter. Dadurch ist das Active Directory bei jeder Kennwortprüfung aktiv eingebunden.
• Die Ausfallsicherheit in der Cloud ist ein wesentlicher Vorteil von Password Hash Synchronization. Anmeldungen gelingen auch dann, wenn die lokale Netzwerkverbindung oder die Domänencontroller vorübergehend ausfallen.
• Anforderungen an die Sicherheit, gesetzliche Vorgaben und Infrastrukturabhängigkeiten sollten bestimmen, ob Sie die Cloud-Authentifizierung oder die lokale Prüfung wählen.

Hybride Authentifizierungsmodelle verstehen

Wenn Organisationen Workloads in Microsoft 365 überführen und dabei ein lokales Active Directory betreiben, betreten sie die Welt der hybriden Identität. Eine der grundlegendsten Architekturentscheidungen, die IT-Administratoren auf diesem Weg treffen müssen, betrifft die Frage, wie sich Benutzer authentifizieren. Die Synchronisierung sorgt dafür, dass Identitätsdaten zwischen Ihrem lokalen Verzeichnis und der Cloud übereinstimmen. Die Authentifizierung ist dagegen die aktive Prüfung, die belegt, dass ein Benutzer tatsächlich die Person ist, für die er sich ausgibt.

Microsoft Entra Connect unterstützt mehrere Wege, um Ihr lokales Verzeichnis mit der Cloud-Authentifizierung zu verbinden. Organisationen tun sich jedoch häufig schwer, sich zwischen den beiden primären Methoden zu entscheiden: Password Hash Synchronization (PHS) und Pass-Through Authentication (PTA). Jeder Ansatz behandelt die Kennwortprüfung unterschiedlich, bringt eigene Verfügbarkeitsabhängigkeiten mit sich und wirkt sich unterschiedlich auf die Ausfallsicherheit Ihres modernen Arbeitsplatzes aus.

Password Hash Synchronization im Detail

Auch wenn der Name auf den ersten Blick beunruhigend wirkt, ist Password Hash Synchronization tatsächlich die am weitesten verbreitete und empfohlene Authentifizierungsmethode für Microsoft 365-Umgebungen. Entra Connect kopiert kein lesbares Klartextkennwort eines Mitarbeiters in die Cloud. Stattdessen speichert Active Directory die Kennwortinformationen in einem stark geschützten, gehashten Format.

Während der Synchronisierung übernimmt Entra Connect diese geschützten Informationen, wendet einen zusätzlichen kryptografischen Sicherheitsschritt an und synchronisiert den resultierenden Hash mit Microsoft Entra ID. Versucht ein Mitarbeiter, sich bei Teams, Exchange Online oder SharePoint anzumelden, prüft Microsoft Entra ID das eingegebene Kennwort direkt gegen diesen synchronisierten Hash. Die lokale Active-Directory-Infrastruktur muss an jeder einzelnen Cloud-Anmeldung nicht mitwirken.

Vorteile für Ausfallsicherheit und Leistung

Der wichtigste Vorteil der Kennwort-Hashsynchronisierung liegt in ihrer architektonischen Ausfallsicherheit. Da die Authentifizierung vollständig in der Cloud von Microsoft erfolgt, können sich Benutzer weiterhin anmelden und auf ihre Cloud-Produktivitätsanwendungen zugreifen, selbst wenn Ihr lokales Rechenzentrum ausfällt, Domänencontroller offline gehen oder die Internetverbindung zwischen Ihrem Büro und dem lokalen Netzwerk vorübergehend unterbrochen ist. Für moderne Unternehmen mit Remote-Mitarbeitern, mobilen Geräten und verteilten Niederlassungen beseitigt diese cloudbasierte Validierung kritische Engpässe und verringert die Abhängigkeit von ständig verfügbarer lokaler Infrastruktur.

Mechanik der Pass-Through-Authentifizierung

Die Pass-Through-Authentifizierung folgt einem grundlegend anderen Architekturmodell. Gibt ein Mitarbeiter seine Anmeldedaten in einer Microsoft 365-Anwendung ein, empfängt Microsoft Entra ID zwar die Anmeldeanforderung, kann das Kennwort aber nicht selbst überprüfen. Stattdessen leitet Entra ID die Anforderung an sichere Softwareagenten weiter, die auf Servern in Ihrem Unternehmensnetzwerk installiert sind.

Diese PTA-Agenten überprüfen das Kennwort direkt anhand Ihrer lokalen Active-Directory-Domänencontroller und senden anschließend eine Ja-oder-Nein-Antwort zurück in die Cloud. Im Kern behält Ihre lokale Umgebung also die vollständige Kontrolle über die Kennwortüberprüfung bei jeder einzelnen Cloud-Anmeldung.

Infrastrukturabhängigkeiten und Risiken

Die Pass-Through-Authentifizierung erfüllt zwar bestimmte Compliance-Vorgaben oder unternehmensinterne Richtlinien, die bei jeder Anmeldung eine Beteiligung des lokalen Verzeichnisses verlangen, bringt jedoch erhebliche betriebliche Abhängigkeiten mit sich. Fällt Ihr lokales Netzwerk aus, funktionieren die PTA-Agenten nicht mehr oder reagieren die Domänencontroller nicht, können Cloud-Anmeldungen für Ihre gesamte Organisation vollständig zum Erliegen kommen. Hohe Verfügbarkeit erfordert daher die Bereitstellung mehrerer Authentifizierungsagenten auf separaten lokalen Servern, um Single Points of Failure zu vermeiden.

Die richtige Methode für Ihre Organisation auswählen

Die Wahl zwischen Kennwort-Hashsynchronisierung und Pass-Through-Authentifizierung erfordert eine nüchterne Bewertung Ihrer geschäftlichen Anforderungen und Ihrer Risikobereitschaft. Wenn Ihre wichtigsten Ziele hohe Verfügbarkeit, geringer lokaler Infrastrukturaufwand und ein reibungsloses Cloud-Erlebnis für Remote-Mitarbeiter sind, ist die Kennwort-Hashsynchronisierung nahezu immer die beste Wahl. Sie beseitigt unnötige Authentifizierungsabhängigkeiten und hält dabei hohe Sicherheitsstandards ein.

Wenn hingegen strenge regulatorische Vorgaben oder interne Governance-Richtlinien ausdrücklich verlangen, dass die Kennwortprüfung niemals außerhalb der physischen Grenzen Ihres Unternehmensrechenzentrums stattfinden darf, bietet die Pass-Through-Authentifizierung genau diese lokale Kontrolle – vorausgesetzt, Sie investieren die nötigen Ressourcen in eine robuste Agenteninfrastruktur. Um die grundlegenden Zusammenhänge der Hybrididentität und die tägliche Funktionsweise der Synchronisierung näher kennenzulernen, hören Sie sich die vollständige Episode an für Expertenwissen und praxisnahe Strategien.

Häufige Fragen

Speichert die Kennwort-Hashsynchronisierung lesbare Kennwörter in der Cloud?

Nein. Die Kennwort-Hashsynchronisierung verarbeitet geschützte Kennwort-Hashes aus Ihrem lokalen Active Directory und sendet eine verschlüsselte, gehashte Version an Microsoft Entra ID. Klartextkennwörter werden niemals synchronisiert oder in der Cloud gespeichert.

Können sich Benutzer bei einem lokalen Netzwerkausfall mit PHS weiterhin bei Microsoft 365 anmelden?

Ja. Da Microsoft Entra ID die Authentifizierung direkt anhand der synchronisierten Kennwort-Hashes überprüft, funktionieren Cloud-Anmeldungen auch dann weiter, wenn Ihre lokalen Active-Directory-Domänencontroller oder Büronetzwerke vollständig offline sind.

Was passiert, wenn meine Pass-Through-Authentifizierungs-Agenten offline gehen?

Wenn alle Ihre Pass-Through-Authentifizierungs-Agenten die Verbindung verlieren oder ausfallen, können sich Benutzer nicht mehr bei den Microsoft 365-Cloud-Diensten anmelden. Eine redundante Agentenbereitstellung ist daher unverzichtbar für die Geschäftskontinuität.

Übernimmt Entra Connect die Multi-Faktor-Authentifizierung und bedingten Zugriff?

Nein. Entra Connect verwaltet die Identitätssynchronisierung und die Verbindung der Authentifizierungsmethoden. Die Multi-Faktor-Authentifizierung (MFA) und Richtlinien für bedingten Zugriff werden nach der ersten Anmeldeüberprüfung nativ von Microsoft Entra ID durchgesetzt.