Microsoft meldet im Entra-Oktober-Blog die allgemeine Verfügbarkeit eines geführten Werkzeugs für den Wechsel von Microsoft Entra Connect Sync zu Microsoft Entra Cloud Sync. Für Unternehmen mit 10 bis 250 Arbeitsplätzen und lokalem Active Directory ist das ein konkreter Anlass, die eigene Synchronisierung zu prüfen. Entscheidend ist nicht die Mitarbeiterzahl, sondern die tatsächlich eingesetzte Konfiguration. Das Werkzeug unterstützt nur bestimmte Umgebungen und ersetzt keine fachliche Abnahme. Ein erfolgreicher Gesamtzähler beweist beispielsweise noch nicht, dass Gruppenmitgliedschaften und Kennwortrückschreiben wie vorgesehen funktionieren.
Was das geführte Werkzeug übernimmt
Der Assistent prüft die Ausgangsumgebung, überträgt unterstützte Einstellungen und richtet den Bereitstellungsagenten sowie Cloud-Sync-Konfigurationen ein. Vor der Aktivierung folgt eine Prüfung mit Provision on Demand. Während der Übertragung bleiben die neuen Konfigurationen deaktiviert; Connect Sync exportiert zunächst weiter. Erst bei der Aktivierung wird Cloud Sync eingeschaltet und Connect Sync in den Stagingmodus versetzt. Die bestehende Installation bleibt damit für die anschließende Validierung erhalten. Für den Betrieb von Microsoft Entra ID ist dieser kontrollierte Übergang wichtiger als ein möglichst schneller Abschluss des Assistenten.
Welche Umgebungen derzeit infrage kommen
Microsoft unterscheidet zwischen den allgemeinen Fähigkeiten von Cloud Sync und den engeren Grenzen des Migrationswerkzeugs. Diese Grenzen dürfen nicht als pauschale Produktgrenzen gelesen werden. Die aktuelle Werkzeugdokumentation nennt folgende Voraussetzungen und Ausschlüsse:
- Ein Active-Directory-Forest mit höchstens 2.000 Objekten im vorgesehenen Synchronisierungsumfang.
- Additive Einbeziehung von Organisationseinheiten mit höchstens 30 eingeschlossenen Containern je Domäne.
- Keine blockierenden Funktionen wie benutzerdefinierte Synchronisierungsregeln, Gruppenfilter, ein benutzerdefinierter UPN, Verzeichniserweiterungen oder Gerätesynchronisierung.
- Eine unterstützte Connect-Sync-Version und die Freischaltung für die aktuelle Migrationswelle; gestartet wird auf dem aktiven Server, nicht auf einem Stagingserver.
Unterstützte Szenarien umfassen Benutzer- und Gruppensynchronisierung, Kennworthashsynchronisierung, Kennwortrückschreiben und Exchange-Hybrid-Writeback. Ob die eigene Kombination passt, muss die Bereitschaftsprüfung bestätigen. Ein blockierendes Ergebnis darf laut Microsoft nicht umgangen werden. Auch ein kleiner Betrieb kann deshalb noch nicht geeignet sein. Umgekehrt ist eine größere Anzahl von Arbeitsplätzen allein kein Ausschlussgrund, solange die dokumentierten technischen Bedingungen erfüllt sind.
Fristen: Benachrichtigung statt pauschalem Stichtag
Der Oktober-Blog nennt keinen allgemeinen Abschalttermin für Connect Sync. Microsoft beschreibt den Übergang in den Entra-Ankündigungen als gestaffelt, mit individuellen Zeitfenstern und Benachrichtigungen über Message Center, Connect Health und E-Mail. Prüfen Sie deshalb die Mitteilung Ihres eigenen Tenants, statt einen Termin aus einer anderen Umgebung zu übernehmen. Die Werkzeuganleitung verweist bei bestätigten technischen oder betrieblichen Hindernissen auf eine Supportanfrage für eine vorübergehende Ausnahme. Diese wird einzeln geprüft und ist nicht garantiert. Ohne eigene Benachrichtigung lässt sich aus der allgemeinen Verfügbarkeit kein konkretes Tagesdatum für Ihre Migration ableiten.
Was nach der Aktivierung noch nachzuweisen ist
Die automatische Abschlussprüfung vergleicht einen aggregierten Wert Total Objects, kontrolliert benötigte Cloud-Sync-Aufträge und bestätigt den Stagingmodus von Connect Sync. Einzelne Benutzer, Gruppen, Mitgliedschaften und Writeback-Vorgänge werden damit nicht automatisch geprüft. Repräsentative Stichproben sind ausdrücklich zusätzlich erforderlich. Bereits vor der Aktivierung sollten die Detailergebnisse von Provision on Demand für jede migrierte Domänenkonfiguration gelesen werden, nicht nur der grüne Erfolgsindikator. Bei aktiviertem Kennwortrückschreiben ist außerdem die tenantweite SSPR-Writeback-Einstellung zu kontrollieren. Prüfen Sie zusätzlich den Zeitpunkt der letzten Synchronisierung und vorhandene Bereitstellungsfehler. Bleiben Unterschiede auf Objektebene bestehen, müssen deren Ursachen vor der abschließenden Bestätigung untersucht werden. Microsoft verlangt eine zweiwöchige Validierungsphase mit weiterhin installiertem Connect Sync. Eine sofortige Deinstallation wäre daher kein sauberer Projektabschluss.
Konkrete nächste Schritte für hybride KMU
Wir empfehlen zunächst einen dokumentierten Bereitschaftsreview und erst danach ein freigegebenes Änderungsfenster. Diese Arbeitsreihenfolge ist ein ReByteIT-Vorschlag, keine zusätzliche Microsoft-Frist. Die technische Planung kann Teil einer Microsoft-365-Beratung sein; sie enthält keine Lizenzempfehlung.
- Forest, Domänen, Objektumfang, Filter, Sonderregeln und aktive Writeback-Funktionen vollständig aufnehmen.
- Tenantbenachrichtigungen prüfen, Bereitschaftsbericht sichern und Sperrgründe vor einem Übergang klären.
- Verantwortliche mit Hybrid-Identity-Administrator-Rolle sowie den benötigten Domänenberechtigungen einplanen; Zugangsdaten nicht in Projektprotokolle übernehmen.
- Freigegebene Testobjekte je Domäne festlegen und Provision-on-Demand-Details vor der Aktivierung auswerten.
- Nach Aktivierung Einzelobjekte, Mitgliedschaften, Writeback und Auftragszustand dokumentieren; Connect Sync während der zweiwöchigen Prüfung installiert lassen.
Offizielle Microsoft-Quellen
- Microsoft Entra Blog: Oktober 2026, geführte Cloud-Sync-Migration allgemein verfügbar
- Microsoft Learn: Migrationswerkzeug, Grenzen und Validierung
- Microsoft Learn: gestaffelter Übergang und individuelle Benachrichtigungen
Im Microsoft Security Assessment betrachten wir Ihre technische Identitätskonfiguration und nachvollziehbare Prüfergebnisse. Ziel ist eine begründete Entscheidung über den nächsten Schritt, nicht eine Migration allein deshalb, weil ein neues Werkzeug verfügbar ist.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
