Microsoft beendet die öffentliche Vorschau des memberOf-Operators für dynamische Mitgliedschaften in Microsoft Entra ID. Nach dem 3. November 2026 aktualisieren sich dynamische Gruppen, dynamische Verwaltungseinheiten und Auto-Zuweisungsrichtlinien für Zugriffspakete mit diesem Operator nicht mehr. Für Unternehmen zählt deshalb nicht die Frage, ob die Funktion praktisch war, sondern wo sie heute bereits produktiv Zugriff, Richtlinien oder Berechtigungen steuert.
Was Microsoft konkret beendet
Der memberOf-Operator sollte dynamische Mitgliedschaften aus bestehenden Gruppen ableiten: Wer direkt Mitglied einer Quellgruppe ist, landet automatisch in einer dynamischen Zielgruppe oder Verwaltungseinheit. Microsoft schreibt nun in Microsoft Learn, dass die öffentliche Vorschau endet. Die Funktion war laut Dokumentation nicht für den produktiven Einsatz gedacht und kann die Verarbeitung dynamischer Mitgliedschaften im Mandanten verlangsamen.
Wichtig ist die Wirkung des Stichtags: Nach dem 3. November 2026 werden vorhandene Regeln nicht sofort gelöscht. Sie bleiben jedoch im letzten bekannten Zustand stehen. Genau das macht die Umstellung heikel, weil ein Fehler nicht wie ein klarer Ausfall aussieht, sondern als schleichend veraltete Mitgliedschaft.
Welche Konfigurationen betroffen sind
Microsoft nennt drei Einsatzbereiche, in denen der Operator ersetzt oder entfernt werden muss. Prüfen sollten vor allem Mandanten, die in den letzten Jahren verschachtelte Gruppenlogik aus der lokalen Active-Directory-Welt nach Entra ID übertragen haben.
- Dynamische Mitgliedschaftsgruppen mit Regeln wie
user.memberof -any (...)oderdevice.memberof -any (...). - Dynamische Verwaltungseinheiten, deren administrativer Umfang über
memberOfberechnet wird. - Auto-Zuweisungsrichtlinien in Entitlement Management, wenn Zugriffspakete über
memberOf-Regeln vergeben werden. - Abhängige Ziele wie Teams-, SharePoint- oder Conditional-Access-Zuweisungen, wenn sie auf solchen Gruppen aufbauen.
Warum das für kleinere Unternehmen wichtig ist
Auch kleinere Mandanten können betroffen sein, wenn sie Berechtigungen über wenige zentrale Gruppen steuern. Eine dynamische Gruppe kann etwa Zugriff auf Teams, SharePoint-Sites, Anwendungen, Zugriffspakete oder Richtlinien bündeln. Wenn diese Gruppe nach dem Stichtag nicht mehr aktualisiert wird, können ehemalige Mitarbeiter zu lange Zugriff behalten oder neue Mitarbeiter wichtige Rechte nicht erhalten.
Microsoft nennt ausdrücklich veralteten Teams- und SharePoint-Zugriff, Conditional-Access-Zielgruppen, gruppenbasierte Lizenzzuweisung und Zugriffspaket-Zuweisungen als mögliche Folgen. Das ist keine Lizenzberatung: Der Punkt ist, dass technische Zuweisungen veraltet bleiben können, wenn die zugrunde liegende Mitgliedschaft nicht mehr verarbeitet wird.
Gerade in KMU entstehen solche Regeln oft aus pragmatischen Vereinfachungen: eine Gruppe für eine Abteilung, eine zweite für externe Mitarbeitende, daraus eine dynamische Zielgruppe für eine Anwendung. Solange alle Wechsel sauber verarbeitet werden, fällt die Konstruktion kaum auf. Wenn die Verarbeitung stoppt, wird daraus ein Berechtigungsrisiko, das erst bei einem Audit, einem Wechsel im Team oder einem Supportfall sichtbar wird.
Die Frist: 3. November 2026
Der Termin steht in der Microsoft-Learn-Dokumentation: Vor dem 3. November 2026 sollen alle Verwendungen des Operators geprüft und entfernt oder ersetzt werden. Da Microsoft kein identisches Nachfolgefeature nennt, ist die eigentliche Arbeit die fachliche Zuordnung: Welche Gruppenlogik lässt sich durch unterstützte dynamische Regeln abbilden, wo ist eine zugewiesene Mitgliedschaft sauberer, und wo muss ein Prozess angepasst werden?
Für Unternehmen mit 10 bis 250 Arbeitsplätzen reicht meistens keine große Migration. Entscheidend ist ein vollständiger Fund: Wenn nur die offensichtlichen Gruppen geändert werden, aber eine Zugriffspaket-Regel oder Verwaltungseinheit stehen bleibt, entsteht genau der veraltete Zustand, vor dem Microsoft warnt.
Beginnen sollte die Prüfung deshalb bei den Regeln, nicht bei einzelnen Anwendungen. Erst wenn klar ist, welche memberOf-Regeln existieren, lässt sich seriös entscheiden, ob eine unterstützte Attributregel, eine manuelle Zuweisung oder ein veränderter Berechtigungsprozess die bessere Alternative ist.
Was Unternehmen jetzt tun sollten
Die Umstellung lässt sich gut vorbereiten, wenn sie nicht erst im Herbst 2026 beginnt. Sinnvoll ist ein kurzer technischer Review mit dokumentierter Entscheidung je Fundstelle.
- Exportieren Sie dynamische Gruppen und suchen Sie in den Regeln nach
memberOf. - Prüfen Sie dynamische Verwaltungseinheiten und Entitlement-Management-Richtlinien zusätzlich über Microsoft Graph PowerShell.
- Ersetzen Sie
memberOf, wo möglich, durch unterstützte dynamische Regeloperatoren oder eine bewusst zugewiesene Mitgliedschaft. - Validieren Sie nach jeder Änderung die tatsächlichen Mitglieder und die abhängigen Zugriffe.
- Dokumentieren Sie Ausnahmen, Verantwortliche und ein Datum für die Nachkontrolle.
Offizielle Microsoft-Quellen
- Microsoft Learn: Configure dynamic membership groups with the memberOf operator
- Microsoft Learn: Configure an automatic assignment policy for an access package
Ob Ihr Mandant memberOf-Regeln nutzt und welche Alternative passt, klären wir im Rahmen von Microsoft Entra ID, Microsoft Security Assessments oder einer gezielten Microsoft-365-Beratung – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
