Ein Programm, das niemand sieht, und ein festes Datum

Stellen Sie sich ein Büro mit zwanzig Arbeitsplätzen vor. Im Serverschrank steht ein Windows-Server, an dem sich alle morgens anmelden. Mit demselben Benutzernamen öffnen die Mitarbeitenden später ihr Microsoft-365-Postfach. Dahinter kann ein unscheinbares Programm auf dem Server stecken: Microsoft Entra Connect, früher unter dem Namen Azure AD Connect bekannt. Es gleicht die Benutzerkonten aus dem lokalen Verzeichnis, also der Benutzerverwaltung auf dem eigenen Server, mit Microsoft 365 ab.

Wer so ein Programm einmal eingerichtet hat, denkt danach selten daran. Genau das kann zum Problem werden. Microsoft hatte angekündigt, dass alle Synchronisationsdienste von Microsoft Entra Connect Sync am 30. September 2026 aufhören zu arbeiten, wenn nicht mindestens Version 2.5.79.0 installiert ist.

Wer diese Frist verpasste, sollte laut dem damaligen Hinweis ohne Abgleich bleiben, bis auf die neueste Version aktualisiert ist. Als Grund nannte Microsoft eine Änderung an den eigenen Cloud-Diensten, die diese besser absichert.

Am 29. September 2026 hat Microsoft diesen Hinweis ersetzt. Seitdem verlangt Microsoft zwei Dinge bis zum 7. April 2027: Version 2.6.84.0 oder neuer und die Anmeldung per Anwendungsidentität, also per Zertifikat statt wie bisher mit Benutzername und Passwort. Sonst hören die Synchronisationsdienste nach diesem Datum auf zu arbeiten. Ein Update allein stellt einen bestehenden Server laut Microsoft nicht auf die neue Anmeldung um. Ob am 30. September 2026 bei älteren Versionen der Abgleich tatsächlich gestoppt hat, sagt Microsoft nicht. Die Einzelheiten zur neuen Frist stehen in unserem Beitrag zur Anwendungsidentität.

Dieser Artikel zeigt, woran Sie erkennen, ob Sie betroffen sind, was Sie Ihren IT-Dienstleister fragen sollten und warum die geforderte Mindestversion 2.6.84.0 nicht das richtige Ziel ist. Wie schnell eine Mindestversion ausläuft, zeigt die frühere, 2.5.79.0: Ihr Support endet laut Microsoft am 23. Oktober 2026.

Aktualisiert am 1. Oktober 2026: Microsoft hat am 29. September 2026 den Hinweis zum Stichtag ersetzt. Verlangt werden seitdem Version 2.6.84.0 oder neuer und die Anmeldung per Anwendungsidentität bis zum 7. April 2027, sonst stoppt der Abgleich nach diesem Datum; was am 30. September 2026 mit älteren Versionen geschehen ist, sagt Microsoft nicht. Der letzte Satz des Hinweises vom 25. September 2026 ist damit überholt, die betroffenen Stellen in diesem Beitrag sind angepasst.

Aktualisiert am 25. September 2026: Microsoft hat am 23. September 2026 die Version 2.6.92.0 als Hotfix veröffentlicht und schreibt, sie enthalte Sicherheitskorrekturen. Die Angaben zur neuesten Version und die Supportdaten in diesem Beitrag sind auf diesen Stand gebracht. Am Stichtag 30. September 2026 und an der Mindestversion 2.5.79.0 ändert sich nichts.

Was ein Stopp im Alltag bedeuten würde

Microsoft selbst sagt nur, dass die Synchronisationsdienste aufhören zu arbeiten. Was das im Betrieb heißt, ist unsere Folgerung, keine Aussage von Microsoft: Steht der Abgleich still, kommen Änderungen im lokalen Verzeichnis nicht mehr in Microsoft 365 an.

Legt die Verwaltung etwa ein Konto für eine neue Mitarbeiterin an, fehlt es in der Cloud. Sperrt sie das Konto eines ausgeschiedenen Mitarbeiters auf dem Server, kommt diese Sperre in Microsoft 365 nicht an. Das zweite Beispiel ist das unangenehmere. Dann bleibt womöglich ein Zugang offen, den alle für geschlossen halten.

Betrifft das Ihren Betrieb?

Betroffen ist, wer Microsoft Entra Connect Sync betreibt. Ob das bei Ihnen so ist, sieht man von außen nicht. Als Geschäftsführung stehen Sie selten selbst an der Serverkonsole. Hinweise darauf sind:

  • Im Betrieb steht ein eigener Windows-Server, über den die Anmeldung an den Arbeitsplätzen läuft.
  • Die Mitarbeitenden nutzen Microsoft 365 mit denselben Zugangsdaten wie am Arbeitsplatz-PC.
  • Bei der Einrichtung von Microsoft 365 war von einer Synchronisation oder von „Azure AD Connect“ die Rede.

Läuft bei Ihnen kein Microsoft Entra Connect, betrifft Sie dieser Stichtag nicht. Die sichere Antwort gibt aber nur ein Blick auf den Server.

Ist ein externer Dienstleister für Ihre IT zuständig, reichen fünf Fragen:

  • Läuft bei uns Microsoft Entra Connect Sync, und auf welchem Server?
  • Welche Version ist genau installiert?
  • Ist die automatische Aktualisierung eingeschaltet, und welchen Zustand meldet sie?
  • Wann wird auf die neueste Version aktualisiert, ist die Anmeldung auf Anwendungsidentität umgestellt, und ist beides vor dem 7. April 2027 erledigt?
  • Auf welcher Windows-Server-Version läuft das Programm?

Eine brauchbare Antwort enthält eine vollständige Versionsnummer wie 2.6.92.0, nicht nur ein „ist aktuell“.

Wie die Prüfung abläuft

Die installierte Version lässt sich direkt auf dem Server ablesen. Ihr Administrator weiß, wo. Einen Klickpfad nennen wir hier bewusst nicht, weil wir ihn in den geprüften Microsoft-Unterlagen nicht beschrieben gefunden haben.

Für den Zustand der automatischen Aktualisierung nennt Microsoft einen PowerShell-Befehl, also ein Kommando für die Windows-Befehlszeile: Get-ADSyncAutoUpgrade. Er meldet einen von drei Zuständen: Enabled (eingeschaltet), Suspended (ausgesetzt) oder Disabled (ausgeschaltet).

Mit der Versionsnummer in der Hand ergibt sich die Lage aus Microsofts Versionstabelle, Stand 29. September 2026:

  • Unter 2.5.79.0: Diese Versionen haben keinen Support mehr. Die letzte davon, 2.5.76.0, lief am 1. September 2026 aus. Für sie hatte Microsoft den Stopp des Abgleichs am 30. September 2026 angekündigt.
  • 2.5.79.0: die frühere Mindestversion, Support bis 23. Oktober 2026.
  • 2.5.190.0: Support bis 2. Februar 2027.
  • 2.6.1.0, 2.6.3.0 und 2.6.84.0: Support bis 10. März 2027, 7. Juli 2027 beziehungsweise 16. September 2027. Version 2.6.84.0 ist seit dem 29. September 2026 die geforderte Mindestversion.
  • 2.6.91.0: Support bis 23. September 2027.
  • 2.6.92.0: die neueste Version, erschienen am 23. September 2026 als Hotfix, in der Tabelle ohne Enddatum.

Version 2.6.79.0 hat Microsoft zurückgezogen, sie steht nicht mehr zum Download bereit.

Der 30. September 2026 war also nicht das Supportende. Wer unter 2.5.79.0 liegt, ist spätestens seit dem 1. September 2026 ohne Support. Für den 30. September 2026 hatte Microsoft zusätzlich den Stopp des Abgleichs angekündigt. Ob es dazu gekommen ist, sagt Microsoft nicht.

Warum das Minimum das falsche Ziel ist

Naheliegend wäre, gerade so auf die Mindestversion zu heben, früher 2.5.79.0, seit dem 29. September 2026 2.6.84.0. Davon raten wir ab, und die Gründe liefert Microsoft selbst:

  • Kurze Laufzeit: Für 2.5.79.0 endet der Support am 23. Oktober 2026. Microsoft lässt jede Version der Reihe 2.x zwölf Monate nach Erscheinen einer neueren Version auslaufen.
  • Bekannter Fehler: Für 2.5.79.0 und 2.5.190.0 warnt Microsoft davor, die Oberfläche Synchronization Service Manager zu benutzen. Sonst können der Einrichtungsassistent und die automatische Erneuerung von Zertifikaten scheitern. Behoben ist das erst ab Version 2.6.1.0.
  • Fehler beim Upgrade auf 2.6.84.0: Laut Microsoft kann die Installation oder das Upgrade auf 2.6.84.0 mit einer bestehenden ADSync-Datenbank, der Datenbank des Programms, mit dem Fehler 0xE0474352 scheitern. Für diesen Fall verweist Microsoft auf Version 2.6.91.0 oder neuer.
  • Sicherheitskorrekturen: Zu 2.6.92.0 schreibt Microsoft, die Version enthalte Sicherheitskorrekturen, und empfiehlt das Update „so bald wie möglich“.

Das Supportende am 23. Oktober 2026 ist kein angekündigter Abschalttermin. Microsoft warnt aber, eine ausgelaufene Version könne unerwartet aufhören zu funktionieren. Wer ohnehin einen Termin für das Update ansetzt, erspart sich mit der neuesten Version den zweiten Termin vor dem 23. Oktober 2026.

Mit Stand 23. September 2026 ist das die Version 2.6.92.0. Danach können neuere Versionen erschienen sein. Ihr Dienstleister sollte deshalb vor dem Update in Microsofts Versionshistorie nachsehen.

Die automatische Aktualisierung ist keine Garantie

Microsoft Entra Connect kann sich selbst aktualisieren. Für diesen Stichtag sollten Sie sich darauf nicht verlassen. Microsoft dokumentiert die Gründe selbst:

  • Standardmäßig eingeschaltet ist die Funktion nur bei Express-Installationen, also der schnellen Einrichtung mit Microsofts Vorgaben, und bei Upgrades von DirSync, einem älteren Abgleichwerkzeug von Microsoft.
  • Nicht jede Konfiguration ist dafür geeignet. Ausgeschlossen sind laut Microsoft zum Beispiel Installationen, die keine SQL Server Express LocalDB, eine schlanke Datenbankvariante von Microsoft, als Datenbank nutzen, Installationen mit einer lokalen Datenbank ab 8 GB und Server mit einer TLS-Version unter 1.2. TLS ist das Verfahren, mit dem Verbindungen verschlüsselt werden.
  • Nicht jede Version wird automatisch verteilt.
  • Version 2.6.92.0 steht laut Microsoft mit Stand 23. September 2026 nur zum Download bereit. Die letzte Version, die laut Versionshistorie automatisch verteilt wird, ist 2.6.3.0. Diese Verteilung sollte laut Microsoft am 11. März 2026 beginnen und in mehreren Phasen erfolgen.

Ob die automatische Aktualisierung in Ihrem Fall gegriffen hat, zeigt nur die Versionsnummer auf dem Server.

Worauf es beim Update ankommt

  • Nur eine Bezugsquelle: Die Installationsdatei gibt es laut Microsoft ausschließlich im Microsoft Entra Admin Center, dem Verwaltungsportal von Microsoft Entra. Downloads von anderen Seiten sind keine Alternative.
  • Voraussetzungen: Microsoft nennt als Mindestanforderung unter anderem .NET Framework 4.7.2, eine Laufzeitumgebung von Microsoft für Windows-Programme, und TLS 1.2. Seit Version 2.0 werden TLS 1.0 und 1.1 nicht mehr unterstützt. Ist TLS 1.2 nicht eingeschaltet, schlägt die Installation fehl.
  • Der Server selbst: Microsoft empfiehlt Windows Server 2025 oder Windows Server 2022. Ältere Versionen, die sich im erweiterten Support befinden, sind möglich. Der Support für diese Konstellation kann aber ein kostenpflichtiges Support-Programm erfordern.
  • Ausgeschlossene Systeme: Nicht installierbar ist Microsoft Entra Connect auf Small Business Server und auf Windows Server Essentials vor 2019; Windows Server Essentials 2019 wird unterstützt. Ebenfalls nicht unterstützt ist Windows Server Core, die Variante ohne grafische Oberfläche.
  • Schutzbedarf: Microsoft verlangt, den Server mit Entra Connect als Tier-0-Komponente zu behandeln, also in der höchsten Schutzstufe.

Stellt sich bei der Prüfung heraus, dass der Server selbst nicht mehr passt, wird aus dem Update ein größeres Vorhaben. Deshalb lohnt sich die Bestandsaufnahme vor dem Update, nicht erst im April 2027.

Ein Ausblick: Cloud Sync

Seit Version 2.6.91.0 bietet Microsoft einen geführten Umstieg von Microsoft Entra Connect Sync auf Microsoft Entra Cloud Sync an, laut Microsoft nur für die öffentliche Azure-Cloud, also Microsofts allgemein zugängliche Cloud-Plattform. Wir erwähnen das als Ausblick, nicht als Empfehlung. Ob ein solcher Wechsel zu Ihrem Betrieb passt, ist eine eigene Frage. Für die Frist am 7. April 2027 zählen bei Microsoft Entra Connect Sync die installierte Version und die Anmeldeart.

Was offen ist

  • Zwei Termine bei Microsoft: Der neue Pflichthinweis nennt den 7. April 2027. Eine andere Microsoft-Seite, ebenfalls am 29. September 2026 überarbeitet, empfiehlt weiterhin dringend, bis zum 30. September 2026 mindestens Version 2.6.84.0 zu installieren, um Beeinträchtigungen zu vermeiden. Wegen dieser Empfehlung raten wir, mit dem Update nicht bis April 2027 zu warten.
  • Was am 30. September 2026 geschah: Ob bei Versionen unter 2.5.79.0 der Abgleich an diesem Tag gestoppt hat, sagt Microsoft nicht.
  • Was genau nach dem 7. April 2027 passiert: Microsoft sagt nur, dass die Synchronisationsdienste aufhören zu arbeiten, wenn die beiden Bedingungen nicht erfüllt sind. Die Beispiele oben sind unsere Folgerung.
  • Was mit 2.5.79.0 nach dem 23. Oktober 2026 geschieht: Microsoft nennt ein Supportende und warnt, ausgelaufene Versionen könnten unerwartet ausfallen. Einen festen Abschalttermin nennt Microsoft nicht.
  • Automatische Verteilung von 2.6.92.0: Mit Stand 23. September 2026 gibt es die Version nur als Download. Ob und wann sie automatisch verteilt wird, ist offen.
  • .NET-Voraussetzungen: Microsoft nennt an verschiedenen Stellen seiner Unterlagen unterschiedliche .NET-Versionen. Wir geben nur den Wert aus Microsofts Hinweis zum Stichtag wieder. Ihr Dienstleister sollte die Voraussetzungen vor dem Update auf dem Server prüfen.

Wie wir helfen

Sie wissen nicht, ob in Ihrem Betrieb Microsoft Entra Connect läuft oder in welcher Version? Wir prüfen das für Sie und übernehmen auf Wunsch das Update. Sprechen Sie uns an.