Entra Connect Sync: Upgrade bis 30. September 2026 Pflicht

Microsoft hat für Microsoft Entra Connect Sync, früher bekannt als Azure AD Connect, eine harte Frist gesetzt. Ab dem 30. September 2026 stellen alle Synchronisierungsdienste den Betrieb ein, wenn auf dem Connect-Server nicht mindestens die Version 2.5.79.0 läuft. Microsoft formuliert das in der eigenen Dokumentation ungewöhnlich deutlich als "Mandatory Upgrade Required". Hintergrund ist keine Sicherheitslücke, sondern eine Umstellung auf der Dienstseite: Die Synchronisierung läuft künftig über eine dedizierte Erstanbieter-Anwendung mit der Anwendungs-ID 6bf85cfa-ac8a-4be5-b5de-425a0d0dc016, und ältere Clients kennen diesen Weg schlicht nicht.

Betroffen sind alle Organisationen, die ein lokales Active Directory mit Microsoft Entra ID abgleichen und dafür den klassischen Connect-Sync-Client auf einem eigenen Windows-Server betreiben. Nicht betroffen sind reine Cloud-Only-Tenants ohne lokales Active Directory sowie Umgebungen, die bereits auf Microsoft Entra Cloud Sync umgestellt haben, denn dieser Agent wird von Microsoft selbst gepflegt. Akuter Handlungsdruck besteht nicht in dem Sinne, dass heute etwas ausfällt, aber die Frist liegt zum Zeitpunkt dieses Artikels nur noch rund zwei Wochen entfernt. Wer seine Version noch nicht geprüft hat, sollte das heute erledigen.

Was ist passiert?

Microsoft hat die Hinweise zur Pflicht-Aktualisierung in mehrere zentrale Dokumentationsseiten auf learn.microsoft.com eingebaut, unter anderem in die Versionshistorie von Entra Connect und in die eigene Seite zum Hardening-Update. Der Wortlaut dort ist eindeutig: Alle Synchronisierungsdienste in Microsoft Entra Connect Sync hören am 30. September 2026 auf zu funktionieren, sofern nicht mindestens Version 2.5.79.0 installiert ist.

Technisch steckt dahinter eine Härtungsmaßnahme. Microsoft hat für die Synchronisierung zwischen Active Directory und Entra ID einen eigenen Dienstprinzipal eingeführt, der im Entra Admin Center unter den Unternehmensanwendungen als "Microsoft Entra AD Synchronization Service" sichtbar ist. Version 2.5.79.0 wurde laut Microsoft im Mai 2025 veröffentlicht und enthält die dafür nötige Client-Änderung. Ältere Builds können den neuen Dienstpfad nicht nutzen, sobald die serverseitige Umstellung greift.

Aufmerksamkeit bekam das Thema in der deutschsprachigen IT-Szene Mitte September 2026 durch eine Erinnerung in Borns IT- und Windows-Blog vom 15. September 2026. Die Frist selbst ist allerdings deutlich älter und steht seit Monaten in der offiziellen Dokumentation. Die Seite zum Hardening-Update weist als letztes Aktualisierungsdatum den 18. Februar 2026 aus.

Für wen ist das relevant?

Die Abgrenzung ist wichtiger als bei den meisten Microsoft-Meldungen, weil hier nur ein klar umrissener Teil der Kundschaft handeln muss.

Relevant: Sie betreiben hybride Identität. Es gibt ein lokales Active Directory, und auf einem Windows-Server im Netz läuft Microsoft Entra Connect Sync, erkennbar am Dienst ADSync und am Installationspfad %ProgramFiles%\Microsoft Azure AD Sync.
Relevant: Sie nutzen Passwort-Hash-Synchronisierung, Pass-through-Authentifizierung, Seamless Single Sign-On oder Passwort-Rückschreibung über diesen Server.
Relevant: Sie betreiben einen zweiten Connect-Server im Staging-Modus. Auch dieser braucht die Mindestversion, sonst taugt er im Ernstfall nicht mehr als Ausweichsystem.
Nicht relevant: Reine Cloud-Only-Tenants. Ohne lokales Active Directory gibt es keinen Connect-Server und damit nichts zu aktualisieren.
Nicht relevant: Umgebungen, die vollständig auf Microsoft Entra Cloud Sync umgestellt haben. Der leichtgewichtige Provisioning-Agent wird cloudseitig verwaltet und aktualisiert sich selbst.

Ein praktischer Hinweis für kleinere Umgebungen: Viele Connect-Server wurden vor Jahren einmal per Express-Installation aufgesetzt und seitdem nicht mehr angefasst. Genau dort schlummern die alten Builds. Bei aktivierter Automatik-Aktualisierung ist die Lage oft besser als befürchtet, aber verlassen sollte man sich darauf nicht: Microsoft gibt nicht jede Version für die Automatik frei, und nicht jede Konfiguration ist überhaupt dafür berechtigt.

Wie kritisch ist das?

Es handelt sich nicht um eine Schwachstelle und nicht um einen Angriffspfad. Es geht um einen geplanten Funktionsverlust, also um ein reines Verfügbarkeitsthema. Die Auswirkung ist aber unangenehm konkret: Ab dem Stichtag schlagen sämtliche Synchronisierungsläufe fehl.

Praktisch heißt das, dass Änderungen im lokalen Active Directory nicht mehr in Entra ID ankommen. Neue Mitarbeitende erhalten keine Cloud-Identität, gesperrte oder gelöschte Konten bleiben in der Cloud aktiv, Gruppenmitgliedschaften laufen auseinander, und bei Passwort-Hash-Synchronisierung werden Passwortänderungen aus dem lokalen AD nicht mehr übertragen. Der zweite Punkt ist der sicherheitsrelevante: Ein Austritt, der lokal sauber deaktiviert wird, wirkt sich dann nicht mehr auf den Microsoft-365-Zugang aus.

Ein Totalausfall der Anmeldung ist es dagegen nicht. Bestehende Cloud-Konten funktionieren weiter, weil die Authentifizierung gegen Entra ID läuft und nicht gegen den Connect-Server. Bei Pass-through-Authentifizierung ist die Lage differenzierter, weil die Authentifizierungs-Agents eine eigene Komponente sind. Wir haben keinen belastbaren Microsoft-Beleg gefunden, der explizit beschreibt, wie sich die Umstellung auf laufende PTA-Anmeldungen auswirkt, und kennzeichnen diesen Punkt daher als unbestätigt.

Ebenfalls beruhigend: Der Zustand ist reparabel. Microsoft schreibt ausdrücklich, dass sich die betroffene Funktionalität durch ein Upgrade auf die aktuelle Version wiederherstellen lässt. Alle Synchronisierungsdienste fallen dann eben nur für den Zeitraum zwischen dem 30. September 2026 und dem tatsächlichen Upgrade aus.

Welche Versionen gelten und wie lange?

Neben der harten Stichtagsregel gilt eine zweite, davon unabhängige Regel: Jede 2.x-Version von Entra Connect Sync verliert den Support zwölf Monate nach Erscheinen der jeweils nachfolgenden Version. Diese Politik gilt laut Microsoft seit dem 15. März 2023. Wer die Mindestversion knapp erfüllt, hat das Problem also nur verschoben.

Version	Support-Ende laut Microsoft	Bewertung für den Stichtag
Alle 1.x-Versionen	Bereits abgelaufen	Synchronisierung funktioniert bereits heute nicht mehr
2.4.131.0	26. Mai 2026	Unter der Mindestversion, fällt am 30. September 2026 aus
2.5.3.0	31. Juli 2026	Unter der Mindestversion, fällt am 30. September 2026 aus
2.5.76.0	1. September 2026	Knapp unter der Mindestversion, fällt aus
2.5.79.0	23. Oktober 2026	Mindestversion erfüllt, aber Support endet kurz danach
2.5.190.0	2. Februar 2027	Ausreichend, mit etwas Luft
2.6.3.0	7. Juli 2027	Gute Wahl
2.6.84.0	Noch kein Enddatum veröffentlicht	Aktuellste Version, enthält laut Microsoft Sicherheitsfixes

Die Konsequenz aus dieser Tabelle ist eindeutig: Auf 2.5.79.0 zu aktualisieren erfüllt zwar formal die Vorgabe, aber der Support dieser Version endet bereits am 23. Oktober 2026, also gut drei Wochen nach dem Stichtag. Sinnvoll ist der Sprung direkt auf 2.6.84.0, veröffentlicht am 7. Juli 2026 über das Entra Admin Center. Microsoft empfiehlt diese Version ausdrücklich zeitnah, weil sie Sicherheitsfixes enthält.

Was sollten Admins jetzt tun?

Installierte Version ermitteln. Der schnellste Weg führt über die Systemsteuerung unter Programme und Features, dort steht "Microsoft Entra Connect Sync" mit der Versionsnummer. Alternativ zeigt der Synchronisierungsdienst-Manager die Version unter Hilfe und Info an.
Version per PowerShell auslesen. Das ist skriptfähig und eignet sich für mehrere Server. Die Befehle finden Sie unten im Codeblock.
Alle Connect-Server erfassen, nicht nur den aktiven. Staging-Server werden regelmäßig vergessen. Ein veralteter Staging-Server bringt im Ausfall nichts.
Automatik-Aktualisierung prüfen. Ist sie aktiv, hat sich der Server möglicherweise bereits selbst aktualisiert. Für die Automatik ist mindestens Version 2.3.20.0 nötig. Trotzdem gilt: Nachsehen, nicht vertrauen.
Voraussetzungen kontrollieren. Microsoft nennt .NET Framework 4.7.2 und TLS 1.2 als Mindestanforderung. Auf älteren Servern ist TLS 1.2 nicht immer sauber aktiviert.
Vor dem Upgrade sichern. Exportieren Sie die Synchronisierungsregeln und sichern Sie den Server oder erstellen Sie eine Snapshot-Sicherung der virtuellen Maschine. Eigene Sync-Regeln sind der häufigste Grund für Ärger nach einem Upgrade.
Upgrade-Methode wählen. Bei einem Einzelserver mit weniger als rund 100.000 Objekten und ohne große Anpassungen ist das In-Place-Upgrade der pragmatische Weg. Bei umfangreichen Anpassungen, bei einem Sprung aus einer sehr alten Version oder wenn der letzte Upgrade 12 bis 18 Monate zurückliegt, empfiehlt Microsoft ausdrücklich die Swing-Migration auf einen zweiten Server.
Ergebnis verifizieren. Nach dem Upgrade einen Synchronisierungslauf anstoßen und im Synchronisierungsdienst-Manager sowie im Anwendungs-Ereignisprotokoll auf Fehler prüfen.
Cloud Sync als Zielbild prüfen. Microsoft empfiehlt für geeignete Umgebungen die Migration auf Entra Cloud Sync. Das ist kein Ersatz für die Frist, aber die richtige Frage für die Planung nach dem 30. September.

Die Versionsabfrage per PowerShell auf dem Connect-Server:

# Version des installierten Connect-Sync-Clients aus der Registry lesen
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Azure AD Connect" |
    Select-Object -Property CurrentVersion, WizardPath

# Alternative: Version direkt an der Programmdatei des Sync-Dienstes ablesen
(Get-Item "$env:ProgramFiles\Microsoft Azure AD Sync\Bin\miiserver.exe").VersionInfo.FileVersion

# Laeuft der Synchronisierungsdienst ueberhaupt?
Get-Service ADSync | Select-Object -Property Name, Status, StartType

# Nur mit installiertem ADSync-Modul: Zeigt unter anderem den Staging-Modus
Import-Module ADSync
Get-ADSyncScheduler

Die Ausgabe von Get-ADSyncScheduler enthält das Feld StagingModeEnabled. Steht dort True, handelt es sich um den Staging-Server, der zwar importiert und synchronisiert, aber nicht exportiert.

Upgrade durchführen und Rollback-Grenzen

Die MSI-Datei ist laut Microsoft ausschließlich über das Microsoft Entra Admin Center verfügbar, zu finden unter Microsoft Entra Connect auf der Seite "Get started" im Bereich Manage. Ältere Download-Links aus dem Microsoft Download Center, die noch in vielen internen Dokumentationen stehen, führen nicht mehr zur aktuellen Version. Das ist ein Punkt, an dem beim Upgrade regelmäßig Zeit verloren geht.

Beim In-Place-Upgrade ist ein Detail wichtig, das Microsoft explizit als Nachteil dieser Methode benennt: Ein Rollback auf die vorherige Version ist nicht vorgesehen. Geht beim Upgrade etwas schief, bleibt nur die Wiederherstellung des Servers aus der Sicherung. Deshalb ist die Snapshot- oder Backup-Sicherung vorab keine Formalität. Bei geänderten Standard-Synchronisierungsregeln folgt nach dem Upgrade außerdem automatisch ein vollständiger Import und eine vollständige Synchronisierung, was je nach Objektzahl mehrere Stunden dauern kann. Planen Sie das außerhalb der Kernarbeitszeit.

Der konservative Weg ist die Swing-Migration: Ein zweiter Server wird mit der neuen Version im Staging-Modus aufgesetzt, importiert und synchronisiert, die anstehenden Änderungen werden vor dem ersten Export geprüft, und erst danach werden die Rollen getauscht. Die Produktivsynchronisierung läuft dabei durchgehend weiter. Das ist der Aufwand eines zusätzlichen Servers wert, wenn die Umgebung angepasste Regeln enthält oder die letzte Aktualisierung lange zurückliegt.

Eine Warnung aus der Microsoft-Dokumentation zum Staging-Modus verdient Beachtung: Nach dem Deaktivieren des Staging-Modus holt die Passwort-Hash-Synchronisierung den aufgelaufenen Rückstand ab dem letzten Wasserzeichen nach. Stand der Server lange im Staging-Modus, kann dieser Nachlauf in großen Umgebungen viele Stunden dauern, und während dieser Zeit wirken frisch geänderte Passwörter in Entra ID noch nicht. Microsoft rät ausdrücklich davon ab, die Synchronisierungsdienste während dieses Nachlaufs neu zu starten, weil die Verarbeitung sonst von einem früheren Stand aus neu beginnt.

Bekanntes Problem nach dem Upgrade

Microsoft dokumentiert ein konkretes Fehlerbild, das insbesondere Umgebungen trifft, in denen die Datei miiserver.exe.config früher einmal von Hand angepasst wurde. Das betraf typischerweise Server, auf denen die Passwort-Hash-Synchronisierung in FIPS-aktivierten Umgebungen nach älteren Anleitungen angepasst wurde.

Betroffen sind laut Microsoft die Versionen 2.5.190.0 und 2.6.1.0. Beim Upgrade erkennt der Installer die Änderung an der Datei und aktualisiert sie deshalb nicht, wodurch eine benötigte Assembly-Bindung fehlt. Die Synchronisierung bricht danach mit einer System.IO.FileLoadException zu System.Diagnostics.DiagnosticSource in Version 6.0.0.1 ab. Die Lösung besteht darin, die Datei unter %programfiles%\Microsoft Azure AD Sync\Bin zu sichern, die fehlende Bindungsumleitung im Abschnitt assemblyBinding zu ergänzen und den Dienst ADSync neu zu starten.

Gute Nachricht für alle, die ohnehin auf die neueste Version gehen: Version 2.6.84.0 verbessert laut Microsoft genau diesen Punkt. Die Automatik-Aktualisierung überschreibt Anpassungen an Konfigurationsdateien nicht mehr, sondern führt die Kundenänderungen mit der neuen Konfiguration zusammen und validiert das Ergebnis vor dem Anwenden.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die praktische Botschaft überschaubar: Es handelt sich um eine Wartungsaufgabe von in der Regel weniger als einer Stunde pro Server, die aber verbindlich terminiert ist. Der eigentliche Aufwand steckt nicht im Upgrade selbst, sondern in der Bestandsaufnahme. Viele Organisationen wissen auf Anhieb nicht sicher, auf welchem Server Connect Sync läuft, wer den Dienst betreut und ob es einen Staging-Server gibt.

Genau darin liegt der Nutzen dieser Frist über den Stichtag hinaus. Der Connect-Server ist eine der kritischsten Komponenten einer hybriden Umgebung, weil er Schreibzugriff auf Identitäten in der Cloud hat und bei Passwort-Hash-Synchronisierung Passwortmaterial verarbeitet. Ein Server, der jahrelang unbeachtet läuft und dessen Version niemand kennt, ist unabhängig von dieser Frist ein Risiko. Nehmen Sie den Anlass, um den Server in Ihre reguläre Patch- und Monitoring-Routine aufzunehmen und das Support-Enddatum der installierten Version als Termin zu hinterlegen.

Mittelfristig zeigt die Richtung, in die Microsoft zeigt, deutlich auf Entra Cloud Sync. Microsoft empfiehlt in der Dokumentation zum Hardening-Update ausdrücklich den Wechsel für geeignete Umgebungen und begründet das damit, dass neue Funktionen bevorzugt dort entstehen. Cloud Sync deckt allerdings nicht alle Szenarien ab, insbesondere komplexe Exchange-Hybrid-Konstellationen und umfangreiche eigene Synchronisierungsregeln. Vor einem Wechsel lohnt sich der Blick in den offiziellen Szenarienvergleich. Für den 30. September 2026 ist der Wechsel ohnehin kein realistischer Plan, dafür ist die Frist zu knapp. Aktualisieren Sie jetzt auf 2.6.84.0 und planen Sie die Migrationsfrage in Ruhe für das nächste Quartal.

Passende Anleitungen auf S-EDV

Entra ID: Benutzer, Gruppen und Lizenzen verwalten: Grundlagen zur Verwaltung der Objekte, die über Connect Sync aus dem lokalen Active Directory in die Cloud gelangen.
Microsoft 365: MFA und Conditional Access in Entra ID einrichten: Sinnvolle Absicherung der Anmeldungen, die auch dann greift, wenn die Synchronisierung einmal stillsteht.
Entra Privileged Identity Management (PIM): Just-in-Time-Adminrechte für KMU: Die privilegierten Konten rund um den Connect-Server zeitlich begrenzt vergeben statt dauerhaft.

Quellen

Microsoft Learn: Hardening update to Microsoft Entra Connect Sync (Mindestversion 2.5.79.0, Stichtag, Auswirkungen, Stand der Seite 18. Februar 2026, abgerufen am 16. September 2026)
Microsoft Learn: Microsoft Entra Connect Version release history (Support-Enddaten der 2.x-Versionen, Details zu 2.6.84.0, bekanntes Problem mit miiserver.exe.config, abgerufen am 16. September 2026)
Microsoft Learn: Upgrade from a previous version to the latest (In-Place-Upgrade, Swing-Migration, Rollback-Grenzen, abgerufen am 16. September 2026)
Microsoft Learn: Microsoft Entra Connect Sync im Staging-Modus betreiben (Staging-Modus, Nachlauf der Passwort-Hash-Synchronisierung, abgerufen am 16. September 2026)
Borns IT- und Windows-Blog: Microsoft Entra Connect Sync-Upgrade vor dem 30. September 2026 erforderlich (15. September 2026, Ausgangsmeldung im deutschsprachigen Raum)