OneDrive fragt auf dem Terminalserver ständig nach der Anmeldung

WISSEN Alles zu CosyTrack.Drive: SharePoint, Teams und OneDrive als Laufwerksbuchstaben, am Arbeitsplatz und auf dem Terminalserver. › CosyTrack.Drive	BERATUNG Deine Farm nervt mit Anmeldedialogen? Wir gehen Gerätestatus, Profil und Dateizugriff mit dir gemeinsam durch. › Beratung zu CosyTrack.Drive	SCHULUNG Onboarding für Admins: Laufwerksquellen, Richtlinien, Admin-Kit und Abnahme auf deinen Sitzungshosts. › Schulung und Onboarding für CosyTrack.Drive

 

Die kurze Antwort zuerst: Wenn OneDrive auf dem Terminalserver bei jeder Sitzung erneut nach der Anmeldung fragt, liegt das fast nie an OneDrive selbst. Meist fehlt der Sitzung ein Token, das sie aus der Windows-Anmeldung hätte bekommen müssen, weil der Sitzungshost nicht in Microsoft Entra ID eingebunden ist, oder die Anmeldedaten überleben die Abmeldung im Profilcontainer nicht. Dazu kommen zwei Klassiker: Die stille Kontokonfiguration ist nicht aktiv oder scheitert an der MFA-Pflicht, und eine Richtlinie für den bedingten Zugriff verlangt Interaktion. Prüfe in genau dieser Reihenfolge, dann findest du die Ursache in der Regel in einer Kaffeepause.

Für die Belegschaft fühlt sich das Problem anders an. Sie sieht jeden Morgen dasselbe Fenster, tippt dieselbe Adresse ein, bestätigt dieselbe Push-Nachricht auf dem Handy und entwickelt über die Wochen eine sehr persönliche Beziehung zum Wort „Weiter“. Irgendwann klickt jemand auf „Später“, und ab dann speichert die Buchhaltung ihre Dateien wieder lokal auf den Desktop des Terminalservers. Das ist der Moment, in dem ein Komfortproblem zu einem Datenproblem wird.

Dieser Beitrag ist bewusst schmal gehalten und kümmert sich nur um das Anmeldethema. Wie OneDrive auf einem Terminalserver grundsätzlich installiert und betrieben wird, warum die Installation pro Computer erfolgen muss und welche Spielregeln für Mehrbenutzerbetrieb gelten, steht in OneDrive auf dem Terminalserver. Die Speicherseite des Profilcontainers behandelt FSLogix und OneDrive: wenn die Profilcontainer explodieren, die Richtlinienseite Bedingter Zugriff, MFA und SSO auf dem Terminalserver.

FAKTEN · Was Microsoft Learn zum Thema festhält FSLogix: Ab Version 2210 werden die Ordner Microsoft.AAD.BrokerPlugin, CloudExperienceHost und Microsoft\TokenBroker nicht mehr mit dem Benutzerprofil mitgenommen. Benutzer können deshalb bei jeder Anmeldung zur erneuten Authentifizierung aufgefordert werden, wenn der Host nicht in Entra eingebunden ist. Microsoft empfiehlt, die Sitzungshosts in Entra ID oder hybrid einzubinden. Nur dann entsteht bei der Windows-Anmeldung ein primäres Aktualisierungstoken (PRT). Die FSLogix-Einstellung RoamIdentity (Standard 0) aktiviert das „legacy roaming“ von Identitätsdaten. Microsoft nennt sie einen möglichen Weg, empfiehlt aber echtes Single Sign-on. Die stille Kontokonfiguration von OneDrive funktioniert nicht für Benutzer, die MFA leisten müssen. Nachzulesen unter Bekannte Probleme in FSLogix.

 

Warum der Anmeldedialog jede Sitzung wiederkommt

Ein Terminalserver ist für OneDrive ein merkwürdiger Ort. Auf einem Notebook meldet sich ein Mensch an, das Gerät kennt ihn, die Tokens liegen dauerhaft auf der lokalen Platte. Auf einem Sitzungshost melden sich zwanzig, fünfzig oder zweihundert Menschen an, am nächsten Tag womöglich auf einem anderen Host der Farm, und das Profil kommt aus einem Container von einer Dateifreigabe. OneDrive muss sich bei jedem Start fragen: Wer bist du, und kann ich das beweisen, ohne dich zu fragen? Wenn eine Kette in dieser Frage reißt, erscheint der Dialog „OneDrive einrichten“.

Ursache 1: Der Sitzungshost bekommt kein PRT

Die wichtigste Stellschraube ist der Gerätestatus. Microsoft beschreibt in den bekannten Problemen von FSLogix, dass Maschinen, die in Microsoft Entra ID oder hybrid eingebunden sind, bei der Anmeldung ein primäres Aktualisierungstoken für den Benutzer erzeugen. Mit diesem Token holen sich Microsoft 365 Apps, Teams und OneDrive ihre Anmeldung, ohne nachzufragen. Klassisch nur domänenverbundene Maschinen erzeugen dieses Token bei der Anmeldung nicht, sie verlassen sich auf das Entra-Plug-in im Profil des Benutzers. Und genau dessen Daten reisen seit FSLogix 2210 nicht mehr mit.

Das erklärt den typischen Verlauf: Bis zu einem Update lief alles, danach fragt OneDrive plötzlich jeden Morgen. Niemand hat an OneDrive gedreht, aber die Annahme, dass Identitätsdaten im Profil überleben, ist weggefallen. Wer seine Hosts nie hybrid eingebunden hat, merkt es jetzt.

WICHTIG · Hybrid-Einbindung auf dem Terminalserver ist kein Selbstläufer Microsoft unterscheidet bei virtuellen Desktops zwischen persistenten und nicht persistenten Hosts. Die hybride Einbindung ist für persistente Hosts unterstützt; bei nicht persistenten Hosts in einer verwalteten Umgebung (Kennworthash-Synchronisierung oder Passthrough-Authentifizierung) ist sie nur eingeschränkt und mit bestimmten Plattformen unterstützt. Prüfe vor der Umstellung, in welche Zeile der Tabelle deine Farm fällt. Details unter Geräteidentität und Desktopvirtualisierung.

 

Ursache 2: Anmeldedaten und Tokens bleiben nicht im Profil

Selbst wenn die Einstellungen von OneDrive sauber im Profil landen, heißt das nicht, dass auch die Identität mitreist. Microsoft trennt hier sehr deutlich: Unter HKCU\Software\Microsoft\OneDrive liegen Einstellungen, die im Container überleben dürfen. Die Token-Ablagen unter %localappdata% sind dagegen an das Gerät gebunden. Im Entra-Artikel zu Geräteidentitäten und Desktopvirtualisierung steht unmissverständlich, dass das Roaming von Daten unter %localappdata% nicht unterstützt ist und Ordner wie Microsoft.AAD.BrokerPlugin, TokenBroker, OneAuth und IdentityCache das Gerät „unter keinen Umständen“ verlassen sollen.

FSLogix bietet mit RoamIdentity einen Schalter, der das alte Verhalten zurückholt. Die Beschreibung auf Microsoft Learn ist bemerkenswert ehrlich: Standardwert 0, „nicht roamen“ ist die empfohlene Einstellung, und das Aktivieren ist „ein Weg“, das Problem zu lösen. Empfohlen wird ausdrücklich, auf echtes Single Sign-on hinzuarbeiten, bei dem die Windows-Anmeldung ihre Anmeldeinformation an die Microsoft 365 Apps weiterreicht. Mit anderen Worten: RoamIdentity ist das Pflaster, die Einbindung der Hosts in Entra ist die Naht.

WARNUNG · Ausschlüsse in redirections.xml mit Bedacht Manche Farmen haben über die Jahre umfangreiche Ausschlusslisten angesammelt, um Profilcontainer schlank zu halten. Das ist legitim, aber es kann sich mit RoamIdentity oder mit den OneDrive-Einstellungen unter HKCU beißen. Wenn du an Ausschlüssen drehst, dokumentiere vorher den Ist-Stand und teste mit einem einzelnen Benutzer auf zwei verschiedenen Hosts.

 

Ursache 3: Die stille Kontokonfiguration greift nicht

Die Richtlinie „Benutzer automatisch mit ihren Windows-Anmeldeinformationen bei der OneDrive-Synchronisierungs-App anmelden“ setzt den Wert SilentAccountConfig. OneDrive versucht dann, das Windows-Konto ohne Rückfrage zu übernehmen. Die Funktion setzt laut Microsoft Learn voraus, dass das Gerät in Entra ID eingebunden ist oder das Windows-Konto über eine hybride Konfiguration mit einem Entra-Konto verknüpft ist. Sie funktioniert nicht für Benutzer, die MFA leisten müssen. Microsoft nennt als häufigsten Grund für ein Scheitern, dass die Anmeldeinformationen für OneDrive ohne Benutzeraktion nicht verfügbar sind.

Ein Detail, das auf Terminalservern gern übersehen wird: Ist die stille Konfiguration einmal erfolgreich gelaufen, setzt OneDrive in HKCU den Wert SilentBusinessConfigCompleted, damit ein Benutzer, der die Synchronisierung bewusst beendet hat, nicht erneut eingerichtet wird. Microsoft beschreibt für die Image-Vorbereitung, dass dieser Wert und einige weitere wie OneAuthUnrecoverableTimestamp vor dem Erstellen eines Images entfernt werden müssen. Wer sein Standardprofil aus einem gebrauchten Benutzerprofil gebaut hat, schleppt solche Werte womöglich in jedes neue Profil.

TIPP · Der Probelauf von Microsoft Microsoft beschreibt eine einfache Prüfung, ob SSO grundsätzlich funktioniert: OneDrive beenden, neu starten, im Dialog „OneDrive einrichten“ dieselbe Adresse eingeben, mit der die Windows-Anmeldung erfolgte, und auf „Anmelden“ klicken. Läuft der Assistent ohne Kennwortabfrage weiter, ist die Umgebung für die stille Konfiguration bereit. Kommt ein Kennwortdialog, liegt das Problem vor OneDrive: Domänenvertrauen, Verbunddienst, bedingter Zugriff oder eine abweichende Adresse. Schrittfolge unter Benutzerkonten im Hintergrund konfigurieren.

 

Ursache 4: Der bedingte Zugriff will dich sehen

Microsoft zählt eine Richtlinie für den bedingten Zugriff, die Benutzerinteraktion verlangt, ausdrücklich zu den Gründen, warum die stille Anmeldung scheitert. Das ist kein Fehler, sondern Absicht. Wenn deine Richtlinien für Sitzungshosts eine Anmeldehäufigkeit oder MFA bei jedem Zugriff verlangen, dann fragt OneDrive eben. Wie man Sicherheit und Komfort auf dem Terminalserver ausbalanciert, ohne die Schutzwirkung auszuhöhlen, behandelt Bedingter Zugriff, MFA und SSO auf dem Terminalserver.

Symptom	Wahrscheinliche Ursache	Erste Prüfung
Dialog seit einem FSLogix-Update, vorher Ruhe	Identitätsdaten roamen ab 2210 nicht mehr, Host ohne PRT	dsregcmd /status, FSLogix-Version
Dialog nur beim Wechsel auf einen anderen Host	Tokens hängen am Gerät, Profil reist ohne sie	Mit demselben Benutzer zwei Hosts testen
Dialog nur bei bestimmten Benutzern	MFA-Pflicht oder abweichende Richtlinie	Anmeldeprotokolle in Entra ID
Dialog bei allen neuen Benutzern	SilentAccountConfig fehlt oder Standardprofil belastet	Richtlinienergebnis und HKCU-Werte
Dialog plus Fehlermeldung zum Profil	Container nicht oder als temporäres Profil geladen	FSLogix-Ereignisprotokoll

 

Diagnose als Checkliste: in welcher Reihenfolge du suchst

Der häufigste Fehler bei der Fehlersuche ist die falsche Reihenfolge. Wer zuerst am Profilcontainer dreht, findet dort immer etwas, und hat danach zwei Probleme statt einem. Arbeite dich von der Identität zum Profil vor, nicht umgekehrt. Die folgende Skizze zeigt den Ablauf, die Checkliste darunter die einzelnen Handgriffe.

Checkliste Schritt für Schritt

1. Gerätestatus prüfen: Auf dem Sitzungshost dsregcmd /status ausführen und nachsehen, ob der Host in Entra ID eingebunden ist (AzureAdJoined) oder nur in der Domäne. Ohne Einbindung ist alles weitere Symptombehandlung.

2. PRT in der Sitzung prüfen: dsregcmd /status in der Sitzung des betroffenen Benutzers ausführen und den Eintrag AzureAdPrt ansehen. Steht dort „NO“, bekommt OneDrive kein Token aus der Windows-Anmeldung.

3. Richtlinie prüfen: Mit gpresult oder dem Richtlinienergebnis kontrollieren, ob SilentAccountConfig für den Host wirksam ist.

4. SSO-Probelauf: Den von Microsoft beschriebenen manuellen Test mit derselben Adresse wie bei der Windows-Anmeldung durchführen. Kennwortdialog heißt: Problem vor OneDrive.

5. Anmeldeprotokolle lesen: In Entra ID die Anmeldungen des Benutzers ansehen. Dort erkennst du, ob eine Richtlinie für den bedingten Zugriff Interaktion verlangt hat.

6. FSLogix prüfen: Version, RoamIdentity und eigene Ausschlüsse dokumentieren. Im Ereignisprotokoll von FSLogix nach Fehlern beim Einhängen suchen, ein temporäres Profil erklärt jeden Dialog.

7. Standardprofil prüfen: Kontrollieren, ob neue Profile Werte wie SilentBusinessConfigCompleted bereits mitbringen.

8. Gegenprobe auf zwei Hosts: Denselben Testbenutzer nacheinander auf zwei Hosts anmelden. Kommt der Dialog nur beim Wechsel, liegt es an der Identität, nicht an OneDrive.

AUS DER PRAXIS · Ingenieurbüro mit 40 Leuten, drei Sitzungshosts Die Hosts waren klassisch in der Domäne, das Profil lag in FSLogix-Containern. Nach einem Update auf eine aktuelle FSLogix-Version fragte OneDrive jeden Morgen. Der erste Reflex war, Ausschlüsse in der redirections.xml zu ändern, was zwei Tage kostete und nichts brachte. dsregcmd /status zeigte dann sofort, dass kein PRT entstand. Nach der hybriden Einbindung der persistenten Hosts war der Spuk vorbei, RoamIdentity blieb auf dem Standardwert.

 

Bordmittel im Überblick

Maßnahme	Wirkt auf	Bewertung laut Microsoft Learn
Hosts in Entra ID oder hybrid einbinden	PRT bei der Windows-Anmeldung	Empfohlener Weg für die beste Benutzererfahrung
SilentAccountConfig aktivieren	Erste Einrichtung von OneDrive	Empfohlen, aber nicht für Benutzer mit MFA-Pflicht
FSLogix aktuell halten	Bekannte Fehler beim Profil	Bei bekannten Problemen die übliche Lösung
RoamIdentity = 1	Identitätsdaten im Profil	Möglicher Weg, Standard und Empfehlung ist 0
Richtlinien für bedingten Zugriff prüfen	Interaktive Anmeldungen	Kann die stille Anmeldung bewusst verhindern

 

WEITERLESEN · Passende Grundlagen › OneDrive auf dem Terminalserver › FSLogix und OneDrive: wenn die Profilcontainer explodieren › Benutzerprofil-Datenträger oder FSLogix: was passt zu SharePoint-Dateien? › OneDrive-Ordnersicherung (Known Folder Move) auf dem Terminalserver › Bedingter Zugriff, MFA und SSO auf dem Terminalserver

 

Dateizugriff ohne Sync-Client im Profil: CosyTrack.Drive

Alle Maßnahmen oben sind richtig und wichtig, denn Teams, Outlook und die Office-Apps brauchen ihre Anmeldung ohnehin. Beim Dateizugriff lohnt sich aber eine zweite Frage: Muss überhaupt ein Synchronisierungsclient pro Benutzer im Profil leben, mit eigener Kontokonfiguration, eigener Datenbank und eigenen Ansprüchen an den Container? Viele Farmen nutzen OneDrive auf dem Terminalserver nur, damit die Belegschaft an ihre SharePoint- und Teams-Dateien kommt. Dafür gibt es einen anderen Weg.

CosyTrack.Drive bindet SharePoint- und Teams-Bibliotheken sowie OneDrive als Windows-Laufwerksbuchstaben ein. Es läuft auf Arbeitsplätzen und auf Terminalservern gleichermaßen, jeder Benutzer bekommt seine eigenen Laufwerke. Statt verknüpfter Ordner unter C:\Users gibt es S: für die Abteilungsbibliothek, T: für die eigenen Teams und O: für das eigene OneDrive. Für die Fachanwendung, das Makro und den Menschen, der seit fünfzehn Jahren mit Laufwerksbuchstaben arbeitet, ist das ein vertrautes Bild.

Welche Laufwerksquellen es gibt

Laufwerksquelle	Was erscheint	Typischer Einsatz
Feste Bibliothek	Eine bestimmte SharePoint-Bibliothek	Abteilungslaufwerk S:
Teams-Automatik	Die Teams des Benutzers, regelmäßig aktualisiert und manuell aktualisierbar	T: mit allen eigenen Teams
Eigenes OneDrive	Das persönliche OneDrive des Benutzers	O: statt Sync-Ordner im Profil
Website-Suche	Zugängliche Websites erster Ebene, standardmäßig nur Teamwebsites	W: zum Stöbern, gern nur lesend
SharePoint-Liste per Filter	Einträge einer Liste, z. B. Personenfeld = angemeldeter Benutzer	L: mit den eigenen Kundenakten

 

Pro Laufwerk legst du fest, ob nur gelesen oder auch geschrieben werden darf. Schreiben umfasst Speichern, Umbenennen, Löschen und das Anlegen von Ordnern. Konfiguriert wird per GPO oder Intune, für Tests gibt es zusätzlich eine Konfigurations-App. Wie das im Detail aussieht, steht in CosyTrack.Drive per GPO und Intune steuern und für das persönliche Laufwerk in OneDrive als Laufwerk O: einbinden.

Für Kanzleien, Vertrieb oder Projektgeschäft ist die Listenquelle besonders interessant: Statt jedem Benutzer eine Handvoll Bibliotheken zu verknüpfen, filtert eine SharePoint-Liste, welche Einträge unter einem Buchstaben erscheinen. Mehr dazu in Projektlaufwerke aus einer SharePoint-Liste.

Was das für den Profilcontainer bedeutet

Auf dem Terminalserver zählt neben der Anmeldung auch der Platz. Drive hat einen einstellbaren Cache-Ressourcenverbrauch, eine parallele Upload-Engine mit einstellbarer Parallelität, nachvollziehbares Logging und Leistungszähler von übertragenen Dateien bis zur Übertragungsgeschwindigkeit. Wie du den Cache auf dem Sitzungshost planst, beschreibt Cache und Plattenplatz auf dem Terminalserver.

Vor dem Rollout hilft das Admin-Kit der Generation 60. Der Bereitschaftscheck prüft den Host und erstellt einen Bericht, der Stresstest liefert ein Abnahmeprotokoll, das Diagnosepaket sammelt im Störungsfall alles Nötige an einer Stelle. Für die Farm-Administration ist vor allem interessant, dass der Bereitschaftscheck auch den Profilcontainer im Blick hat.

WICHTIG · Was du trotzdem klären musst Drive ersetzt nicht die Hausaufgaben beim Gerätestatus. Teams, Outlook und Office-Apps profitieren weiterhin von Hosts, die in Entra eingebunden sind. Wie sich Drive in deiner Identitätsumgebung mit deinen Richtlinien verhält, testest du am besten im Pilot mit der eigenen Umgebung. Drive ist kein Migrationswerkzeug. Massenumzüge vom Fileserver laufen über CosyTrack.Migrate.

 

Vergleich aus Sicht des RDS-Admins

Kriterium	OneDrive-Sync-Client	CosyTrack.Drive
Zugriffsform	Ordner im Benutzerprofil	Laufwerksbuchstabe pro Quelle
SharePoint und Teams	Verknüpfen einzelner Bibliotheken	Feste Bibliothek, Teams-Automatik, Website-Suche, Listenfilter
Rechte pro Zugang	Rechte aus SharePoint	Rechte aus SharePoint, zusätzlich pro Laufwerk nur lesend oder lesend/schreibend
Steuerung	Gruppenrichtlinien, Intune	GPO oder Intune, Konfigurations-App für Tests
Einsatzort	Arbeitsplatz, Terminalserver mit Auflagen	Arbeitsplatz und Terminalserver gleichwertig
Betrieb	OneDrive-Protokolle	Logging, Leistungszähler, Admin-Kit mit Berichten
Lizenz	In Microsoft 365 enthalten	Pro Named User

 

Wer beide Welten nebeneinander bewerten möchte, findet den ausführlichen Vergleich in OneDrive-Sync, Explorer-Ansicht oder CosyTrack.Drive. Für den Pilot auf deinen Hosts und ein Angebot ist die Beratung zu CosyTrack.Drive der richtige Startpunkt; für den geordneten Rollout gibt es den Einführungsfahrplan für CosyTrack.Drive.

FAQ

Warum fragt OneDrive nur auf dem Terminalserver und nicht am Notebook?

Am Notebook liegen die Tokens dauerhaft auf der lokalen Platte und das Gerät ist meist in Entra eingebunden. Auf einem nicht persistenten Sitzungshost reist das Profil im Container, die Identitätsdaten aber seit FSLogix 2210 nicht mehr. Ohne PRT aus der Windows-Anmeldung muss OneDrive dann nachfragen.

Soll ich RoamIdentity einfach auf 1 setzen?

Es ist ein von Microsoft genannter Weg, aber nicht der empfohlene. Standard und Empfehlung ist 0, angestrebt wird echtes Single Sign-on über eingebundene Hosts. Wenn du RoamIdentity als Übergang nutzt, dokumentiere es und plane den Rückbau.

Hilft die stille Kontokonfiguration bei MFA?

Nein. Microsoft schreibt ausdrücklich, dass die stille Kontokonfiguration für Benutzer mit MFA-Pflicht nicht funktioniert. Hier hilft nur ein PRT aus der Windows-Anmeldung oder eine passende Gestaltung der Richtlinien, siehe Bedingter Zugriff, MFA und SSO auf dem Terminalserver.

Kann ich die Token-Ordner per Ausschlussliste ins Profil zwingen?

Microsoft rät klar davon ab. Laut Entra-Dokumentation ist das Roaming von Daten unter %localappdata% nicht unterstützt, und die Broker- und Token-Ordner sollen das Gerät nie verlassen.

Löst CosyTrack.Drive mein Anmeldeproblem mit Teams und Outlook?

Nein, und das behauptet auch niemand. Drive kümmert sich um den Dateizugriff per Laufwerksbuchstaben. Den Gerätestatus und die Richtlinien deiner Farm solltest du unabhängig davon in Ordnung bringen.

Läuft CosyTrack.Drive nur auf Terminalservern?

Nein. Arbeitsplätze und Terminalserver sind gleichwertige Einsatzorte, jeder Benutzer bekommt seine eigenen Laufwerke, gesteuert per GPO oder Intune.

Wie teste ich das in meiner Umgebung?

Nach der MSI-Installation gibt es einen Testzeitraum, der Ersteinrichtungs-Assistent und das Admin-Kit helfen beim Pilot. Für den Zuschnitt auf deine Farm und ein Angebot wende dich an die Beratung zu CosyTrack.Drive.

Fazit: Erst die Identität, dann das Profil, dann der Dateizugriff

Der Anmeldedialog von OneDrive auf dem Terminalserver ist ein Symptom, kein Defekt. Er zeigt, dass irgendwo in der Kette von Windows-Anmeldung, Gerätestatus, Token und Profil ein Glied fehlt. Microsoft hat die Richtung klar vorgegeben: Hosts in Entra einbinden, echtes Single Sign-on, Identitätsdaten nicht durch die Gegend schieben. RoamIdentity ist der Notausgang, nicht der Haupteingang.

Wenn du ohnehin aufräumst, lohnt der Blick auf den Dateizugriff. Mit CosyTrack.Drive kommen SharePoint, Teams und OneDrive als Laufwerksbuchstaben auf Arbeitsplatz und Sitzungshost, ohne dass pro Benutzer ein Synchronisierungsclient im Profil wohnen muss. Für Admins, die das sauber einführen wollen, gibt es die Schulung und Onboarding für CosyTrack.Drive. Und die Belegschaft darf das Wort „Weiter“ endlich wieder für schöne Dinge verwenden.