Entra Connect vs. Cloud Sync

von

Wissen

Praxis-Artikel  rund um Microsoft Entra ID – alle frei verfügbar. Conditional Access, MFA, PIM, Governance, Hybrid, NIS2.

Zu den Inhalten
Beratung

Beratung, Projektbegleitung, Quick Health Check deines Entra-Tenants. Conditional-Access-Audits, MFA-Rollout, Governance-Aufbau und NIS2-/DORA-Vorbereitung.

Zur Beratung
Fachbücher

Mein Fachbuch zu Microsoft Entra ID – Architektur, Conditional Access, MFA, PIM, Governance, Hybrid und NIS2-Compliance. Kompromisslos praxisnah. In Vorbereitung!

Zu den Büchern
Tools

Der Entra Diagnostiker analysiert deinen Tenant in 14 Modulen: Conditional Access, MFA, Guest-Hygiene, PIM. Lokal, DSGVO-konform, mit NIS2-Mapping.

Tools ansehen
Schulungen

Online-Workshops zu Entra ID, Conditional Access, MFA-Rollout, PIM und NIS2-Compliance – kompakt, hands-on, ohne MOC-Folienschlacht.

Zu den Schulungen
Table of Contents
2
3

Entra Connect vs. Cloud Sync

Synchronisierung ohne Server-Ballast – wenn man weiß, wann was passt

Entra Connect vs. Cloud Sync – wann was, und warum die meisten falsch wählen

Kurzfassung vorab: Die meisten greifen reflexartig zu Entra Connect, weil es das kennt man halt-Tool ist – und schleppen damit einen ganzen Server samt Patch-Pflicht mit, den sie gar nicht brauchen. Faustregel aus der Praxis: Wenn du kein Hybrid Azure AD Join, keine Pass-through-Authentifizierung und keine Exchange-Hybrid-Sonderlocken brauchst, ist Cloud Sync die richtige Wahl. Connect ist nicht besser, es kann nur mehr – und genau dieses Mehr kostet dich Wartung, die du dir oft sparen kannst.

Zwei Wege in denselben Tenant: Connect mit eigenem Server, Cloud Sync mit leichtgewichtigem Agenten.

Worum es eigentlich geht (und was früher Azure AD Connect hieß)

Beide Werkzeuge machen dasselbe Grundkunststück: Sie spiegeln deine On-Prem-Objekte aus Active Directory (AD DS) in deinen Entra-Tenant – also Benutzer, Gruppen und teils Kontakte. Der Tenant ist das, was Microsoft früher Azure AD nannte; danach wird heute noch fleißig gesucht, der Sache nach ist es aber Entra ID. Der Unterschied liegt nicht im ob, sondern im wie: Connect installiert einen vollwertigen Synchronisations-Server bei dir im Haus. Cloud Sync setzt nur einen schlanken Agenten – die eigentliche Logik läuft bei Microsoft in der Cloud.

Info: Lizenz-Ebene? Hier mal entspannt.

Verzeichnissynchronisierung ist eine Free-Funktion von Entra ID. Weder Connect noch Cloud Sync verlangen P1 oder P2 – die brauchst du erst für Dinge wie Conditional Access (P1) oder Identity Protection (P2). Wer dir erzählt, Sync koste extra Lizenz, verwechselt das mit Features, die obendrauf kommen.

Der entscheidende Unterschied: Wer trägt den Server-Ballast?

Entra Connect ist ein Stück Software auf einem Windows-Server, den du betreibst: Betriebssystem patchen, SQL bzw. die LocalDB pflegen, das Tool selbst aktuell halten, Monitoring drumherum bauen. Fällt der Server aus, steht der Sync – und zwar so lange, bis du ihn wieder flott hast oder einen Staging-Server umschaltest. Das ist beherrschbar, aber es ist eben dein Betriebsaufwand.

Cloud Sync dreht das um. Der Agent auf deiner Seite ist bewusst dumm gehalten: Er stellt die Verbindung zum AD her und reicht Daten durch. Die Sync-Regeln, das Mapping, die Updates – all das verwaltet Microsoft serverseitig. Du kannst sogar mehrere Agenten parallel laufen lassen, und schon hast du Hochverfügbarkeit, ohne einen zweiten Server zu provisionieren.

Wer kann was: Connect punktet bei Spezialfällen, Cloud Sync beim Betriebskomfort.

Praxis-Tipp: Der ehrliche Lackmustest.

Frag dich nicht „Welches Tool ist mächtiger?“ – das gewinnt immer Connect. Frag dich „Welche dieser Mächtigkeit brauche ich konkret?“ In gefühlt jedem zweiten Projekt, das mit Connect aufgesetzt war, lief am Ende nur stinknormaler Password Hash Sync ohne jede Sonderlocke. Da steht dann ein gepflegter Server in der Ecke, dessen einzige Daseinsberechtigung ein Häkchen ist, das Cloud Sync gratis mitbringt.

Wann Connect Pflicht ist – und Cloud Sync ausscheidet

Es gibt harte Grenzen. Cloud Sync ist bequem, aber es kann bestimmte Dinge schlicht nicht. Diese Liste entscheidet die Wahl meistens schon allein:

  • Hybrid Azure AD Join: Geräte, die sowohl in On-Prem-AD als auch im Tenant registriert sein sollen, brauchen Connect. Cloud Sync synct keine Geräteobjekte.
  • Pass-through Authentication (PTA) oder Federation (AD FS): Cloud Sync beherrscht nur Password Hash Sync als Anmeldemethode. Willst du PTA oder eine Föderation, führt kein Weg an Connect vorbei.
  • Exchange-Hybrid mit vollem Attribut-Writeback: Die volle Bandbreite an Exchange-Attributen und bestimmte Writeback-Szenarien bekommst du zuverlässig nur mit Connect.
  • Sehr große, einzelne Domänen am Stück: Cloud Sync skaliert über mehrere Agenten, hat aber pro Agent Grenzen. Bei riesigen Einzeldomänen lohnt der Blick auf die aktuellen Limits, bevor du dich festlegst.

    • Achtung: Der teure Klassiker beim Wechsel.

    Du kannst eine Domäne nicht gleichzeitig von Connect und Cloud Sync für dieselben Objekte synchronisieren lassen – das gibt Kuddelmuddel, doppelte oder „flackernde“ Objekte und im schlimmsten Fall Anmeldeprobleme für echte Nutzer. Migration heißt: sauber planen, Scope abgrenzen, Connect für die migrierten Objekte stilllegen. Wer das „mal eben parallel“ ausprobiert, verbringt das Wochenende mit dem Aufräumen von Duplikaten und erklärt am Montag der Geschäftsführung, warum sich keiner mehr anmelden konnte.

    Die Entscheidung in vier Fragen

    Statt Bauchgefühl: Geh diese vier Fragen von oben nach unten durch. Die erste, die du mit „ja“ beantwortest, bestimmt das Tool.

    Vier Fragen, eine Entscheidung – die erste „ja“-Antwort gewinnt.

    Umsetzung: schnell prüfen, was du wirklich brauchst

    Bevor du irgendetwas installierst, lohnt ein Blick auf den Ist-Zustand. Ein kleiner Check in PowerShell (Microsoft Graph) zeigt dir, ob und wie schon synchronisiert wird – und ob jemand vor dir eventuell schon Fakten geschaffen hat:

    # Microsoft Graph (Verbindung herstellen)

    Connect-MgGraph -Scopes "Organization.Read.All"

     

    # Ist Directory Sync ueberhaupt aktiv, und wann lief er zuletzt?

    Get-MgOrganization |

    Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

     

    # Welche Objekte kommen aus On-Prem (DirSyncEnabled = $true)?

    Get-MgUser -All -Property DisplayName,OnPremisesSyncEnabled |

    Where-Object { $_.OnPremisesSyncEnabled -eq $true } |

    Measure-Object # blosse Hausnummer, wie viele Objekte betroffen sind

    Steht hier OnPremisesSyncEnabled = True und ein frischer Zeitstempel, läuft bereits ein Sync – dann ist die erste Aufgabe, herauszufinden, ob das Connect oder Cloud Sync ist, bevor du etwas Zweites danebenstellst.

    Beispiel aus der Praxis

    Die Musterwerk GmbH (Industrie, rund 600 Mitarbeiter) wollte „in die Cloud“ und hatte sich von einem Dienstleister Entra Connect aufsetzen lassen – inklusive eigenem Server, Staging-Server für Hochverfügbarkeit und einem hübschen Monitoring-Dashboard. Beim Health-Check stellte sich heraus: Es lief reiner Password Hash Sync. Kein Hybrid Join, kein PTA, kein Exchange-Hybrid – die Postfächer waren längst komplett in Exchange Online. Zwei Server wurden also gepflegt, gepatcht und überwacht, um exakt das zu tun, was ein einzelner Cloud-Sync-Agent ohne Server-Unterbau ebenfalls erledigt.

    Wir haben sauber auf Cloud Sync migriert: Scope abgegrenzt, einen zweiten Agenten für Ausfallsicherheit dazugestellt, Connect für die migrierten Objekte stillgelegt und die beiden Server schließlich abgeräumt. Ergebnis: zwei Windows-Server-Lizenzen und der zugehörige Wartungsaufwand weg, Hochverfügbarkeit besser als vorher – und niemand musste mehr nachts aufstehen, weil „der Sync-Server hängt“.

    Verwandte Artikel

  • Microsoft Entra ID – der komplette Leitfaden (/entra-id-leitfaden/)
  • Password Hash Sync, Pass-through Auth oder Federation – die Entscheidungsmatrix (/entra-auth-methoden-hybrid/)
  • Hybrid Join, Entra Join, Registered – der Geräte-Dschungel sortiert (/entra-device-join/)
  • Conditional Access Policies richtig aufbauen – Reihenfolge, Fallstricke, Blueprint (/entra-conditional-access/)

    • Häufige Fragen (FAQ)

    Kann ich von Entra Connect zu Cloud Sync wechseln, ohne alles neu aufzubauen?

    Ja. Microsoft unterstützt einen geordneten Umstieg, bei dem du den Synchronisationsbereich Schritt für Schritt von Connect auf Cloud Sync überträgst. Wichtig ist, dass dieselben Objekte nie gleichzeitig von beiden Tools verwaltet werden – Scope sauber abgrenzen und Connect für migrierte Objekte deaktivieren. Wer ohne diese Trennung „parallel testet“, produziert Duplikate.

    Brauche ich für Entra Connect oder Cloud Sync eine kostenpflichtige Lizenz?

    Nein, die reine Verzeichnissynchronisierung ist eine Free-Funktion von Entra ID. Lizenzkosten (P1/P2) entstehen erst durch Features, die du obendrauf nutzt, etwa Conditional Access oder Identity Protection – nicht durch den Sync selbst.

    Ist Cloud Sync einfach das „neue Azure AD Connect“ und löst es ab?

    Nicht ganz. Cloud Sync ist der modernere, leichtgewichtige Ansatz und für viele Standardfälle die bessere Wahl, aber es ersetzt Connect nicht vollständig. Solange Hybrid Azure AD Join, Pass-through Auth, Federation oder bestimmte Exchange-Hybrid-Szenarien gefragt sind, bleibt Connect das Werkzeug der Wahl.

    Wie erreiche ich mit Cloud Sync Hochverfügbarkeit?

    Indem du mehrere Cloud-Sync-Agenten installierst. Sie verteilen die Last und fangen sich gegenseitig ab, falls einer ausfällt – ganz ohne zweiten dedizierten Server, wie ihn Connect für ein Staging-Setup verlangt.

    Synchronisiert Cloud Sync auch Passwörter?

    Ja, Cloud Sync nutzt Password Hash Sync und überträgt die Passwort-Hashes, sodass sich Nutzer mit ihrem gewohnten Passwort anmelden. Was Cloud Sync nicht kann, ist Pass-through Authentication oder Federation – dafür brauchst du Connect.

    Was passiert, wenn der Cloud-Sync-Agent oder der Connect-Server ausfällt?

    Bei Connect steht der Sync, bis der Server (oder ein Staging-Server) wieder läuft – Anmeldungen funktionieren bei Password Hash Sync weiter, aber Änderungen werden nicht mehr übertragen. Bei Cloud Sync übernimmt ein weiterer Agent, falls vorhanden; deshalb sind mehrere Agenten dringend empfohlen.

    Wie geht es weiter?

    Dein nächster Schritt

    Unsicher, ob bei dir der richtige Sync-Weg läuft – oder ob ein gepflegter Server eigentlich überflüssig ist? Im Entra-ID-Health-Check schaue ich mir deine Hybrid-Identity-Konfiguration an, zeige Quick Wins auf und sage dir klar, ob Connect bleiben sollte oder ein Umstieg auf Cloud Sync Aufwand und Risiko senkt.