Hybrid Join, Entra Join, Registered – der Geräte-Dschungel sortiert

Kurzfassung vorab: Die drei Join-Typen sind keine Qualitätsstufen, sondern Werkzeuge für verschiedene Geräte. Entra Join ist das saubere Zielbild für firmeneigene, cloud-verwaltete Geräte. Entra Hybrid Join ist die Brücke für bestehende Domänen-PCs, die noch On-Prem-Ressourcen brauchen – nützlich im Übergang, aber kein Dauerzustand. Entra Registered ist für fremde und private Geräte (BYOD) gedacht und kein „abgespeckter Join“. Wer 2025 neue Firmen-Hardware ausrollt und nicht zwingend an On-Prem hängt, nimmt Entra Join – nicht Hybrid, „weil man das immer so gemacht hat“.

Drei Bindungsarten für drei Gerätesituationen: Übergang, Cloud-Zielbild und BYOD.

Erst mal Begriffe sortieren (und was früher Azure AD Join hieß)

„Join“ heißt: Das Gerät bekommt eine Identität in Entra ID – früher als Azure AD Join bezeichnet, danach wird heute noch gesucht. Diese Geräteidentität ist die Grundlage dafür, dass du in Conditional Access Dinge sagen kannst wie „Zugriff nur von verwalteten Geräten“. Der Unterschied zwischen den drei Typen liegt darin, wo das Gerät bekannt ist und wem es gehört.

Entra Join: das Zielbild für firmeneigene Geräte

Wenn du neue Firmen-Hardware ausrollst, ist Entra Join fast immer die richtige Wahl. Das Gerät lebt komplett in der Cloud-Welt: Anmeldung über Entra, Verwaltung über Intune, Windows Hello for Business out of the box, und kein On-Prem-AD, das mitspielen muss. Das ist nicht nur moderner, es ist auch betriebsärmer – kein Domänencontroller muss erreichbar sein, damit sich jemand am Notebook anmeldet.

Entra Hybrid Join: die Brücke, kein Zuhause

Hybrid Join existiert aus einem guten Grund: Du hast einen Bestand an Domänen-PCs, die noch auf On-Prem-Ressourcen zugreifen – alte Fileserver, Druckserver, Branchen-Software, die per Gruppenrichtlinie konfiguriert wird. Hybrid Join lässt diese Geräte gleichzeitig in der alten On-Prem-Welt und in Entra leben, sodass du Cloud-Features nutzen kannst, ohne die Altlast über Nacht abschalten zu müssen.

Der Haken: Hybrid Join ist die komplexeste der drei Varianten. Es braucht Entra Connect, die Geräte-Synchronisierung muss sauber konfiguriert sein, und es gibt mehr Stellen, an denen etwas klemmen kann. Behandle es als das, was es ist – eine Übergangslösung auf dem Weg zu Entra Join, nicht als Dauerziel.

Alle drei können Conditional Access. Der Unterschied liegt in Verwaltung, On-Prem-Abhängigkeit und strategischer Rolle.

Entra Registered: für alles, was dir nicht gehört

Registered ist die leichteste Bindung: Ein privates Handy, das Firmen-Mail abruft, oder das Tablet eines externen Beraters. Das Gerät bekommt eine Identität in Entra, aber die Hauptidentität bleibt persönlich – der Nutzer meldet sich am Gerät weiter mit seinem privaten Konto an. Genau das willst du bei BYOD: Du bekommst genug Handhabe für Conditional Access und App-Schutz, ohne das Privatgerät komplett zu übernehmen.

Die Entscheidung in drei Fragen

Du musst nicht raten. Geh diese drei Fragen durch, und der Join-Typ ergibt sich fast von selbst:

Drei Fragen führen zum richtigen Join-Typ – ohne „haben wir immer so gemacht“.

Umsetzung: Geräte-Inventar prüfen

Bevor du eine Strategie festlegst, schau dir an, was du hast. Über Microsoft Graph bekommst du eine Übersicht, welcher Join-Typ bei dir wie oft vorkommt – die Spalte trustType verrät den Typ:

Ein hoher Anteil ServerAd bei gleichzeitig wenig echtem On-Prem-Bedarf ist das typische Signal, dass eine Hybrid-Landschaft eigentlich reif für den Umstieg auf Entra Join ist.

Beispiel aus der Praxis

Die Trendforge Digital GmbH (Tech-Startup, Cloud-first) hatte gar kein gewachsenes On-Prem-AD – und trotzdem ein Dienstleister-Konzept auf dem Tisch, das Entra Connect, einen Domänencontroller in Azure und Hybrid Join vorsah. Begründung: „So macht man das bei Microsoft 365.“ Für ein Startup ohne Altlasten wäre das gewesen, als würde man sich extra einen Keller graben, um eine Leiter hineinzustellen.

Im Architektur-Workshop haben wir das Konzept vom Kopf auf die Füße gestellt: Entra Join für alle Firmen-Notebooks, Ausrollung per Autopilot, Verwaltung über Intune, und Entra Registered plus App-Schutzrichtlinien für die privaten Handys der Mitarbeiter. Kein Domänencontroller, kein Connect-Server, kein Hybrid-Konstrukt. Neue Mitarbeiter sind seither am ersten Tag in unter einer Stunde startklar – Karton auf, anmelden, läuft.

Verwandte Artikel

Häufige Fragen (FAQ)

Was ist der Unterschied zwischen Entra Join und Entra Hybrid Join?

Entra Join registriert ein Gerät ausschließlich in Entra ID, ganz ohne On-Prem-Active-Directory – das ist das moderne Zielbild für firmeneigene Cloud-Geräte. Entra Hybrid Join registriert dasselbe Gerät zusätzlich im On-Prem-AD und braucht dafür Entra Connect; es ist als Brücke für bestehende Domänen-PCs gedacht, die noch On-Prem-Ressourcen benötigen.

Sollte ich für neue Firmengeräte Hybrid Join oder Entra Join wählen?

In aller Regel Entra Join. Solange ein neues Gerät nicht zwingend auf reine On-Prem-Ressourcen oder klassische Gruppenrichtlinien angewiesen ist, ist Entra Join einfacher, betriebsärmer und zukunftssicher – besonders in Kombination mit Windows Autopilot und Intune. Hybrid Join lohnt nur, wenn echte On-Prem-Abhängigkeiten bestehen.

Ist Entra Registered einfach ein schwächerer Join für Firmengeräte?

Nein, es ist für einen anderen Zweck gedacht. Entra Registered bindet fremde oder private Geräte (BYOD) lose an, ohne die persönliche Identität des Nutzers zu übernehmen. Für firmeneigene Geräte ist es nicht die richtige Wahl – dafür gibt es Entra Join oder Hybrid Join.

Brauche ich für die Join-Typen eine bestimmte Entra-Lizenz?

Die Geräteregistrierung selbst funktioniert mit Entra ID Free. Sobald du jedoch gerätebasierte Conditional-Access-Regeln einsetzt, brauchst du P1, und für risikobasierte Szenarien P2. Voll ausgespielt wird der Nutzen der Join-Typen also meist erst mit P1 aufwärts plus Intune.

Kann ich von Entra Hybrid Join zu Entra Join migrieren?

Ja. Der übliche Weg ist, neue Geräte direkt per Entra Join und Autopilot auszurollen und den Hybrid-Bestand auslaufen zu lassen oder gezielt neu aufzusetzen. Voraussetzung ist, dass die verbleibenden On-Prem-Abhängigkeiten vorher abgelöst werden – sonst fehlen den Geräten plötzlich Ressourcen, die sie über die Domäne erreicht haben.

Funktioniert Conditional Access mit allen drei Join-Typen?

Ja, alle drei erzeugen eine Geräteidentität, auf die sich Conditional Access stützen kann. Der Unterschied liegt im Grad der Verwaltung: Bei Entra Join und Hybrid Join kannst du auf vollständige Compliance prüfen, bei Entra Registered eher auf Geräteidentität plus App-Schutzrichtlinien.

Wie geht es weiter?