Password Hash Sync, Pass-through Auth oder Federation – die Entscheidungsmatrix

Kurzfassung vorab: Für die allermeisten Umgebungen ist Password Hash Sync (PHS) die richtige Antwort – und zwar nicht als fauler Kompromiss, sondern weil es das robusteste und betriebsärmste Verfahren ist. Pass-through Authentication (PTA) lohnt nur, wenn Passwörter aus echten Gründen das Haus nicht verlassen dürfen oder die Anmeldung live gegen On-Prem-AD laufen muss. Federation mit AD FS ist heute fast immer Altlast: teuer, fragil und mit jedem ablaufenden Zertifikat eine Wochenend-Wette. Wer 2025 neu plant und nicht zwingend einen Sonderfall hat, nimmt PHS.

Der Kernunterschied liegt darin, wo das Passwort geprüft wird – in der Cloud, am On-Prem-Agenten oder in der eigenen AD-FS-Farm.

Die eine Frage, die alles entscheidet: Wo wird geprüft?

Alle drei Verfahren beantworten dieselbe Frage – „Ist dieses Passwort korrekt?“ – nur an unterschiedlichen Orten. Bei PHS werden die Passwort-Hashes (genauer: ein Hash des Hashes) nach Entra ID synchronisiert, und die Cloud prüft selbst. Bei PTA reicht Entra die Anmeldung an einen kleinen Agenten durch, der sie live gegen dein On-Prem-AD validiert. Bei Federation delegiert Entra die ganze Anmeldung an eine eigene AD-FS-Farm, die ein Token zurückschickt.

Password Hash Sync (PHS): der robuste Default

PHS hat einen unschlagbaren Betriebsvorteil: Die Anmeldung hängt nicht von deiner On-Prem-Infrastruktur ab. Brennt der Serverraum, hängt die VPN-Leitung oder ist das AD gerade in der Wartung – deine Leute melden sich trotzdem an Microsoft 365 an, weil die Prüfung in der Cloud passiert. Dazu kommt: PHS ist Voraussetzung für Features wie Leaked-Credential-Erkennung in Identity Protection, weil Entra die Hashes braucht, um sie gegen bekannte geleakte Passwörter abzugleichen.

Pass-through Auth (PTA): wenn das Passwort zwingend daheim bleibt

PTA installiert einen oder mehrere Authentifizierungs-Agenten on-prem. Bei jeder Anmeldung reicht Entra die Credentials verschlüsselt durch, der Agent prüft gegen AD und meldet „passt“ oder „passt nicht“ zurück. Das Passwort wird also nie in der Cloud gespeichert – der häufigste echte Grund für PTA. Der Preis: Fällt das On-Prem-AD oder fallen alle Agenten aus, kann sich niemand mehr anmelden, sofern du nicht PHS als Fallback aktiviert hast.

Direktvergleich der drei Verfahren – grün ist Vorteil, orange ist Preis oder Risiko.

Federation (AD FS): das Auslaufmodell mit Daseinsberechtigung

AD FS war jahrelang der Standardweg für „echtes“ Single Sign-on und ist technisch mächtig: maximale Kontrolle über den Anmeldevorgang, Anbindung von Smartcards und Dritt-IdPs, eigene Claim-Regeln. Aber es ist eine komplette Server-Farm, die du betreibst, absicherst und – das ist der Klassiker – deren Zertifikate du im Blick behalten musst. Ein abgelaufenes Token-Signing-Zertifikat legt die Anmeldung für alle lahm, und das gerne am ungünstigsten Moment.

Heute gilt: Wer neu baut, braucht Federation fast nie. Microsoft selbst drängt seit Jahren weg von AD FS hin zu cloud-seitiger Authentifizierung. Sinnvoll bleibt es nur bei klarem Sonderbedarf – etwa einer bestehenden Smartcard-Infrastruktur oder einem Dritt-IdP, der zwingend per Föderation angebunden werden muss. In allen anderen Fällen ist „AD FS abbauen“ ein dankbares Projekt.

Der pragmatische Standard in der Praxis

In der Realität landet fast jedes gut gebaute Setup beim selben Muster: PHS für die Anmeldeprüfung, Seamless SSO für das stille Durchreichen an Domänen-Geräten und MFA obendrauf für die Sicherheit. Kein eigener Auth-Server, kein On-Prem-Single-Point-of-Failure – und trotzdem komfortable Anmeldung.

Das Zielbild für die meisten: PHS plus Seamless SSO plus MFA – ohne eigene Auth-Server-Farm.

Umsetzung: aktuelle Methode prüfen

Bevor du etwas umstellst, finde heraus, was gerade läuft. Über Microsoft Graph siehst du die föderierten Domänen; den PHS-Status liest du am bequemsten in den Entra-Connect-Werkzeugen oder im Portal aus:

Steht bei einer Domäne Federated, läuft sie über AD FS – und ist ein heißer Kandidat für die Umstellung auf Managed mit PHS.

Beispiel aus der Praxis

Die Sparfuchs & Partner Steuerberatungs GmbH (kleiner Dienstleister, knappes Budget) hatte vor Jahren AD FS aufgesetzt bekommen, „weil man das so macht“. Zwei Server, jährlich wiederkehrender Zertifikats-Stress und ein Anbieter, der für jeden Handgriff Rechnungen schrieb. Genau dieses Zertifikat lief dann an einem Freitagnachmittag ab – die ganze Kanzlei kam übers Wochenende nicht an die Mails, mitten in der Steuersaison.

Beim anschließenden Health-Check war die Empfehlung eindeutig: AD FS hatte hier keinerlei Sonderbedarf zu bedienen. Wir haben auf PHS plus Seamless SSO umgestellt, die beiden AD-FS-Server außer Betrieb genommen und MFA für alle scharf geschaltet. Ergebnis: kein Zertifikats-Risiko mehr, zwei Server weniger zu pflegen, niedrigere Kosten – und die Anmeldung überlebt jetzt sogar einen kompletten On-Prem-Ausfall.

Verwandte Artikel

Häufige Fragen (FAQ)

Ist Password Hash Sync sicher, oder gebe ich damit meine Passwörter in die Cloud?

PHS überträgt weder Klartext-Passwörter noch den nutzbaren AD-Hash, sondern einen erneut gehashten, gesalzenen Wert, aus dem sich das Passwort praktisch nicht rekonstruieren lässt. Für die meisten Organisationen ist PHS sicher und sogar sicherheitsfördernd, weil es die Leaked-Credential-Erkennung in Identity Protection erst ermöglicht.

Wann sollte ich Pass-through Authentication statt PHS wählen?

Vor allem dann, wenn aus Compliance- oder Richtliniengründen kein Passwort-Material – auch kein Hash – die On-Prem-Umgebung verlassen darf, oder wenn die Anmeldung zwingend live gegen On-Prem-AD geprüft werden soll. In diesen Fällen ist PTA das Mittel der Wahl, idealerweise mit mehreren Agenten und PHS als Notfall-Fallback.

Brauche ich für PHS, PTA oder Federation eine bestimmte Lizenz?

Die Anmeldemethoden selbst funktionieren mit Entra ID Free. Lizenzkosten entstehen erst durch aufgesetzte Features: Conditional Access braucht P1, risikobasierte Policies und Leaked-Credential-Erkennung in Identity Protection brauchen P2. Die Wahl der Auth-Methode treibt die Lizenz also nicht – die Features drumherum tun es.

Sollte ich AD FS noch neu einführen?

In aller Regel nein. Für neue Umgebungen ist cloud-seitige Authentifizierung mit PHS der empfohlene Weg, und Microsoft bewegt sich seit Jahren von AD FS weg. AD FS lohnt nur bei konkretem Sonderbedarf wie bestehender Smartcard-Infrastruktur oder zwingender Dritt-IdP-Föderation.

Kann ich von Federation zu Password Hash Sync wechseln?

Ja, und genau das ist ein häufiges und lohnendes Projekt. Der Umstieg von einer föderierten auf eine verwaltete Domäne mit PHS reduziert Komplexität und Risiko erheblich. Er will sauber geplant sein – PHS vorab aktivieren, Methode kontrolliert umstellen, danach die AD-FS-Farm abbauen.

Funktioniert MFA mit allen drei Methoden?

Ja. Multi-Faktor-Authentifizierung über Entra ID setzt auf der Anmeldung auf und ist unabhängig davon, ob die Passwortprüfung per PHS, PTA oder Federation läuft. Du musst die Auth-Methode also nicht nach MFA-Fähigkeit auswählen – MFA kommt in allen Fällen obendrauf.

Wie geht es weiter?