Microsoft verlangt, dass Ihr Entra Connect Sync bis Mittwoch, 7. April 2027 auf mindestens Version 2.6.84.0 aktualisiert und zusätzlich auf application-based authentication (eine zertifikatsbasierte App-Identität statt Benutzername und Passwort) umgestellt ist. Fehlt eines von beiden zum Stichtag, stellt Microsoft die gesamte Synchronisation zwischen Ihrem lokalen Active Directory und Microsoft 365 ein, bis Sie nachgezogen haben. Prüfen Sie deshalb jetzt, welche Version auf Ihrem Sync-Server läuft und ob dort noch das alte Dienstkonto im Einsatz ist.
Entra Connect Sync ist das lokal installierte Werkzeug, das Benutzerkonten aus Ihrem On-Premises-Active-Directory nach Microsoft Entra ID, der Identitätsverwaltung hinter Microsoft 365, spiegelt. Besonders tückisch ist diese Frist für Betriebe, die im September 2026 schon einmal 'fertig' waren: Die ursprünglich breit kommunizierte Frist war der 30. September 2026, und wer damals nur die Version aktualisiert hat, hat die zweite Anforderung, die Umstellung des Kontos, oft nicht mitbekommen.
Stand: 25. Oktober 2026
Die kurze Antwort zuerst
Die Aufgabe hängt an einer einzigen Trennlinie: Betreiben Sie noch Entra Connect Sync mit einem lokalen Synchronisationskonto, müssen Sie bis zum 7. April 2027 zwei Dinge erledigen, ein Versions-Upgrade auf 2.6.84.0 oder höher und die Umstellung auf application-based authentication. Ein reines Update genügt nicht, weil Microsoft bestehende Server nicht automatisch umstellt. Wer ohnehin über einen Wechsel nachdenkt, prüft bei dieser Gelegenheit, ob Entra Cloud Sync infrage kommt.
Tipp
Was Sie jetzt tun: 1. Lesen Sie die installierte Version auf dem Sync-Server ab. 2. Aktualisieren Sie auf 2.6.84.0 oder höher und stellen Sie das Konto auf application-based authentication um. 3. Setzen Sie einen festen Termin vor dem 7. April 2027, an dem beides erledigt sein muss.
Was passiert mit meiner AD-Synchronisation, wenn ich den 7. April 2027 verpasse?
Laut Microsoft fallen ab dem 7. April 2027 alle Synchronisationsdienste von Entra Connect Sync aus, und die Spiegelung zwischen Active Directory und Microsoft 365 bleibt unterbrochen, bis Sie das Upgrade nachgeholt haben (Microsoft Learn, 2026). Was das im Alltag bedeutet, hängt davon ab, wie Ihr Betrieb angebunden ist. Neue Mitarbeiter, geänderte Passwörter oder frisch gesperrte Konten kommen in der Cloud nicht mehr an, solange die Synchronisation steht. Das ist ein harter Stopp, der erst endet, wenn Sie nachgezogen haben.
Achtung
Verlassen Sie sich nicht darauf, dass bereits angemeldete Benutzer während eines Ausfalls weiterarbeiten können. Ob das möglich ist, bestätigen die geprüften Microsoft-Quellen nicht eindeutig. Wer den Ausfall vermeidet, muss diese Frage gar nicht erst stellen.
Warum reicht ein reines Versions-Update nicht aus?
Ein Versions-Update allein genügt nicht, weil Microsoft bestehende Server mit altem Synchronisationskonto nicht automatisch auf application-based authentication umstellt, nur Neuinstallationen sind von vornherein darauf konfiguriert (Microsoft Learn, 2026). Application-based authentication ersetzt das bisherige Entra-Connector-Konto mit Benutzername und Passwort durch eine zertifikatsbasierte App-Identität. Hintergrund der Verschärfung ist eine eigene Erstanbieter-App mit dem Namen 'Microsoft Entra AD Synchronization Service', über die die Synchronisation künftig läuft. Die Versionsnummer zu prüfen reicht deshalb nicht, Sie müssen das Konto zusätzlich manuell nachziehen.
So bringen Sie Ihren Sync-Server auf den Stand
- Lesen Sie die installierte Version ab und notieren Sie, ob sie 2.6.84.0 oder höher ist. Der Grund: Erst wenn Sie wissen, wo Sie stehen, können Sie den Abstand zur Vorgabe einschätzen.
- Aktualisieren Sie auf Version 2.6.84.0 oder höher. Zum Stand dieser Analyse ist 2.6.92.0, veröffentlicht am Mittwoch, 23. September 2026, die aktuellste gelistete Version (Microsoft Learn, Versionshistorie, 2026). Der Grund: 2.6.84.0 ist nur die Untergrenze, mit der aktuellen Version liegen Sie nicht schon wieder zurück.
- Stellen Sie das Synchronisationskonto auf application-based authentication um. Für die automatische Umstellung ist mindestens Version 2.5.76.0 nötig; bestehende Server mit altem Dienstkonto zieht Microsoft nicht von selbst nach. Der Grund: Ohne diesen Schritt bleibt der zweite Teil der Anforderung offen, auch wenn die Version stimmt.
- Prüfen Sie danach, ob die Synchronisation sauber läuft. Der Grund: Fällt etwas aus, lässt sich per PowerShell wieder auf das alte Dienstkonto zurückwechseln, bis die Ursache geklärt ist.
Hinweis
In der Standardvariante verwaltet Entra Connect Sync die Zertifikate der App-Identität selbst. Laut Microsoft stellt es sie mit 90 Tagen Laufzeit aus und rotiert sie automatisch, solange der eingebaute Scheduler läuft. Ist der Scheduler angehalten, findet keine automatische Rotation statt.
Wer ohnehin über die Zukunft seiner Anbindung nachdenkt, kann diesen Pflichttermin als Anlass nehmen. Microsoft empfiehlt berechtigten Kunden, von Entra Connect Sync auf das cloudbasierte Entra Cloud Sync umzusteigen, das die Synchronisationseinstellungen online verwaltet. Ob Ihr Betrieb dafür infrage kommt, hängt von Ihren Synchronisationsszenarien ab, nicht jede Konstellation wird unterstützt.
Häufige Fragen
War die Frist nicht ursprünglich der 30. September 2026?
Ja. Die ursprünglich breit kommunizierte Frist war Mittwoch, der 30. September 2026; Microsoft hat sie auf den 7. April 2027 verschoben (IT-Connect, 2026). Gleichzeitig wurde die Mindestversion angehoben, die Anforderung ist also nicht nur später, sondern auch strenger. Die erste Frist ordnet der Artikel zum 30.-September-2026-Termin ein.
Lässt sich die Umstellung auf application-based authentication rückgängig machen?
Ja. Falls nach der Umstellung etwas nicht funktioniert, lässt sich per PowerShell wieder auf das alte Dienstkonto zurückwechseln. Microsoft legt das zugehörige Konto dabei neu an; das kann bis zu 15 Minuten dauern, in denen ein 'Access Denied' auftreten kann. Planen Sie die Umstellung deshalb außerhalb der Hauptarbeitszeit ein.
Sollte ich gleich auf Entra Cloud Sync wechseln?
Das kommt auf Ihre Konstellation an. Microsoft empfiehlt berechtigten Kunden, von Entra Connect Sync auf das cloudbasierte Entra Cloud Sync umzusteigen. Ob Sie berechtigt sind, hängt von Ihren Synchronisationsszenarien ab, die Sie vorab mit der Vergleichsübersicht prüfen sollten. Meine Einschätzung: Wenn der Termin ohnehin ansteht, lohnt sich diese Prüfung.
Welche Version sollte heute installiert werden, wenn 2.6.84.0 nur die Mindestanforderung ist?
Die Vorgabe lautet 2.6.84.0 oder höher. Zum Stand dieser Analyse ist 2.6.92.0, veröffentlicht am 23. September 2026, die aktuellste gelistete Version (Microsoft Learn, 2026). Meine Empfehlung: Installieren Sie die aktuelle Version statt exakt die Untergrenze, dann liegen Sie beim Termin nicht schon wieder hinter dem Stand.
Mein Fazit
Diese Frist ist kein Grund zur Hektik, aber ein klarer Arbeitsauftrag. Sie haben bis Mittwoch, 7. April 2027 Zeit, und die Aufgabe ist in wenigen Schritten erledigt: Version prüfen, auf 2.6.84.0 oder höher aktualisieren, auf application-based authentication umstellen, Funktion kontrollieren.
Die eigentliche Falle ist nicht die Technik, sondern die Annahme, mit dem September-Update sei alles abgehakt. Wer damals nur die Version gezogen hat, hat die zweite Anforderung meist nicht auf dem Schirm. Prüfen Sie beides, nicht nur die Versionsnummer, sondern auch, über welches Konto die Synchronisation authentifiziert.
Was Sie nicht tun sollten, ist auf einen Migrationsbrief von Microsoft zu warten. Ob und wie betroffene Mandanten proaktiv benachrichtigt werden, ist nicht dokumentiert. Tragen Sie den Termin selbst ein, dann bleibt er planbar. Auf eine Benachrichtigung zu warten, wäre dagegen ein Risiko.
