Cloud-Berechtigungs­management: Das Hybrid-Chaos zwischen Active Directory und Entra ID beenden

Im Hybridbetrieb laufen Berechtigungen selten wegen eines einzelnen Fehlers auseinander. Das eigentliche Problem liegt zwischen den Systemen: Das lokale Active Directory kann für sich korrekt gepflegt sein, Microsoft Entra ID ebenfalls und trotzdem fehlt ein gemeinsames, nachvollziehbares Rechtebild. Synchronisierte Benutzer, Cloud-only-Konten, Gäste, privilegierte Rollen und technische Identitäten müssen deshalb zusammen betrachtet werden.

• Für synchronisierte Benutzer und die meisten ihrer Attribute bleibt das lokale Active Directory die führende Quelle. Gleichzeitig können in Entra ID eigenständige Identitäten und Berechtigungen entstehen.
• Ein regulär synchronisiertes Konto wird bei einer lokalen Deaktivierung normalerweise auch in Entra ID deaktiviert. Risiken entstehen vor allem durch zusätzliche Cloud-only-, Admin- oder Gastkonten sowie durch Synchronisations- und Zuordnungsfehler.
• Microsoft stellt bereits Benutzer-, Rollen-, Anwendungs- und Auditansichten bereit. Die systemübergreifende Zuordnung, Bewertung und dauerhafte Dokumentation bleibt jedoch eine eigene Aufgabe.
• Nicht jede Funktion ist ohne zusätzliche Lizenz oder Kosten verfügbar. Das betrifft unter anderem bestimmte Writeback-, Governance- und Langzeitaufbewahrungsfunktionen.
• Sechs klar definierte Kennzahlen zeigen einer IT-Leitung, wo sie mit der Prüfung beginnen sollte.

Der Hybridbetrieb ist für viele Organisationen kein kurzfristiger Übergang. Fachanwendungen, Produktionssysteme, regulatorische Anforderungen und bestehende Prozesse halten Teile der IT lokal, während Zusammenarbeit, Identitätsdienste und neue Anwendungen in die Cloud wandern. Das alles ist technisch beherrschbar, solange klar ist, welche Identität wo entsteht, welches System für sie führend ist und wer ihre Berechtigungen regelmäßig bestätigt.

In einer hybriden Umgebung verbindet Microsoft Entra Connect oder Cloud Sync ausgewählte Objekte aus dem lokalen Active Directory mit Microsoft Entra ID. Dabei entsteht nicht einfach eine zweite, identische Kopie der lokalen Welt. Neben synchronisierten Benutzern existieren Cloud-only-Konten, Gastbenutzer, administrative Zweitkonten, Enterprise Applications, Service Principals und Managed Identities. Das Hybrid-Chaos entsteht daher an den Übergängen, Beispiele: Ein Objekt hat keinen eindeutigen Verantwortlichen, eine Berechtigung wird nur auf einer Seite geprüft oder ein technischer Zugang wird im Benutzer-Review gar nicht berücksichtigt. Wie bei einem Umzug gilt: Wer vorab nicht inventarisiert, übernimmt Altlasten und ergänzt später weitere, ohne das Gesamtbild zu aktualisieren.

Die Synchronisation ist bewusst nicht symmetrisch. Für synchronisierte Benutzer und viele Attribute bleibt das lokale Active Directory die Source of Authority. Definierte Writeback-Funktionen können Informationen zurückschreiben, sie sind aber keine allgemeine Rücksynchronisation. Welche Funktionen verfügbar sind, hängt von Architektur, Konfiguration und teilweise von der Lizenzierung ab. Hinzu kommen Scope-Filter, Matchingregeln und getrennt angelegte Cloud-Identitäten. Wird ein Benutzer nie synchronisiert, entsteht kein synchronisiertes Cloud-Objekt. Fällt ein zuvor synchronisiertes Objekt aus dem Scope, wird es regulär aus dem Ziel entfernt. Unabhängig angelegte Cloud-only-, Gast- oder Administratorkonten bleiben davon jedoch unberührt. Deshalb reicht diese Frage allein nicht aus: „Läuft die Synchronisation?“

Die lokale Administration kann sauber arbeiten und dennoch nicht alle Cloud-Zugänge kennen. Umgekehrt kann das Cloud-Team Entra ID korrekt verwalten, ohne lokale Gruppenverschachtelungen oder Dateirechte vollständig zu sehen. Entscheidend ist deshalb nicht, wer einen Fehler gemacht hat, sondern ob der Prozess Identitäten und Berechtigungen über Systemgrenzen hinweg zusammenführt. Zwei Lücken sind dabei besonders häufig.

Wird ein regulär synchronisiertes Benutzerkonto im Active Directory deaktiviert und vom Synchronisationsprozess korrekt verarbeitet, sollte die Anmeldung normalerweise auch in Entra ID gesperrt sein. Leider gibt es trotzdem einige gefährliche Lücken. Eine Person besitzt zusätzlich ein Cloud-only-Projektkonto, ein separates Administratorkonto, einen Gastzugang in einem anderen Mandanten oder Berechtigungen, die einer technischen Identität zugeordnet wurden. Diese Zugänge werden durch die Deaktivierung des lokalen Standardkontos nicht automatisch erfasst. Gleiches gilt, wenn die Synchronisation gestört ist oder Objekte falsch zugeordnet wurden. Ein belastbarer Offboarding-Nachweis muss deshalb nicht nur den lokalen Benutzer prüfen, sondern alle zugehörigen Identitäten, Rollen, Gruppen, Anwendungen, Lizenzen und externen Zugänge.

Übersehen werden meist keine „unsichtbaren Konten“, sondern Objekte in unterschiedlichen Verwaltungsansichten. Gästekonten stehen bei den externen Identitäten. App-Objekte und Service Principals erscheinen in App-Registrierungen beziehungsweise Enterprise Applications. Managed Identities haben wiederum einen eigenen Lebenszyklus. Clientschlüssel und Zertifikate laufen nach ihrer konfigurierten Gültigkeit ab. Deshalb sind dauerhaft unkontrollierte Zugangsdaten ebenso riskant wie überraschend ablaufende. Hinzu kommen privilegierte Rollen. Microsoft empfiehlt, die Rolle „Globaler Administrator“ auf weniger als fünf Personen zu begrenzen und separate Notfallkonten vorzusehen. Zusammenfassend kann man feststellen: Die Herausforderung ist nicht das Fehlen der Daten, sondern ihre verteilte Prüfung

Die folgende Übersicht zeigt, warum dieselbe Identität in beiden Welten unterschiedlich bewertet werden muss.

Die Kosten des Hybrid-Chaos entstehen nicht nur durch einen Sicherheitsvorfall. Sie entstehen bereits im Betrieb durch ungenutzte Lizenzen, wiederholte manuelle Auswertungen, unklare Verantwortlichkeiten und eine Protokollierung, die im entscheidenden Moment nicht weit genug zurückreicht. Diese Positionen sollten getrennt erfasst werden, weil sie unterschiedliche Maßnahmen erfordern.

Eine pauschale Summe ist ohne Messmodell nicht belastbar anzusetzen. Sinnvoller ist eine Rechnung mit den eigenen Daten: Wie viele Stunden benötigen Administration, Fachbereiche und Audit für Suche, Zuordnung, Rückfragen und Nachweise? Welche kostenpflichtigen Lizenzen sind Konten zugewiesen, die nicht mehr benötigt werden? Welche Aufwände entstehen durch doppelte Konten, abgelaufene Zugangsdaten oder verspätetes Offboarding? Im Hybridbetrieb steigt der Koordinationsaufwand, weil lokale und cloudbasierte Berechtigungen gemeinsam bewertet werden müssen. Auch die Angriffsfläche wächst, obwohl sie sich nicht automatisch. „verdoppelt“. Entscheidend sind Anzahl und Kritikalität der tatsächlich erreichbaren Identitäts- und Berechtigungspfade.

Ein inaktiver Benutzer im Active Directory verursacht keine nutzerbezogenen Cloud-Lizenzkosten. Ist dem Benutzer allerdings in der Cloud eine kostenpflichtige Lizenz zugewiesen, bleibt der entsprechende Seat belegt und steht zunächst keinem anderen Benutzer zur Verfügung.

Viele Unternehmen beschaffen Microsoft-365-Lizenzen heute über Jahresabonnements. Wird ein Mitarbeiter während der Laufzeit deaktiviert, kann die Lizenz zwar einem anderen Benutzer zugewiesen werden. Ob sich dadurch auch die gebuchte Seat-Anzahl und die Rechnung sofort reduzieren lassen, hängt vom Vertragsmodell und vom möglichen Anpassungszeitpunkt ab. An dieser Stelle wird aus einem fehlenden Berechtigungs- und Lizenzreview ein messbarer Kostenfaktor.

Ein regelmäßiger Review verhindert deshalb zweierlei: erstens unnötig zugewiesene Lizenzen und zweitens den erneuten Kauf zusätzlicher Seats, obwohl im Bestand bereits ungenutzte Lizenzen vorhanden sind. Ob sich darüber hinaus die laufenden Abonnementkosten reduzieren lassen, hängt vom Vertrag ab.

Die folgende Modellrechnung verwendet beispielhaft den Microsoft-Listenpreis von 26,27 Euro pro Benutzer und Monat für Office 365 E3 bei jährlicher Abrechnung, Stand September 2026, zuzüglich Mehrwertsteuer. Verwenden Sie für Ihre eigene Kalkulation den tatsächlich vereinbarten Preis. Rabatte, Paketbestandteile, Vertragsmodell und Abrechnungszeitraum können das Ergebnis verändern.

Wichtig: Diese Beträge zeigen zunächst einen gebundenen Lizenzwert und nicht automatisch eine sofort realisierbare Einsparung. Ob tatsächlich Kosten reduziert werden könnten, hängt davon ab, ob die Seats intern wiederverwendet werden, die gebuchte Menge reduziert werden kann und welches Vertragsmodell gilt.

Ein Benutzer ohne aktuelle Anmeldung ist zunächst ein Prüfkandidat, nicht automatisch ein Löschkandidat. Bewerten Sie neben der letzten erfolgreichen interaktiven und nichtinteraktiven Anmeldung auch Beschäftigungsstatus, Kontotyp, zugewiesene Produkte, Aufbewahrungsanforderungen und den bestätigten fachlichen Bedarf. Die tenantweite Auswertung detaillierter Anmeldeaktivitäten kann abhängig von der verwendeten Funktion eine Entra-ID-Premiumlizenz voraussetzen.

Für den ersten Check brauchen Sie nicht zwingend ein zusätzliches Berechtigungsmanagement-Tool. Im bestehenden Microsoft-Tenant können Sie Benutzer, Gäste, Gruppen, Rollen und Enterprise Applications anzeigen oder exportieren und auch vorhandene Audit- und Anmeldeprotokolle prüfen. Die Möglichkeiten sind jedoch nicht unbegrenzt. In Entra ID Free werden Audit- und Sign-in-Daten nativ sieben Tage, mit Entra ID P1 oder P2 grundsätzlich 30 Tage aufbewahrt. Für längere Historien müssen Sie die Daten rechtzeitig exportieren, etwa nach Log Analytics, Storage oder in ein SIEM; dabei können zusätzliche Azure- und Betriebskosten entstehen. Auch bestimmte Writeback-, PIM- und Governance-Funktionen erfordern passende Lizenzen. Prüfen Sie deshalb nicht nur, ob eine Funktion technisch existiert, sondern ob sie in Ihrem Lizenzmodell verfügbar, konfiguriert und ausreichend lange nachvollziehbar ist.

Aus der Bestandsaufnahme folgt noch keine Produktentscheidung. Beginnen Sie mit den vorhandenen Exporten und Verwaltungsansichten. Ordnen Sie Objekte einer Person, einem Service und einem Verantwortlichen zu. Erst danach entscheiden Sie, welche Prüfungen sich manuell beherrschen lassen und wo Sie für Wiederholbarkeit, Historie und Nachweis eine Automatisierung benötigen.

Verlangen Sie nicht einfach zwei Gesamtsummen für AD und Entra ID. Diese Zahlen sind ohne Kontext kaum aussagekräftig. Lassen Sie sich stattdessen sechs definierte Werte geben: Benutzer im vorgesehenen Synchronisations-Scope, tatsächlich synchronisierte Entra-Mitglieder, Cloud-only-Mitglieder, Gäste ohne aktuellen Sponsor oder relevante Aktivität, privilegierte menschliche und technische Identitäten sowie lizenzierte Benutzer ohne interaktive Anmeldung innerhalb eines festgelegten Zeitraums. Zu jeder Abweichung braucht es eine Erklärung, einen Verantwortlichen und eine Entscheidung. Der Zeitraum sollte zum Risiko passen – beispielsweise 30, 90 oder 180 Tage – und darf nicht pauschal als „seit Monaten“ beschrieben werden.

Bleibt die Frage, wer diese Kennzahlen bewertet und daraus Maßnahmen ableitet.

Die IT beziehungsweise das IAM-Team verantwortet Technik, Datenqualität und Identitätslebenszyklus. System- und Data Owner bestätigen den fachlichen Bedarf. Security und Audit prüfen Vorgaben und Nachweise und die IT-Leitung trägt die Gesamtverantwortung. Das Prüfintervall richtet sich nach dem Risiko. Privilegierte Rollen, externe Freigaben und Offboarding-Fälle benötigen kürzere Zyklen als stabile Standardgruppen. Beginnen Sie mit einem vollständigen Basisabgleich und automatisieren Sie danach die kritischen Kontrollen. Für externe Zusammenarbeit gehören zeitlich begrenzte Freigaben, authentifizierte Gäste und – bei passender Lizenzierung – Conditional Access in ein gemeinsames Konzept.

Der wertvollste erste Befund ist nicht zwingend eine große Zahl auffälliger Konten. Wertvoll ist, wenn Sie jede Abweichung erklären und diese Erklärung später erneut belegen können. Starten Sie deshalb mit den sechs Kennzahlen und dokumentieren Sie Datenquelle, Zeitpunkt, Verantwortlichen und Entscheidung. Der CUSATUM-Zugriffsrechte-Sicherheitscheck unterstützt bei der ersten Standortbestimmung. Wenn der Abgleich regelmäßig, systemübergreifend und nachvollziehbar erfolgen soll, kann die CARO-Suite die Analyse und Dokumentation unterstützen. Ziel ist kein weiteres Dashboard, sondern ein Rechtebild, das IT-Leitung, Fachbereich und Audit gleichermaßen verstehen. Viel Erfolg!

Cloud-Berechtigungsmanagement umfasst die Vergabe, Prüfung und Dokumentation von Zugriffsrechten auf Cloud-Dienste wie SharePoint, Exchange Online und Teams. Im Hybridbetrieb gehört die Abstimmung mit dem lokalen Active Directory dazu. Erst die gemeinsame Sicht auf synchronisierte Benutzer, Cloud-only-Konten, Gäste, Rollen und technische Identitäten ergibt ein belastbares Rechtebild.

Im Active Directory steuern Organisationseinheiten, Gruppenmitgliedschaften, Delegationen und ACLs den Zugriff auf lokale Ressourcen. Microsoft Entra ID verwendet Verzeichnisrollen, Gruppen, Anwendungszuweisungen und weitere cloudbezogene Berechtigungsmodelle. Eine lokale Gruppe und eine Entra-Rolle sind daher nicht direkt vergleichbar. Entscheidend ist, welche effektiven Zugriffe eine Person oder Workload über alle Pfade erhält.

Benötigt wird kein isoliertes zweites Konzept, sondern ein gemeinsames Berechtigungs- und Governance-Modell. Es muss festlegen, welches System für welche Identität führend ist, wie Cloud-only- und Gastkonten entstehen, wer Rollen und Anwendungen verantwortet, wie Offboarding funktioniert und welche Nachweise aufbewahrt werden. Lizenzabhängige Funktionen sollten dabei ausdrücklich als technische Option und nicht als automatisch verfügbare Voraussetzung behandelt werden.

Es gibt kein sinnvolles Einheitsintervall für alle Berechtigungen. Privilegierte Rollen, externe Zugänge, technische Identitäten und Austritte benötigen engere Kontrollen als risikoarme Standardberechtigungen. Zusätzlich sollte nach Reorganisationen, Migrationen und Änderungen am Synchronisations-Scope geprüft werden. Entscheidend ist, dass Intervall, Verantwortlicher, Datenquelle und Reaktion auf Abweichungen dokumentiert sind.

Für eine erste Bestandsaufnahme liefern Microsofts Portale, Exporte, Graph-Schnittstellen und Protokolle wichtige Informationen. Eine vollständige, dauerhaft reproduzierbare Sicht über lokales Active Directory, Entra ID und angebundene Workloads entsteht daraus jedoch nicht automatisch. Zudem hängen Funktionsumfang und Aufbewahrungsdauer teilweise von Lizenz und Konfiguration ab. Wenn Ihr Team die Daten regelmäßig manuell zusammenführen, bewerten und für Audits dokumentieren muss, lohnt sich eine spezialisierte Lösung wie die CARO-Suite.