Microsoft hat für Entra Connect Sync zwei harte Fristen gesetzt: Versionen vor 2.5.79.0 synchronisieren ab dem 30. September 2026 nicht mehr, und bis zum 7. April 2027 braucht jeder Server mindestens 2.6.84.0 mit anwendungsbasierter Authentifizierung. Der Artikel ordnet die Supportenden, erklärt den neuen geführten Wechsel zu Entra Cloud Sync aus Version 2.6.91.0 und den Sicherheits-Hotfix 2.6.92.0 und liefert eine Prüfliste für Administratoren hybrider Umgebungen.
Am 23. Oktober 2026 endet der Support für Entra Connect Sync 2.5.79.0, und bis zum 7. April 2027 verlangt Microsoft mindestens Version 2.6.84.0. Dieser Artikel ordnet die Fristen, erklärt die Neuerungen der Versionen 2.6.91.0 und 2.6.92.0 und zeigt, was du in welcher Reihenfolge prüfst.
Das Wichtigste in Kürze
- Versionen vor 2.5.79.0 synchronisieren ab dem 30. September 2026 nicht mehr. Microsoft hat das als Breaking Change angekündigt.
- Bis zum 7. April 2027 braucht jeder Server mindestens 2.6.84.0 und anwendungsbasierte Authentifizierung. Sonst stoppt der Abgleich.
- Version 2.6.91.0 bringt einen geführten Wechsel zu Entra Cloud Sync. Der Workflow gilt nur in der Public Cloud.
- Version 2.6.92.0 enthält Sicherheitsfixes. Microsoft empfiehlt das Upgrade so bald wie möglich.
Was Microsoft jetzt verlangt
Die Fristen stehen an zwei Stellen. Die Meldung MC1237727 hat Microsoft am 23. Februar 2026 veröffentlicht und seither nicht aktualisiert. Die Versionshistorie wurde zuletzt am 23. September 2026 aktualisiert, am Tag des Hotfixes 2.6.92.0; wann sie erstmals erschien, nennt die Seite nicht.
Im Message Center (MC1237727, hier als Spiegel gelesen) steht der Breaking Change: Wer eine Version vor 2.5.79.0 betreibt, kann den Synchronisierungsdienst ab dem 30. September 2026 nicht mehr nutzen. Die zweite Frist nennt die Versionshistorie auf Microsoft Learn.
Dort verlangt Microsoft bis zum 7. April 2027 mindestens Version 2.6.84.0 und anwendungsbasierte Authentifizierung. Die ältere Anmeldung wird abgeschaltet. Erfüllt ein Server beides nicht, stoppt die Synchronisierung. Zur Wiederherstellung brauchst du dann die aktuelle Version und eine konfigurierte Anwendungsanmeldung.
Alle Daten aus dem Message Center (MC1237727) und der Versionshistorie auf Microsoft Learn.
Daneben läuft jede 2.x-Version zwölf Monate nach dem Erscheinen ihres Nachfolgers aus. Daraus ergibt sich diese Übersicht:
| Version | Supportende | Erschienen | Bemerkung |
|---|---|---|---|
| 2.5.79.0 | 23.10.2026 | 01.09.2025 | Mindestversion ab 30.09.2026, läuft als erste aus |
| 2.5.190.0 | 02.02.2027 | 19.11.2025 | Oberfläche des Synchronization Service Managers meiden |
| 2.6.1.0 | 10.03.2027 | 02.02.2026 | behebt das Problem mit dem Service Manager |
| 2.6.3.0 | 07.07.2027 | 10.03.2026 | unter 2.6.84.0, erfüllt die Frist vom 7. April 2027 nicht |
Auszug aus der Supporttabelle der Versionshistorie.
Ein Abschaltdatum für Connect Sync als Produkt nennt die Versionsseite nicht. Wer eine unterstützte 2.x-Version betreibt und die Fristen einhält, synchronisiert weiter.
Sicherheit: Anmeldung per Anwendung
Anwendungsbasierte Authentifizierung ersetzt das frühere Verzeichnis-Synchronisierungskonto. Neue Installationen richten sie bei der Einrichtung selbst ein. Bei bestehenden Servern musst du nachhelfen.
Dabei hat Microsoft das Verhalten in den Versionen 2.6.84.0 und 2.6.91.0 bewusst geändert. Der Assistent fällt nicht mehr stillschweigend auf das alte Konto zurück, wenn die Einrichtung scheitert, sondern bricht mit einer Fehlermeldung ab. Bestehende Server stellt Connect im Hintergrund nicht mehr um. Du startest den Assistenten und wählst „Configure application-based authentication to Microsoft Entra ID“.
Zudem behebt 2.6.91.0 einen Fehler bei der Zertifikatsrotation, der den letzten nutzbaren Anwendungsschlüssel entfernen konnte. In 2.5.190.0 und früheren Versionen warnt Microsoft ausserdem davor, die Oberfläche des Synchronization Service Managers zu nutzen. Änderungen dort können den Assistenten und die automatische Zertifikaterneuerung stören; 2.6.1.0 behebt das.
Cloud: Der geführte Wechsel zu Cloud Sync
Version 2.6.91.0 erschien am 16. September 2026 und enthält einen geführten Migrations-Workflow zu Entra Cloud Sync. Er arbeitet in vier Stufen:
| Stufe | Inhalt |
|---|---|
| Bewertung | Prüfung der bestehenden Konfiguration |
| Agent-Setup | Einrichtung des Provisioning-Agenten |
| Schrittweise Aktivierung | Umschalten in Etappen |
| Validierung | Kontrolle des Ergebnisses |
Stufen laut Release Notes zu Version 2.6.91.0. Der Workflow steht nur in der Azure Public Cloud zur Verfügung.
Damit wird ein Umzug planbar, ohne alles an einem Wochenende umzuschalten. Ob Cloud Sync alle Funktionen deiner Umgebung abdeckt, klärt die Bewertungsstufe nur zum Teil. Prüfe die Anforderungen deshalb zusätzlich anhand deiner eigenen Liste. Wer bei Connect Sync bleibt, ist mit 2.6.92.0 gut aufgestellt.
Infrastruktur: Voraussetzungen, Hotfix und Conditional Access
Für den Connect-Server nennt Microsoft als Mindestanforderung .NET Framework 4.7.2 und TLS 1.2. Die MSI-Datei gibt es nur noch im Microsoft Entra Admin Center, nicht mehr über andere Wege.
Version 2.6.92.0 vom 23. September 2026 ist ein Hotfix mit Sicherheitsfixes. Er behebt auch einen Fehler aus 2.6.91.0, bei dem die Einrichtung von Pass-through Authentication im Assistenten scheitern konnte. Wer mit einer bestehenden ADSync-Datenbank auf 2.6.84.0 aktualisieren will, kann dabei auf den Fehler 0xE0474352 stossen. Nimm in diesem Fall gleich 2.6.91.0 oder neuer.
Zudem fügt 2.6.91.0 Microsoft-Graph-Berechtigungen hinzu. Wenn du Conditional-Access-Richtlinien auf einzelne Apps ausrichtest, prüfe jene für Microsoft.Azure.SyncFabric und Microsoft 365 Reporting Service. Die Anmeldung im Assistenten ist seit 2.6.91.0 standardmässig phishing-resistent und unterstützt Passkeys, FIDO2-Sicherheitsschlüssel und Kennwörter.
Als Randhinweis für Domänencontroller: Microsoft hat die Umstellung der Kerberos-Tickets für Dienstkonten von RC4 auf AES-SHA1 in Phasen eingeführt. Laut Support-Seite entfällt mit den Updates vom Juli 2026 der Registry-Schalter für die Rücknahme. Konten, die noch RC4 brauchen, solltest du daher kennen.
Was du jetzt tun solltest
- Stelle die Version jedes Connect-Servers fest, den Staging-Server eingeschlossen.
- Liegt eine Version unter 2.5.79.0, stoppt die Synchronisierung am 30. September. Aktualisiere sofort.
- Plane für alle Versionen unter 2.6.84.0 das Upgrade vor dem 7. April 2027. Ziel ist 2.6.92.0, die MSI lädst du im Entra Admin Center.
- Prüfe vorher .NET Framework 4.7.2 und TLS 1.2 auf dem Server.
- Stelle bestehende Server im Assistenten auf anwendungsbasierte Authentifizierung um.
- Kontrolliere deine Conditional-Access-Richtlinien für die beiden genannten Apps.
- Starte die Bewertung für Cloud Sync, wenn du einen Wechsel erwägst, und lege alte Server danach vollständig still.
- Nutzt du die Kennwortrückschreibung der Selbstbedienung, lies auch den Artikel zur SSPR-Änderung im November.
Fazit
Am 30. September stehen Server mit alten Versionen still, und am 23. Oktober endet der Support für 2.5.79.0. Wer auf 2.6.92.0 aktualisiert und die Anwendungsanmeldung einrichtet, erfüllt die Pflicht vom April 2027 und bekommt die Sicherheitsfixes gleich mit. Der geführte Wechsel zu Cloud Sync ist eine Option, kein Zwang.
Quellen: Message Center MC1237727 (Spiegel), Versionshistorie Entra Connect, Kerberos RC4 (Microsoft Support). Foto: Lucent_Designs_dinoson20 / Pixabay. Stand: 23. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.