AD auf Entra ID migrieren: Ein Praxisbericht

Wer in den letzten Jahren mit Microsoft 365 gearbeitet hat, kennt die Frage: Wie lange tragen wir unser altes on-prem Active Directory eigentlich noch mit? Für viele mittelständische Unternehmen ist das lokale AD ein gewachsenes Fundament, das tadellos funktioniert – und genau deshalb selten angefasst wird. Doch mit zunehmender Cloud-Nutzung wird die Doppelstruktur aus lokalem Verzeichnis und Cloud-Identitäten zur Last. Dieser Praxisbericht zeigt, wie ein Unternehmen seine Active Directory Entra ID Migration angegangen ist – mit allen Stolpersteinen.

Der Beitrag beschreibt anonymisiert ein reales Projekt: einen mittelständischen Maschinenbauer mit rund 600 Mitarbeitern an mehreren Standorten. Wir schildern die Ausgangslage, die gewählte Migrationsstrategie vom hybriden Betrieb in Richtung Cloud, die größten Hürden – Legacy-Anwendungen, Conditional Access und der MFA-Rollout – sowie das Ergebnis und die Lessons Learned. Keine Hochglanz-Story, sondern ein ehrlicher Werkstattbericht.

Ausgangslage: ein gewachsenes on-prem AD

Der Maschinenbauer betrieb seit über 15 Jahren ein lokales Active Directory. Es verwaltete sämtliche Benutzerkonten, Gruppen und Computer, steuerte Dateifreigaben über NTFS-Berechtigungen und verteilte Hunderte von Gruppenrichtlinien. Parallel war Microsoft 365 im Einsatz – E-Mail, Teams, SharePoint –, angebunden über eine Verzeichnissynchronisation, die Identitäten aus dem lokalen AD in die Cloud spiegelte.

Das Ergebnis war ein typischer Hybrid-Zustand mit klaren Schmerzpunkten:

• Zwei Welten, doppelte Pflege: Jede Änderung musste im lokalen AD erfolgen und in die Cloud synchronisiert werden. Fehlerquellen und Verzögerungen inklusive.
• Schwache Authentifizierung: Der Zugriff auf Cloud-Dienste lief weitgehend mit Benutzername und Passwort. Mehrstufige Authentifizierung war nur punktuell aktiv.
• Kaum Kontextsteuerung: Es gab keine Möglichkeit, Zugriffe abhängig von Standort, Gerät oder Risiko zu steuern. Wer das Passwort kannte, kam von überall hinein.
• Alterndes Fundament: Die lokalen Domaincontroller liefen auf in die Jahre gekommener Hardware. Eine Modernisierung stand ohnehin an.

Der Auslöser für das Projekt war eine Kombination aus Sicherheitsanforderungen – auch im Hinblick auf die seit Dezember 2025 in Kraft befindlichen NIS2-Vorgaben – und dem schlichten Wunsch, die Doppelpflege zu beenden.

Aus der Praxis
Der häufigste Irrtum vorab: „Wir machen mal eben das AD in die Cloud." Eine Active-Directory-Entra-ID-Migration ist kein Lift-and-Shift, sondern eine Neuausrichtung des Identitätsmodells. Wer das unterschätzt, plant zu knapp.

Die Migrationsstrategie: von Hybrid in Richtung Cloud

Ein harter Schnitt – das lokale AD abschalten und alles auf Entra ID umstellen – kam nicht in Frage. Zu viele Abhängigkeiten, zu viel Risiko. Stattdessen wählten wir eine gestufte Strategie: erst den hybriden Zustand sauber aufsetzen und absichern, dann Schritt für Schritt Abhängigkeiten vom lokalen AD abbauen.

Die Strategie gliederte sich in drei Stufen:

1. Hybrid härten: Die bestehende Verzeichnissynchronisation wurde überprüft und bereinigt, moderne Authentifizierung aktiviert und die Grundlage für Conditional Access und MFA gelegt. Ziel dieser Stufe war nicht die Migration selbst, sondern ein stabiles, sicheres Hybrid-Fundament.
2. Cloud-first werden: Neue Anwendungen und Dienste wurden konsequent gegen Entra ID authentifiziert, nicht mehr gegen das lokale AD. Geräte wurden schrittweise direkt in Entra ID eingebunden (Entra Join) statt nur in die lokale Domäne.
3. Abhängigkeiten abbauen: Die verbliebenen Bindungen ans lokale AD – Dateifreigaben, Legacy-Anwendungen, alte Druckdienste – wurden einzeln analysiert und, wo möglich, abgelöst oder modernisiert.

Wichtig war die Entscheidung, das lokale AD vorerst nicht vollständig abzuschalten, sondern auf eine klar definierte Restmenge zu reduzieren. Ein realistisches Zwischenziel schlägt einen unerreichbaren Endzustand.

Stolperstein 1: Legacy-Anwendungen

Die größte Hürde waren – wie fast immer – die alten Fachanwendungen. Der Maschinenbauer betrieb mehrere branchenspezifische Programme, die noch auf klassische AD-Mechanismen setzten: integrierte Windows-Authentifizierung, LDAP-Abfragen, teils hartkodierte Domänen-Annahmen. Diese Anwendungen sprachen schlicht kein modernes Cloud-Protokoll.

Für jede dieser Anwendungen mussten wir individuell entscheiden:

• Modernisieren: Lässt sich die Anwendung auf moderne Authentifizierung umstellen? Bei einigen war ein Update des Herstellers verfügbar.
• Brücken bauen: Für Anwendungen, die zwingend klassische Authentifizierung brauchen, kann der Microsoft Entra Application Proxy einen sicheren Zugang bereitstellen, ohne sie selbst zu verändern.
• Verbindlich am lokalen AD belassen: Manche Altanwendungen blieben bewusst an die Restmenge des lokalen AD gebunden – mit der klaren Roadmap, sie mittelfristig abzulösen.

Lesson Learned
Inventarisieren Sie Ihre Anwendungslandschaft, bevor Sie über Zeitpläne reden. Die Frage „Wogegen authentifiziert sich diese Anwendung eigentlich?" lässt sich für überraschend viele Programme nicht aus dem Stand beantworten – und genau diese Unklarheit ist der größte Zeitfresser jeder Migration.

Stolperstein 2: Conditional Access richtig schneiden

Mit der Verlagerung in die Cloud kam die Chance, Zugriffe endlich kontextabhängig zu steuern. Conditional Access ist das Herzstück dieser Kontrolle: Regeln, die abhängig von Benutzer, Gerät, Standort, Anwendung und Risiko entscheiden, ob und wie ein Zugriff erlaubt wird.

Die Versuchung ist groß, sofort viele granulare Regeln zu bauen. Genau das wäre ein Fehler gewesen. Wir starteten mit einem kleinen Satz robuster Basis-Richtlinien:

• MFA für alle Benutzer beim Zugriff auf Cloud-Dienste.
• Blockieren von Legacy-Authentifizierungsprotokollen, die kein MFA unterstützen.
• Erhöhte Anforderungen für administrative Konten.
• Geräte-Compliance als Bedingung für den Zugriff auf besonders sensible Anwendungen.

Die Tücke lag im Detail: Conditional Access kann Menschen aussperren – inklusive der Administratoren. Deshalb richteten wir zuerst Notfallzugänge (Break-Glass-Accounts) ein und testeten jede Richtlinie zunächst im reinen Melde-Modus, bevor sie scharf geschaltet wurde. Auch technische Konten und Servicekonten mussten sauber von den Richtlinien ausgenommen oder gesondert behandelt werden, um Betriebsunterbrechungen zu vermeiden.

Praxis-Tipp
Schalten Sie neue Conditional-Access-Richtlinien immer zuerst im Report-only-Modus und werten Sie die Auswirkungen aus, bevor Sie sie erzwingen. Und richten Sie Break-Glass-Konten ein, bevor Sie die erste Sperr-Richtlinie aktivieren – nicht danach. Wer sich selbst aussperrt, lernt diese Lektion teuer.

Stolperstein 3: Der MFA-Rollout

Technisch ist mehrstufige Authentifizierung in Entra ID schnell aktiviert. Die eigentliche Herausforderung ist menschlich. Bei rund 600 Mitarbeitern – darunter viele in der Produktion ohne festen Arbeitsplatz-PC – wurde der MFA-Rollout zum Change-Projekt.

Mehrere Hürden mussten wir lösen:

• Geräte-Frage: Nicht jeder Mitarbeiter wollte oder durfte ein privates Smartphone für die Authentifizierungs-App nutzen. Für Produktionsmitarbeiter ohne Diensthandy brauchte es alternative Verfahren.
• Akzeptanz: MFA wird zunächst als zusätzliche Hürde empfunden. Ohne Kommunikation des Warum entsteht Widerstand.
• Support-Last: In den ersten Wochen nach dem Rollout stiegen die Anfragen am Service Desk spürbar – verlorene Geräte, Einrichtungsprobleme, Rückfragen.

Erfolgsentscheidend war ein gestaffeltes Vorgehen: erst eine Pilotgruppe, dann die Bürobereiche, zuletzt die Produktion mit angepassten Verfahren. Begleitet von klarer Kommunikation, Anleitungen in einfacher Sprache und einem vorbereiteten Service Desk. MFA ist kein technisches, sondern ein organisatorisches Projekt – wer es als reinen Schalter behandelt, erzeugt Frust.

Ergebnis: weniger Doppelpflege, mehr Kontrolle

Nach Abschluss der ersten beiden Strategiestufen stand der Maschinenbauer deutlich besser da als zuvor. Die wichtigsten Ergebnisse:

• Mehrstufige Authentifizierung flächendeckend aktiv – ein massiver Sicherheitsgewinn gegenüber der reinen Passwort-Anmeldung.
• Kontextbasierte Zugriffssteuerung über Conditional Access, mit klaren Basis-Richtlinien und der Sperre unsicherer Legacy-Protokolle.
• Reduzierte Abhängigkeit vom lokalen AD: Neue Anwendungen und Geräte laufen Cloud-first über Entra ID. Das lokale AD ist auf eine klar umrissene Restmenge geschrumpft.
• Weniger Doppelpflege: Identitäts- und Zugriffsmanagement verlagert sich zunehmend in eine einzige Plattform.

Das lokale AD wurde bewusst nicht von heute auf morgen abgeschaltet – die verbleibenden Legacy-Anwendungen werden entlang einer Roadmap abgelöst. Genau diese Ehrlichkeit, einen realistischen Zwischenstand als Erfolg zu akzeptieren, hat das Projekt beherrschbar gemacht.

Aus der Praxis
Der größte Sicherheitsgewinn kam nicht von der Migration selbst, sondern von dem, was sie ermöglichte: flächendeckendes MFA und Conditional Access. Diese beiden Hebel hätten allein schon einen Großteil der realistischen Angriffsszenarien entschärft.

Lessons Learned

Was lässt sich aus diesem Projekt für andere mittelständische Unternehmen mitnehmen?

1. Inventar vor Zeitplan: Erst wissen, welche Anwendungen wogegen authentifizieren – dann planen. Die Anwendungslandschaft ist der schwerste Brocken.
2. Gestuft statt radikal: Ein hybrides Fundament härten, dann Cloud-first werden, dann Abhängigkeiten abbauen. Kein Big-Bang.
3. Sicherheit zuerst einsammeln: MFA und Basis-Conditional-Access bringen den größten Sicherheitsgewinn – oft schon, bevor die eigentliche Migration abgeschlossen ist.
4. Break-Glass nicht vergessen: Notfallzugänge und Report-only-Tests verhindern, dass Sie sich selbst aussperren.
5. MFA ist Change Management: Der Rollout steht und fällt mit Kommunikation, gestaffeltem Vorgehen und einem vorbereiteten Service Desk.
6. Das lokale AD darf bleiben – vorerst: Ein definierter Restbetrieb mit Roadmap ist kein Scheitern, sondern realistische Planung.

Wie welabs Sie bei der Migration unterstützt

Eine Active-Directory-Entra-ID-Migration berührt Identität, Sicherheit und Betrieb gleichermaßen. Wir begleiten mittelständische Unternehmen dabei mit Konzern-Erfahrung, übersetzt in machbare Schritte. Im Rahmen unseres Identity- & Access-Management-Angebots unterstützen wir Sie bei:

• Ist-Analyse und Anwendungsinventar: ehrliche Bestandsaufnahme Ihrer AD-Abhängigkeiten und Anwendungslandschaft.
• Migrationsstrategie: ein gestufter, risikoarmer Weg von Hybrid in Richtung Cloud – passend zu Ihrem Tempo.
• Conditional Access und MFA: Konzeption robuster Basis-Richtlinien und ein Rollout, der die Belegschaft mitnimmt.
• Legacy-Anwendungen: Bewertung und Lösungswege für Altanwendungen, von Modernisierung bis Application Proxy.
• Sicherheitsgewinn absichern: Verankerung der Verbesserungen in Ihrer Sicherheits- und Compliance-Strategie, auch mit Blick auf NIS2.

Wenn Sie Ihre AD-Landschaft modernisieren wollen, lassen Sie uns in einem unverbindlichen Erstgespräch über Ihre Ausgangslage sprechen. Wie eine Entra-ID-Einführung im Mittelstand grundsätzlich abläuft, lesen Sie zudem in unserem Beitrag zur Entra-ID-Migration im Mittelstand.

Fazit

Die Migration von einem on-prem Active Directory zu Entra ID ist für mittelständische Unternehmen kein technisches Detail, sondern eine Neuausrichtung des Identitätsmodells – mit echtem Sicherheitsgewinn am Ende. Der Praxisbericht zeigt: Der Erfolg liegt nicht im radikalen Schnitt, sondern im gestuften Vorgehen, in der ehrlichen Inventarisierung der Anwendungslandschaft und im Mut, einen sauberen Zwischenstand als Erfolg zu akzeptieren.

Wer MFA und Conditional Access früh einsammelt, Legacy-Anwendungen realistisch bewertet und den menschlichen Faktor beim MFA-Rollout ernst nimmt, kommt am Ende zu einer moderneren, sichereren und besser pflegbaren Identitätslandschaft – ohne die Risiken eines Big-Bang. Das lokale AD darf dabei ruhig noch eine Weile bleiben. Entscheidend ist die Richtung, nicht das Tempo.