Entra ID für den Mittelstand: Migration

Microsoft Entra ID — bis 2023 als Azure Active Directory bekannt — ist für die meisten mittelständischen Unternehmen längst Realität, oft ohne dass es eine bewusste Entscheidung war. Wer Microsoft 365 nutzt, nutzt Entra ID. Die spannende Frage ist deshalb selten, ob man Entra ID einsetzt, sondern wie gut: ob es sauber mit dem bestehenden on-prem Active Directory verzahnt ist, ob moderne Schutzmechanismen wie Conditional Access und MFA konsequent greifen, und ob die Identitätsverwaltung dem aktuellen Bedrohungsbild standhält.

Dieser Leitfaden zeigt, was Entra ID im Mittelstand leistet, wie die Migration vom klassischen Active Directory praktisch abläuft, welche Rolle Hybrid Identity dabei spielt — und welche Best Practices über Erfolg oder Frust entscheiden. Entra ID Mittelstand bedeutet, die volle Schutzwirkung der Plattform zu nutzen, statt sie nur als E-Mail-Anmeldung zu betreiben.

Active Directory und Entra ID: zwei Welten

Ein verbreitetes Missverständnis lautet, Entra ID sei einfach „Active Directory in der Cloud". Das ist falsch und führt bei Migrationsprojekten regelmäßig in die Irre. Die beiden Systeme lösen unterschiedliche Probleme und arbeiten mit unterschiedlichen Protokollen.

Das klassische Active Directory (AD DS) ist ein on-prem Verzeichnisdienst, der für die Welt des Unternehmensnetzwerks gebaut wurde: Domänen, Organisationseinheiten, Gruppenrichtlinien (GPOs), Kerberos und LDAP. Es verwaltet Geräte, die im lokalen Netz hängen, und Anwendungen, die im Rechenzentrum laufen.

Entra ID dagegen ist ein cloud-natives Identitätssystem, das für moderne, internetbasierte Anwendungen gebaut wurde. Es spricht moderne Protokolle wie SAML, OAuth 2.0 und OpenID Connect. Es kennt keine GPOs und keine klassischen Organisationseinheiten im AD-Sinne, dafür Conditional Access, Identity Protection und nahtloses Single Sign-On zu tausenden Cloud-Anwendungen.

Merksatz
Entra ID ist nicht „AD in der Cloud", sondern ein eigenständiges, cloud-natives Identitätssystem. Wer es wie ein AD behandelt, verschenkt seine wichtigsten Schutzfunktionen.

Für die meisten mittelständischen Unternehmen ist deshalb nicht das eine oder das andere die Antwort, sondern die Verbindung beider Welten: Hybrid Identity.

Hybrid Identity: die Brücke

Hybrid Identity bedeutet, dass Ihr on-prem Active Directory und Entra ID synchronisiert zusammenarbeiten. Die meisten Mittelständler können oder wollen ihr lokales AD nicht von heute auf morgen abschalten — es hängen Dateiserver, Drucker, Fachanwendungen und Gerätemanagement daran. Hybrid Identity erlaubt einen schrittweisen, risikoarmen Übergang.

Das technische Herzstück ist die Synchronisierung. Microsoft Entra Cloud Sync (der Nachfolger von Entra Connect Sync, früher Azure AD Connect) repliziert Benutzer, Gruppen und Attribute aus dem lokalen AD in Entra ID. Damit hat ein Mitarbeiter eine einzige Identität, die sowohl lokal als auch in der Cloud funktioniert.

Bei der Authentifizierung haben Sie im Hybrid-Szenario im Wesentlichen zwei Optionen:

• Password Hash Sync (PHS): Ein Hash des Passwort-Hashes wird in die Cloud synchronisiert. Robust, einfach, cloud-unabhängig — die Authentifizierung funktioniert auch, wenn die on-prem-Infrastruktur ausfällt. Für die meisten Mittelständler die empfohlene Wahl.
• Pass-through Authentication (PTA): Die Passwortprüfung erfolgt direkt gegen das on-prem AD. Sinnvoll, wenn das Passwort aus Compliance-Gründen das lokale Netz nicht verlassen darf — aber abhängig von der Verfügbarkeit lokaler Agenten.

Die früher übliche Föderation über AD FS ist für den Mittelstand heute fast nie die richtige Wahl: zu komplex, zu wartungsintensiv, ein zusätzlicher Single Point of Failure. Cloud-Authentifizierung per PHS ist einfacher, sicherer und zukunftsfähiger.

Die Migration: Schritt für Schritt

Eine Migration zu Entra ID ist selten ein „Big Bang", bei dem über Nacht alles umgestellt wird. Bewährt hat sich ein phasenweises Vorgehen, das Risiken klein hält und jederzeit Rückzugsoptionen bietet.

1. Bestandsaufnahme: Erfassen Sie, was Sie heute haben — AD-Struktur, Gruppenrichtlinien, Anwendungen, Geräte, vorhandene Lizenzen. Identifizieren Sie Altlasten: verwaiste Konten, veraltete Gruppen, unklare Berechtigungen. Eine Migration ist die ideale Gelegenheit zum Aufräumen.
2. Verzeichnis bereinigen: Synchronisieren Sie keinen Müll in die Cloud. Bereinigen Sie das AD, bevor Sie es anbinden — sonst tragen Sie den Wildwuchs nur in eine neue Umgebung.
3. Hybrid-Sync aufsetzen: Richten Sie Entra Cloud Sync mit Password Hash Sync ein. Starten Sie mit einer Pilotgruppe, prüfen Sie die Synchronisierung sorgfältig, bevor Sie alle Nutzer einbeziehen.
4. Identitäten und Geräte modernisieren: Führen Sie Entra-Join oder Hybrid-Entra-Join für Geräte ein, sodass diese cloud-verwaltet werden können — typischerweise über Microsoft Intune.
5. Anwendungen anbinden: Integrieren Sie Ihre Anwendungen per SSO in Entra ID. Beginnen Sie mit den wichtigsten und am breitesten genutzten.
6. Sicherheitsrichtlinien aktivieren: Aktivieren Sie MFA und Conditional Access (siehe unten) — der eigentliche Sicherheitsgewinn der Migration.
7. On-prem schrittweise reduzieren: Wo es geht, lösen Sie on-prem-Abhängigkeiten ab. Manche Mittelständler kommen am Ende ohne lokales AD aus, andere behalten einen schlanken Rest für spezielle Fachanwendungen.

Wer tiefer in die technischen Details des AD-zu-Entra-Übergangs einsteigen will, findet diese in unserem Beitrag zur Active-Directory-zu-Entra-ID-Migration. Das größere strategische Bild — wie Identitätsmanagement in eine Security-Gesamtstrategie passt — beschreibt unser Leitfaden zu IAM im Mittelstand.

Conditional Access: das Herzstück

Wenn man aus einer Entra-Migration nur eine einzige Funktion mitnehmen sollte, dann diese: Conditional Access. Sie ist der entscheidende Sicherheitsgewinn gegenüber dem klassischen AD und der Grund, warum die Migration mehr ist als nur ein technischer Plattformwechsel.

Conditional Access funktioniert nach einem einfachen Prinzip: Wenn-Dann-Regeln, die bei jeder Anmeldung ausgewertet werden. Die Plattform betrachtet Signale — wer meldet sich an, von welchem Gerät, von welchem Standort, mit welchem Risiko-Score — und entscheidet daraufhin, ob der Zugriff erlaubt, blockiert oder mit zusätzlichen Anforderungen versehen wird.

Typische Conditional-Access-Richtlinien für den Mittelstand:

• MFA erzwingen für alle Nutzer beim Zugriff auf Cloud-Anwendungen — die wirksamste Einzelmaßnahme gegen Kontoübernahmen.
• MFA immer für Administratoren, ohne Ausnahme — privilegierte Konten sind das Hauptziel von Angreifern.
• Zugriff aus Risikoländern blockieren, in die Ihr Unternehmen keine Geschäftsbeziehungen unterhält.
• Nur verwaltete oder konforme Geräte für den Zugriff auf besonders sensible Daten zulassen.
• Risikobasierte Richtlinien, die bei verdächtigen Anmeldungen automatisch zusätzliche Prüfungen oder Passwortwechsel auslösen.

Conditional Access ist damit der praktische Hebel, um Zero-Trust-Prinzipien umzusetzen: niemandem wird allein aufgrund der Netzwerkposition vertraut, jeder Zugriff wird situativ bewertet.

Praxis-Tipp
Starten Sie Conditional Access immer im „Report-only"-Modus. So sehen Sie, welche Anmeldungen eine Richtlinie blockieren würde — bevor sie es scharf tut und versehentlich halbe Abteilungen aussperrt.

MFA und SSO: Komfort und Sicherheit zugleich

Multi-Faktor-Authentifizierung und Single Sign-On werden oft als Gegensätze wahrgenommen — Sicherheit gegen Komfort. In Entra ID sind sie das Gegenteil: zwei Seiten derselben Medaille.

MFA ist die wirksamste Einzelmaßnahme gegen kompromittierte Zugangsdaten. Selbst wenn ein Angreifer ein Passwort erbeutet, scheitert er am zweiten Faktor. Setzen Sie nach Möglichkeit auf phishing-resistente Verfahren: die Microsoft Authenticator App mit Nummernabgleich, FIDO2-Hardwaretokens oder Passkeys. SMS-basierte MFA ist besser als nichts, aber das schwächste Verfahren — es lässt sich über SIM-Swapping aushebeln.

SSO verbessert nicht nur den Komfort, sondern auch die Sicherheit. Wenn sich Mitarbeiter einmal zentral authentifizieren und damit Zugang zu allen angebundenen Anwendungen erhalten, müssen sie sich weniger Passwörter merken — und greifen seltener zu unsicheren Workarounds wie Passwort-Wiederverwendung oder Notizzetteln. Gleichzeitig erzwingen Sie MFA an genau einer Stelle für alle Anwendungen, statt sie in jedem System einzeln zu konfigurieren.

Die Kombination ist der eigentliche Gewinn: einmal stark authentifizieren, dann komfortabel und sicher auf alles zugreifen, was die Rolle erlaubt.

Typische Stolperfallen bei der Migration

So geradlinig die Phasen klingen — in der Praxis stolpern Migrationsprojekte immer wieder über dieselben Fehler. Wer sie kennt, vermeidet sie:

• Den Wildwuchs mitnehmen: Wer ein ungeprüftes AD synchronisiert, hat hinterher dieselben verwaisten Konten und überdehnten Gruppen — nur in der Cloud. Die Migration ist die beste Gelegenheit zum Aufräumen; verschenken Sie sie nicht.
• Sich selbst aussperren: Eine zu scharfe Conditional-Access-Richtlinie, ohne Report-only-Test und ohne Break-Glass-Konten, kann binnen Minuten die gesamte Belegschaft aussperren — inklusive der Administratoren. Das ist der gefürchtetste Migrationsfehler überhaupt.
• MFA-Registrierung unterschätzen: MFA technisch zu erzwingen ist einfach. Hunderte Mitarbeiter dazu zu bringen, die Authenticator-App sauber zu registrieren, ist Change-Management. Planen Sie Kommunikation, Anleitungen und einen Support-Kanal ein.
• Lizenz-Fallen: Viele wertvolle Funktionen — Conditional Access, Identity Protection, PIM, Access Reviews — setzen Entra ID P1 oder P2 voraus. Wer das erst nach der Konzeption merkt, muss umplanen oder nachlizenzieren.
• AD FS unnötig weiterschleppen: Bestehende Föderationsinfrastruktur wird oft aus Gewohnheit beibehalten, obwohl Cloud-Authentifizierung per Password Hash Sync einfacher und sicherer wäre. Eine Föderation ist zusätzlicher Wartungsaufwand und ein Single Point of Failure.
• Geräte vergessen: Eine Identitätsmigration ohne Geräte-Strategie bleibt Stückwerk. Erst wenn Geräte über Entra-Join und Intune verwaltet werden, greifen gerätebasierte Conditional-Access-Richtlinien wirklich.

Die meisten dieser Fallen haben eine gemeinsame Wurzel: zu viel Tempo, zu wenig Vorbereitung. Eine Entra-Migration ist kein reines IT-Projekt, sondern berührt Prozesse, Lizenzen und Menschen. Wer das einplant, migriert ruhig statt riskant.

Best Practices für den Mittelstand

Aus zahlreichen Migrationsprojekten lassen sich einige Best Practices ableiten, die den Unterschied zwischen einem soliden und einem fragilen Entra-Setup ausmachen:

• Privilegierte Konten besonders schützen: Nutzen Sie separate Admin-Konten (kein Surfen mit Admin-Rechten), erzwingen Sie für sie kompromisslos MFA und prüfen Sie Privileged Identity Management (PIM) für zeitlich befristete, „Just-in-Time"-Administratorrechte.
• Break-Glass-Konten anlegen: Halten Sie zwei Notfall-Administratorkonten bereit, die von Conditional Access ausgenommen sind — für den Fall, dass eine fehlerhafte Richtlinie alle anderen aussperrt. Bewahren Sie deren Zugangsdaten sicher und offline auf.
• Self-Service Password Reset (SSPR) aktivieren: Entlastet die IT und beschleunigt die Wiederherstellung — vorausgesetzt, MFA ist zuvor sauber registriert.
• Sicherheitsdefaults nicht ungeprüft deaktivieren: Wer mit Conditional Access arbeitet, schaltet die „Security Defaults" zwar ab, muss dann aber gleichwertige Richtlinien selbst aktiv setzen — nie eine Lücke entstehen lassen.
• Lizenzen bewusst wählen: Conditional Access, Identity Protection und PIM erfordern Entra ID P1 bzw. P2. Prüfen Sie, welche Funktionen Sie wirklich brauchen, und planen Sie die Lizenzierung entsprechend.
• Aufräumen vor dem Umzug: Migrieren Sie nie ungeprüft. Eine saubere Berechtigungsrezertifizierung vor der Migration verhindert, dass Sie Altlasten in die neue Umgebung übernehmen.

Wie welabs Sie bei Entra ID unterstützt

welabs begleitet mittelständische Unternehmen dabei, das volle Potenzial von Microsoft Entra ID zu heben — von der Migration bis zum durchdachten Schutzkonzept. Im Rahmen unseres Identity & Access Managements bieten wir:

• Entra-Readiness-Assessment: Bestandsaufnahme Ihrer AD-Umgebung, Identifikation von Altlasten und Migrationspfad.
• Migrations- & Hybrid-Konzept: Planung und Begleitung der Migration, Aufbau von Hybrid Identity mit Cloud Sync.
• Conditional Access & MFA: Entwurf und Einführung wirksamer Zugriffsrichtlinien — risikobasiert, ohne den Betrieb auszusperren.
• Schutz privilegierter Konten: PIM, Just-in-Time-Zugriff und Härtung der Admin-Ebene.
• Governance & Rezertifizierung: dauerhaft saubere Berechtigungen und Audit-Bereitschaft für ISO 27001 und NIS2.

Als Strategic Security Advisor (SSA) denken wir Identität nicht als isoliertes Technikprojekt, sondern als Teil Ihrer Security-Strategie. Sie wollen wissen, wie sicher Ihr Entra-Setup heute aufgestellt ist? Vereinbaren Sie ein Erstgespräch für einen ersten, kostenlosen Security-Check.

Fazit

Microsoft Entra ID ist für mittelständische Unternehmen weit mehr als die Anmeldung an Microsoft 365 — es ist die zentrale Schaltstelle für moderne, identitätsbasierte Sicherheit. Der Übergang vom klassischen Active Directory gelingt am besten als schrittweise Migration über Hybrid Identity: erst bereinigen, dann synchronisieren, dann modernisieren, schließlich schützen. Der eigentliche Gewinn liegt nicht im Plattformwechsel selbst, sondern in den Schutzmechanismen, die Entra ID mitbringt: Conditional Access, MFA und durchgängiges SSO.

Wer diese Funktionen konsequent nutzt, hebt sein Sicherheitsniveau spürbar — und schafft zugleich die Grundlage für Audit-Bereitschaft und eine zukunftsfähige IT. Entra ID Mittelstand heißt nicht, Konzern-Komplexität zu importieren, sondern die vorhandene Plattform endlich so zu nutzen, wie sie gedacht ist: als wirksamen, situativ urteilenden Wächter über jede einzelne Anmeldung.