Microsoft hat am 16. September 2026 die Version 2.6.91.0 von Microsoft Entra Connect veröffentlicht. Die neue Version schließt Sicherheitslücken in eingebetteten Drittanbieter-Bibliotheken und bringt einen geführten Migrations-Workflow von Entra Connect Sync auf Entra Cloud Sync mit. Gleichzeitig rückt die harte Frist näher: Am 30. September 2026 stellen alle Synchronisierungsdienste den Betrieb ein, sofern auf dem Connect-Server nicht mindestens Version 2.5.79.0 läuft.

Betroffen sind alle Betriebe, die ein lokales Active Directory mit Microsoft Entra ID abgleichen – die klassische Hybrid-Identität. Wer einen Connect-Sync-Server auf einem Windows-Server betreibt und dort Passwort-Hash-Synchronisierung, Pass-through-Authentifizierung, Seamless Single Sign-On oder Passwort-Rückschreibung nutzt, muss handeln. Reine Cloud-Tenants ohne lokales AD und Umgebungen, die bereits auf Entra Cloud Sync umgestellt haben, sind nicht betroffen, weil der dortige Agent von Microsoft selbst gepflegt wird.

Im schlechtesten Fall sieht es so aus: Ab dem 30. September schlagen sämtliche Synchronisierungsläufe fehl. Neue Mitarbeiter erhalten keine Cloud-Identität, gesperrte Konten bleiben in der Cloud aktiv, und Passwortänderungen aus dem lokalen AD kommen nicht an. Der sicherheitskritischste Punkt: Ein Austritt, der lokal im AD sauber deaktiviert wird, hebt den Microsoft-365-Zugang nicht auf. Der Fehler ist leise – niemand bekommt eine Fehlermeldung, die Lücke zwischen AD und Cloud wächst einfach jeden Tag weiter.

Was in Version 2.6.91.0 konkret drin ist

Die Version steht ausschließlich über das [Microsoft Entra Admin Center](https://borncity.com/blog/2026/09/18/entra-connect-v2-6-91-0-veroeffentlicht/) zum Download bereit. Ein automatisches Upgrade ist nicht verfügbar – das muss man selbst auslösen. Der geführte Migrations-Workflow von Entra Connect Sync zu Entra Cloud Sync umfasst Konfigurationsprüfung, Provisioning-Agent-Einrichtung, schrittweise Aktivierung und Validierung und ist ausschließlich in der Azure Public Cloud verfügbar. Zusätzlich wird eine weitere Sovereign-Cloud-Umgebung unterstützt, inklusive Pass-through Authentication, Seamless SSO, Passwort-Rückschreibung und Health-Agent-Monitoring.

Die phishing-resistente Authentifizierung im Setup-Assistenten ist jetzt GA und standardmäßig aktiviert. Der Windows Web Account Manager unterstützt Passkeys, FIDO2-Sicherheitsschlüssel und Passwörter und wiederverwendet die angemeldete Sitzung über Microsoft-Entra-Dienste hinweg. Ein Detail für die PowerShell-Konfiguration von Seamless SSO: Die Datei ADSync.psd1 muss vor AzureADSSO.psd1 importiert werden. Cloud-Konfigurations-Cmdlets wie Set-ADSyncAADCompanyFeature oder Set-ADSyncScheduler benötigen nicht mehr den expliziten Parameter -AADUserName.

Der mitgelieferte SQL Server 2022 LocalDB wurde von Version 16.0.4250.1 auf 16.0.4262.2 aktualisiert. Mehrere Sicherheitslücken in eingebetteten Drittanbieter-Abhängigkeiten wurden geschlossen, lokale Temp-Datei-Berechtigungen wurden gehärtet und der SharePoint-Connector für Profilbild-Downloads abgesichert. Ein Punkt, der bei der Planung Beachtung verdient: Microsoft hat Graph-Berechtigungen zu Entra Connect hinzugefügt. Wer App-basierte Conditional-Access-Richtlinien verwendet, sollte die Richtlinien prüfen, die auf Microsoft.Azure.SyncFabric oder den Microsoft 365 Reporting Service abzielen.

Die Versions-Falle, die sowohl [Schönfelder EDV](https://s-edv.com/news/entra-connect-sync-upgrade-pflicht-30-september-2026) als auch [Pro IT NW](https://www.proitnw.com/blog/entra-connect-sync-stops-september-30-2026/) beschreiben: Version 2.5.79.0 ist gleichzeitig die Mindestversion, die am 30. September überlebt, und eine Version, deren eigener Support am 23. Oktober 2026 endet. Wer auf 2.5.79.0 aktualisiert, hat die Frist erfüllt und ist drei Wochen später wieder ohne Support.

Was jetzt zu tun ist

1. Installierte Version ermitteln und alle Connect-Server erfassen, einschließlich eines eventuellen Staging-Servers. Der schnellste Weg führt über die Systemsteuerung unter „Programme und Features" oder per PowerShell mit dem Befehl Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Azure AD Connect" auf dem Connect-Server. Liegt die Version unter 2.5.79.0, besteht akuter Handlungsbedarf vor dem 30. September.
2. Vor dem Upgrade die Synchronisierungsregeln exportieren und eine Snapshot-Sicherung der virtuellen Maschine anlegen. Bei einem In-Place-Upgrade ist ein Rollback auf die vorherige Version laut Microsoft nicht vorgesehen – die Sicherung ist die einzige Rückfalloption. Danach die MSI-Datei über das Entra Admin Center herunterladen und das Upgrade durchführen.
3. Nach dem Upgrade einen Synchronisierungslauf anstoßen und im Synchronisierungsdienst-Manager sowie im Anwendungs-Ereignisprotokoll auf Fehler prüfen. Konkret testen: Eine Passwortänderung im lokalen AD muss in Entra ID ankommen, ein neu angelegtes AD-Konto muss in der Cloud erscheinen, und ein deaktiviertes Konto muss den Cloud-Zugang verlieren.

Das Ärgerliche an der ganzen Sache: Man merkt den Ausfall nicht an einer Fehlermeldung, sondern daran, dass der neue Mitarbeiter seit drei Tagen keinen Zugriff auf seine Cloud-Postfächer hat, obwohl im AD alles sauber angelegt ist. Wer jetzt unsicher ist, ob die eigene Connect-Sync-Version noch im grünen Bereich liegt, hat damit schon die richtige Frage gestellt. Wir schauen uns das gerne einmal an – von der Versionsprüfung bis zum Upgrade – und melden uns, wenn alles sauber synchronisiert. Hier kommt man direkt zu uns.