Microsoft Entra Connect Sync 2.6.91.0 und 2.6.92.0: Sicherheitskorrekturen, Cloud-Sync-Migration und Pflicht-Upgrade bis April 2027

Microsoft hat Entra Connect Sync 2.6.91.0 am 16. September 2026 und den Hotfix 2.6.92.0 am 23. September 2026 veröffentlicht, beide nur als Download über das Microsoft Entra Admin Center. Version 2.6.91.0 behebt Sicherheitslücken in mitgelieferten Drittkomponenten, macht die phishing-resistente Anmeldung im Setup-Wizard allgemein verfügbar, bringt einen geführten Migrationsablauf zu Microsoft Entra Cloud Sync und korrigiert die drei Known Issues von 2.6.84.0. Version 2.6.92.0 behebt einen Fehler von 2.6.91.0 bei der Einrichtung von Pass-through Authentication. Gleichzeitig nennt Microsoft eine feste Frist: Bis 7. April 2027 müssen alle Server mindestens 2.6.84.0 betreiben und Application-Based Authentication nutzen, sonst stoppt die Synchronisation. Der Artikel richtet sich an Administratoren, die Entra Connect Sync betreiben. Der vorherige Stand ist im Artikel zu Entra Connect Sync 2.6.84.0 beschrieben.

Die Versionen im Überblick

Microsoft stuft 2.6.92.0 in den Release Notes als Release mit Sicherheitskorrekturen ein und empfiehlt, «so schnell wie möglich» zu aktualisieren. Für keine der beiden Versionen ist ein Auto-Upgrade-Rollout angekündigt (Stand 26. Oktober 2026). Auch 2.6.84.0 steht weiterhin nur als Download zur Verfügung.

Pflicht-Upgrade bis 7. April 2027

Die Versionshistorie und die Upgrade-Anleitung tragen neu einen gleichlautenden Hinweis: Entra Connect Sync muss bis 7. April 2027 auf Version 2.6.84.0 oder neuer aktualisiert und auf Application-Based Authentication (ABA) umgestellt sein. Microsoft stellt die Legacy-Authentifizierung über den Directory Synchronization Account ein; Server, die diese Voraussetzungen nicht erfüllen, synchronisieren nach diesem Datum nicht mehr. Stoppt die Synchronisation, stellt laut Microsoft ein Upgrade auf die aktuelle Version mit anschliessender ABA-Konfiguration den Betrieb wieder her.

Für die Planung ist eine Verhaltensänderung aus 2.6.84.0 entscheidend: Seit dieser Version stellt Entra Connect bestehende Server nicht mehr selbstständig auf ABA um. Nur Neuinstallationen konfigurieren ABA automatisch. Ein Upgrade allein erfüllt die Frist also nicht. Bestandsserver müssen Sie im Wizard über Additional tasks > Configure application-based authentication to Microsoft Entra ID umstellen.

Welches Verfahren ein Server aktuell nutzt, zeigt der Wizard unter View or export current configuration. Microsoft nennt dafür zusätzlich dieses Cmdlet:

Get-ADSyncEntraConnectorCredential

Der Rückgabewert ConnectorIdentityType lautet ServiceAccount (Legacy-Konto) oder Application (ABA). Steht dort ServiceAccount, ist die Umstellung vor dem 7. April 2027 erforderlich. Nach erfolgreicher Umstellung empfiehlt Microsoft, den alten Directory Synchronization Account aus Entra ID zu entfernen.

Version 2.6.91.0

Sicherheitskorrekturen

Die Release Notes nennen behobene Sicherheitslücken in mitgelieferten Drittkomponenten, gehärtete Berechtigungen auf lokalen temporären Dateien und abgesicherte Downloads von Profilbildern im SharePoint-Connector. CVE-Nummern, CVSS-Werte oder betroffene Komponenten nennt Microsoft nicht. Eine Einordnung des Schweregrads ist deshalb auf Basis der öffentlichen Quellen nicht möglich.

Neue Microsoft-Graph-Berechtigungen und Conditional Access

Entra Connect erhält zusätzliche Microsoft-Graph-Berechtigungen. Microsoft weist ausdrücklich darauf hin: Wer app-bezogene Conditional-Access-Richtlinien einsetzt, sollte Richtlinien prüfen, die auf Microsoft.Azure.SyncFabric oder den Microsoft 365 Reporting Service zielen. Prüfen Sie diese Richtlinien vor dem Upgrade, damit die neuen Zugriffe nicht blockiert werden.

Geführte Migration zu Cloud Sync

Neu ist ein geführter Ablauf für den Wechsel von Entra Connect Sync zu Microsoft Entra Cloud Sync. Er umfasst eine Bewertung der bestehenden Konfiguration, die Einrichtung des Provisioning Agent, eine gestufte Aktivierung und eine Validierung. Die Funktion steht nur in der Azure Public Cloud zur Verfügung. Die Upgrade-Anleitung von Microsoft empfiehlt ohnehin, vor einem Upgrade zu prüfen, ob Cloud Sync für die eigene Umgebung in Frage kommt.

Phishing-resistente Anmeldung im Wizard allgemein verfügbar

Die in 2.6.84.0 als Preview eingeführte Anmeldung über den Windows Web Account Manager ist jetzt generally available und standardmässig aktiv. Der Dialog unterstützt Passkeys, FIDO2-Security-Keys und Passwörter, verwendet eine bestehende Anmeldesitzung für weitere Entra-Dienste wieder und erhält die Kerberos-Schlüsselrotation für Seamless Single Sign-On.

Geänderte PowerShell-Cmdlets

2.6.84.0 hatte für Set-ADSyncAADCompanyFeature und Set-ADSyncAADPasswordSyncState den Parameter -AADUsername verpflichtend gemacht. Mit 2.6.91.0 ist der Parameter wieder optional: Fehlt er, leitet Entra Connect aus der Connector-Konfiguration einen Anmeldehinweis ab und öffnet eine interaktive Anmeldung. Das gilt für Set-ADSyncAADCompanyFeature, Set-ADSyncAADPasswordSyncState, Enable-ADSyncExportDeletionThreshold, Set-ADSyncScheduler und Set-ADSyncDirSyncConfiguration. Die interaktive Anmeldung bleibt damit Teil dieser Cmdlets; Skripte, die sie unbeaufsichtigt aufrufen, sollten Sie nach dem Upgrade testen.

Wer Seamless Single Sign-On mit dem eigenständigen PowerShell-Modul konfiguriert, muss ADSync.psd1 vor AzureADSSO.psd1 importieren.

Weitere Änderungen

• Der Dialog Select Containers im Synchronization Service Manager ist jetzt schreibgeschützt. Änderungen an der Container-Auswahl erfolgen über Customize synchronization options im Wizard.
• Unterstützung für eine weitere Sovereign-Cloud-Umgebung, inklusive Pass-through Authentication, Seamless Single Sign-On, Password Writeback und Health-Agent-Monitoring. Welche Umgebung gemeint ist, nennen die Release Notes nicht.
• Die mitgelieferte SQL Server 2022 LocalDB wurde von 16.0.4250.1 auf 16.0.4262.2 aktualisiert.

Fehlerbehebungen

• Installation oder Upgrade mit einer bestehenden ADSync-Datenbank konnte mit Fehler 0xE0474352 fehlschlagen (Known Issue von 2.6.84.0).
• Ein Upgrade aktualisierte eine installierte Visual C++ 2015–2022 Redistributable älter als 14.41 nicht.
• Der Wizard konnte beim Start schliessen, wenn die Richtlinie für Windows PowerShell Transcription ein ungültiges Ausgabeverzeichnis enthielt.
• Die Zertifikatsrotation der Application-Based Authentication konnte bei Replikationsverzögerungen im Verzeichnis den letzten nutzbaren Application Key entfernen.
• Der Synchronization Service Manager konnte beim Auflisten der Verzeichnispartitionen in Connector Properties schliessen (Known Issue von 2.6.84.0).
• Change Credentials öffnete sich nicht für Connector-Zeilen ausserhalb des sichtbaren Bereichs, wenn viele Active-Directory-Connectoren konfiguriert sind.
• Beim Aufklappen einer zuvor abgewählten Domain auf der Seite Domain and OU filtering konnte der Wizard die Domain erneut auswählen und nach Abschluss die Synchronisation für die ganze Domain aktivieren (Known Issue von 2.6.84.0).

Der letzte Punkt verdient Aufmerksamkeit: Wer 2.6.84.0 betreibt und nach dem Upgrade den Wizard erneut durchlaufen hat, sollte die Domain- und OU-Filterung kontrollieren. Eine unbeabsichtigt aktivierte Domain führt zu zusätzlichen Objekten in Entra ID.

Version 2.6.92.0

Der Hotfix behebt einen Fehler von 2.6.91.0: Das Aktivieren von Pass-through Authentication über den Wizard konnte bei der Registrierung des lokal installierten Microsoft Entra Connect Authentication Agent fehlschlagen. Weitere Änderungen nennen die Release Notes nicht. Microsoft markiert 2.6.92.0 als Release mit Sicherheitskorrekturen; einzelne Lücken sind nicht aufgeführt.

Bekannte Probleme

Die zurückgezogene Version 2.6.79.0 ist weiterhin nicht verfügbar. Microsoft verweist Betroffene neu auf 2.6.92.0: deinstallieren und die aktuelle Version installieren.

Supportfristen

Jede 2.x-Version fällt zwölf Monate nach Erscheinen der Nachfolgeversion aus dem Support. Mit den beiden neuen Versionen ergeben sich diese Fristen:

Für die Versionen 2.5.190.0 bis 2.6.3.0 gilt zusätzlich die Frist vom 7. April 2027: Sie liegen unter der geforderten Mindestversion 2.6.84.0 und synchronisieren nach diesem Datum nicht mehr, obwohl das reguläre Support-Ende von 2.6.3.0 erst im Juli 2027 liegt. Version 2.5.79.0 ist seit 23. Oktober 2026 ohne Support; laut Microsoft können nicht mehr unterstützte Versionen unerwartet aufhören zu funktionieren.

Empfohlenes Vorgehen

Die Zielversion ist 2.6.92.0. Sie enthält die Sicherheitskorrekturen beider Releases, behebt alle bekannten Probleme von 2.6.84.0 und 2.6.91.0 und erfüllt die Mindestversion für die Frist vom 7. April 2027. Den Installer gibt es nur im Microsoft Entra Admin Center unter Microsoft Entra Connect | Get started, Registerkarte Manage; Voraussetzungen sind .NET Framework 4.7.2 und TLS 1.2. Prüfen Sie vor dem Upgrade app-bezogene Conditional-Access-Richtlinien für Microsoft.Azure.SyncFabric und den Microsoft 365 Reporting Service sowie Skripte, die die genannten Cloud-Konfigurations-Cmdlets aufrufen. Microsoft empfiehlt für risikoarme Upgrades die Swing Migration: zuerst den Staging-Server aktualisieren, die Konfiguration nach Full Import und Full Synchronization verifizieren, dann die Rollen tauschen und den bisherigen aktiven Server aktualisieren. Wer 12 bis 18 Monate nicht aktualisiert hat, sollte laut Microsoft diesen Weg wählen. Stellen Sie nach dem Upgrade Bestandsserver, die noch ServiceAccount melden, auf Application-Based Authentication um, und kontrollieren Sie auf Servern, die zuvor 2.6.84.0 betrieben haben, die Domain- und OU-Filterung.