Die Entra-Connect-Anwendungsauthentifizierung löst das alte Sync-Konto ab

Wer in den letzten Jahren regelmäßig mit Entra Connect (früher Azure AD Connect) gearbeitet hat, kennt das leidige Thema. Der klassische Directory Synchronization Account, ein Servicekonto mit weitreichenden Rechten und hinterlegtem Passwort, war für Angreifer schon immer ein lohnendes Ziel. In vielen Tenants, die ich prüfe, stoße ich noch heute auf alte Sync-Konten mit Passwort, gelegentlich sogar auf Standing Credentials im Klartext oder einen schlecht geschützten Passwort-Hash. Dass solche Konten gezielt kompromittiert werden, haben verschiedene Incidents seit 2022 gezeigt; bloße Theorie ist das längst nicht mehr. An dieser Stelle setzt die neue Entra-Connect-Anwendungsauthentifizierung an. In den aktuellen Versionen verwendet der Sync-Server kein Benutzerkonto mehr, sondern ein Application Object in Entra ID, das sich per Zertifikat anmeldet.

Die Anwendungsauthentifizierung nimmt Angreifern ein bewährtes Ziel weg

Für die Sicherheit einer Hybrid-Identity-Infrastruktur ist dieser Wechsel deutlich spürbar. Das klassische Sync-Konto haben Angreifer gezielt für Lateral Movement und Persistenz missbraucht. Mit der Anwendungsauthentifizierung fällt die Angriffsfläche durch Passwortdiebstahl weg, weil sich der Service Principal nun mit einem Zertifikat statt mit einem Passwort authentifiziert. Die Details beschreibt Microsoft hier: MS Learn: Anwendungsauthentifizierung in Entra Connect. In der Praxis beobachte ich seitdem weniger Credential Dumping, und die unnötigen, breit berechtigten Synchronisationskonten verschwinden. Zertifikate wollen selbstverständlich ebenfalls geschützt werden, Risiko und Angriffsfläche fallen aber deutlich kleiner aus.

In der folgenden Grafik habe ich beide Authentifizierungswege so gegenübergestellt, wie sie mir in realen Umgebungen meistens begegnen:

flowchart TD
    AD["On-Prem AD"] --> EntraConnect["Entra Connect Server"]
    EntraConnect -- "User/Pass (alt)" --> SyncAccount["Directory Sync Account"]
    EntraConnect -- "App+Zertifikat (neu)" --> AppObject["App Registration"]
    SyncAccount -- "PasswordAuth" --> EntraID["Entra ID"]
    AppObject -- "CertificateAuth" --> EntraID

Abbildung: Klassische Passwortauthentifizierung und neue Anwendungsauthentifizierung in Entra Connect im Vergleich.

Vor allem in größeren oder regulierten Umgebungen ist das ein echter Fortschritt. Neben dem Sicherheitsgewinn bringt die Application Authentication auch einen klareren Lifecycle mit sich. Passwörter müssen nicht mehr manuell rotiert werden, die Bereitstellung lässt sich stärker automatisieren, und je nach Policy können Zertifikate über Hardware- oder HSM-Backends abgesichert werden. Außerdem lassen sich die Rechte des Service Principal feiner steuern als die eines klassischen Benutzerkontos.

Erst eine aktuelle Version von Entra Connect bringt die neue Anmeldung mit

Nicht jede Version von Entra Connect Sync beherrscht die Anwendungsauthentifizierung. Wer noch ältere Releases betreibt, sollte dringend klären, ob ein Update möglich und nötig ist. Nach der aktuellen Ankündigung ist die neue Authentifizierung bei Neuinstallationen bereits Standard, und spätestens bei einem kompletten Re-Deployment wird sie erzwungen. Welche Versionen das Feature unterstützen, kann sich ändern. Kompatibilität und Releasestand prüft man deshalb am besten regelmäßig in der offiziellen Versionshistorie.

Den eigenen Stand hat man im Entra Admin Center unter Entra Connect → Connect Sync schnell geprüft. Dort erkenne ich auf einen Blick, mit welchem Authentifizierungstyp und welcher Version mein Server gerade arbeitet. In Projekten lohnt es sich zusätzlich, im AD und in Entra ID nach Legacy-Sync-Konten zu suchen und sie konsequent zu entfernen, sobald die App-Auth aktiv ist. Mehr zur sicheren Serverarchitektur und zur Versionierung steht in meinem Beitrag Entra-Connect-Server: Tier 0 richtig absichern.

Ohne geplante Updates veraltet der Sync-Server schneller als gedacht

Wie wichtig regelmäßige Updates von Entra Connect Sync sind, wird oft unterschätzt. Die Auto-Upgrade-Funktion nimmt einem zwar einiges ab, ist aber nicht in jedem Szenario verfügbar oder eingeschaltet. Gerade in komplexen, individuell angepassten oder mehrfach angebundenen Umgebungen finde ich Auto-Upgrade häufig deaktiviert. Dann bleibt das Patchen Handarbeit. Ein veralteter Sync-Server ist ein Sicherheitsrisiko und wird spätestens beim Wechsel auf moderne Authentifizierung zusätzlich zum Supportproblem. Ob alles aktuell ist oder Handlungsbedarf besteht, verraten die Auto-Upgrade-Einstellungen und das Update-Log auf dem Server (in der Entra-Connect-Management-Konsole).

Aus Erfahrung rate ich, nach jedem größeren Update oder Re-Deployment eines Entra-Connect-Servers neben der Verbindung auch zu prüfen, ob tatsächlich auf Application Authentication umgestellt wurde. Sonst bleibt ein veraltetes Servicekonto schnell über Jahre aktiv.

Der Sync-Server bleibt ein besonders schützenswertes Tier-0-System

Auch ohne das klassische Sync-Konto bleibt der Entra-Connect-Server ein Tier-0-Asset. Wer diesen Server übernimmt, kann weiterhin Identitäten kompromittieren oder die Synchronisation nach Belieben manipulieren. Entra-Connect-Server gehören deshalb in die am stärksten geschützten und überwachten Zonen. Das bedeutet keine Mehrfachrollen, eine restriktive Firewall, Härtung nach aktuellem Entra-Sicherheitsstandard und keine unnötigen Managementtools oder Skripte. Die Anwendungsauthentifizierung ist ein wichtiger Schritt, ein sauberes Tier-0-Konzept ersetzt sie aber nicht.

Ein PowerShell-Befehl spürt alte Sync-Konten im AD auf

Ob im Active Directory noch alte Sync-Konten aktiv sind, also klassische Benutzer mit „MSOL_“ im Namen, lässt sich mit folgendem PowerShell-Befehl prüfen (auf einem Domain Controller oder mit RSAT):

Get-ADUser -Filter { Name -like "MSOL_*" } | Select-Object Name, Enabled, LastLogonDate

Verwaiste Konten fallen so schnell auf und können entfernt werden, sobald sie nicht mehr gebraucht werden.

Für alte Sync-Konten gibt es keine Ausreden mehr

Immer wieder erlebe ich, dass Entra Connect nach dem Prinzip „Set and Forget“ betrieben wird. Dabei hängt gerade an der Authentifizierung der Synchronisation die Sicherheit der gesamten Identitätsplattform. Wer heute noch an alten Konten und veralteten Versionen festhält, geht unnötige Risiken ein. Für jeden, der Hybrid Identity ernst nimmt, ist die Umstellung auf die Entra-Connect-Anwendungsauthentifizierung Pflicht und kein „Nice to have“. Mit den aktuellen Tools und den klaren Prüfmöglichkeiten im Admin Center gibt es auch keinen Grund mehr, diese Hausaufgabe aufzuschieben.