In vielen Microsoft-365-Umgebungen begegnen mir inzwischen Unternehmen, die mehrere Entra-Tenants betreiben. Manchmal hat das historische Gründe, häufiger stecken Fusionen, Übernahmen oder Tochtergesellschaften dahinter. Identitätsmanagement und Zusammenarbeit werden dadurch erheblich aufwendiger, und auch die Compliance wird zur Herausforderung, vor allem wenn Benutzer regelmäßig zwischen Tenants wechseln oder parallel in mehreren arbeiten sollen. Für genau diese Situation bietet Entra ID seit einiger Zeit die Cross-Tenant-Synchronisierung an. Sie stellt B2B-Nutzer automatisch in Ziel-Tenants bereit und dämmt den Wildwuchs manueller Einladungs- und Lifecycle-Prozesse ein.

Die Einrichtung beginnt immer im Quell-Tenant

Eingerichtet wird die Synchronisierung immer im Quell-Tenant, und zwar im Microsoft Entra Admin Center unter Externe Identitäten → Cross-Tenant-Synchronisierung. Dort legt man neue Sync-Beziehungen zu Ziel-Tenants an. In den Cross-Tenant-Zugriffseinstellungen beider Tenants muss ausdrücklich die Option „Allow users sync into this tenant“ aktiviert sein, außerdem braucht der Ziel-Tenant eine konfigurierte automatische Redemption. Fehlt eines davon, scheitert die Provisionierung spätestens am Onboarding-Flow. Wer die Schritte im Detail nachlesen möchte, findet in der Microsoft-Dokumentation eine gute Übersicht (Übersicht zur Cross-Tenant-Synchronisierung).

Lizenzrechtlich setzt das Feature mindestens Entra ID P1 voraus. Das sollte man früh klären, sonst stößt man schnell an Grenzen. Meiner Erfahrung nach muss vor allem das Zusammenspiel mit bestehenden B2B-Direct-Connect-Setups (Cross-Tenant-Zugriffseinstellungen) und dem Gastzugriff gut durchdacht sein. Die Synchronisierung legt B2B-Nutzer im Ziel-Tenant nämlich als „member“ statt als „guest“ an, und für Mitglieder gelten andere Rechte.

Scoping-Filter und Attributmapping halten die Synchronisierung unter Kontrolle

Trotz ihres Funktionsumfangs lässt sich die Cross-Tenant-Synchronisierung flexibel steuern. Mit Scoping-Filtern legt man fein abgestuft fest, welche Benutzer tatsächlich synchronisiert werden, etwa nur bestimmte Abteilungen oder Konten mit bestimmten Attributen. Auch das Attributmapping ist konfigurierbar, damit beispielsweise Display Name, E-Mail-Adresse oder Custom Attributes korrekt vom Quell- in den Ziel-Tenant gelangen. In komplexen Konzernstrukturen und bei neuen Migrationsprojekten lohnt es sich, diese Einstellungen sorgfältig mit den Anforderungen von Compliance und IT-Security abzugleichen.

Ein typischer Stolperstein ist der richtige UserType. Im Ziel-Tenant landen synchronisierte Nutzer standardmäßig als Mitglied (member), selbst wenn sie im Quell-Tenant Gäste sind. Bei Zugriffsrichtlinien sorgt das leicht für Verwirrung, weil zum Beispiel Conditional-Access-Richtlinien für Gäste dann nicht mehr greifen. Wer das verhindern möchte, passt das Mapping gezielt an oder berücksichtigt den Effekt in der Governance.

Bevor die erste produktive Synchronisierung läuft, sollte man Mapping und Filter mit einer kleinen Testgruppe validieren. Bewährt hat sich bei mir, zunächst eine eigene Gruppe (z. B. „B2B-Sync-Test“) zu synchronisieren und danach im Ziel-Tenant Berechtigungen, Lizenzen und Teams-Mitgliedschaften genau zu prüfen.

Die Multitenant Organization baut auf der Synchronisierung auf

Seit diesem Jahr steht Unternehmen, die über Tenant-Grenzen hinweg enger zusammenarbeiten müssen, mit der Multitenant Organization (MTO) eine weitere interessante Option zur Verfügung. Sie erlaubt die gemeinsame Nutzung von Teams oder Viva Engage und bringt zusätzlich Funktionen wie ein globales Adressbuch über alle Tenants mit. Damit das funktioniert, muss die Cross-Tenant-Synchronisierung sauber eingerichtet sein, und die beteiligten Tenants müssen sich gegenseitig als MTO-Partner autorisiert haben. Die Einzelheiten beschreibt Microsoft in der Dokumentation recht gut (Übersicht zur Multitenant Organization).

Im produktiven Betrieb verdienen vor allem diese Punkte Aufmerksamkeit:

  • Automatische Deprovisionierung: Wer im Quell-Tenant entfernt oder deaktiviert wird, muss auch aus dem Ziel-Tenant automatisch verschwinden.
  • Lizenzmanagement: Für Teams, Viva usw. brauchen synchronisierte Nutzer im Ziel-Tenant unter Umständen eigene Lizenzen.
  • Datenzugriff und Compliance: Die Daten bleiben tenantübergreifend, und die Zugriffsrechte müssen zentral gesteuert werden.
  • Monitoring: Provisionierungsfehler oder fehlende Attribute sollten möglichst früh auffallen (Entra Admin Center → Monitoring).

In der Praxis scheitert es oft an inkonsistenten Einstellungen

Was in der Theorie eindeutig aussieht, hat im Alltag seine Tücken. Sehr häufig sind die Cross-Tenant-Zugriffseinstellungen nicht konsistent gepflegt. Mal fehlt die automatische Redemption im Ziel-Tenant, mal widersprechen sich die Richtlinien für Direct Connect und B2B-Gäste. Die Folgen reichen von Dubletten über unerwartete Berechtigungen bis hin zu Synchronisationsfehlern. Wer die neuen Shared Channels in Teams bereits über B2B Direct Connect nutzt, sollte seine bestehenden Einstellungen besonders genau prüfen (B2B Direct Connect).

Ein dauerhafter Knackpunkt ist die zuverlässige Deprovisionierung. Verlässt jemand das Unternehmen oder wechselt zu einer anderen Tochtergesellschaft, müssen passende Regeln greifen. Von Hand bekommt man das kaum konsistent hin. Zwar entfernt die Cross-Tenant-Synchronisierung Benutzer, sobald sie aus dem Scope fallen, trotzdem sollte man den Ablauf regelmäßig kontrollieren.

Ein Tipp aus meinem Alltag: Setzt in produktiven Umgebungen unbedingt auf dedizierte Gruppen und testet das Offboarding synchronisierter Nutzer gründlich, bevor ihr die Synchronisierung breit ausrollt.

Ein Diagramm zeigt den Synchronisationsfluss zwischen den Tenants

Den Ablauf veranschaulicht ein einfaches Diagramm. Im Beispiel unten synchronisiert ein Quell-Tenant gezielt Benutzer, etwa aus einer Tochtergesellschaft, in einen Ziel-Tenant. Dafür müssen die Cross-Tenant-Zugriffseinstellungen beider Seiten aufeinander abgestimmt sein.

flowchart LR
  SourceTenant["Quell-Tenant"] -->|"Synchronisiert Benutzer"| TargetTenant["Ziel-Tenant"]
  SourceTenant -->|"Cross-Tenant-Zugriff freigeben"| TargetTenant
  TargetTenant -->|"Automatische Redemption"| UserProvision["B2B-Nutzer bereitstellen"]

Abbildung: Ablauf der Cross-Tenant-Synchronisierung in Entra ID.

Mehr Automatisierung bringt weniger Wildwuchs, solange die Governance stimmt

Für viele Unternehmen mit mehreren Microsoft-365-Tenants bedeutet die Cross-Tenant-Synchronisierung im Alltag einen deutlichen Fortschritt. Dank automatisch angelegter B2B-Benutzer, gezielten Attributmappings und der Integration mit Funktionen wie der Multitenant Organization lassen sich Zusammenarbeit und Identitätsmanagement endlich auch über Tenant-Grenzen hinweg konsistent abbilden. Fehlen allerdings Governance und durchdachte Gruppenstrukturen oder kontrolliert niemand regelmäßig, endet das schnell im Chaos. Auch der Unterschied zwischen „member“ und „guest“ ist mehr als ein technisches Detail. Wer das im Blick behält, übersteht mit der Cross-Tenant-Synchronisierung die nächste Fusion oder den nächsten Rollout deutlich entspannter.

Mehr zu Cross-Tenant-Zugriffseinstellungen und B2B Direct Connect findet ihr auch hier im Blog: Cross-Tenant-Zugriffseinstellungen in Entra ID und B2B Direct Connect und Shared Channels in Teams.