Der Wechsel von Hybrid Join zu Entra Join ist 2026 deutlich einfacher

In vielen Tenants, die ich betreue, folgt das Onboarding neuer Windows-Geräte noch einem alten Muster. Fast reflexartig läuft ein automatisierter Hybrid Join, weil man es eben schon immer so gemacht hat. Dabei wird gern übersehen, wie viel unnötige Komplexität und wie viele alte Abhängigkeiten von Active Directory man auf diese Weise mitschleppt, obwohl viele Arbeitsplätze sie heute gar nicht mehr brauchen. Technisch wie organisatorisch ist der Wechsel von Hybrid Join zu Entra Join inzwischen viel einfacher als noch vor ein paar Jahren. Schwierig ist vor allem zu erkennen, wo man Hybrid tatsächlich noch braucht und wie sich bestehende Prozesse auf Entra Join umstellen lassen.

Entra Join bindet Geräte ausschließlich an Entra ID an

Lange war der Hybrid Join die Standardlösung, um Windows-Geräte gleichzeitig im lokalen Active Directory und in Entra ID (ehemals Azure AD) zu verwalten. Das war sinnvoll, solange viele Ressourcen ausschließlich lokal mit klassischen Authentifizierungsverfahren liefen oder Gruppenrichtlinien (GPOs) das Maß der Dinge waren. Bei Entra Join hängen die Geräte direkt und nur an Entra ID. Damit ergeben sich bei Verwaltung und Automatisierung neue Möglichkeiten, ebenso bei der Sicherheit. Mit Cloud Kerberos Trust erreichen Entra-Join-Geräte inzwischen sogar klassische Kerberos-basierte Ressourcen wie Dateifreigaben und ältere Anwendungen, ohne selbst noch im AD registriert zu sein. Mehr dazu findet ihr in meinem Artikel Cloud Kerberos Trust: Hello for Business made simple.

Ein typischer Entscheidungsablauf sieht so aus:

flowchart TD
  Start["Neues Gerät"] --> CheckAD["Braucht on-prem AD?"]
  CheckAD -->|"Nein"| EntraJoin["Entra Join (Autopilot)"]
  CheckAD -->|"Ja"| HybridJoin["Hybrid Join"]
  EntraJoin --> Management["Intune Verwaltung"]
  HybridJoin --> Management
  Management --> Ressourcen["Cloud- & lokale Ressourcen"]

Abbildung: Entscheidung zwischen Hybrid Join und Entra Join bei neuen Geräten.

Am lokalen AD hängt weit weniger als vermutet

Gehe ich mit Kunden die Anforderungen an neue Geräte durch, stellt sich oft heraus, dass vom klassischen AD kaum noch etwas abhängt. Auf Dateifreigaben greifen Entra-Join-Geräte längst per Cloud Kerberos Trust zu, sofern die Infrastruktur vorbereitet ist (Windows-Server-2022-DCs, aktuelle Patchstände, konfigurierter Kerberos Trust). Viele Drucker binde ich heute über Universal Print oder moderne IPP-Lösungen ein, ganz ohne AD. Anwendungen, die zwingend ein Computerkonto im AD verlangen, sind meist Altlasten, deren Modernisierung ohnehin ansteht. Bei ihnen lässt sich gezielt prüfen, ob eine Ausnahme nötig ist, und diese Systeme bleiben dann eben per Hybrid Join angebunden. Für die meisten modernen Arbeitsplätze und Notebooks brauche ich das nicht mehr.

Gruppenrichtlinien waren lange das stärkste Argument gegen Entra Join. Seit Intune mit dem Settings Catalog und den Vorlagen für Security Baselines nahezu alle gängigen Einstellungen für Windows und Office abdeckt, gibt es für die meisten Szenarien einen sauberen Migrationsweg. Bevor ich auf Entra Join und eine reine Intune-Verwaltung umstelle, analysiere ich die alten GPOs gern mit Group Policy Analytics in Intune. Das Werkzeug zeigt, welche Einstellungen sich schon per MDM (Intune) abbilden lassen und wo noch Lücken klaffen.

Praxistipp: Viele Altlasten in den GPOs fallen erst auf, wenn man sie ins Analytics-Tool hochlädt. Veraltete Richtlinien sollte man deshalb vor dem Wechsel zu Entra Join entfernen – mit weniger Ballast gibt es auch weniger Überraschungen.

Autopilot und Intune machen die Bereitstellung neuer Geräte deutlich robuster

Ihre eigentliche Stärke zeigt Entra Join bei der Bereitstellung neuer Geräte. Mit Autopilot im benutzergesteuerten Modus (User-driven) landen die Geräte direkt im Entra-Tenant, der Benutzer meldet sich mit Entra ID an, und die Verwaltung läuft komplett über Intune. Ein AD-Join-Skript entfällt ebenso wie GPO-Fehler, und während der Einrichtung braucht niemand ein VPN. Ich beobachte immer wieder, dass die Fehlerquote bei der Erstauslieferung nach der Umstellung merklich sinkt, auch in mittelgroßen Umgebungen.

Für die Gerätekonfiguration ist Intune heute das zentrale Werkzeug. Der Settings Catalog deckt inzwischen fast alle Windows-Einstellungen ab, und laufend kommen neue dazu. Was noch fehlt, erledige ich mit PowerShell-Skripten, die Intune verteilt, oder mit eigenen Administrative Templates. Das ist manchmal Handarbeit, der Aufwand bleibt aber überschaubar. Schließlich fallen dafür GPO-Replikation, AD-Synchronisation und die zugehörige Fehlersuche weg.

Hybrid Join bleibt die Ausnahme und verlangt regelmäßiges Aufräumen

Ganz ohne Hybrid Join geht es nicht immer. Für spezielle Anwendungen, Laborrechner oder Altgeräte mit reiner On-Premises-Software behalte ich in der Praxis einzelne Hybrid-Join-Workflows bei. Diese Fälle sollte man bewusst dokumentieren und regelmäßig daraufhin prüfen, ob sie noch gebraucht werden. Bei allen anderen Neuanschaffungen rate ich inzwischen klar zu Entra Join.

In vielen Tenants unterschätzt werden Stale Devices, also verwaiste Hybrid-Join-Geräte, die längst nicht mehr im Einsatz sind. Sie stellen ein Sicherheitsrisiko dar und verfälschen obendrein Lizenz- und Compliance-Reports. Am besten räumt man sie regelmäßig im Entra-ID-Portal auf (Entra ID → Geräte → Alle Geräte). Dort lässt sich nach dem letzten Aktivitätsdatum filtern, sodass man Altgeräte gezielt entfernen kann. Wer das automatisieren möchte, sucht und löscht solche Geräte z. B. per PowerShell (mit dem Modul Microsoft.Graph.DeviceManagement.Administration und mindestens Entra ID P1):

# Geräte, die seit über 60 Tagen nicht mehr aktiv waren
Get-MgDevice | Where-Object { $_.ApproximateLastSignInDateTime -lt (Get-Date).AddDays(-60) }
# Zum Löschen: Verwenden Sie Remove-MgDevice für gezielte Objekte

Der Sprung zu Entra Join lohnt sich, wenn man ihn bewusst angeht

Viele Admins scheuen den Umstieg von Hybrid Join zu Entra Join, weil früher immer irgendwo etwas nicht funktioniert hat. 2026 sieht die Praxis anders aus. Die meisten Anforderungen lassen sich mit Entra Join und Intune sauber abbilden, und Abhängigkeiten vom AD sind inzwischen die Ausnahme. Wer sich zuerst einen Überblick verschafft, die vorhandenen Gruppenrichtlinien mit Group Policy Analytics prüft und Altgeräte regelmäßig aufräumt, wird mit einer möglichst AD-freien Geräteverwaltung in den kommenden Jahren die wenigsten Sorgen haben. Mit einer klaren Dokumentation und regelmäßigen Überprüfungen lassen sich die letzten Hybrid-Inseln gezielt weiterbetreiben, während alle übrigen Geräte endlich auf Entra Join wechseln.