Objekte, die aus dem lokalen Active Directory nach Microsoft Entra ID synchronisiert werden, sind in der Cloud schreibgeschützt. Solange die Synchronisation aktiv ist, lassen sie sich dort weder ändern noch löschen. Das wird zum Problem, wenn die Objekte lokal nicht mehr existieren, die Synchronisation abgebaut wurde oder ein alter Server ohne Nachfolger abgeschaltet wurde. Zurück bleiben verwaiste Konten mit Lizenzen, Berechtigungen und manchmal aktiven Anmeldungen: ein Sicherheits- und Kostenrisiko.
Schritt 1: Ursache klären
- Die Synchronisation läuft noch, das Objekt wurde lokal gelöscht, ist aber in der Cloud noch da: Synchronisation nicht abschalten. Starten Sie einen Synchronisationszyklus und prüfen Sie die Fehlermeldungen in Entra Connect. Meist liegt der Fehler in Filtern oder Konnektor-Einstellungen.
- Es gibt kein lokales AD mehr: Die Synchronisation muss in Entra ID abgeschaltet werden, erst dann werden die Objekte verwaltbar.
- Einzelne Konten sollen in der Cloud weiterleben: Seit Anfang 2026 können Sie die Verwaltung (Source of Authority) einzelner synchronisierter Benutzer in die Cloud verschieben, ohne die Synchronisation ganz abzuschalten. Für Gruppen bietet Microsoft eine vergleichbare Funktion.
Schritt 2: Synchronisation abschalten, wenn kein AD mehr existiert
Die veralteten Module MSOnline und AzureAD funktionieren nicht mehr. Verwenden Sie Microsoft Graph PowerShell:
Connect-MgGraph -Scopes "Organization.ReadWrite.All"
$orgId = (Get-MgOrganization).Id
Update-MgOrganization -OrganizationId $orgId -BodyParameter @{ onPremisesSyncEnabled = $false }
Get-MgOrganization | Select-Object OnPremisesSyncEnabled
Die Umstellung kann je nach Anzahl Objekte bis zu 72 Stunden dauern. Erst wenn der Wert False anzeigt, sind die Objekte bearbeitbar.
Schritt 3: Verwaiste Objekte finden und entfernen
- Benutzer ohne Anmeldung seit längerer Zeit, deaktivierte Konten mit Lizenzen und Gruppen ohne Besitzer auflisten
- Vor dem Löschen prüfen: Postfach, OneDrive-Daten, Besitz von Teams und SharePoint-Websites, Rollenzuweisungen, App-Besitz
- Danach entfernen, zum Beispiel mit
Remove-MgUser -UserId "[email protected]". Gelöschte Benutzer bleiben 30 Tage im Papierkorb und lassen sich wiederherstellen.
Achtung beim Wiedereinschalten
Wird die Synchronisation später wieder aktiviert, überschreiben die lokalen Werte alle Änderungen, die in der Zwischenzeit in der Cloud gemacht wurden. Planen Sie diesen Schritt deshalb bewusst.
Häufige Fragen
Passende Beratung
Vom Wissen zur belastbaren Entscheidung.
Wir unterstützen Sie bei der Einordnung, Konzeption und Umsetzung im konkreten Organisationskontext.