Es gibt eine Software, die viele Betriebe einmal eingerichtet und seither nie wieder angesehen haben. Sie liegt auf einem Server, läuft still vor sich hin und kopiert Benutzerkonten aus dem lokalen Active Directory nach Microsoft 365. Sie heisst heute Microsoft Entra Connect Sync; in älteren Installationen steht noch Azure AD Connect auf dem Symbol.
Am 30. September 2026 hört sie auf zu arbeiten — überall dort, wo eine Versionsnummer kleiner ist als 2.5.79.0.
Microsoft formuliert es in der eigenen Dokumentation unmissverständlich: Sämtliche Synchronisationsdienste in Entra Connect Sync werden dann fehlschlagen.
Was das im Betrieb bedeutet
Nichts wird gelöscht, nichts wird gesperrt. Es hört einfach auf, sich abzugleichen. Die Folgen zeigen sich deshalb verzögert und an Stellen, wo man sie zunächst nicht zuordnet.
Eine Mitarbeiterin ändert ihr Passwort am Arbeitsplatz. Windows nimmt es an. Outlook, Teams und SharePoint wollen weiterhin das alte — die Änderung ist nie in der Cloud angekommen.
Ein neuer Mitarbeiter wird im Verzeichnis angelegt und taucht in Microsoft 365 nicht auf. Kein Postfach, keine Lizenz, keine Anmeldung.
Und der Fall, der wirklich zählt: Jemand verlässt das Unternehmen, das Konto wird lokal deaktiviert — und bleibt in der Cloud aktiv. Mit Postfach, mit Dateizugriff, von überall erreichbar. Das ist kein Komfortproblem mehr.
Immerhin ist die Lage reparabel. Microsoft sagt ausdrücklich, dass ein späteres Update die Funktion wiederherstellt. Aber ebenso ausdrücklich, dass zwischen dem 30. September und dem Zeitpunkt des Updates alles ausgefallen bleibt. Wer es im Oktober bemerkt, hat die Lücke bereits gehabt.
Warum Microsoft das tut
Es ist kein Fehler und keine Abkündigung, sondern eine Umstellung im Hintergrund. Die Synchronisation läuft künftig über eine eigene Anwendung auf Microsofts Seite — sie erscheint im Entra-Portal als Dienst mit dem Namen «Microsoft Entra AD Synchronization Service». Versionen ab 2.5.79.0 kennen diesen Weg. Ältere nicht, und sie können sich danach schlicht nicht mehr anmelden.
Das erklärt auch, warum es ein hartes Datum ist und keine Empfehlung: Am 30. September wird auf der Gegenseite etwas umgelegt, nicht auf Ihrem Server.
Und es ist nicht das einzige an diesem Wochenende. Einen Tag später, am 1. Oktober, schaltet Microsoft die Schnittstelle ab, über die viele Multifunktionsgeräte ihre Scans verschicken — darüber haben wir vergangene Woche geschrieben. Zwei Abschaltungen, zwei Tage, und beide melden sich nicht von selbst. Wenn Sie ohnehin einmal hinsehen, dann gleich für beides.
Die Falle: die geforderte Mindestversion ist die falsche
Und hier kommt der Teil, der in den Ankündigungen nicht steht. Man findet ihn nur, wenn man Microsofts Versionsliste danebenlegt.
Verlangt wird mindestens 2.5.79.0. Wer genau diese Version einspielt, hält die Frist — und fällt am 23. Oktober 2026 aus dem Support. Dreiundzwanzig Tage später.
Der Grund ist eine Regel, die mit der Frist gar nichts zu tun hat: Jede Fassung von Entra Connect Sync verliert den Support zwölf Monate nach dem Erscheinen ihrer Nachfolgerin. Für 2.5.79.0 läuft diese Frist eben jetzt ab. Eine ausser Support gefallene Version, schreibt Microsoft, könne unerwartet den Dienst einstellen — und Sicherheitskorrekturen bekommt sie ohnehin keine mehr.
Dazu kommt etwas, das man kaum glaubt, bis man es liest: Bei genau dieser Version 2.5.79.0 steht in der Dokumentation eine Warnung vor ihrer eigenen Bedienoberfläche. Wer den Synchronisations-Manager darin öffnet, riskiert, dass der Einrichtungsassistent und die automatische Zertifikatserneuerung nicht mehr funktionieren. Behoben wurde das erst in 2.6.1.0.
Die geforderte Mindestversion ist damit die schlechteste aller zulässigen Wahlen: kurz vor dem Ende, mit einem dokumentierten Mangel.
Das Ziel heisst 2.6.84.0. Diese Fassung ist seit dem 7. Juli verfügbar, enthält laut Microsoft Sicherheitskorrekturen, und für sie ist bisher kein Enddatum eingetragen. Wenn Sie ohnehin einmal anfassen müssen, dann gleich richtig.
Auf das automatische Update ist kein Verlass
Entra Connect kann sich selbst aktualisieren, und manche Installationen tun das auch. Nur ist die Formulierung dazu bemerkenswert zurückhaltend: Microsoft aktualisiert Kunden gelegentlich automatisch, wo das unterstützt wird. Dafür muss die Funktion eingeschaltet sein, und die installierte Version muss mindestens 2.3.20.0 sein.
Das ist eine Chance, kein Plan. Nachsehen kostet zehn Minuten.
Zwei Hürden, die auf alten Servern echt sind
Die neueren Fassungen setzen .NET Framework 4.7.2 und TLS 1.2 voraus. Auf einem Server, der seit Jahren unangetastet seine Arbeit macht, ist genau das gelegentlich der Stolperstein — und beides ist nichts, was man am 29. September nebenbei entdecken möchte.
Ausserdem liegt die Installationsdatei nicht zum freien Herunterladen im Netz. Sie ist ausschliesslich im Entra-Verwaltungsportal hinterlegt, unter Microsoft Entra Connect. Wer sie anderswo findet, hat nicht die offizielle.
Nicht zu verwechseln mit dem Umzug auf Cloud Sync
Parallel läuft eine zweite Sache durch die Fachpresse, und die beiden werden gerade munter vermischt: der empfohlene Wechsel von Connect Sync auf Cloud Sync, den leichtgewichtigen Agenten, der seine Einstellungen aus der Cloud bezieht.
Das ist eine Empfehlung mit Wellen, Ausnahmen und ohne angekündigtes Enddatum. Die Frist zum 30. September betrifft es nicht — und ein Wechsel auf Cloud Sync ist kein schneller Weg, die Frist zu erfüllen. Er will geplant sein, weil nicht jede Konstellation dort unterstützt wird.
Was zu tun ist — zehn Minuten
Die installierte Version feststellen. Auf dem Server, auf dem Entra Connect läuft: im Ordner unter Programme mit dem Namen Microsoft Azure AD Connect die Datei AzureADConnect.exe mit der rechten Maustaste anklicken, Eigenschaften öffnen, Reiter Details — dort steht die Produktversion. So beschreibt Microsoft es selbst.
Wenn Sie nicht wissen, auf welchem Server das Ding läuft: Im Entra-Verwaltungsportal unter Entra Connect steht es, samt Version. Das ist ohnehin der bequemere Weg.
Dann entscheidet die Zahl. Steht dort 2.6.84.0, ist nichts zu tun. Steht dort etwas zwischen 2.5.79.0 und 2.6.3.0, halten Sie die Frist — planen Sie das Update trotzdem, bevor Ihre Fassung ausläuft. Steht dort eine kleinere Zahl, bleiben Ihnen zwei Wochen.
Was uns daran beschäftigt
Diese Frist ist sauber angekündigt. Sie steht seit Monaten in der Dokumentation, mit Datum, Versionsnummer und Begründung.
Nur steht sie dort, wo niemand hinsieht, der es angeht. Wer einmal einen Synchronisationsdienst eingerichtet hat, liest nicht monatlich Microsofts Versionsverlauf. Genau das ist das wiederkehrende Muster hinter den meisten dieser Ausfälle: Die Information ist da — sie ist nur nicht dort, wo der Mensch ist.
Wenn Sie eine Verbindung zwischen lokalem Verzeichnis und Microsoft 365 betreiben und nicht sicher sind, wie es darum steht: Melden Sie sich. Die Auskunft ist eine Zahl, und die haben wir schneller als Sie den Server gefunden haben.