Active Directory und Microsoft Entra ID — Migration, Konsolidierung, Hybrid-Betrieb
Gewachsene Active-Directory-Landschaften, anstehende Tenant-Konsolidierungen, der Weg von On-Premises zu Microsoft Entra ID: cosoweb plant und steuert diese Vorhaben als Senior-Mandat — architektonisch sauber, regulatorisch belastbar, vom selben Architekten, der sie konzipiert.
Typische Ausgangslagen
Active Directory ist in vielen Organisationen über zwei Jahrzehnte gewachsen — mit historischen Lasten: verschachtelte Forest- und Domänenstrukturen, undurchsichtige Gruppen, veraltete Vertrauensstellungen, manuell gepflegte Sonderfälle. Solange alles läuft, bleibt das unsichtbar. Sobald aber eine Migration, eine Fusion oder eine Cloud-Anbindung ansteht, wird die gewachsene Struktur zum Risiko.
Drei Konstellationen begegnen uns besonders häufig: die Modernisierung von On-Premises-Identitäten hin zu Microsoft Entra ID (ehemals Azure AD), inklusive Ablösung von ADFS; die Tenant-Konsolidierung nach Konzern-Zusammenführungen, Zukäufen oder Carve-outs, bei der mehrere Verzeichnisse zu einem sauberen Zielzustand zusammengeführt werden müssen; und die Bereinigung und Härtung einer bestehenden Hybrid-Umgebung, in der On-Premises und Cloud bereits koexistieren, aber nicht sauber aufeinander abgestimmt sind.
Was cosoweb übernimmt
Architektur und Migrationsplanung
Vor jeder Migration steht die Bestandsaufnahme: Welche Objekte, Gruppen und Abhängigkeiten existieren tatsächlich, was ist aktiv, was ist Altlast? Auf dieser Grundlage entsteht eine Ziel-Architektur und ein Migrationspfad, der den laufenden Betrieb nicht unterbricht. Architektur-Entscheidungen werden explizit gegen Alternativen gestellt und dokumentiert — denn was hier festgelegt wird, ist später kaum noch korrigierbar.
Hybrid-Identitäten und Entra ID Connect
Die Verbindung zwischen On-Premises-AD und Entra ID ist das Herzstück des Hybrid-Betriebs. cosoweb konzipiert die Synchronisierung mit Entra ID Connect, wählt das passende Authentifizierungsmodell (Password Hash Sync, Pass-through Authentication, föderierte Anmeldung), richtet Seamless SSO ein und löst bestehende ADFS-Installationen geordnet ab. Ziel ist eine Anmeldung, die für die Nutzer unsichtbar funktioniert und für die IT nachvollziehbar bleibt.
Tenant-Konsolidierung
Nach Fusionen oder Umstrukturierungen liegen oft mehrere Entra-Tenants und AD-Forests nebeneinander. cosoweb plant die Zusammenführung: Objekt-Mapping, Migration von Identitäten und Gruppen, Umzug von Postfächern und Ressourcen, Koexistenz-Phasen mit klaren Stichtagen. Schwerpunkt liegt darauf, Berechtigungen dabei nicht eins zu eins mitzuschleppen, sondern zu bereinigen.
Conditional Access und Härtung
Mit dem Schritt in die Cloud wird Identität zur zentralen Sicherheitsgrenze. cosoweb richtet Conditional-Access-Richtlinien ein, setzt Multi-Faktor-Authentifizierung um und härtet privilegierte Konten — abgestimmt auf die regulatorischen Vorgaben der jeweiligen Branche.
Hybrid-Betrieb sauber aufsetzen
Die meisten Organisationen bleiben über Jahre in einem Hybrid-Zustand — On-Premises und Entra ID parallel. Dieser Zustand ist kein Zwischenschritt, den man nebenbei verwaltet, sondern eine eigene Betriebsdisziplin. Entscheidend sind ein klar definierter Synchronisierungs-Scope (welche Objekte und Attribute werden überhaupt synchronisiert), saubere Attribut-Hygiene als Voraussetzung für die Synchronisierung, ein funktionierendes Monitoring der Sync-Fehler und ein eindeutiges Quellsystem-Prinzip: Für jedes Attribut ist festgelegt, wo es führend gepflegt wird. Wo diese Grundlagen fehlen, entstehen die typischen Hybrid-Probleme — doppelte Konten, abweichende Berechtigungen, fehlgeschlagene Anmeldungen.
Methodisches Vorgehen
Erstgespräch und Vorprojekt. Das Erstgespräch ist kostenfrei und dient der Ausgangslage. Wenn beide Seiten Anschluss sehen, folgt ein kostenpflichtiges Vorprojekt über mehrere Wochen: Ist-Analyse der bestehenden AD-/Entra-Landschaft, Sondierungs-Dokument und eine erste belastbare Architektur-Skizze.
Soll-Architektur. Aufbauend auf dem Vorprojekt entsteht die detaillierte Ziel-Architektur mit Migrationspfad, Entscheidungs-Dokumentation und Roadmap.
Umsetzung. Steuerung und technische Begleitung der Migration — bei größeren Vorhaben gemeinsam mit dem internen IT-Team oder Implementierungs-Partnern, die Architektur-Verantwortung bleibt bei cosoweb.
Betrieb und Pflege. Viele Mandate setzen sich nach dem Projekt als Architektur-Begleitung fort — Mandate laufen ab sechs Monaten, häufig mit Verlängerung in mehrjährige Begleitung.
Für wen das relevant ist
Dieses Leistungsfeld passt am ehesten, wenn mehrere der folgenden Punkte zutreffen:
- Sie verantworten eine gewachsene Microsoft-Infrastruktur und stehen vor Migration, Konsolidierung oder Cloud-Anbindung
- Eine Fusion, ein Zukauf oder ein Carve-out erfordert die Zusammenführung oder Trennung von Verzeichnissen
- ADFS soll abgelöst und die Authentifizierung modernisiert werden
- Compliance-Anforderungen (BAIT, BSI-Grundschutz, ISO 27001) sind bei Identitäts-Entscheidungen mitzudenken
- Sie wollen mit einem direkt verantwortlichen Senior arbeiten, nicht mit einer wechselnden Projekt-Crew
cosoweb passt weniger, wenn reine Personalgestellung gesucht ist oder das Vorhaben in zwei Wochen abgeschlossen sein muss.
Häufige Fragen
Was ist der Unterschied zwischen Active Directory und Microsoft Entra ID?
Active Directory (AD DS) ist der klassische On-Premises-Verzeichnisdienst mit Domänen, Gruppenrichtlinien und Kerberos. Microsoft Entra ID (ehemals Azure AD) ist der cloud-basierte Identitätsdienst für moderne Authentifizierung (OAuth, SAML, OpenID Connect) und SaaS-Anbindung. Die meisten Organisationen betreiben beides parallel im Hybrid-Modus — verbunden über Entra ID Connect.
Müssen wir Active Directory vollständig ablösen, um in die Cloud zu gehen?
In der Regel nicht. On-Premises-AD bleibt für viele Anwendungen (Datei-Dienste, ältere Software, Gruppenrichtlinien) weiter notwendig. Sinnvoll ist meist ein bewusst gestalteter Hybrid-Betrieb statt einer erzwungenen Komplett-Ablösung. Was tatsächlich migriert wird, klären wir in der Vorab-Analyse.
Wie läuft eine Tenant-Konsolidierung nach einer Fusion ab?
Zunächst werden die bestehenden Tenants und Forests inventarisiert und ein Ziel-Zustand definiert. Dann folgen Objekt-Mapping, Migration von Identitäten, Gruppen und Ressourcen sowie eine Koexistenz-Phase mit klaren Stichtagen. Wichtig ist, Berechtigungen bei dieser Gelegenheit zu bereinigen statt unbesehen zu übernehmen.
Wie lange dauert eine AD-/Entra-Migration?
Das hängt von Größe und Komplexität der Landschaft ab. Kleinere, klar umrissene Vorhaben sind in einigen Monaten machbar, große Konsolidierungen mit mehreren Forests und regulatorischen Vorgaben laufen über ein Jahr und länger. Eine belastbare Einschätzung entsteht im Vorprojekt.
Arbeitet cosoweb produktoffen oder nur mit Microsoft-Werkzeugen?
Im AD-/Entra-Umfeld sind die Microsoft-eigenen Werkzeuge (Entra ID Connect, MIM) der Kern. Für Migrationen und IAM-Anbindungen wählen wir ergänzend, was zur Anforderung passt — produktoffen, nicht portfoliogetrieben.
Bereit für ein Erstgespräch?
Schildern Sie kurz Ihre Ausgangslage — bestehende AD-/Entra-Landschaft, Ziel, gewünschter Zeitrahmen. Sie erhalten in der Regel innerhalb von zwei Werktagen eine erste Einschätzung.
Kontakt aufnehmen Projektunterstützung ansehen Direkt schreiben