Darum geht es
Wenn Sie Benutzerkonten aus einem lokalen Active Directory mit Microsoft 365 synchronisieren, hängt die Anmeldung aller Mitarbeitenden an diesem Synchronisationsdienst. Connect Health überwacht ihn und meldet Fehler und Ausfälle per E-Mail. Für reine Cloud-Tenants ohne lokales Active Directory ist dieser Punkt nicht relevant.
Was passieren kann
Fällt die Synchronisation unbemerkt aus, werden z. B. gesperrte oder ausgeschiedene Mitarbeitende nicht in Microsoft 365 deaktiviert und behalten Zugriff.
Schritt für Schritt
Klären Sie, ob Microsoft Entra Connect Sync im Einsatz ist. Falls nicht (reiner Cloud-Tenant), dokumentieren Sie den Punkt als nicht zutreffend.
Stellen Sie sicher, dass Entra Connect Sync in einer aktuellen Version 2.x läuft und Microsoft Entra ID P1 lizenziert ist (Voraussetzung für Connect Health).
Prüfen Sie auf dem Sync-Server, ob der Dienst „Microsoft Entra Connect Health Agent“ installiert ist und läuft; installieren Sie ihn andernfalls nach.
Öffnen Sie Microsoft Entra Connect Health (aka.ms/aadconnecthealth) > „Synchronisierungsdienste“, wählen Sie den Dienst und prüfen Sie Serverstatus, Warnungen und Synchronisierungsfehler.
Hinterlegen Sie für E-Mail-Warnungen eine regelmäßig gelesene Adresse (z. B. IT-Postfach oder Dienstleister).
Kontrollieren Sie anschließend, ob die Datenaktualität (Status der Datenaktualität, auf Microsoft Learn „Datenfrischigkeitsstatus“) ohne Warnung angezeigt wird.
Hier finden Sie die Einstellung
- Microsoft Entra Connect Health (aka.ms/aadconnecthealth, Teil des Microsoft Entra Admin Centers)
- „Synchronisierungsdienste“
- Ihr Synchronisationsdienst
- Warnungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der Synchronisationsdienst Entra Connect wird per Connect Health überwacht
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Für diese Einstellung bietet Microsoft keine auslesbare Schnittstelle (nur im Admin-Center sichtbar). Bitte prüfen Sie sie manuell anhand der Empfehlung.
Für Ihre IT: per PowerShell nachsehen
Auf dem Entra-Connect-Server: Get-Service *ConnectHealth* | ft Name,Status. Die Health-Agent-Dienste müssen „Running“ sein. Sync-Zeitplan prüfen: Get-ADSyncScheduler (Modul ADSync).
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- DER.1.A5: Einsatz von mitgelieferten Systemfunktionen zur Detektion
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.