Windows Server Hybrid Administrator: Warum reines On-Premise-Wissen nicht mehr reicht

Der Server steht im eigenen Rechenzentrum, die Domain Controller laufen seit Jahren stabil, das Backup funktioniert – und trotzdem reicht das Wissen von gestern nicht mehr aus. Microsoft hat den Zertifizierungspfad für Windows-Server-Administratoren komplett auf Hybrid ausgerichtet: AZ-800 und AZ-801 ersetzen die klassischen On-Premise-Prüfungen, und wer sie besteht, trägt den Titel „Windows Server Hybrid Administrator Associate“ – nicht „Windows Server Administrator“. Diese Verschiebung ist keine Marketingfloskel. Sie spiegelt wider, dass Identität, Patch-Management, Storage und Backup in modernen Umgebungen zunehmend über Cloud-Verwaltungsebenen laufen, selbst wenn die eigentliche Workload weiterhin im eigenen Rechenzentrum steht. Dieser Artikel geht die fünf Bausteine durch, an denen sich hybride Administration heute entscheidet.

Hybrid AD: Der Umbruch bei Entra Connect

Wer heute noch glaubt, Entra Connect (früher Azure AD Connect) sei die dauerhafte Lösung für die Synchronisation zwischen lokalem Active Directory und Entra ID, sollte diesen Artikel aufmerksam lesen. Im April 2026 hat Microsoft eine der größten Änderungen der letzten Jahre im Bereich Hybrid Identity angekündigt: die schrittweise Umstellung von Entra Connect Sync auf Entra Cloud Sync als primäre Synchronisationsmethode. Ab Juli 2026 informiert Microsoft betroffene Kunden über ihre individuellen Umstellungsfenster.

Was sich technisch ändert

Entra Connect Sync basiert auf einem dedizierten Synchronisationsserver im eigenen Rechenzentrum, der alle 30 Minuten Änderungen aus dem AD abgleicht und in Entra ID einträgt. Diese Architektur erfordert Serverpflege, Patching, SQL-Datenbank-Betrieb und funktioniert nur mit direktem Zugriff auf den Server für Konfigurationsänderungen. Cloud Sync verlagert die eigentliche Synchronisationslogik in die Cloud und reduziert die lokale Komponente auf einen leichtgewichtigen Agenten. Konfigurationsänderungen lassen sich zentral über das Entra Admin Center vornehmen, ohne VPN-Zugriff auf den lokalen Server.

Ein wichtiger praktischer Unterschied: Cloud Sync unterstützt mehrere aktive Agenten gleichzeitig für Hochverfügbarkeit – eine komplexe Active-Passive-Konfiguration, wie sie bei Entra Connect Sync notwendig war, entfällt. Zudem unterstützt Cloud Sync explizit die Synchronisation aus getrennten (nicht vertrauenden) Forests, was bei Entra Connect Sync deutlich aufwendiger zu realisieren ist.

Was Cloud Sync noch nicht abdeckt

Nicht jede Umgebung ist migrationsbereit. Microsofts eigene Bewertungskriterien nennen als Voraussetzung für eine sofortige Migration unter anderem weniger als 150.000 Objekte pro Domäne und den Verzicht auf komplexe Szenarien wie Passthrough-Authentifizierung in Kombination mit ADFS-Ablösung, umfangreiche attributbasierte Filterregeln oder Device-Writeback für Hybrid-Join-Szenarien. Wer Exchange-Hybrid-Schreibback, komplexe benutzerdefinierte Synchronisationsregeln oder Cross-Forest-Objektbeziehungen im Einsatz hat, gehört nicht zu den ersten Migrationswellen und sollte die Ankündigungen von Microsoft im Blick behalten.

Die Frist, die Sie jetzt schon betrifft

Unabhängig vom eigentlichen Cloud-Sync-Umstieg gibt es eine kurzfristigere Deadline: Wer weiterhin Entra Connect Sync betreibt, muss bis zum 30. September 2026 mindestens auf Version 2.5.79.0 aktualisieren. Andernfalls stoppt die Synchronisation vollständig, bis das Update eingespielt wird. Das ist keine Ankündigung für die ferne Zukunft, sondern eine Frist, die in den meisten Change-Management-Prozessen jetzt schon eingeplant werden muss.

Azure Arc als Verwaltungsebene für On-Premise-Server

Azure Arc verbindet Server außerhalb von Azure – on-premises, in einer anderen Cloud oder in einer Multi-Cloud-Umgebung – mit der Azure-Verwaltungsebene, ohne die Server physisch zu migrieren. Technisch geschieht das über den Connected-Machine-Agent, der auf dem Server installiert wird und die Maschine als Ressource in Azure Resource Manager sichtbar macht. Der Server erhält eine Azure-Ressourcen-ID, lässt sich taggen, in Ressourcengruppen organisieren und über Azure Policy adressieren – wie eine native Azure-VM, obwohl er weiterhin im eigenen Rechenzentrum steht.

Die Arc-Kontrollebene selbst – Ressourcenorganisation, Resource Graph, rollenbasierte Zugriffssteuerung, Basisvorlagen – ist kostenlos. Kostenpflichtig werden erst die darüberliegenden Azure-Dienste, die über Arc genutzt werden: Azure Monitor, Microsoft Defender for Cloud, Azure Update Manager und ähnliche. Diese Trennung zwischen kostenlosem Control Plane und kostenpflichtigen Diensten führt in der Praxis regelmäßig zu Überraschungen bei der Kostenplanung, dazu später mehr im Abschnitt Stolperfallen.

Für Windows-Server-Administratoren ist Arc inzwischen an mehreren Stellen praktisch unumgänglich geworden: als Voraussetzung für kostenloses Hotpatching bei Windows Server 2025, als Anbindungspunkt für Microsoft Defender for Servers auf Nicht-Azure-Maschinen, und – der größte Hebel – als Grundlage für zentrales Patch-Management über Azure Update Manager.

Patch-Management: Das Ende von WSUS als Zukunftslösung

Windows Server Update Services (WSUS) wurde bereits im September 2024 offiziell als „deprecated“ eingestuft. Das bedeutet nicht, dass WSUS nicht mehr funktioniert – die Rolle ist weiterhin Bestandteil von Windows Server 2025, synchronisiert weiterhin mit dem Microsoft Update Catalog und unterstützt weiterhin den Software Update Point von Configuration Manager. Was fehlt, ist die Zukunft: Microsoft investiert nicht mehr in neue Funktionen, nimmt keine Feature-Anfragen mehr an, und ein konkretes Enddatum für den Support wurde bislang nicht kommuniziert.

Der empfohlene Ersatz: Azure Update Manager

Für die Serverseite lautet Microsofts offizielle Empfehlung Azure Update Manager (AUM). Der Dienst verwaltet Updates einheitlich über Azure-VMs, On-Premises-Server und Multi-Cloud-Maschinen hinweg – vorausgesetzt, Letztere sind über Azure Arc angebunden. AUM bietet automatische Erkennungsläufe im 24-Stunden-Rhythmus, planbare Wartungsfenster über mehrere Maschinen hinweg mittels dynamischer Scoping-Regeln (Abonnement, Standort, Ressourcengruppe, Tags), und lässt sich mit Azure Policy erzwingen.

Preislich gilt: Azure-VMs sind kostenlos, für Arc-verbundene Nicht-Azure-Server berechnet Microsoft rund 5 US-Dollar pro Server und Monat, taggenau anteilig abgerechnet. Es gibt jedoch mehrere Konstellationen, in denen diese Gebühr entfällt: wenn für das Abonnement, das die Arc-Server hostet, Microsoft Defender for Servers Plan 2 aktiviert ist, wenn die Maschine für Extended Security Updates über Azure Arc lizenziert ist, oder wenn bestehende Windows-Server-Lizenzen mit aktiver Software Assurance beziehungsweise Pay-as-you-Go-Lizenzierung über Azure Arc vorliegen.

Was das für die Migrationsplanung bedeutet

Für ein Unternehmen mit umfangreicher Configuration-Manager-Landschaft ist die Situation im Sommer 2026 keine akute Migrationsnotwendigkeit, aber ein klares strategisches Signal. Realistisch handelt es sich um eine Absicherungsphase: WSUS-Exposition prüfen (Ports 8530/8531 dürfen nicht aus dem öffentlichen Internet erreichbar sein), Patch-Stand der WSUS-Hosts kontrollieren, und Azure Update Manager als mittelfristigen Baustein in die Roadmap aufnehmen – ohne sofortige Komplettmigration. ConfigMgr bleibt für OS-Imaging, Anwendungspaketierung und Legacy-Bestandsverwaltung vertretbar; die Frage ist eher, ob der Software Update Point und damit WSUS überhaupt noch gebraucht wird, sobald Client-Updates über Intune und Windows Autopatch laufen.

Azure File Sync: Storage zwischen Rechenzentrum und Cloud

Azure File Sync verbindet lokale Windows-Fileserver mit Azure Files und erlaubt es, eine Azure-Dateifreigabe als zentralen Hub zu nutzen, mit dem ein oder mehrere lokale Server synchronisiert werden. Das Kernfeature ist Cloud Tiering: Häufig genutzte (heiße) Dateien bleiben lokal für performanten Zugriff, selten genutzte (kalte) Dateien werden in die Cloud verschoben, während die Namespace-Struktur lokal erhalten bleibt. Öffnet ein Benutzer eine ausgelagerte Datei, wird sie transparent aus Azure nachgeladen – für den Anwender bleibt der Eindruck bestehen, alle Dateien lägen weiterhin lokal vor.

Für die Praxis relevant sind zwei aktuelle Entwicklungen. Erstens: Die Azure-File-Sync-Agentenversionen 18 und 19 sind zum 13. Mai 2026 abgelaufen – Server mit diesen Versionen synchronisieren seitdem nicht mehr, ein Update auf mindestens Version 22 ist zwingend. Zweitens: Seit Januar 2026 erhalten Unternehmen mit Software-Assurance-Lizenzierung und Arc-verbundenen Servern vergünstigte Preise pro Server für Azure File Sync, sofern Agentenversion 22 oder neuer läuft – ein direkter finanzieller Anreiz, sowohl den Agenten aktuell zu halten als auch die Server über Arc anzubinden.

Bei der Einrichtung von Cloud Tiering gilt in der Praxis: Das Systemvolume unterstützt kein Tiering, die Volume-Free-Space-Policy sollte in den meisten Fällen zwischen 10 und 20 Prozent liegen, und Failover-Clustering funktioniert nur mit klassischen geclusterten Datenträgern, nicht mit Cluster Shared Volumes.

Backup in hybriden Umgebungen

Auch beim Backup verschiebt sich die Architektur. Klassische lokale Backup-Lösungen bleiben für viele Workloads sinnvoll, aber für hybride Szenarien – etwa die Absicherung von Fileservern, SQL-Workloads oder ganzen VMs mit einer Kopie außerhalb des eigenen Rechenzentrums – hat sich Azure Backup als Standardbaustein etabliert. Über den Microsoft Azure Recovery Services (MARS) Agent lassen sich einzelne Dateien und Ordner direkt in einen Recovery Services Vault sichern, für vollständige VM- oder Anwendungssicherungen kommt Azure Backup Server zum Einsatz, der auf derselben Sicherungstechnologie wie System Center Data Protection Manager basiert.

Der strategische Vorteil gegenüber einer rein lokalen Bandsicherung liegt auf der Hand: eine geografisch getrennte Kopie, die vor lokalen Katastrophen und – bei korrekt konfigurierter Unveränderlichkeit (Immutable Vaults) – auch vor Ransomware-Verschlüsselung geschützt ist. Der Recovery Services Vault lässt sich mit Soft-Delete- und Immutability-Einstellungen versehen, die verhindern, dass Backups innerhalb eines definierten Zeitraums gelöscht oder überschrieben werden, selbst mit administrativen Rechten.

Praxisszenarien

Mittelständisches Unternehmen mit Filesharing über mehrere Standorte: Ein Unternehmen mit Hauptsitz und zwei Außenstellen nutzt Azure File Sync, um eine gemeinsame Dateibasis zu betreiben. Jeder Standort hat einen lokalen Fileserver mit Cloud Tiering, sodass selten genutzte Projektarchive automatisch in Azure liegen, während aktuelle Projektdaten lokal performant verfügbar bleiben.

Konzern mit strikter Patch-Compliance-Anforderung: Eine Organisation mit mehreren hundert Servern über verschiedene Standorte und eine kleine AWS-Präsenz nutzt Azure Arc, um sämtliche Server – unabhängig vom Hosting-Ort – zentral über Azure Update Manager zu patchen und den Compliance-Status einheitlich zu reporten, statt mehrere separate WSUS-Infrastrukturen zu pflegen.

Stolperfallen in der Praxis

Die Arc-Kostenfalle: Control Plane kostenlos, Dienste kostenpflichtig. Viele Teams gehen bei der Arc-Einführung davon aus, dass mit der Anbindung selbst keine Kosten verbunden sind – was für den reinen Control Plane stimmt. Sobald aber Update Manager, Monitor oder Defender aktiviert werden, entstehen laufende Kosten pro Server. Ohne sauberes Tagging und Kostenstellen-Zuordnung bei der Onboarding-Phase kommt die Rechnung oft überraschend.

Cloud Sync ist nicht automatisch ein Drop-in-Replacement. Wer Device-Writeback, komplexe Attributfilterung oder Exchange-Hybrid-Schreibback nutzt, kann nicht einfach auf Cloud Sync umstellen, ohne diese Funktionen zu verlieren oder durch andere Mechanismen zu ersetzen. Eine Bestandsaufnahme der tatsächlich genutzten Entra-Connect-Funktionen sollte jeder Migrationsplanung vorausgehen.

WSUS „läuft noch“ wird mit „hat Zukunft“ verwechselt. Die fehlende Ankündigung eines konkreten Enddatums führt in vielen Umgebungen dazu, dass die WSUS-Ablösung auf unbestimmte Zeit verschoben wird. Ein Punkt, der in unseren Schulungen regelmäßig für Aha-Momente sorgt: Deprecation bedeutet keine Sicherheitsupdates mehr für die WSUS-Software selbst – nur für die Inhalte, die sie ausliefert. Offene WSUS-Ports im öffentlichen Internet sind ein bekanntes und wiederkehrendes Sicherheitsrisiko.

Agentenversionen bei Azure File Sync werden nicht überwacht. Das automatische Ablaufen älterer Agentenversionen (wie bei v18/v19 im Mai 2026 geschehen) wird oft erst bemerkt, wenn die Synchronisation bereits steht. Ein Monitoring auf Agentenversion und automatische Update-Benachrichtigungen gehört in jede Azure-File-Sync-Betriebsdokumentation.

Abgrenzung und Limitierungen

Cloud Sync deckt aktuell nicht alle Szenarien ab, die Entra Connect Sync abdeckt. Organisationen mit mehr als 150.000 Objekten pro Domäne, Gruppen mit über 50.000 Mitgliedern oder umfangreichen Cross-Forest-Abhängigkeiten gehören nicht zu den ersten Migrationskandidaten und müssen die Weiterentwicklung von Cloud Sync beobachten, bevor eine Migration sinnvoll ist.

Azure Update Manager ersetzt WSUS nicht eins zu eins bei Umgebungen ohne Internetanbindung. Air-Gapped- oder stark eingeschränkte Netzwerke benötigen weiterhin einen komplett anderen Patch-Management-Ansatz, da die Microsoft-Cloud-Tools grundsätzlich Internetkonnektivität voraussetzen.

Azure File Sync ist kein Ersatz für ein vollwertiges Backup. Cloud Tiering verschiebt Daten, sichert sie aber nicht im Sinne eines Restore-Konzepts mit Versionierung über längere Zeiträume – dafür bleibt eine dedizierte Backup-Lösung wie Azure Backup notwendig.

Lizenz- und Kostenfragen

Azure Arc als Control Plane ist kostenlos, die darüber genutzten Dienste werden regulär nach den jeweiligen Azure-Preismodellen abgerechnet. Azure Update Manager kostet für Arc-verbundene Server rund 5 US-Dollar pro Server und Monat, außer eine der beschriebenen Ausnahmen (Defender for Servers Plan 2, ESU über Arc, Software Assurance mit Pay-as-you-Go) greift. Azure File Sync profitiert seit Januar 2026 von vergünstigten Preisen für Software-Assurance-Kunden mit aktueller Agentenversion. Azure Backup wird nach gesicherten Datenmengen und Aufbewahrungsrichtlinien abgerechnet, unabhängig von den genannten anderen Diensten.

Für die Budgetplanung heißt das: Eine hybride Infrastruktur ersetzt selten eins zu eins die bisherigen On-Premise-Kosten durch Cloud-Kosten, sondern addiert in der Regel neue, nutzungsbasierte Kostenpositionen zur bestehenden Lizenzierung. Wer bereits Defender for Servers Plan 2 oder Software Assurance im Bestand hat, kann einen erheblichen Teil dieser neuen Kosten durch bestehende Entitlements abfedern.

Ausblick

Die Richtung ist eindeutig: Microsoft verlagert die Verwaltungsebene für Identität, Patching, Storage und zunehmend auch Backup in die Cloud, unabhängig davon, wo die eigentlichen Workloads laufen. Für Administratoren, die bislang rein On-Premise gedacht haben, bedeutet das keinen abrupten Bruch, aber eine kontinuierliche Verschiebung der täglichen Werkzeuge. Wer sich jetzt mit Azure Arc, Cloud Sync und Azure Update Manager vertraut macht, vermeidet, in ein bis zwei Jahren mehrere Migrationsprojekte gleichzeitig stemmen zu müssen.

Häufige Fragen (FAQ)