Was Microsoft Entra ID ist

Microsoft Entra ID ist der Verzeichnis- und Anmeldedienst von Microsoft. Bis Juli 2023 hieß er Azure Active Directory. Er verwaltet Benutzer, Gruppen und Geräte und regelt, wer sich wo anmelden darf.

Jeder Microsoft-365-Mandant nutzt Entra ID. Die Grundfunktionen sind enthalten, Funktionen wie bedingter Zugriff oder die Verwaltung privilegierter Rollen erfordern die Editionen P1, P2 oder Suite.

Wofür es eingesetzt wird

Unternehmen nutzen Entra ID für die Anmeldung an Microsoft 365, Azure und vielen Fremdanwendungen. Über SAML, OpenID Connect und SCIM lassen sich auch Anwendungen anderer Hersteller anbinden und mit Benutzerkonten versorgen.

Häufig wird ein lokales Active Directory mit Entra ID synchronisiert. Damit hängt die Anmeldung an vielen Systemen an einem Cloud-Dienst eines US-Konzerns, der sich nicht im eigenen Rechenzentrum betreiben lässt.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Cloud-Identitätsdienst für Unternehmen, meist zusammen mit Microsoft 365; Fragen zu Selbstbetrieb und Quellcode sind für einen Cloud-Dienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Microsoft-Clouddienste in Deutschland ist laut Microsoft-Rechtsseite die Microsoft Ireland Operations Limited in Dublin; Konzernmutter ist die Microsoft Corporation in Redmond, USA. Ob für Entra ID ohne Microsoft 365 (z. B. über Azure) derselbe Vertragspartner gilt, wurde nicht gesondert geprüft. Beleg: Microsoft 365: Informationen zu rechtlichen Aspe…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Als US-Anbieter unterliegt Microsoft dem CLOUD Act (18 U.S.C. § 2713), der Herausgabepflichten unabhängig vom Speicherort vorsieht. Microsoft France erklärte im Juni 2025 unter Eid vor dem französischen Senat, eine Weitergabe an US-Behörden nicht ausschließen zu können (Sekundärquelle). Die Zusage vom April 2025 sieht nur die Anfechtung von Behördenanfragen vor, wo eine rechtliche Grundlage besteht. Beleg: 18 U.S.C. § 2713: Required preservation and disc… · Not sovereign: Microsoft cannot guarantee the se… · Microsoft announces new European digital commitm…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	nein	Auslegung: Schutz der Verzeichnis- und Anmeldedaten gegen Zugriff des Betreibers. Entra ID verschlüsselt Verzeichnisdaten bei der Übertragung zwischen Rechenzentren und speichert Geheimnisse verschlüsselt; die Schlüssel verwaltet eine Microsoft-Gruppe über eigene Abläufe. Kundenseitig verwaltete Schlüssel oder eine Schlüsselhaltung ausschließlich beim Kunden sind in der Dokumentation nicht beschrieben. Microsoft-Administratoren erhalten Zugriff über ein Just-in-Time-Verfahren mit Genehmigung und Protokollierung, nicht über einen kundenseitigen Schlüssel. Beleg: Microsoft Entra data protection considerations · Microsoft Entra data operational considerations
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Microsoft Corporation (Redmond, USA) ist börsennotiert; Struktur und Kapital sind über den Jahresbericht Form 10-K öffentlich belegt. Für den Zeitraum 05.11.2024 bis 05.11.2026 ist kein Kontrollwechsel belegt. Der US-Sitz ist in 1.1 bewertet. Beleg: Form 10-K für das Geschäftsjahr bis 30.06.2026 (…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Entra ID ordnet den Mandanten bei der Anlage einer Geo-Region zu (für Europa: EMEA, nicht auf EU/EWR/CH beschränkt); ruhende Daten liegen dort mit Ausnahmen je Komponente, die Sicherungs-Snapshots des Verzeichnisses in derselben Region. Ausnahmen betreffen Kundendaten selbst: MFA-Protokolle mit Benutzername und Telefonnummer liegen in 'North America and/or in geo location', ältere oder umgestellte Mandanten halten Verzeichnisdaten in den USA oder Asien-Pazifik. Die Privacy & Security Terms behalten für die EU Data Boundary die Replikation begrenzter Verzeichnisdaten (u. a. Benutzername, E-Mail-Adresse) außerhalb der EU vor. Beleg: Microsoft Entra ID and data residency · Customer data storage and processing for Europea… · Privacy & Security Terms (Product Terms, MPSA) · EU Data Boundary transfers for all services
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb des Identitätsdienstes im eigenen Rechenzentrum oder bei einem frei wählbaren Dienstleister. Entra ID wird ausschließlich von Microsoft betrieben; Kunden haben keinen Zugriff auf Infrastruktur und Standorte. Lokales Active Directory lässt sich über Synchronisation anbinden, Entra ID selbst läuft aber nicht im eigenen Rechenzentrum; der Microsoft-Blog zu Souveränitätsangeboten vom Oktober 2026 nennt Entra ID nicht. Beleg: Microsoft Entra data operational considerations · What is hybrid identity with Microsoft Entra ID? · Advancing digital sovereignty with greater contr…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Auslegung: Entra ID hat keinen eigenen Client, gemeint sind dienstseitige Protokoll- und Diagnosedaten. Microsoft beschreibt, dass Anmeldeprotokolle an Analysesysteme in den USA kopiert und zentral über Geo-Regionen hinweg verarbeitet werden, pseudonymisierte Daten zur Lizenzprüfung und Nutzungsstatistik außerhalb der EU landen; eine Abschaltung ist nicht vorgesehen. Die für Kunden sichtbaren Audit- und Anmeldeprotokolle sind dokumentiert (Aufbewahrung 7 bzw. 30 Tage je nach Lizenz). Eine vollständige Liste der dienstseitig erhobenen Daten wurde nicht gefunden. Beleg: Microsoft Entra data operational considerations · EU Data Boundary transfers for all services · Microsoft Entra data retention
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Der Auftragsverarbeitungsvertrag (Fassung April 2025) begrenzt die Verarbeitung auf die Bereitstellung der Dienste und schließt Profilbildung, Werbung und Marktforschung aus, enthält aber keine ausdrückliche Klausel zum KI-Training. Dass Kundendaten nicht zum Training von Foundation-Modellen verwendet werden, sagt Microsoft in Dokumentation und Blog zu Copilot, dort mit dem Zusatz „ohne Ihre Erlaubnis“ und ohne Nennung einer Vertragsklausel. Die aktuelle Fassung November 2026 lag nur als DOCX vor und konnte nicht gelesen werden. Beleg: Microsoft Products and Services Data Protection… · Enterprise data protection in Microsoft 365 Copi… · Protecting the data of our commercial and public…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Entra ID ist ein proprietärer Cloud-Dienst; Quellcode der Kernfunktionen steht nicht unter einer OSI-Lizenz zur Verfügung. Beleg: Microsoft Entra Plans and Pricing · Microsoft announces new European digital commitm…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Dienst ist nur als Microsoft-Clouddienst nutzbar; erweiterte Funktionen wie bedingter Zugriff, Privileged Identity Management oder ID Protection setzen die kostenpflichtigen Editionen P1, P2 bzw. Suite voraus. Beleg: Microsoft Entra Plans and Pricing · Microsoft Entra data operational considerations
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Nach Ablauf eines Microsoft-365-Abonnements werden Daten gelöscht und der Entra-ID-Mandant entfernt, sofern kein anderer Dienst ihn nutzt. Ein Weiterbetrieb des Identitätsdienstes ohne Vertrag ist nicht vorgesehen. Beleg: What happens to my data and access when my Micro…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die ISO-27001-Seite von Microsoft führt Microsoft Entra ID im Geltungsbereich für Office 365 Commercial; als aktuelles Zertifikat wird 'Microsoft 365 ISO 27001:2022 (2024 bis 2027)' genannt. Für Azure ist C5:2020 im kombinierten SOC-2-Typ-2-Bericht (Stand März 2025) enthalten; ob Entra ID im C5-Prüfumfang steht, nennt die Seite nicht. Beleg: ISO/IEC 27001 (Compliance Offering) · Germany C5 (Azure compliance offering)
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Das Microsoft Security Response Center betreibt einen öffentlichen Meldeweg und den Security Update Guide und vergibt seit Juni 2024 CVEs auch für Cloud-Schwachstellen ohne Kundenhandlungsbedarf. Beispiel: CVE-2025-55241, eine kritische mandantenübergreifende Lücke in Entra ID, im Juli 2025 gemeldet und binnen drei Tagen behoben, CVE im September 2025 veröffentlicht (Sekundärquelle). Beleg: Toward greater transparency: Unveiling Cloud Ser… · Microsoft Patches Critical Entra ID Flaw Enablin…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist laut Microsoft-Rechtsseite die Microsoft Ireland Operations Limited (EU); Supportdaten liegen nach der EU Data Boundary in der EU, mit dokumentierten Ausnahmen. Anwendbares Recht und Gerichtsstand des aktuellen Kundenvertrags wurden nicht aus einer Primärquelle belegt; die Anbieterangabe stammt von einer Seite mit Stand 2012. Beleg: Microsoft 365: Informationen zu rechtlichen Aspe… · EU Data Boundary transfers for all services · Microsoft completes landmark EU Data Boundary, o…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Gegenprüfung an der Quelle: Unterauftragsverarbeiter-Liste öffentlich mit Vorabankündigung (DPA: 6 Monate), aber Spalte Standorte nur teils vorhanden (Personaldienstleister ohne, manche Einträge nur 'nach Kundenregion'); Entra ID selbst in der Liste nicht aufgeführt. Vollständigkeit mit Standorten nicht belegt. Beleg: Microsoft Online Services Subprocessors (Service… · Locations of Microsoft Online Services Personnel… · Microsoft Products and Services Data Protection…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Die Privacy & Security Terms erlauben Microsoft-Personal außerhalb der EU Data Boundary den Fernzugriff auf Verarbeitungssysteme, soweit zum Betreiben, zur Fehlerbehebung, zum Support und zur Sicherung der Dienste nötig; Microsoft nennt Personalstandorte in rund 99 Ländern, darunter USA, Indien und China, das MSRC arbeitet nach dem Follow-the-Sun-Modell. Entra ID steht nicht in der Liste der von Customer Lockbox for Microsoft Azure unterstützten Dienste (nur 'Microsoft Entra Diagnostics Data'); Notfälle und Sicherheitsvorfälle lösen ohnehin keine Lockbox-Anfrage aus. Beleg: Privacy & Security Terms (Product Terms, MPSA) · Locations of Microsoft Online Services Personnel… · EU Data Boundary transfers for all services · Customer Lockbox for Microsoft Azure

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Auslegung: Export von Identitäten, Konfiguration und Protokollen. Benutzerlisten lassen sich als CSV herunterladen (Standard- und erweiterte Attribute), Bereitstellung an Anwendungen erfolgt über SCIM 2.0. Audit- und Anmeldeprotokolle lassen sich nur über Azure-Dienste (Speicherkonto, Event Hub) dauerhaft sichern. Ein Export der gesamten Konfiguration (Richtlinien, App-Registrierungen) in ein offenes Format ist nicht dokumentiert; LDAP bietet Entra ID selbst nicht, sondern nur der separate Dienst Domain Services. Beleg: Download a list of users in the Microsoft Entra… · What is app provisioning in Microsoft Entra ID? · Microsoft Entra data retention · Microsoft Entra ID and data residency
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Entra ID unterstützt SAML 2.0, OAuth 2.0 und OpenID Connect 1.0 für die Anmeldung an Anwendungen sowie SCIM 2.0 für die Bereitstellung; bei eigenen Anwendungen werden laut Microsoft nur bestimmte Teile des SCIM-Standards unterstützt. Verwaltung und Daten sind über die dokumentierte Microsoft Graph API erreichbar. Beleg: Single sign-on SAML protocol (Microsoft Entra ID) · OAuth 2.0 and OpenID Connect protocols on the Mi… · What is app provisioning in Microsoft Entra ID?
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Administratoren können Benutzerdaten ohne Mitwirkung von Microsoft exportieren; große Standard-Exporte können nach einer Stunde abbrechen, die schnellere Variante ist noch Vorschau. Protokolle werden je nach Lizenz nur 7 oder 30 Tage aufbewahrt und lassen sich nur über kostenpflichtige Azure-Dienste länger sichern. Ein vollständiger Mandantenexport einschließlich Richtlinien und Anwendungskonfiguration in einem Schritt ist nicht dokumentiert. Beleg: Download a list of users in the Microsoft Entra… · Microsoft Entra data retention

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welches Recht und welcher Gerichtsstand im aktuellen Kundenvertrag für deutsche Unternehmen gelten.
Ob Entra ID im Prüfumfang eines C5-Testats liegt. Die Berichte sind nur nach Anmeldung im Service Trust Portal einsehbar.
Wo Daten der mehrstufigen Anmeldung, der Passwortzurücksetzung und von ID Protection für europäische Mandanten genau liegen.
Wie ruhende Verzeichnisdaten verschlüsselt werden und wer die Schlüssel hält.
Wie sich Richtlinien und Anwendungskonfigurationen vollständig exportieren lassen.
Ob die aktuelle DPA-Fassung November 2026 eine ausdrückliche Klausel zum Ausschluss des KI-Trainings mit Kundendaten enthält, weil sie nur als DOCX vorlag und nicht ausgewertet werden konnte.
Ob die im Service Trust Portal abgerufene Unterauftragsverarbeiter-Liste (Ausgabe 28.02.2025) die aktuelle ist, weil der direkte Link ein älteres Dokument liefern kann.
Ob Entra ID von einer eigenen Azure-Unterauftragsverarbeiter-Liste erfasst wird, weil die Online-Services-Liste Entra ID nicht einzeln nennt.
Ob die 2026 eingeführte Rolle 'Entra Customer Lockbox Approver' eine Freigabe je Fall für Zugriffe auf Entra-ID-Verzeichnisdaten bewirkt, weil die Lockbox-Dokumentation Entra ID nicht als unterstützten Dienst nennt (nur in Sekundärquellen gesehen, nicht abgerufen).

Fragen vor einer Entscheidung

Welche Anwendungen hängen an Entra ID, und was würde ein Ausfall oder eine Sperre des Dienstes für Ihren Betrieb bedeuten?
Welche Verzeichnis- und Anmeldedaten dürfen nach den dokumentierten Ausnahmen die EU verlassen, und ist das mit Ihrem Datenschutzbeauftragten abgestimmt?
Wie lange bewahren Sie Anmelde- und Auditprotokolle auf, und wo werden sie gesichert?
Wie würden Sie Benutzer, Gruppen, Richtlinien und App-Anbindungen auf einen anderen Identitätsdienst übertragen?

Microsoft Entra ID