Der Softwarekonzern Microsoft stellt den sogenannten memberOf-Operator in seinem Identitätsdienst Entra ID zum 3. November 2026 weltweit ein. Von der Abschaltung sind dynamische Mitgliedergruppen, dynamische administrative Einheiten sowie automatisierte Zuweisungsrichtlinien im Berechtigungsmanagement betroffen. Diese Mechanismen verarbeiten nach dem Stichtag keine Änderungen mehr und verharren auf ihrem zuletzt bekannten Zustand.
Sicherheitsrisiken durch veraltete Zugriffsrechte
Zwar verschwinden bestehende Gruppenmitgliedschaften nach der Abschaltung nicht unmittelbar, sie laufen jedoch Gefahr zu veralten. Dies bringt erhebliche betriebliche und sicherheitsrelevante Konsequenzen mit sich: Neue Mitarbeiter erhalten unter Umständen weder erforderliche Lizenzen noch Zugriffsberechtigungen, während scheidende Beschäftigte Zugriffe behalten können.
In der Folge arbeiten auch angebundene Dienste wie Richtlinien für bedingten Zugriff, Microsoft Teams und SharePoint möglicherweise mit nicht mehr aktuellen Datenbeständen. Nach Angaben von Microsoft kann bereits eine einzige unbereinigte memberOf-Regel die Verarbeitung dynamischer Mitgliedschaften im gesamten Mandanten beeinträchtigen.
Die Sicherheit der IT-Infrastruktur hängt maßgeblich davon ab, potenzielle Sicherheitslücken proaktiv zu schließen, bevor diese ausgenutzt werden können. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer jetzt im Blick behalten müssen. Cyber-Sicherheitsrisiken jetzt erkennen und abwenden
Die Funktion verblieb dauerhaft im Status einer Public Preview und war von Microsoft nicht für den produktiven Einsatz empfohlen worden. Mit der endgültigen Abschaltung beabsichtigt das Unternehmen, die Skalierbarkeit und Zuverlässigkeit der Plattform zu verbessern.
Der Operator wies bereits im Testbetrieb strikte Grenzen auf: Pro Mandant waren maximal 500 memberOf-Gruppen zulässig, und der Operator ließ sich nicht mit weiteren Bedingungen kombinieren. Zudem setzte die Nutzung eine Lizenzierung nach Entra ID P1 oder P2 voraus und beschränkte sich auf die öffentliche Cloud. Mandanten in Regierungsumgebungen sind von der Maßnahme nicht betroffen.
Handlungsbedarf für Administratoren und Entwickler
Neben den dynamischen Gruppenregeln betrifft das Aus auch die MemberOf-Schnittstelle. Diese API liefert die Gruppen zurück, denen ein Objekt wie ein Benutzer, eine Gruppe oder ein Dienstprinzipal angehört. Anwendungen, Skripte und Integrationen, die diesen Aufruf nutzen, verlieren nach der Einstellung ihre Funktionsfähigkeit. Auf reguläre Endanwender unter Windows hat die Umstellung hingegen keine direkten Auswirkungen.
Wer die IT-Sicherheit im Unternehmen stärken möchte, ohne sofort in teure neue Systeme zu investieren, findet in diesem Leitfaden wertvolle Unterstützung. Das Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen zuverlässig erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Microsoft empfiehlt Administratoren und Entwicklern eine Bestandsaufnahme aller abhängigen Anwendungen und Skripte. Abfragen müssen auf die Microsoft Graph API für direkte sowie transitive Mitgliedschaften umgestellt und außerhalb der Produktionsumgebung getestet werden.
Für das Identitätsmanagement rät der Konzern dazu, betroffene Gruppen im Entra Admin Center zu exportieren und die memberOf-Regeln durch unterstützte Operatoren zu ersetzen oder auf zugewiesene Mitgliedschaften auszuweichen.
Administrative Einheiten und automatische Zuweisungen sollten mithilfe von Microsoft Graph PowerShell überprüft werden, gefolgt von einer Validierung der Mitgliedschaften und Zugriffspakete.
Der Beschluss zur Einstellung fiel im August 2026 und wurde am 5. August 2026 über die Message-Center-Mitteilung MC1448379 kommuniziert. Eine abschließende Warnung samt Migrationsanleitungen versandte Microsoft am 28. Oktober 2026 unter der Kennung MC1529463.
Mehr zum Thema bei Neowin: „Microsoft issues final warning and guidance on Entra ID MemberOf retirement“