Die Gruppe ist noch da. Die Logik steht.
Themenstand: 03.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
Beim Ende des memberOf-Operators verschwinden die Gruppen nicht einfach. Gerade ein erhalten gebliebener letzter Zustand kann Zugriffsfehler verdecken.
Ein stiller Fehler sieht ordentlich aus
Microsoft nennt den 3. November 2026 als Umstellungstermin für das Ende des memberOf-Operators in der öffentlichen Vorschau. Die Learn-Dokumentation beschreibt die unangenehme Folge: Betroffene dynamische Gruppen, Verwaltungseinheiten und automatische Zugriffspaket-Zuweisungen werden nicht mehr aktualisiert. Ihr letzter bekannter Zustand bleibt bestehen.
Das ist ein anderer Fehler als eine gelöschte Gruppe. Der Name steht weiter im Portal, Mitglieder sind vorhanden und abhängige Regeln können weiterhin auf das Objekt verweisen. Wer nur prüft, ob eine Gruppe existiert, hat damit die Funktionsfähigkeit ihrer Mitgliedschaftslogik noch nicht nachgewiesen.
Abhängigkeiten statt Namen inventarisieren
Betroffen sind Regeln, die den Operator verwenden, nicht pauschal alle dynamischen Gruppen. Microsoft beschreibt für automatische Zugriffspaket-Zuweisungen eine Quarantäne: Die Richtlinie bleibt bestehen, fügt aber keine Zuweisungen hinzu und entfernt keine, bis die betreffende Regel angepasst wird. Andere unterstützte Attributregeln sind davon nicht grundsätzlich betroffen.
Ich würde jeden Treffer mit seinen Verwendungen verbinden: Lizenzen, Anwendungszugriff, Gerätekonfiguration und bedingte Zugriffsregeln. Entscheidend ist auch die Richtung. Eine fehlende Aufnahme kann Arbeit verhindern. Eine ausgebliebene Entfernung kann einen inzwischen nicht mehr vorgesehenen Zugriff erhalten. Beides verlangt einen Test mit erwarteten Ergebnissen.
Eine Ersatzregel braucht verlässliche Daten
Eine attributbasierte Regel kann ein passender Ersatz sein, wenn die benötigten Identitätsmerkmale korrekt gepflegt werden. Die Frage lautet dann beispielsweise, ob Abteilung oder Beschäftigtentyp den gewünschten Personenkreis zuverlässig beschreiben. Eine Regel mit unzuverlässigen Eingangsdaten automatisiert lediglich einen anderen Fehler.
Für Zugriffspakete beschreibt Microsoft unterstützte Attributregeln und alternative Zuweisungsverfahren. Vor einem Umbau sollte geklärt sein, wie bestehende und künftig nicht mehr passende Zuweisungen behandelt werden. Ein Wechsel der Logik gehört mit Eintritt, Wechsel und Austritt als getrennten Testfällen abgenommen.
Den wirklichen Stand prüfen
Der ursprüngliche Archivtext nennt zusätzlich eine mandantenspezifische Verlängerung. Daraus mache ich keine allgemeine Ausnahme: Verbindliche Sonderregelungen und ihr Geltungsbereich müssen im eigenen Message Center und anhand der aktuellen Herstellerdokumentation bestätigt werden. Eine vermutete Fristverlängerung ist kein Funktionsnachweis.
Mein Takeaway, Maurizio Schmidt: Nicht der vorhandene Gruppenname schafft Vertrauen, sondern die nachgewiesene Aktualisierung. Dabei nur direkte Mitgliedschaften mit der vorgesehenen Logik vergleichen; memberOf war keine allgemeine transitive Auflösung beliebig verschachtelter Gruppen. Anschließend die tatsächliche Wirkung auf den Zugriff kontrollieren.