Dynamische Gruppen in Microsoft Entra ID erstellen: Schritt-für-Schritt-Anleitung

Dynamische Gruppen in Microsoft Entra ID verwalten ihre Mitgliedschaft automatisiert über Regeln, die an Benutzer- oder Geräteattribute gebunden sind. Sie sind unverzichtbar, wenn Sie Intune-Zuweisungen, Richtlinien für bedingten Zugriff und automatisierte Bereitstellung skalieren wollen.

Die Einrichtung ist einfach. Probleme treten jedoch oft erst im größeren Maßstab auf, wenn Regeln zu komplex werden oder Governance vernachlässigt wird. Dieser Leitfaden verbindet die Best Practices von Microsoft mit Automatisierung und lückenloser Nachweisführung, damit Ihre dynamischen Gruppen in Microsoft Entra berechenbar, sicher und einfach zu verwalten bleiben.

So erstellen Sie dynamische Gruppen in Microsoft Entra

Stellen Sie vorab sicher, dass die Grundlagen stimmen.

📌 Allgemeine Voraussetzungen:

• Rolle „Globaler Administrator“ oder „Gruppenadministrator“ in Microsoft Entra ID.
• Festgelegte Attribute, die die Mitgliedschaft steuern (department, deviceOwnership, userType oder enrollmentProfileName).
• Pilot-Tenant oder Testgruppe zur Validierung vor dem produktiven Rollout.
• PowerShell 7 und das Microsoft-Graph-Modul sind für Automatisierung und Audits installiert.

Schritt 1: Den richtigen Gruppentyp (Sicherheit oder Microsoft 365) und den Mitgliedschaftsbereich (Benutzer oder Geräte) wählen

Wählen Sie zunächst den Gruppentyp passend zum Einsatzzweck und abhängig davon, ob die Gruppe Benutzer:innen oder Geräte adressiert. Diese Entscheidung wirkt sich auf Zugriffssteuerung, Zusammenarbeit und das Verhalten der Automatisierung aus.

📌 Anwendungsfälle:

• Sicherheitsgruppe: App-Berechtigungen zuweisen, Richtlinien für bedingten Zugriff anwenden oder Intune-Konfigurationen bereitstellen.
• Microsoft 365-Gruppe: Zusammenarbeit in Teams, SharePoint und Outlook für eine Abteilung oder ein Projekt ermöglichen.

So gehen Sie vor:

1. Melden Sie sich im Microsoft Entra Admin Center an.
2. Gehen Sie zu Gruppen > Alle Gruppen > + Neue Gruppe.
3. Wählen Sie unter Gruppentyp:
   • Sicherheit: Unterstützt dynamische Mitgliedschaft für Benutzer:innen oder Geräte (nicht beides in einer Gruppe)
   • Microsoft 365: Unterstützt nur Benutzer:innen für Funktionen zur Zusammenarbeit
4. Wählen Sie unter Mitgliedschaftstyp:
   • Dynamischer Benutzer: Basierend auf Benutzerattributen (z. B. Abteilung, Position)
   • Dynamisches Gerät: Basierend auf Geräteattributen (z. B. Betriebssystem, Compliance-Status)
5. Legen Sie je Typ eigene Gruppen an, das sorgt für Klarheit und Nachvollziehbarkeit.

💡 Tipp: Verwenden Sie eine einheitliche Namenskonvention (z. B. Auto-Dept-Marketing-Users, Auto-Device-Windows-Endpoints), um Governance und Audits zu vereinfachen.

6. Dokumentieren Sie zu jeder Gruppe den Zweck, die verantwortliche Person und Abhängigkeiten wie verknüpfte Intune-Richtlinien oder Zuweisungen für bedingten Zugriff.

Schritt 2: Die dynamische Mitgliedschaftsregel formulieren

Erstellen Sie anschließend die Regel, die festlegt, welche Benutzer:innen oder Geräte der Gruppe automatisiert beitreten oder sie verlassen. Dynamische Mitgliedschaftsregeln arbeiten mit attributbasierter Logik, die Entra ID laufend neu auswertet, sobald sich Verzeichnisdaten ändern.

📌 Anwendungsfälle:

• Alle Benutzer:innen einer bestimmten Abteilung, etwa der Finanzabteilung, zu einer Microsoft 365-Gruppe hinzufügen.
• Alle unternehmenseigenen Geräte für Intune-Compliance-Richtlinien adressieren.
• Benutzer:innen aus mehreren Abteilungen einbeziehen.

So gehen Sie vor:

1. Gehen Sie im Microsoft Entra Admin Center zu Gruppen und wählen Sie Ihre Gruppe aus.
2. Wählen Sie unter Mitgliedschaftstyp je nach Einrichtung aus Schritt 1 entweder Dynamischer Benutzer oder Dynamisches Gerät.
3. Klicken Sie auf Dynamische Abfrage hinzufügen.
4. Wählen Sie einen Editor:
   • Regel-Generator: Für einfache Bedingungen. Attribut, Operator und Wert wählen Sie über Dropdown-Menüs aus.
   • Syntax-Editor: Für komplexere Logik. Hier schreiben Sie Regeln manuell mit Ausdrücken und Kommentaren.
5. Formulieren Sie Ihre Regel:

• • Beispiel für Benutzer:innen:

(user.department -eq "Finance")

• • Beispiel für Geräte:

(device.deviceOwnership -eq "Company")

6. Halten Sie die Logik so einfach wie möglich. Zusammengesetzte Regeln mit -and, -or und -not verlängern die Verarbeitungszeit und erhöhen den Wartungsaufwand.
7. Wenn Sie den Syntax-Editor nutzen, ergänzen Sie kurze Kommentare, die Zweck und Bedingungen der Regel für künftige Administrator:innen erläutern.
8. Klicken Sie auf Speichern, um die Regel anzuwenden.

Schritt 3: Mitgliedschaftsergebnisse validieren und in der Vorschau prüfen

Validieren Sie vor dem Rollout einer dynamischen Gruppe die Mitgliedschaftsergebnisse in der Vorschau, um zu bestätigen, dass Ihre Regellogik wie gewünscht funktioniert. So erkennen Sie Fehler bei Ein- oder Ausschlüssen frühzeitig.

📌 Anwendungsfälle:

• Test einer neuen abteilungsbasierten Benutzerregel.
• Prüfung, ob wirklich nur unternehmenseigene Geräte für Compliance-Vorgaben adressiert werden.

So gehen Sie vor:

1. Öffnen Sie Microsoft Entra Admin Center > Gruppen und wählen Sie Ihre dynamische Gruppe aus.
2. Gehen Sie zu Dynamische Mitgliedschaftsregeln und klicken Sie auf Regeln überprüfen.
3. Geben Sie eine Beispiel-Objekt-ID oder Attributwerte ein, um die Regel zu testen.
4. Klicken Sie auf Überprüfen.
5. Prüfen Sie die Vorschauergebnisse:
   • Bestätigen Sie, dass die erwarteten Mitglieder enthalten sind.
   • Prüfen Sie Grenzfälle, etwa Benutzer:innen mit fehlenden oder leeren Attributen.
6. Erstellen Sie Screenshots oder exportieren Sie die Validierungsergebnisse als Ausgangsnachweis für Ihre Governance-Unterlagen.

Schritt 4: Auswertung der Mitgliedschaft und Synchronisierungsstatus überwachen

Dynamische Gruppen werden automatisiert neu ausgewertet, sobald sich Benutzer- oder Geräteattribute ändern. Die Aktualisierungen erfolgen jedoch nicht sofort. In großen Tenants oder bei komplexen Regeln kann die Verarbeitung mehrere Stunden dauern. Die Überwachung des Auswertungsstatus hilft Ihnen zu bestätigen, dass jede Gruppe korrekt aktualisiert wird und dauerhaft korrekt bleibt.

📌 Anwendungsfälle: Nachverfolgung dynamischer Regelaktualisierungen nach Änderungen an Benutzerattributen.

So gehen Sie vor:

1. Öffnen Sie Microsoft Entra Admin Center > Gruppen und wählen Sie Ihre dynamische Gruppe aus.
2. Prüfen Sie auf der Registerkarte Übersicht :
   • Letzte Mitgliedschaftsänderung: Zeigt, wann die Gruppenmitgliedschaft zuletzt aktualisiert wurde.
   • Verarbeitungsstatus der Mitgliedschaftsregel: Zeigt, ob die Regelauswertung läuft, abgeschlossen oder fehlgeschlagen ist.
3. Ändert sich ein Benutzer- oder Geräteattribut, stellt Entra ID eine Neuauswertung aller betroffenen dynamischen Gruppen in die Warteschlange.

💡 Rechnen Sie bei großen Tenants oder Gruppen mit verschachtelter Logik mit Verzögerungen. Je nach Größe und Komplexität des Verzeichnisses kann die Verarbeitung Stunden dauern.

4. Zeigt der Status „Fehlgeschlagen“, prüfen Sie die Regelsyntax und ob die erforderlichen Attribute im Verzeichnis vorhanden sind.
5. Für eine genauere Diagnose rufen Sie die Verarbeitungsprotokolle per PowerShell oder über die Microsoft Graph API ab.
6. Erstellen Sie Screenshots oder sichern Sie die Auswertungsprotokolle für Compliance- und Lifecycle-Dokumentation.

Schritt 5: Dynamische Gruppen mit Microsoft Graph PowerShell automatisieren und auditieren

Manuelle Überwachung lässt sich in großen Umgebungen kaum skalieren. Nutzen Sie Microsoft Graph PowerShell, um Regeltexte, Verarbeitungsstatus, Verantwortliche und Mitgliederzahlen zeitgesteuert abzurufen. Damit können Sie außerdem neue dynamische Gruppen aus einem Standard-Template erstellen und Ihre Konfigurationsunterlagen aktuell halten.

📌 Anwendungsfälle: Alle dynamischen Gruppen und ihre Mitgliedschaftsregeln für Dokumentation und Audits abrufen.

So gehen Sie vor:

1. Öffnen Sie PowerShell 7 und stellen Sie eine Verbindung zu Microsoft Graph her:

Connect-MgGraph -Scopes "Group.Read.All","Directory.Read.All"

2. Rufen Sie die dynamischen Gruppen zur Kontrolle ab:

Get-MgGroup -Filter "membershipRuleProcessingState ne null" |
Select-Object DisplayName, MembershipRule, MembershipRuleProcessingState, CreatedDateTime

Damit werden alle dynamischen Gruppen samt Regeln und Verarbeitungsstatus aufgelistet.

3. Exportieren Sie Regeln und Mitgliederzahlen wöchentlich als CSV oder JSON, um Nachweise zu sichern.

Get-MgGroup -Filter "membershipRuleProcessingState ne null" |
Select-Object DisplayName, MembershipRule, MembershipRuleProcessingState, CreatedDateTime |
Export-Csv "DynamicGroups_Audit.csv" -NoTypeInformation

4. Binden Sie das Skript in Ihren Workflow für die Audit-Dokumentation ein.

Export-Clixml "DynamicGroups_Audit.json"

5. Legen Sie jeden Export in Ihrem Dokumentationsbereich für Audits ab, um eine Versionshistorie aufzubauen und Compliance-Prüfungen zu unterstützen.

Schritt 6: Governance und Lifecycle-Management sicherstellen

Im letzten Schritt geht es darum, Ihre Automatisierung mit sich verändernden Rollen, Compliance-Vorgaben und Geräterichtlinien im Einklang zu halten. Eine starke Governance sorgt dafür, dass dynamische Gruppen korrekt, regelkonform und leicht prüfbar bleiben.

📌 Anwendungsfälle: Dynamische Gruppen monatlich prüfen, damit sie zur aktuellen Unternehmensstruktur und IT-Richtlinie passen.

So gehen Sie vor:

1. Benennen Sie für jede dynamische Gruppe eine verantwortliche Person. Sie kümmert sich um Aktualisierungen, Validierung und Compliance.
2. Behandeln Sie den Regeltext wie Code. Dokumentieren Sie jede Änderung in einem versionierten Dokument, inklusive Grund für die Anpassung, Freigabereferenz und Notizen zur Validierung.
3. Führen Sie monatliche oder vierteljährliche Audits durch, um zu bestätigen, dass die Regeln noch zu den aktuellen Rollen, Intune-Compliance-Einstellungen und Lizenzzuweisungen passen.
4. Archivieren Sie alte Versionen von Regeltexten und Validierungsprotokollen in Ihrem Dokumentationsbereich. Versehen Sie jede Version mit Zeitstempel und Change-Request-ID.
5. Verknüpfen Sie die Prüfergebnisse mit Ihrem Audit- oder Change-Management-System, etwa ServiceNow, um Nachvollziehbarkeit und klare Verantwortlichkeiten sicherzustellen.

Best Practices auf einen Blick

Die folgenden Praktiken halten Ihre Konfiguration berechenbar, effizient und auditbereit.

Praxis	Zweck	Nutzen
Benutzer- und Gerätegruppen trennen	Überschneidungen bei der Adressierung vermeiden und Verwirrung bei Richtlinien reduzieren.	Hält Richtlinien berechenbar und erleichtert die Fehlersuche
Mit einfacher Logik starten	Saubere Regeln aufbauen, bevor zusammengesetzte Operatoren dazukommen.	Beschleunigt die Verarbeitung und macht die Auswertung zuverlässiger
Vor der Aktivierung validieren	Regelergebnisse vor dem produktiven Rollout testen.	Sorgt für korrekte Mitgliedschaften und verhindert Fehlzuweisungen
Graph-Automatisierung nutzen	Abruf, Versionierung und Exporte per PowerShell automatisieren.	Ermöglicht konsistente Berichterstattung und Compliance-Dokumentation
Monatliche Snapshots archivieren	Regelversionen und Validierungsprotokolle aufbewahren.	Sichert Governance-Nachweise und unterstützt Audits

Beispiel für einen Automatisierungs-Touchpoint

Ein gut durchdachtes Skript macht aus einer manuellen Compliance-Aufgabe eine verlässliche Routine. Hier ein Beispiel-Workflow, den Sie an Ihre Umgebung anpassen können.

Ein wöchentliches PowerShell-Skript stellt eine Verbindung zu Microsoft Graph her und durchläuft folgenden Prozess:

• Alle Definitionen dynamischer Gruppen und die Mitgliederzahlen exportieren.
• Die Ergebnisse mit denen der Vorwoche vergleichen, um Änderungen zu erkennen.
• Aktualisierte Regeln zur Prüfung markieren.
• Den Bericht einem Compliance-Ordner oder Ticket zur Governance-Nachverfolgung anhängen.

Integration mit NinjaOne

Wenn Sie die Microsoft Entra-Automatisierung in NinjaOne einbinden, schließen Sie die Lücke zwischen Identitätsverwaltung und operativer Governance. So unterstützt NinjaOne Ihre Prozesse:

NinjaOne-Funktion	Zweck
Geplante Skripte	Die Ausführung von Microsoft Graph PowerShell-Skripten automatisieren, um Daten zu dynamischen Gruppen zu sammeln.
Datei- und Dokumentationsverwaltung	Skriptausgaben speichern und an Compliance-Ordner oder interne Dokumentationsbibliotheken anhängen.
Alarmierungen und Schwellenwertrichtlinien	Abweichungen bei Regeltexten, Mitgliederzahlen oder Verarbeitungsstatus erkennen.
Ticket-Automatisierung	Für markierte Auffälligkeiten oder Regeländerungen automatisiert Tickets eröffnen.
Rollenbasierter Zugriff und Transparenz	Steuern, wer Entra-Automatisierungsskripte einsehen, ausführen und verwalten darf.

Skalierbare Governance mit dynamischen Gruppen in Microsoft Entra aufbauen

Werden dynamische Gruppen in Microsoft Entra durchdacht aufgebaut und gepflegt, reduzieren sie manuelle Arbeit und sorgen für einheitliche Zugriffe in Ihrer gesamten Umgebung. Halten Sie Ihre Regeln einfach, validieren Sie Änderungen vor dem Rollout, automatisieren Sie Ihre Audits und bewahren Sie historische Nachweise zum Nachschlagen auf.

Diese Routinen geben MSPs und IT-Teams dauerhafte Kontrolle: stabile Konfigurationen, berechenbare Richtlinien und eine Compliance, die mit dem Unternehmen mitwächst.

Verwandte Themen:

• Microsoft Entra (Azure AD)-Verbindungsprüfungen mit PowerShell vereinfachen
• On-Premises und Cloud verbinden mit Hybrid Azure AD Join
• Intune-Geräte automatisiert nach Registrierungsmethode taggen (BYOD, Corporate, Autopilot)
• Azure AD-Geräte automatisiert nach Sicherheitsstatus oder Besitzverhältnis taggen
• Warum Geltungsbereich und Verhalten in modernen Entra-Integrationen entscheidend sind