On-Premises Data Gateway: der stille Single Point of Failure hinter Power Automate

Ein Power-Automate-Flow zieht seit Monaten zuverlässig Auftragsdaten aus dem SQL Server im Serverraum. Dann wird der Rechner neu aufgesetzt, auf dem das On-Premises Data Gateway läuft, und über Nacht stehen alle Flows still, die an lokale Daten wollen. Das Gateway ist die unsichtbarste Abhängigkeit der gesamten Kette: Im Flow-Designer sehen Sie es nicht, ohne es passiert trotzdem nichts.

Was ist das On-Premises Data Gateway und wann brauchen Sie es?

Das On-Premises Data Gateway ist eine Software, die Sie in Ihrem eigenen Netz auf einem Windows-Rechner installieren und die als Brücke zwischen den Microsoft-Cloud-Diensten und Ihren lokalen Daten arbeitet. Power Automate benötigt sie immer dann, wenn ein Flow auf ein System zugreift, das nicht in der Cloud steht. Microsoft Learn listet für Power Automate 14 Verbindungsarten über das Gateway, darunter SQL Server, Dateisystem, Oracle Database, MySQL, PostgreSQL, DB2, SAP ERP, lokales SharePoint und selbst gebaute Connectoren.

Technisch baut das Gateway ausschließlich ausgehende Verbindungen auf. Laut Microsoft Learn kommuniziert es über die ausgehenden Ports TCP 80, 443, 433, 5671, 5672 sowie 9350 bis 9354 und benötigt keinen einzigen eingehenden Port. Sie müssen also keine Firewall von außen öffnen. Ihre bestehenden Gateways finden Sie in Power Automate unter Daten > Gateways.

Standardmodus oder Personal-Modus: für Power Automate gibt es nur eine Antwort

Für Power Automate kommt ausschließlich der Standardmodus infrage. Der Personal-Modus funktioniert laut Microsoft Learn nur mit Power BI, lässt sich nicht teilen und beherrscht weder Clustering noch Hochverfügbarkeit. Die Power-Automate-Dokumentation schreibt die Installation im Standardmodus ausdrücklich vor.

Lizenzseitig ist das Gateway kein Nebenschauplatz. Microsoft führt On-Premises-Gateways in der Lizenz-FAQ unter den Premium-Funktionen, und Office-365-Lizenzen schließen den Gateway-Zugriff ausdrücklich nicht ein. Wer über das Gateway auf SQL Server oder ein lokales ERP zugreift, braucht deshalb Power Automate Premium pro Nutzer oder Power Automate Process pro Prozess. Wie sich das im Detail rechnet, steht in unserem Beitrag zu den Premium-Connector-Kosten. Wer die Lizenzlage einmal sauber durchrechnen lassen will, findet in der Power-Automate-Lizenzberatung den passenden Einstieg.

Warum ein einzelnes Gateway ein Single Point of Failure ist

Ein einzelnes Gateway macht jede lokale Datenverbindung so verfügbar wie den Rechner, auf dem es installiert ist. Fällt diese Maschine aus oder geht sie in den Ruhezustand, stoppen alle abhängigen Flows gleichzeitig. Microsoft warnt in den Installationsvoraussetzungen ausdrücklich davor, das Gateway auf einem Gerät wie einem Notebook zu installieren, das ausgeschaltet oder schlafen gelegt werden könnte.

Die Antwort darauf heißt Cluster. Ein Gateway-Cluster fasst bis zu 10 Mitglieder zusammen. Der Cloud-Dienst nutzt immer das primäre Gateway und wechselt erst zum nächsten Mitglied, wenn das primäre nicht erreichbar ist. Da pro Rechner nur ein Standard-Gateway laufen darf, muss jedes weitere Clustermitglied auf einer anderen Maschine stehen. Redundanz entsteht also nicht durch eine zweite Installation, sondern durch eine zweite Maschine. In Power Automate lässt sich zusätzlich die Option Anfragen auf alle aktiven Gateways in diesem Cluster verteilen einschalten, damit die Last nicht dauerhaft nur am primären Mitglied hängt.

Zwei weitere Ausfallursachen haben nichts mit Hardware zu tun. Die erste ist der Wiederherstellungsschlüssel: Er wird beim Installieren vom Administrator vergeben und ist Voraussetzung dafür, das Gateway umzuziehen, wiederherzustellen oder das Dienstkonto zu wechseln. Microsoft stellt klar, keinen Zugriff auf diesen Schlüssel zu haben und ihn nicht wiederherstellen zu können. Die zweite ist das Windows-Dienstkonto. Standardmäßig läuft der Dienst unter dem lokalen Konto NT SERVICE\PBIEgwService. Wird stattdessen ein normales Domänenkonto verwendet und läuft dessen Passwort ab, steht der Dienst. Microsoft empfiehlt hier ein gruppenverwaltetes Dienstkonto (gMSA), weil dessen Passwort nicht manuell gepflegt werden muss.

Wie oft muss das On-Premises Data Gateway aktualisiert werden?

Microsoft veröffentlicht monatlich eine neue Gateway-Version und unterstützt aktiv nur die letzten sechs Releases. Aktualisiert wird nicht automatisch. Ein Gateway, das ein halbes Jahr niemand angefasst hat, ist damit rechnerisch aus dem Support gefallen.

Aktuell gibt es dafür einen harten Termin. Microsoft stellt die Anmeldung der Identitätsplattform um und schließt die Durchsetzung nach eigener Angabe bis zum 31. August 2026 in allen Mandanten ab. Auf älteren Builds kann die interaktive Anmeldung beim Installieren, Wiederherstellen oder Verwalten eines Gateways scheitern. Betroffen sind alle Versionen vor Mai 2026 sowie Januar- bis April-Releases unterhalb dieser korrigierten Builds:

• Januar 2026: Build 3000.302.7
• Februar 2026: Build 3000.306.5
• März 2026: Build 3000.310.3
• April 2026: Build 3000.314.6
• Mai 2026 und später: alle Releases enthalten die Korrektur

Für ein Update brauchen Sie Gateway-Administratorrechte und mindestens 10 GB freien Festplattenplatz. Im Cluster wird Mitglied für Mitglied aktualisiert: deaktivieren, rund 30 Minuten warten, bis laufende Aufträge durch sind, aktualisieren, wieder aktivieren, dann das nächste. Alle Mitglieder sollten dieselbe Version fahren, weil unterschiedliche Stände zu sporadischen Fehlern führen, bei denen dieselbe Abfrage auf einem Mitglied läuft und auf dem anderen scheitert.

Was sollte ein Mittelständler konkret absichern?

Sechs Maßnahmen decken den überwiegenden Teil der realen Gateway-Ausfälle ab und lassen sich an einem Vormittag umsetzen.

• Eigener Server statt Arbeitsplatzrechner: Microsoft empfiehlt eine 8-Kern-CPU, 8 GB Arbeitsspeicher, Windows Server 2019 oder neuer und SSD-Speicher. Domänencontroller, Server-Core-Installationen und Windows-Container scheiden aus, kabelgebunden schlägt WLAN.
• Cluster ab dem ersten geschäftskritischen Flow: Zwei Mitglieder auf zwei Maschinen genügen. Ein Cluster, den Sie erst nach einem Ausfall aufbauen, hilft beim Ausfall selbst nicht.
• Wiederherstellungsschlüssel im Passwortsafe: Nicht im Kopf des Administrators, nicht in einer E-Mail. Ohne ihn lässt sich ein Gateway weder umziehen noch wiederherstellen.
• Dienstkonto ohne Passwortablauf: Ein gMSA verhindert den Klassiker, dass ein turnusmäßiger Passwortwechsel unbemerkt die halbe Automatisierung stilllegt. Der Wechsel läuft über die Gateway-App unter Diensteinstellungen und verlangt den Wiederherstellungsschlüssel.
• Update-Fenster im Kalender: Ein fester Monatstermin hält Sie innerhalb der sechs unterstützten Releases.
• Netzwerkfreigaben dokumentiert und geprüft: Der Netzwerkport-Test in der Gateway-App unter Diagnose prüft, ob alle benötigten ausgehenden Verbindungen offen sind. Nach jeder Firewall-Änderung einmal ausführen.

In unseren Power-Automate-Projekten ist der häufigste Befund nicht ein defekter Server, sondern ein Gateway, das jemand vor Jahren schnell auf einem Arbeitsplatzrechner installiert hat. Solange dieser läuft, fällt das niemandem auf. Wird er ersetzt, fehlt der Wiederherstellungsschlüssel. Diese Frage gehört in die Architektur und nicht in die Störungsanalyse. Genau dort setzen wir in der Power-Automate-Beratung an.

Häufige Fragen zum On-Premises Data Gateway

Braucht jeder Power-Automate-Flow ein Gateway?

Nein. Ein Gateway ist nur nötig, wenn ein Flow auf Daten in Ihrem eigenen Netz zugreift, etwa auf einen SQL Server, eine Dateifreigabe oder ein lokales ERP. Flows, die ausschließlich mit Cloud-Diensten wie Outlook, SharePoint Online oder Teams arbeiten, kommen ohne Gateway aus.

Kostet das On-Premises Data Gateway extra?

Die Gateway-Software selbst ist kostenlos. Die Nutzung zählt bei Power Automate allerdings zu den Premium-Funktionen, und Office-365-Lizenzen enthalten sie laut Microsoft-Lizenz-FAQ nicht. Für Flows mit Gateway-Zugriff brauchen Sie deshalb Power Automate Premium pro Nutzer oder Power Automate Process pro Prozess.

Wie viele Gateways gehören in einen Cluster?

Ein Cluster unterstützt bis zu 10 Mitglieder. Für den Mittelstand reichen zwei bis drei, verteilt auf verschiedene Maschinen, weil pro Rechner nur ein Standard-Gateway laufen kann. Alle Mitglieder sollten dieselbe Version verwenden, offline stehende Mitglieder gehören entfernt oder deaktiviert.

Was passiert, wenn wir den Wiederherstellungsschlüssel verlieren?

Dann lässt sich das Gateway weder umziehen noch wiederherstellen und auch das Dienstkonto nicht mehr wechseln. Microsoft hat keinen Zugriff auf diesen Schlüssel und kann ihn nicht rekonstruieren. Es bleibt nur, ein neues Gateway zu registrieren und jede Verbindung in Power Automate neu einzurichten.