Salesforce Winter '27: Welche Ihrer Integrationen ausfallen können, und wann

Einige der wichtigsten Verbindungen zu Ihrer Salesforce-Org laufen unauffällig im Hintergrund. Ein nächtlicher Abgleich, ein WhatsApp-Bot, der einen Fall nachschlägt, ein KI-Agent, der einen Datensatz schreibt. Wochenlang öffnet sie niemand, und niemand weiß mehr, wer sie eingerichtet hat.

Das Release Winter ‘27 setzt für solche Verbindungen Termine. Salesforce nennt alte Anmeldeverfahren, die auslaufen, und Refresh-Tokens, die künftig nach einer Zeit ohne Nutzung verfallen. Eine Integration, die niemand anfasst, kann an einem festen Tag ausfallen.

Was hat Salesforce veröffentlicht?

Die folgenden Angaben stammen aus dem Architekten-Leitfaden von Salesforce zum Release Winter ‘27 vom 5. Oktober 2026 und aus dem Leitfaden des Salesforce Developers Blog zum selben Release. Alle Termine sind so angegeben, wie Salesforce sie nennt.

• Refresh-Tokens verfallen nach 30 Tagen ohne Nutzung. Ab dem 4. November 2026 verfällt ein Refresh-Token in der Produktion, wenn er 30 Tage nicht genutzt wird. Salesforce warnt, dass dadurch Integrationen ausfallen können, die selten laufen und davon ausgehen, dass ein Token ewig gültig bleibt.
• Der OAuth-2.0-Device-Flow wird ab dem 30. November 2026 eingeschränkt.
• Die Abläufe Username-Password, User-Agent und Hybrid User-Agent werden am 20. Februar 2027 abgeschaltet.
• SOAP login() braucht ab dem 1. Dezember 2026 eine neue Berechtigung. Jede Person, die sich per SOAP login() anmeldet, braucht in allen Orgs die Benutzerberechtigung Use Any API Auth. Salesforce nennt außerdem, dass SOAP login() in den API-Versionen 31.0 bis 64.0 im Sommer ‘27 ausläuft.
• Der Support für Connected Apps endet bis Sommer ‘27. Salesforce bittet darum, auf External Client Apps umzusteigen. Salesforce beschreibt diese als standardmäßig geschlossen und als Trennung der App-Einstellungen von den Richtlinien der Administration.
• Salesforce to Salesforce und die Anmeldung des alten Cross-Org-Adapters ändern sich im Frühjahr ‘27. Salesforce to Salesforce wird vollständig eingestellt, und die Authentifizierung des Cross-Org-Adapters muss auf Named Credentials umgestellt werden.

Die Salesforce-Release-Notes nennen den genauen Umfang jeder Änderung. Prüfen Sie sie für Ihre Org und Edition, bevor Sie planen.

Warum betrifft das Fachbereiche?

Das sind keine neuen Funktionen, die man ignorieren kann. Es sind Termine, nach denen etwas, das heute funktioniert, womöglich nicht mehr funktioniert.

Salesforce nennt Verbindungen, die selten laufen, als gefährdet durch die 30-Tage-Regel. Beispiele sind ein Quartalsexport, ein Datenfeed für den Monatsabschluss oder eine saisonale Kampagne. Das Token dahinter kann länger als 30 Tage ungenutzt bleiben, und das erste Anzeichen könnte ein fehlgeschlagener Job oder ein fehlender Bericht sein.

Agenten verschärfen das. Ein WhatsApp- oder KI-Agent, der Salesforce-Datensätze liest und schreibt, hängt an einer dieser Verbindungen. So wie wir es lesen, könnte der Agent bei einem Ausfall dieser Verbindung weiter Kunden antworten, während seine Arbeit nie in Ihrem CRM ankommt.

Was Sie vor den Terminen prüfen sollten

Diese Schritte sind unsere Empfehlungen auf Grundlage der oben genannten Salesforce-Hinweise.

1. Alle eingehenden Verbindungen auflisten

Notieren Sie jedes Tool, Skript, jede App und jeden Agenten, die sich an Ihrer Org anmelden. Nehmen Sie auch Verbindungen von ehemaligen Mitarbeitenden oder Dienstleistern auf. Halten Sie je Verbindung fest: Verantwortliche Person, Anmeldeverfahren und wie oft sie läuft.

2. Nach Termin und Häufigkeit sortieren

Stellen Sie Integrationen mit auslaufenden Anmeldeverfahren nach vorn, geordnet nach den Terminen oben. Markieren Sie dann alle, die seltener als einmal im Monat laufen. Genau diese kann die 30-Tage-Regel treffen.

3. Auf ein unterstütztes Anmeldeverfahren umstellen

Ersetzen Sie auslaufende Verfahren durch ein unterstütztes OAuth-Muster und planen Sie den Wechsel von Connected Apps zu External Client Apps. Salesforce rät, die sicherste Option zu wählen, die das jeweilige System unterstützt, und nicht auf ein Muster zu wechseln, das ebenfalls schon eingeschränkt wird.

4. Festlegen, was bei einem verfallenen Token passiert

Legen Sie je Integration fest, wie sie sich erneuert oder neu anmeldet, wer bei einem Fehler benachrichtigt wird und wer ihn behebt. Ein Fehler sollte innerhalb eines Tages bei einer Person ankommen, nicht erst zum Monatsende.

5. Zuerst in der Sandbox testen

Führen Sie jede geänderte Integration gegen eine Sandbox-Kopie aus, bevor Sie die Produktion anfassen, auch einen Lauf nach langer Pause.

Die Regel für die Zukunft

Jede Verbindung zu Ihrer Salesforce-Org braucht eine benannte verantwortliche Person, ein Minimum an Berechtigungen und einen Plan zur Erneuerung. Prüfen Sie diese Liste bei jedem Release, damit keine Integration von einem Zugang abhängt, den niemand im Blick hat.

So unterstützt Incresco

Incresco entwickelt Web- und Mobile-Anwendungen, Cloud-Integrationen, Salesforce-Lösungen, WhatsApp-Erlebnisse und KI-Agenten. Für diese Änderung würden wir Ihre Verbindungen auflisten, die nach Termin gefährdeten markieren, sie auf unterstützte Anmeldeverfahren umstellen und Warnungen bei Fehlern einrichten. Mehr zu Salesforce-Beratung, Systemintegrationen und KI-Transformation.

Unsicher, welche Ihrer Integrationen oder KI-Agenten zuerst ausfallen? Kontaktieren Sie Incresco und fragen Sie nach einer Prüfung der Salesforce-Integrationen. Wir listen Ihre Verbindungen auf, ordnen sie nach den Salesforce-Terminen und sagen Ihnen, was zuerst zu beheben ist.

Quellen und Geltungsbereich

• Salesforce, Winter ‘27 Release Architect Highlights, 5. Oktober 2026: Ablauf von Refresh-Tokens, Termine für Device Flow und alte Anmeldeverfahren, Connected Apps, Salesforce to Salesforce.
• Salesforce Developers Blog, The Salesforce Developer’s Guide to the Winter ‘27 Release: Berechtigung Use Any API Auth ab 1. Dezember 2026 und Ende von SOAP login() im Sommer ‘27.

Quellen geprüft am 9. Oktober 2026. Wir haben diese Änderungen nicht in einer Org getestet. Aussagen von Salesforce sind Salesforce zugeschrieben. Termine, Umfang und Verfügbarkeit hängen von Ihrer Org und Edition ab und können sich ändern.