1 Das Wichtigste in 60 Sekunden
Entra ID gibt es in drei Grundstufen – Free, P1 und P2 – plus zwei Add-ons: Entra ID Governance und die Microsoft Entra Suite. Jede Stufe enthält alles aus der darunterliegenden. Die Kurzformel:
Free: Verzeichnis, SSO, Basis-MFA über Security Defaults. Steckt in jedem Microsoft-Cloud-Abo. Reicht zum Anmelden, nicht zum Steuern.
P1: Der Arbeitsstandard. Conditional Access, dynamische Gruppen, SSPR mit Writeback, Application Proxy. Ohne P1 kein modernes Zero-Trust-Fundament.
P2: P1 plus Risiko-Intelligenz: Identity Protection und Privileged Identity Management (PIM), dazu Access Reviews und Entitlement Management.
ID Governance: Add-on auf P1/P2. Lifecycle Workflows (Joiner/Mover/Leaver), ML-gestützte Rezertifizierung, erweitertes Entitlement Management.
Entra Suite: Das Rundum-sorglos-Add-on: Governance + Identity Protection + Private Access (VPN-Ablösung) + Internet Access + Verified ID Premium. Setzt P1 voraus.
|
Merksatz für die Praxis
P1 für alle, P2 für die kritischen 10–20 % (Admins, Finance, IT), Governance/Suite nur bei echtem Bedarf. Die teuerste Lizenzstrategie ist „P2 für alle, weil sicher ist sicher“ – die zweitteuerste ist, P1-Features tenant-weit zu nutzen und nur die Admins zu lizenzieren. Beides kommt in Audits nicht gut.
|
2 Die Editionstreppe auf einen Blick
Listenpreise (USD, pro Benutzer und Monat, Stand Frühjahr 2026): P1 ca. 6 $, P2 ca. 9 $, ID Governance als Add-on ca. 7 $, Entra Suite ca. 12 $. Achtung: Zum 1. Juli 2026 hat Microsoft eine weltweite Preiserhöhung angekündigt, die auch Entra ID P1 und P2 betrifft (P1 rund +16 %). Jahreslizenzen sind erst bei der nächsten Verlängerung dran, Monatslizenzen sofort. Euro-Preise je nach Bezugsweg (CSP/NCE, EA) verhandelbar – die Dollarwerte sind der Anker.
3 Entra ID Free – das Fundament
Die Free-Edition bekommt jeder geschenkt, der irgendein Microsoft-Cloud-Abo hat – Microsoft 365, Office 365, Azure, Dynamics. Sie ist der Mandanten-Container: Benutzer, Gruppen, Geräte, SSO für Cloud-Apps, B2B-Gastkonten und die Security Defaults als pauschaler Basisschutz (MFA für alle, Legacy-Auth blockiert – ohne Feintuning).
Was drin ist
Benutzer- und Gruppenverwaltung, unbegrenzte Verzeichnisobjekte bei bezahltem Abo
Single Sign-On für Cloud-Anwendungen und die Galerie-Apps
Security Defaults: MFA-Erzwingung per Microsoft Authenticator, Blockade von Legacy-Authentifizierung – als Ganzes an oder aus, keine Ausnahmen
Selbstständige Kennwortänderung (der Benutzer kennt sein Passwort noch) – der Reset bei vergessenem Passwort ist P1
B2B-Collaboration für Gastbenutzer, Basis-Berichte, Entra Connect für die Hybrid-Synchronisation
Typische Use Cases
Cloud-only-Startup: Trendforge Digital mit 15 Leuten und M365 Business Standard – Security Defaults an, fertig. Kein Budget, kein Admin-Overhead, solider Grundschutz.
Reines Azure-Szenario: Ein Entwicklungs-Tenant, in dem nur ein paar Dienstkonten und Entwickler leben – Verzeichnis und RBAC reichen völlig.
Gäste einladen: Externe Partner per B2B in Teams oder SharePoint holen, ohne dass dafür Lizenzen fällig werden.
|
Ehrliche Einordnung
Free ist ein Verzeichnis, kein Sicherheitsprodukt. Sobald du auch nur eine einzige Ausnahme von „MFA für alle“ brauchst („der Konferenzraum-Account bitte nicht…“), bist du bei Conditional Access – und damit bei P1.
|
4 Entra ID P1 – der Arbeitsstandard
P1 ist die Lizenz, ab der Entra ID vom Telefonbuch zum Steuerpult wird. Das Herzstück ist Conditional Access: Richtlinien pro Benutzer, App, Gerät, Standort und Sitzung. Dazu kommt alles, was den Verwaltungsalltag im Hybrid-Umfeld erträglich macht.
Was gegenüber Free dazukommt
Conditional Access: MFA erzwingen, kompatibles Gerät verlangen, Anmeldehäufigkeit steuern, Terms of Use, Sitzungssteuerung – die Policy-Engine für Zero Trust. Gilt inzwischen auch für KI-Agenten (Conditional Access for Agents).
Dynamische Gruppen und gruppenbasierte Lizenzzuweisung – Mitgliedschaften nach Attributregeln statt Handarbeit.
SSPR mit Writeback: Self-Service-Kennwortzurücksetzung inklusive Rückschreiben ins lokale AD – der Klassiker zur Helpdesk-Entlastung im Hybrid-Betrieb.
Application Proxy: Lokale Webanwendungen sicher nach außen veröffentlichen, ohne DMZ-Gefrickel.
Passwordless komplett: FIDO2-Keys, Authenticator-Anmeldung, Temporary Access Pass fürs Onboarding.
Entra ID Password Protection mit eigener Banned-Password-Liste (auch für on-prem AD), Entra Connect Health, Cloud App Discovery, Self-Service-Gruppenverwaltung, MIM-CAL.
Anmelde- und Audit-Protokolle mit 30 Tagen Aufbewahrung plus Export nach Log Analytics
Typische Use Cases
Zero-Trust-Grundausbau: Sparfuchs & Partner (Steuerberatung) will Mandantendaten schützen: Zugriff auf M365 und die DATEV-Anbindung nur von verwalteten, konformen Geräten, MFA außerhalb des Büronetzes – drei CA-Policies, fertig.
Helpdesk-Entlastung: SSPR mit Writeback spart bei 200 Benutzern locker die häufigste Ticketkategorie ein („Passwort vergessen, Montagmorgen“).
Alt-App modern anbinden: Die interne Zeiterfassungs-Webanwendung von Musterwerk läuft on-prem – per Application Proxy mit Pre-Authentication und MFA veröffentlicht, ohne VPN.
Attributgesteuerte Berechtigungen: Dynamische Gruppen nach Abteilung/Standort steuern Teams-Mitgliedschaften und Lizenzzuweisung automatisch – neue Kollegen sind ab Tag eins richtig einsortiert.
Legacy-Auth abwürgen: Gezielt Legacy-Authentifizierung blockieren, aber mit sauber dokumentierten Ausnahmen für die zwei Altsysteme, die noch SMTP-Auth brauchen.
|
Lizenzrechtlich wichtig
Lizenziert wird pro Benutzer, der ein Feature nutzt oder von ihm profitiert. Eine CA-Policy, die „alle Benutzer“ adressiert, heißt: alle brauchen P1. Wer P1-Features tenant-weit fährt und nur die IT lizenziert, spielt Audit-Roulette.
|
5 Entra ID P2 – Risiko-Intelligenz und Privilegien-Zähmung
P2 enthält alles aus P1 und legt zwei große Bausteine drauf: Identity Protection (maschinelles Lernen bewertet jede Anmeldung und jedes Konto auf Risiko) und Privileged Identity Management (Admin-Rechte nur noch just-in-time statt dauerhaft). Dazu kommen Access Reviews und das Entitlement Management.
Was gegenüber P1 dazukommt
Identity Protection: Erkennung riskanter Anmeldungen (unmögliche Reise, anonyme IPs, Passwort-Spray, geleakte Zugangsdaten) und riskanter Benutzer – als Signal direkt in Conditional Access nutzbar.
Risk-based Conditional Access: Bei mittlerem Risiko MFA verlangen, bei hohem Risiko blocken oder Kennwortwechsel erzwingen – automatisch, rund um die Uhr.
Privileged Identity Management (PIM): Rollen zeitgebunden aktivieren, mit Genehmigung, Begründung und MFA. Kein Konto ist mehr dauerhaft Global Admin. Gilt für Entra-Rollen, Azure-RBAC und Gruppen.
Access Reviews: Regelmäßige Rezertifizierung von Rollen-, Gruppen- und Gastzugriffen – wer nicht bestätigt wird, fliegt raus.
Entitlement Management: Zugriffspakete mit Genehmigungsworkflow und Ablaufdatum, auch für externe Partner.
Typische Use Cases
Nach dem Phishing-Vorfall: Bei Musterwerk wurde ein Konto kompromittiert. Mit Identity Protection plus risikobasiertem CA wird das nächste geleakte Passwort automatisch entschärft, bevor jemand im Postfach wühlt.
Admin-Diät per PIM: Aus 14 dauerhaften Global Admins werden 2 – der Rest aktiviert seine Rolle bei Bedarf für vier Stunden, mit Genehmigung und Protokoll. Der Auditor freut sich, der Angreifer nicht.
Gäste-Frühjahrsputz: Vierteljährliche Access Reviews auf alle Gastkonten – die 80 Karteileichen externer Ex-Dienstleister räumen sich quasi selbst ab.
Projektzugriff als Paket: Entitlement Management bündelt Teams, SharePoint und die Fachanwendung zu einem Zugriffspaket mit 90 Tagen Laufzeit – Projektleiter genehmigt, Ablauf automatisch.
Compliance-Nachweis: Regulierte Branchen (KRITIS, Finanz, Gesundheit) brauchen belastbare Nachweise über privilegierte Zugriffe – PIM-Protokolle und Reviews liefern genau das.
|
Spar-Tipp aus der Praxis
P2 muss fast nie flächendeckend sein. Klassisches Muster: P1 (oder M365 E3) für alle, dazu P2 standalone nur für Admins, IT, Finance und exponierte Konten – typischerweise 10–20 % der Belegschaft. Wichtig: Wenn Identity-Protection-Signale in tenant-weiten CA-Policies landen, gilt wieder die Nutzer-Regel aus Kapitel 4.
|
6 Entra ID Governance – das Add-on für den Lebenszyklus
ID Governance ist kein eigenständiger Plan, sondern ein Add-on, das eine P1- oder P2-Basis voraussetzt. Es enthält seinerseits die Governance-Funktionen aus P2 (PIM, Access Reviews, Entitlement Management) und erweitert sie deutlich. Für P2-Kunden gibt es eine günstigere Step-up-SKU, die nur die Differenz kostet – nicht den vollen Add-on-Preis zahlen!
Was dazukommt
Lifecycle Workflows: Automatisierte Joiner/Mover/Leaver-Prozesse – Willkommenspaket am ersten Tag, Gruppenwechsel beim Abteilungswechsel, sauberes Deprovisioning am letzten Tag, gern HR-getriggert.
ML-gestützte Access Reviews: Empfehlungen auf Basis von Anmeldeverhalten und Affinität – der Genehmiger klickt nicht mehr blind auf „alle bestätigen“.
Erweitertes Entitlement Management: Custom Extensions über Logic Apps, Verified-ID-Prüfung im Genehmigungsprozess, geführtes Onboarding externer Organisationen.
Provisioning in on-prem– und Fremdanwendungen über SCIM, LDAP und SQL-Konnektoren – Identity Lifecycle auch jenseits der Cloud.
Typische Use Cases
HR-getriebenes Onboarding: Eintritt in Personio/SAP gepflegt, Workflow legt Konto an, setzt Gruppen, verschickt den TAP – kein Zettel mehr an die IT.
Sauberes Offboarding: Am letzten Arbeitstag automatisch: Sitzungen widerrufen, Gruppen raus, Lizenz weg, Manager bekommt Postfachzugriff – nach 30 Tagen endgültige Löschung.
Rezertifizierung mit Hirn: Jährliche Reviews über hunderte Gruppen werden dank ML-Empfehlungen tatsächlich inhaltlich bearbeitet statt durchgewunken.
7 Microsoft Entra Suite – Identität trifft Netzwerk
Die Entra Suite ist das große Bündel: Sie setzt P1 voraus und packt fünf Produkte zusammen – ID Governance, ID Protection (die P2-Kernfunktion), Private Access, Internet Access und die Premium-Funktionen von Verified ID (Face Check). Für P2- und M365-E5-Kunden gibt es rabattierte Einstiegs-SKUs, weil sie Teile davon schon besitzen.
Die Bausteine
Entra Private Access: Zero Trust Network Access als VPN-Ablösung – identitätsbasierter Zugriff auf interne Apps über den Global-Secure-Access-Client, mit CA-Policies pro Anwendung statt Netz-Vollzugriff.
Entra Internet Access: Secure Web Gateway aus der Cloud – Webfilterung und Kontrolle über Internet-, SaaS- und inzwischen auch KI-Traffic, ohne Umweg über die zentrale Firewall.
ID Governance und ID Protection wie in den Kapiteln 5 und 6 beschrieben.
Verified ID mit Face Check: Identitätsprüfung mit Gesichtsabgleich, z. B. für Helpdesk-Verifikation („ist da wirklich der CFO dran, der ein MFA-Reset will?“).
Typische Use Cases
VPN-Rente: Die alternde VPN-Appliance samt Wartungsvertrag fliegt raus, Private Access übernimmt – die eingesparte Appliance-Miete finanziert die Suite oft zur Hälfte.
Helpdesk-Social-Engineering stoppen: MFA-Resets nur noch nach Face Check mit Verified ID – der „Hallo, hier ist der Geschäftsführer, ich brauche dringend…“-Anruf läuft ins Leere.
Komplettes Zero-Trust-Programm: Wer Identität, Governance und Netzwerkzugriff ohnehin gemeinsam modernisiert, fährt mit der Suite günstiger als mit vier Einzel-SKUs.
8 Feature-Vergleich Free / P1 / P2
|
Funktion
|
Free
|
P1
|
P2
|
|
Benutzer/Gruppen, SSO, B2B-Gäste
|
✓
|
✓
|
✓
|
|
Security Defaults (Pauschal-MFA)
|
✓
|
✓
|
✓
|
|
Conditional Access
|
–
|
✓
|
✓
|
|
Dynamische Gruppen / gruppenbas. Lizenzen
|
–
|
✓
|
✓
|
|
SSPR mit Writeback (Hybrid)
|
–
|
✓
|
✓
|
|
Application Proxy
|
–
|
✓
|
✓
|
|
Password Protection (eigene Sperrliste)
|
–
|
✓
|
✓
|
|
Entra Connect Health
|
–
|
✓
|
✓
|
|
Identity Protection (Risikoerkennung)
|
–
|
–
|
✓
|
|
Risikobasierter Conditional Access
|
–
|
–
|
✓
|
|
Privileged Identity Management (PIM)
|
–
|
–
|
✓
|
|
Access Reviews
|
–
|
–
|
✓
|
|
Entitlement Management
|
–
|
–
|
✓
|
|
Lifecycle Workflows, ML-Reviews
|
–
|
–
|
Add-on*
|
|
Private/Internet Access, Face Check
|
–
|
–
|
Suite*
|
* ID Governance und Entra Suite sind Add-ons auf P1/P2 (Step–up-SKUs für P2-Bestand beachten).
9 Wo steckt welche Lizenz schon drin?
Bevor irgendjemand Standalone-Lizenzen kauft: erst prüfen, was der bestehende Plan schon mitbringt. Das ist die häufigste Geldverbrennung überhaupt – P1 standalone auf M365 E3 zu stapeln ist doppelt bezahlt.
|
Plan / Bundle
|
Enthaltene Entra-Stufe
|
Anmerkung
|
|
M365 Business Basic/Standard, Office 365 E1/E3/E5
|
Free
|
O365 ≠ M365!
|
|
Microsoft 365 Business Premium
|
P1
|
bis 300 Benutzer
|
|
Microsoft 365 E3 / A3
|
P1
|
Enterprise/EDU
|
|
Enterprise Mobility + Security E3
|
P1
|
|
|
Microsoft 365 F1 / F3
|
P1
|
Frontline
|
|
Microsoft 365 E5 / A5
|
P2
|
|
|
Enterprise Mobility + Security E5
|
P2
|
|
|
Microsoft 365 F5 Security (Add-on)
|
P2
|
Frontline-Step–up
|
|
Microsoft 365 E7 (seit 2026)
|
P2 + Governance
|
inkl. Entra Agent ID
|
|
Entra Suite (Add-on)
|
Governance + Protection + Access
|
setzt P1 voraus
|
Die wichtigste Stolperfalle steckt in der ersten Zeile: Office 365 E3/E5 enthalten kein P1/P2 – nur die Microsoft-365-Geschwister mit EMS an Bord. Wer noch alte O365-Verträge fährt und Conditional Access nutzt, hat eine Lizenzlücke.
10 Die Nebendarsteller
Entra ID F2: Abgespeckte Frontline-Variante als Basis-SKU; für Governance-Funktionen gibt es passende Frontline-Step-ups.
Workload Identities Premium: Conditional Access und Risikoerkennung für Service Principals und Managed Identities – lizenziert pro Workload-Identität (ca. 3 $/Monat). Microsoft prüft hier seit 2026 spürbar strenger nach.
Entra External ID: Kunden- und Partner-Identitäten (der B2C-Nachfolger), MAU-basiert abgerechnet – die ersten 50.000 monatlich aktiven Benutzer sind frei, Premium-Features wie SMS kosten extra.
Verified ID: Basisfunktionen in jedem Entra-ID-Abo enthalten; nur Face Check ist Premium (Suite oder separat).
Entra Agent ID: Der Neuzugang für KI-Agenten-Identitäten, gebündelt u. a. in M365 E7 / Agent 365 – wer Workload Identities Premium für Agenten bezahlt, sollte Doppellizenzierung prüfen.
11 Praxis-Checkliste und Stolperfallen
Doppellizenzierung jagen: Standalone P1 neben M365 E3 oder EMS E3? Standalone P2 neben E5? Weg damit – das Recht ist schon bezahlt.
Segmentieren statt Gießkanne: P2 nur dort, wo PIM/Identity Protection wirklich greifen. Faustregel aus Audits: nur 15–30 % der P2-Sitze nutzen überhaupt ein P2-Feature.
E5-Rechnung ehrlich machen: E5 lohnt sich, wenn mehrere Premium-Bausteine (Defender, Purview, Teams Phone) genutzt werden. Wer nur P2 will, fährt mit E3 + P2-Add-on deutlich günstiger.
Step–up-SKUs kennen: Governance auf P2-Basis nie zum vollen Add-on-Preis kaufen – die Step-up-SKU deckt nur die Differenz ab.
Preiserhöhung 1.7.2026 einplanen: Jahreslizenzen vor dem Renewal prüfen und Überlizenzierung abbauen, bevor zum neuen Preis verlängert wird.
Trial nutzen: P2 gibt es als 30-Tage-Test – ideal, um PIM und Identity Protection vor der Kaufentscheidung real zu sehen.
|
Fazit
P1 ist keine Kür, sondern Pflicht für jede Organisation, die Conditional Access ernst meint – und steckt oft längst im vorhandenen M365-Plan. P2 ist die gezielte Versicherung für privilegierte und exponierte Konten. Governance und Suite sind Werkzeuge für Organisationen, die Identity als Prozess begreifen, nicht als Attributliste. Die Kunst liegt nicht im Kaufen, sondern im Zuschneiden.
|
