Lizenzen im Krankenhaus: Frontline für die Pflege, Vollausstattung für die Verwaltung

Wissen Der Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik. › Microsoft 365 im Krankenhaus	Beratung Lizenzmodell nach Rollen, Geräten und Trägerschaft – mit Vorlage für die Geschäftsführung. › Microsoft-365-Beratung für Krankenhäuser	Schulung Administratoren und Key-User fit machen – vom Stationsrechner bis zur Lizenzzuweisung per Gruppe. › Microsoft-365-Schulung für Krankenhäuser

 

Es gibt zwei Arten, ein Krankenhaus mit Microsoft 365 zu lizenzieren. Die erste: Man zählt alle Konten im Active Directory, multipliziert mit dem Paket, das die Verwaltung braucht, und legt das Ergebnis der Geschäftsführung vor. Die zweite: Man schaut hin, wer im Haus eigentlich was tut, an welchem Gerät und wie oft. Die erste Methode ist schneller. Die zweite verhindert, dass der kaufmännische Direktor beim Blick auf die Jahresrechnung einen Kreislaufstillstand erleidet – und im Krankenhaus wäre zwar Hilfe nah, aber man muss es ja nicht herausfordern.

Bei Microsoft 365 Lizenzen im Krankenhaus geht es um mehr als um Geld. Die Belegschaft einer Klinik ist so heterogen wie kaum eine andere: Geschäftsführung und Verwaltung arbeiten am eigenen Rechner mit Outlook, Excel und Gremienunterlagen. Pflegekräfte teilen sich im Schichtdienst einen Stationsrechner, der eigentlich für das KIS da ist. Ärzte pendeln zwischen Visite, Funktionsbereich, Rufbereitschaft und Kommissionssitzung. Dazu kommen Technik, Medizintechnik, Service, Auszubildende, Honorarärzte und Leiharbeit. Microsoft hat für genau diese Mischung zwei Planfamilien: Enterprise für Wissensarbeit am eigenen Gerät, Frontline für Menschen, die überwiegend mit Patienten, Kunden oder Maschinen arbeiten und nur nebenbei digital kommunizieren.

Dieser Beitrag ordnet die Personengruppen eines Krankenhauses den Plänen zu, erklärt die Grenzen der Frontline-Lizenzen, beschreibt die Ergänzungen für Teams Phone, Entra ID P2, Defender, Purview und Copilot und klärt, was es mit Nonprofit-Angeboten für gemeinnützige Träger auf sich hat. Er gehört zur Serie Microsoft 365 im Krankenhaus. Preise nennen wir bewusst nicht: Sie ändern sich, hängen vom Vertrag ab und verleiten dazu, die falsche Frage zuerst zu stellen. Die richtige lautet: Wer braucht welche Funktion?

Fakten: Stand der Lizenzangaben Alle Angaben zu Plänen, Grenzen und Voraussetzungen beruhen auf den Servicebeschreibungen und Lizenzbedingungen von Microsoft (learn.microsoft.com und microsoft.com) mit Stand Oktober 2026. Microsoft ändert Pakete, Namen und Zuschnitte regelmäßig – zuletzt etwa mit der Umbenennung der Copilot-Lizenz und neuen Bündeln oberhalb von E5. Prüfen Sie vor jeder Bestellung den aktuellen Stand in den Product Terms und im Vertrag mit Ihrem Lizenzpartner.

 

Wer im Krankenhaus was tut: Personengruppen und ihre tatsächliche Nutzung

Lizenzplanung beginnt nicht im Microsoft 365 Admin Center, sondern im Organigramm – und, ehrlicher, im Dienstplan. Denn das Organigramm sagt, wer wem berichtet. Der Dienstplan sagt, wer wann an welchem Gerät sitzt. Für die Lizenzfrage ist Letzteres wichtiger.

Verwaltung, Leitungen und Stabsstellen

Geschäftsführung, kaufmännische Abteilungen, Personal, Controlling, Einkauf, Patientenverwaltung, Qualitätsmanagement, IT, Datenschutz und Informationssicherheit arbeiten wie in jedem anderen Unternehmen: eigener Rechner, eigenes Postfach, Excel-Tabellen mit Makros, die niemand mehr versteht, und Gremienunterlagen in Teams. Diese Gruppe braucht die Desktop-Apps, große Postfächer, Archiv und in der Regel auch die Compliance-Funktionen. Hier ist ein Enterprise-Plan richtig, und hier lohnt es sich auch nicht, an der falschen Stelle zu sparen.

Ärzte

Bei den Ärzten trennt sich die Welt in zwei Gruppen. Chefärzte, Oberärzte mit Leitungsaufgaben, der Ärztliche Direktor und alle, die in Kommissionen, Forschung oder Lehre aktiv sind, schreiben Gutachten, Vorträge, Stellungnahmen und Verfahrensanweisungen. Sie haben oft ein eigenes Dienstgerät und brauchen Office in voller Breite. Assistenzärzte im Stationsalltag dagegen arbeiten überwiegend im KIS, lesen Standards und Verfahrensanweisungen im Intranet, nutzen Teams-Chat zur Abstimmung und schreiben eher selten ein Word-Dokument von Grund auf. Für sie kann ein Frontline-Plan reichen – wenn ihre Arbeitsweise den Frontline-Kriterien entspricht (dazu gleich mehr).

Pflege und Funktionsdienste

Die Pflege ist in fast jedem Haus die größte Berufsgruppe. Pflegekräfte arbeiten im Schichtdienst, teilen sich Stationsrechner, Visitenwagen und zunehmend mobile Geräte. Ihr Bedarf an Microsoft 365 ist real, aber eng umrissen: Hygieneplan und Pflegestandards finden, Dienstplanänderungen sehen, Schichtübergaben organisatorisch abstimmen, Fortbildungen buchen, das Intranet lesen. Patientendokumentation gehört ins KIS, nicht in Microsoft 365 – siehe Patientendaten und Microsoft 365: Wo das KIS endet und das Office anfängt. Ähnlich sieht es in Funktionsdiensten wie OP, Anästhesie, Endoskopie, Radiologie oder Labor aus: Die Fachanwendung (RIS, LIS, PACS) ist führend, Microsoft 365 ist Beiwerk für Organisation und Kommunikation. Pflegedirektion und Stationsleitungen sind dagegen häufig eher Verwaltung als Station.

Technik, Medizintechnik und Service

Haustechnik, Medizintechnik, Reinigung, Küche, Logistik, Sterilgutversorgung und Patiententransport sind klassische Frontline-Bereiche. Wer Geräte prüft, Aufträge abarbeitet oder Transporte fährt, braucht Aufgabenlisten, Schichtpläne, Chat und Zugriff auf Arbeitsanweisungen, selten aber Excel-Pivot-Tabellen. Ausnahme sind die Leitungen und diejenigen, die Wartungsplanung, Gerätenachweise oder Ausschreibungen bearbeiten – in der Medizintechnik oft eine kleine Gruppe, die lizenzseitig eher zur Verwaltung zählt.

Auszubildende, Honorarärzte und Leiharbeit

Die heikelste Gruppe für die Lizenzverwaltung ist nicht die größte, sondern die beweglichste. Auszubildende in der Pflege rotieren durch Stationen und Einrichtungen, Praxisanleitung und Pflegeschule brauchen Zugriff auf Lernmaterial. Honorarärzte und Leihkräfte kommen für Wochen oder einzelne Dienste. Lizenzrechtlich gilt für alle dasselbe: Wer Microsoft 365 nutzt, braucht eine Lizenz – egal ob mit Arbeitsvertrag, Honorarvertrag oder Überlassungsvertrag. Organisatorisch brauchen Sie dafür einen Eintritts- und Austrittsprozess, der auch bei einem Einsatz von drei Nächten funktioniert. Sonst finden Sie bei der nächsten Überprüfung Konten, deren Inhaber seit Jahren in einem anderen Bundesland arbeiten und trotzdem eine E3-Lizenz verbrauchen.

Tipp: Lizenzen über Gruppen statt per Hand zuweisen Weisen Sie Lizenzen über gruppenbasierte Lizenzierung in Microsoft Entra ID zu, und befüllen Sie diese Gruppen aus dem Personalsystem oder aus dynamischen Regeln (Abteilung, Berufsgruppe, Kostenstelle). Dann wird aus einem Wechsel von der Station in die Pflegedirektion automatisch ein Wechsel von F3 auf E3 – und aus einem Austritt eine freie Lizenz. Für gruppenbasierte Lizenzierung ist mindestens Entra ID P1 nötig, das in E3, E5 und F3 enthalten ist.

 

Die folgende Tabelle fasst die typischen Zuordnungen zusammen. Sie ist ein Ausgangspunkt, keine Bestellliste: Jedes Haus hat seine Eigenheiten, und jede Zuordnung muss gegen die Frontline-Kriterien im nächsten Abschnitt geprüft werden.

Personengruppe	Typische Nutzung	Passender Plan	Stolperfalle
Geschäftsführung, Direktorium	Gremienunterlagen, Mail, Excel, vertrauliche Dokumente, mobil unterwegs	Microsoft 365 E5 oder E3 mit Sicherheitsergänzungen	Höchstes Phishing-Ziel im Haus, oft mit den meisten Ausnahmen bei MFA
Verwaltung, QM, Controlling, Personal	Desktop-Office, große Postfächer, SharePoint, Teams-Besprechungen	Microsoft 365 E3 (no Teams) plus Teams	Teams wird für Neukunden separat lizenziert – fehlt gern bei der ersten Bestellung
IT, ISB, DSB	Administration, Protokolle, eDiscovery, Sicherheitsbetrieb	E5 oder E3 mit Entra ID P2, Defender, Purview	Getrennte Admin-Konten brauchen eigene Überlegung zur Lizenz
Chefärzte, Ärztlicher Direktor, Oberärzte mit Leitung	Gutachten, Vorträge, Kommissionen, Lehre, Forschung	Microsoft 365 E3	Patientenbezogene Tabellen in Teams statt im KIS
Assistenzärzte im Stationsalltag	Teams-Chat, Standards lesen, Fortbildung, gelegentlich Dokumente	Microsoft 365 F3, bei eigenem Gerät und Office-Bedarf E3	F3 am eigenen Laptop mit Desktop-Word erwartet
Pflege, Stationsleitung im Schichtdienst	Hygieneplan, Standards, Dienstplan, Schichtkommunikation	Microsoft 365 F3, reine Leser F1	F1 hat kein nutzbares Postfach und keine Bearbeitungsrechte
Funktionsdienste (OP, Radiologie, Labor)	Organisation rund um RIS, LIS, PACS; Verfahrensanweisungen	Microsoft 365 F3	Befundbilder und -listen landen als Screenshot in Chats
Technik, Medizintechnik, Service	Aufgaben, Schichtpläne, Arbeitsanweisungen, Gerätenachweise	F3 bzw. F1, Leitungen E3	Gerätekonten und Sammelkonten auf Werkstatt-PCs
Auszubildende	Lernplattform, Intranet, Chat mit Praxisanleitung	F3 oder F1	Konten bleiben nach Ende der Ausbildung aktiv
Honorarärzte, Leiharbeit	Kurzzeitiger Zugang zu Standards, Dienstplan, Kommunikation	F3 oder F1, befristet	Sammelkonten wie „Leihkraft Station 3“ – lizenz- und datenschutzwidrig

 

Skizze 1: Die Lizenzpyramide eines Krankenhauses – schematisch nach Köpfen, nicht nach Budget.

Die Pyramide zeigt das eigentliche Spannungsfeld: Die teuren Pakete betreffen wenige Köpfe, die schlanken sehr viele. Wer die breite Basis falsch lizenziert, verliert mehr Geld als jede Diskussion über E3 oder E5 an der Spitze einbringt. Und umgekehrt: Wer an der Spitze spart, spart genau dort, wo Angreifer zuerst anklopfen.

Enterprise gegen Frontline: Was E3, E5, F1 und F3 wirklich unterscheidet

Microsoft beschreibt zwei Benutzertypen: Wissensarbeiter (Information Workers), die am Desktop oder Laptop vor allem mit Dokumenten arbeiten, und Frontline-Mitarbeiterinnen und -Mitarbeiter, die oft an Tablets oder Smartphones arbeiten und direkt mit Kunden oder der Öffentlichkeit zu tun haben. In der Dokumentation zu den Frontline-Lizenzen nennt Microsoft ausdrücklich „healthcare clinicians and nursing staff“ als Beispiel – die Pflege ist also kein Grenzfall, sondern der Lehrbuchfall.

Die Frontline-Regel: Wer F1 oder F3 bekommen darf

Wichtiger als das Marketing ist die Lizenzbedingung. In der Microsoft-Dokumentation zu den Teams-Ergänzungslizenzen sind die Kriterien für Frontline-Lizenzen ausformuliert. Eine Frontline-Lizenz darf nur Personen zugewiesen werden, die mindestens eines dieser Merkmale erfüllen:

Ihr primäres Gerät hat einen einzelnen Bildschirm kleiner als 10,9 Zoll – also Smartphone oder kleines Tablet.

Sie teilen sich ihr primäres Arbeitsgerät mit anderen Frontline-lizenzierten Personen, während einer Schicht oder über Schichten hinweg.

Andere Frontline-lizenzierte Personen nutzen dasselbe Gerät ebenfalls als ihr primäres Arbeitsgerät.

Zusätzlich gilt: Jede Software und jeder Dienst, der vom gemeinsam genutzten Gerät aus verwendet wird, braucht eine passende Benutzer- oder Gerätelizenz. Übersetzt in den Klinikalltag heißt das: Die Pflegekraft am Stationsrechner, den sich die Schicht teilt, ist ein klarer Frontline-Fall. Der Assistenzarzt mit eigenem Dienstlaptop, auf dem er auch Vorträge baut, ist es nicht. Und das Chefarztsekretariat mit eigenem PC ist es schon gar nicht, auch wenn es räumlich auf der Station liegt.

Die genaue Formulierung finden Sie in der Microsoft-Dokumentation Frontline-Benutzertypen und Lizenzierung bei Microsoft Learn und in den Lizenzbedingungen. Lassen Sie sich die Auslegung für Grenzfälle von Ihrem Lizenzpartner schriftlich bestätigen – bei einem Lizenzaudit zählt, was belegbar ist.

Was F1 und F3 können – und was nicht

Die beiden Frontline-Pläne unterscheiden sich deutlicher, als die Namen vermuten lassen. Microsoft 365 F3 enthält Office 365 F3, Enterprise Mobility + Security E3 und Windows Enterprise E3. Microsoft 365 F1 enthält Enterprise Mobility + Security E3 und nur eingeschränkte Office-Dienste. Die entscheidenden Grenzen laut Servicebeschreibung:

Merkmal	Microsoft 365 F1	Microsoft 365 F3	Microsoft 365 E3 / E5
Exchange-Postfach	Kein Nutzungsrecht; ein technisch angelegtes Postfach darf nicht genutzt werden	Exchange Online Kiosk, 2 GB, kein Archivpostfach (nur per Zusatzlizenz)	Exchange Online Plan 2, 100 GB, Archiv bis 1,5 TB
Office im Browser	Nur lesen, kein Erstellen, Bearbeiten, Speichern	Lesen und bearbeiten	Lesen und bearbeiten
Office-Desktop-Apps	Nein	Nein	Ja, Microsoft 365 Apps for enterprise
Office mobil	Eingeschränkt	Auf Smartphones und Tablets bis 10,9 Zoll Bildschirmdiagonale	Ja
OneDrive	2 GB	2 GB	Deutlich größerer Speicher
Teams, SharePoint, Viva Engage (Basis)	Ja (Teams je nach Variante)	Ja (Teams je nach Variante)	Ja, Teams für Neukunden separat
Entra ID, Intune	Entra ID P1, Intune über EMS E3	Entra ID P1, Intune über EMS E3	E3: P1; E5: P2
Windows Enterprise	Nein	Windows Enterprise E3 (ohne LTSC)	E3 bzw. E5
Shared Computer Activation für Desktop-Office	Nein	Nein	Ja
Copilot als Ergänzung	Als Voraussetzung gelistet	Als Voraussetzung gelistet	Als Voraussetzung gelistet; E7 enthält Copilot

 

Bemerkenswert ist F1: Die Lizenz sieht im Admin Center ein Postfach vor, weil Teams es technisch braucht. Microsoft stellt aber klar, dass F1-Nutzer kein Recht auf dieses Postfach haben, und empfiehlt, Outlook im Web zu deaktivieren. Wer F1 vergibt und dann staunt, dass die Pflegekraft Mails empfängt, hat ein Lizenzthema, kein Technikwunder.

Und die E3- und E5-Varianten für Frontline?

Eine eigene „E3 Frontline“ oder „E5 Frontline“ als Grundplan führt Microsoft in den Lizenzbedingungen nicht. Der Weg nach oben läuft für Frontline-Nutzer über Ergänzungen zu F1 oder F3: Microsoft hat dafür 2021 die Frontline-Erweiterungen F5 Security, F5 Compliance und F5 Security + Compliance eingeführt, die einen Großteil der E5-Sicherheits- und Compliance-Funktionen für Frontline-Nutzer nachrüsten. Die Teams-Dokumentation führt die Kombination „Microsoft 365 F1/F3 plus Microsoft 365 F5 Security + Compliance“ weiterhin als eigene Variante. Microsoft benennt diese Suiten inzwischen im Umfeld von E5 als Defender Suite und Purview Suite; welche Bezeichnung Ihr Lizenzpartner für die Frontline-Version aktuell führt, prüfen Sie am besten in der Preisliste. Inhaltlich gilt: Wer für die Pflege Insider-Risk-Management, Endpunktschutz der höchsten Stufe oder erweiterte eDiscovery braucht, muss nicht auf E5 springen.

Teams ist inzwischen eine eigene Zeile auf der Rechnung

Im Europäischen Wirtschaftsraum und in der Schweiz verkauft Microsoft die Enterprise-Suiten seit 1. Oktober 2023 an Neukunden ohne Teams, weltweit seit 1. April 2024. Wer neu einsteigt, kauft also Microsoft 365 E3 (no Teams) oder die EEA-Variante und dazu Teams Enterprise bzw. Teams EEA. Bestandskunden mit älteren Suiten inklusive Teams können diese weiter verlängern. Bei den Frontline-Suiten bietet Microsoft Varianten mit und ohne Teams an. Für die Lizenzplanung heißt das: Prüfen Sie bei jeder Bestellung, ob Teams enthalten ist – sonst gibt es Microsoft 365 ohne das Werkzeug, für das die meisten Häuser Microsoft 365 überhaupt einführen.

Skizze 2: Entscheidungsweg für eine einzelne Person – erst das Gerät, dann der Bedarf.

Warnung: Die beiden häufigsten Lizenzfehler im Krankenhaus • Fehler Nummer eins: alle gleich lizenzieren. Wer der ganzen Belegschaft E3 gibt, bezahlt für Desktop-Office und 100-GB-Postfächer bei Menschen, die beides nie öffnen. Wer allen F3 gibt, lässt die Verwaltung mit Office im Browser und 2 GB Postfach allein – und bekommt binnen Wochen Schatten-IT mit privaten Office-Lizenzen. • Fehler Nummer zwei: Frontline-Lizenzen auf Rechnern, für die sie nicht gedacht sind. F3 am persönlichen Büro-PC des Stationssekretariats, F1 für die Ärztin mit eigenem Laptop, F3-Nutzer an einem Citrix-Desktop mit installiertem Word: Das verletzt entweder die Frontline-Kriterien oder läuft in den eingeschränkten Funktionsmodus. Beides fällt spätestens bei einer Lizenzprüfung auf.

 

Stationsrechner, Citrix und gemeinsam genutzte Geräte

Microsoft hat in seiner Dokumentation zur Shared Computer Activation ein Beispiel, das wie aus einem Klinik-Lastenheft klingt: „Fifteen nurses at a hospital use Office on 10 different computers throughout the day.“ Fünfzehn Pflegekräfte, zehn Rechner, ein Tag. Genau für dieses Szenario gibt es die Aktivierung für gemeinsam genutzte Computer: Microsoft 365 Apps werden einmal installiert, jede angemeldete Person holt sich ein eigenes Lizenztoken, das 30 Tage gültig ist und im Benutzerprofil liegt.

Der Haken: Shared Computer Activation funktioniert nur für Pläne, die Microsoft 365 Apps for enterprise enthalten (etwa E3 oder E5), für Pläne mit Desktop-Project oder -Visio und für Business Premium. F1 und F3 gehören nicht dazu. Meldet sich eine F3-lizenzierte Pflegekraft an einem Stationsrechner mit installiertem Desktop-Office an, bekommt sie kein Token. Office läuft dann im Modus mit eingeschränkter Funktionalität: Dokumente ansehen und drucken ja, erstellen und bearbeiten nein. Für viele Stationen ist das übrigens völlig ausreichend – solange es geplant ist und nicht als Supportticket „Word kaputt“ auftaucht.

Skizze 3: Derselbe Stationsrechner, drei Lizenzen, drei verschiedene Erlebnisse.

Was das für das Arbeitsplatzdesign heißt

Frontline-Bereiche browserzentriert planen: Outlook im Web, Office im Web, Teams und das Intranet decken den Bedarf der Station. Stellen Sie Dateiverknüpfungen so ein, dass Dokumente aus SharePoint im Browser öffnen.

Desktop-Office auf Stationsrechnern bewusst entscheiden: Entweder bekommt jede Person, die es nutzt, eine Lizenz mit Microsoft 365 Apps, oder Sie verzichten auf die Desktop-Apps an diesen Geräten und vermeiden so Verwirrung.

Citrix und Terminalserver gesondert prüfen: Bei gehosteten Desktops greift dieselbe Logik. Wer am veröffentlichten Desktop Word nutzen soll, braucht eine Lizenz mit Shared Computer Activation.

Schnellen Benutzerwechsel mitdenken: Frontline funktioniert nur, wenn jede Person sich mit eigenem Konto anmeldet. Sammelkonten wie „Station 4“ sind keine Lösung, sondern ein Problem für Lizenz, Protokollierung, Datenschutz und Mitbestimmung.

Wichtig: Sammelkonten sind keine Sparmaßnahme Ein gemeinsames Konto für die ganze Station spart auf dem Papier Lizenzen. In Wirklichkeit verstößt es gegen die Lizenzbedingungen, macht jede Protokollauswertung wertlos, hebelt Mehrfaktor-Authentifizierung aus und gehört bei einem Sicherheitsvorfall zu den ersten Fragen der Forensik. Aus der Begleitung eines Klinikverbunds bei der Aufarbeitung von Sicherheitsereignissen wissen wir: „Wer war das?“ ist eine Frage, die man mit einem Sammelkonto nicht beantworten kann.

 

Ergänzungen: Teams Phone, Entra ID P2, Defender, Purview und Copilot

Über den Grundplänen liegt der Baukasten der Ergänzungslizenzen. Hier entscheidet sich, ob das Lizenzmodell gezielt oder zufällig ist. Die Faustregel: Ergänzungen folgen der Funktion und dem Risiko, nicht der Hierarchie.

Teams Phone: die Unteranlage, nicht die Klinik-TK

Teams Phone Standard ist eine Ergänzung zu Teams und liefert Telefonanlagenfunktionen wie Voicemail, Weiterleitung, Vermittlung, Auto Attendants und Warteschlangen; in E5 ist es enthalten. Für Frontline-Pläne gibt es eine eigene Variante, Teams Phone Standard for Frontline Workers, die nur in Mandanten mit Frontline-Lizenzen erhältlich ist. Die Anbindung ans öffentliche Telefonnetz erfolgt über Calling Plans, Operator Connect oder Direct Routing über einen eigenen Session Border Controller.

Im Krankenhaus ist Teams-Telefonie in aller Regel eine Unteranlage für Verwaltung und ärztliche Leitungspositionen hinter der großen Klinik-TK-Anlage. Station, DECT, Zentrale, Notruf- und Rufbereitschaftsketten sowie Patiententelefone bleiben an der Klinik-TK. Teams Phone für die Pflege zu kaufen, weil es im Paket günstig wirkt, ist daher meist eine Lizenz ohne Anwendungsfall. Mehr dazu im Kompetenzbereich Teams-Telefonie und im Beitrag Teams-Telefonie im Krankenhaus und in der Pflege.

Microsoft Entra ID P2

E3 und F3 bringen Entra ID P1 mit: bedingter Zugriff, gruppenbasierte Lizenzierung, Hybrid-Identität. Entra ID P2 – enthalten in E5 und in den Sicherheitssuiten – ergänzt risikobasierten bedingten Zugriff, Identity Protection, Privileged Identity Management und Zugriffsüberprüfungen. Im Krankenhaus ist P2 zuerst dort wichtig, wo privilegierte Rollen und gefährdete Konten liegen: IT-Administration, Geschäftsführung, Personal, Finanzen. Prüfen Sie in den Lizenzhinweisen von Microsoft genau, welche Nutzer eine P2-Lizenz benötigen; die Annahme, es reiche die Lizenz für die Administratoren, trägt meist nicht. Wie Sie das sauber zuschneiden, zeigt der Kompetenzbereich Microsoft Entra ID.

Microsoft Defender

Ransomware findet ihren Weg ins Krankenhaus häufig über Konten und Postfächer. Defender for Office 365, Defender for Endpoint, Defender for Identity und Defender for Cloud Apps sind in E5 vollständig enthalten, in E3 teilweise, für Frontline-Nutzer über die Sicherheitsergänzung. Gerade hier ist es gefährlich, nur die Spitze der Pyramide zu schützen: Ein kompromittiertes Konto einer Pflegekraft hat zwar keine Adminrechte, aber Zugriff auf Teams, Intranet und oft auf Dokumente, die dort nicht hingehören. Welche Pflichten NIS2, § 391 SGB V und der B3S daraus ableiten, beschreibt NIS2, § 391 SGB V und B3S: Was die Sicherheitspflichten für Microsoft 365 bedeuten; die technische Umsetzung zeigt NIS2 technisch umsetzen mit Microsoft 365.

Microsoft Purview

Aufbewahrung, Vertraulichkeitsbezeichnungen, Verhinderung von Datenverlust, Audit und eDiscovery sind die Werkzeuge, mit denen Sie durchsetzen, dass Patientendaten im KIS bleiben und Personalunterlagen nicht im falschen Team landen. Die Grundfunktionen sind in E3 enthalten, die automatische Klassifizierung, Insider-Risk-Management, Premium-Audit und Premium-eDiscovery in E5 bzw. in der Purview Suite. Wichtig für Qualitätsmanagement und Datenschutz: Die Lizenz für eine Funktion muss in der Regel bei den Personen liegen, deren Inhalte geschützt werden. Eine DLP-Richtlinie für Teams-Chats der Pflege setzt also auch Lizenzen in der Pflege voraus. Einen Überblick gibt der Kompetenzbereich Microsoft Purview.

Copilot

Die Copilot-Lizenz – in der Microsoft-Dokumentation inzwischen schlicht „Microsoft Copilot“ genannt – ist eine Ergänzung, die laut Microsoft auf zahlreichen Grundplänen aufsetzen kann, ausdrücklich auch auf Microsoft 365 F1 und F3 sowie Office 365 F3. Mit Microsoft 365 E7 gibt es zudem ein Bündel, das Copilot bereits enthält. Die Liste der Voraussetzungen steht unter Lizenzoptionen für Microsoft Copilot bei Microsoft Learn. Daneben gibt es den Copilot Chat, der für berechtigte Abonnements ohne Zusatzkosten Ergebnisse aus dem Internet liefert; der Zugriff auf Unternehmensdaten setzt die Copilot-Lizenz voraus.

Lizenzrechtlich möglich heißt nicht sinnvoll. Copilot findet alles, worauf die Person Zugriff hat – auch die Excel-Liste mit Patientennamen, die seit drei Jahren in einem vergessenen Teams-Kanal liegt. Bevor Sie Copilot im Krankenhaus breit lizenzieren, muss die Berechtigungslage aufgeräumt sein. Der realistische Einstieg sind ausgewählte Personen in Verwaltung, QM und Leitung, nicht die Station. Mehr dazu im Kompetenzbereich Microsoft 365 Copilot.

Skizze 4: Der Ergänzungsbaukasten – grün typisch, gelb im Einzelfall prüfen, grau selten sinnvoll.

Ergänzung	Wofür im Krankenhaus	Für wen zuerst	Stolperfalle
Teams Phone Standard (bzw. für Frontline)	Unteranlage für Verwaltung und ärztliche Leitungen	Verwaltung, Sekretariate, Chefärzte	Als Ablösung der Klinik-TK verkauft; Station und DECT gehören nicht dazu
Entra ID P2	Risikobasierter Zugriff, PIM, Zugriffsüberprüfungen	Admins, Geschäftsführung, Personal, Finanzen	Nur Admins lizenziert, obwohl die Funktion weitere Nutzer erfasst
Defender-Funktionen	Schutz von Postfächern, Endpunkten, Identitäten	Alle, die E-Mail und Teams nutzen	Nur die Spitze geschützt, die breite Basis offen
Purview-Funktionen	Aufbewahrung, DLP, Bezeichnungen, eDiscovery	Verwaltung, QM, Personal; DLP auch Station	Richtlinie ohne Lizenz bei den betroffenen Nutzern
Copilot	Entwürfe, Zusammenfassungen, Recherche in eigenen Daten	Ausgewählte Personen in Verwaltung und Leitung	Oversharing: Copilot findet die Patientenliste im vergessenen Kanal

 

Nonprofit, Trägerschaft und Klinikverbund

Nonprofit-Angebote: Wer berechtigt ist, entscheidet Microsoft

Viele Krankenhäuser in freigemeinnütziger oder kirchlicher Trägerschaft fragen nach den Nonprofit-Angeboten von Microsoft. Die Berechtigungskriterien veröffentlicht Microsoft unter Berechtigungskriterien für Nonprofit-Angebote bei Microsoft. Sie verlangen eine gemeinnützige oder nichtstaatliche Organisation mit anerkanntem Rechtsstatus im jeweiligen Land, eine gemeinnützige Tätigkeit zum Nutzen der Gemeinschaft, regelmäßige Bestätigungen der Spendenrichtlinien und eine aktive Nutzung von mindestens 85 Prozent der zugeteilten Lizenzen. Ausgeschlossen sind unter anderem staatliche Organisationen und Behörden, Schulen und Hochschulen sowie Finanzinstitute. Microsoft entscheidet nach eigenem Ermessen.

Für Krankenhäuser ist ein Detail entscheidend: Gesundheitsorganisationen führt Microsoft in den Kriterien als berechtigte Kategorie nur für bestimmte Einrichtungstypen in den USA auf. Ob ein deutsches Krankenhaus eines gemeinnützigen Trägers berechtigt ist, ergibt sich daraus nicht automatisch – weder positiv noch negativ. Planen Sie Ihr Budget deshalb nie auf Basis eines erhofften Nonprofit-Rabatts, sondern stellen Sie die Frage früh über die Registrierung bei Microsoft. Bei kommunalen Häusern stellt sich zusätzlich die Frage, ob Microsoft sie als staatliche Organisation einordnet. Für Universitätsklinika kommt ohnehin eher die Zuordnung zum Hochschulumfeld in Betracht – siehe Microsoft 365 in Hochschule und Forschung.

Hinweis: Keine Rechtsberatung Gemeinnützigkeit nach deutschem Steuerrecht und Berechtigung für Microsoft-Nonprofit-Angebote sind zwei verschiedene Dinge. Der Freistellungsbescheid ist ein Nachweis, aber keine Garantie. Lizenzverträge, Holding-Strukturen und die Frage, welche Gesellschaft eines Verbunds Lizenznehmer ist, gehören in die Hände Ihres Lizenzpartners und Ihrer Rechtsabteilung. Dieser Beitrag ersetzt keine Rechtsberatung.

 

Trägerschaft und Verbund ändern die Rahmenbedingungen, nicht die Lizenzlogik

Ob öffentlich, freigemeinnützig, kirchlich oder privat: Die Zuordnung Rolle, Gerät, Plan bleibt gleich. Was sich unterscheidet, sind die Gesprächspartner und der Rechtsrahmen. Kirchliche Häuser verhandeln mit der MAV und arbeiten unter KDG oder DSG-EKD – siehe Microsoft 365 im kirchlichen Krankenhaus: KDG, DSG-EKD und die MAV am Tisch und den Kompetenzbereich Microsoft 365 in Kirche, Diakonie und Caritas. Kommunale Häuser haben je nach Bundesland und Rechtsform einen Personalrat oder einen Betriebsrat; das Personalvertretungsrecht unterscheidet sich von Land zu Land. Ein Klinikverbund mit mehreren Standorten muss klären, welche Gesellschaft Lizenznehmer ist und ob alle Häuser in einem Mandanten arbeiten. In der langjährigen Begleitung eines Krankenhausverbunds mit mehreren Standorten haben wir erlebt, wie viel Arbeit gewachsene Domänen, Vertrauensstellungen und eine Exchange-Hybrid-Umgebung machen. Bei der Postfachmigration zeigt sich dann sehr konkret, wer ein 2-GB-Postfach verträgt und wer mit 40 GB Altlast in die Cloud will.

Mitbestimmungsrelevant ist übrigens nicht nur die Einführung von Microsoft 365 an sich, sondern auch die Frage, welche Funktionen eine Lizenz freischaltet. Wer mit E5 Auswertungs- und Analysefunktionen einkauft, sollte sie vor der Aktivierung mit der Arbeitnehmervertretung besprechen – siehe Betriebsrat, Personalrat oder MAV: Mitbestimmung bei Microsoft 365 je nach Trägerschaft.

Die Lizenz ersetzt keine Compliance-Prüfung

Eine teurere Lizenz macht einen Dienst nicht zulässiger. Ob ein Dienst für Sozial- und Gesundheitsdaten genutzt werden darf, hängt unter anderem an § 393 SGB V, der für die Verarbeitung in Cloud-Diensten seit 1. Juli 2025 ein aktuelles C5-Testat vom Typ 2 oder ein gleichwertiges Testat verlangt. Welche Microsoft-Dienste von welchem Testat abgedeckt sind, ist ein Prüfauftrag: Ziehen Sie die aktuellen Berichte im Service Trust Portal und gleichen Sie sie mit den Diensten ab, die Ihre Lizenzen tatsächlich freischalten. Details in § 393 SGB V und C5-Testat: Was Krankenhäuser beim Cloud-Einsatz nachweisen müssen und Schweigepflicht und Cloud: § 203 StGB, Landeskrankenhausgesetze und Auftragsverarbeitung.

Fakten: Die wichtigsten Grenzen auf einen Blick • Frontline-Kriterien: primäres Gerät mit einem Bildschirm unter 10,9 Zoll oder ein primäres Arbeitsgerät, das mit anderen Frontline-Nutzern in oder über Schichten geteilt wird. • F1: kein Nutzungsrecht am Exchange-Postfach, Office im Web nur lesend, 2 GB OneDrive. • F3: Postfach 2 GB ohne Archiv, Office im Web und mobil (bis 10,9 Zoll), keine Desktop-Apps, 2 GB OneDrive, Windows Enterprise E3. • E3/E5: Postfach 100 GB, Archiv bis 1,5 TB, Microsoft 365 Apps for enterprise mit Shared Computer Activation. • Teams: Enterprise-Suiten für Neukunden im EWR seit 1. Oktober 2023 ohne Teams, Teams separat. • Copilot: als Ergänzung auf E3, E5, F1, F3 und weiteren Plänen möglich; E7 enthält Copilot.

 

FAQ: Microsoft 365 Lizenzen im Krankenhaus

Darf die Pflege mit F3 lizenziert werden?

Ja, wenn die Frontline-Kriterien erfüllt sind – typischerweise, weil sich die Pflegekräfte im Schichtdienst Stationsrechner teilen oder überwiegend mit Smartphones oder kleinen Tablets arbeiten. Microsoft nennt Pflegekräfte ausdrücklich als Beispiel für Frontline-Mitarbeiter. Stationsleitungen mit eigenem Büro-PC und Office-Bedarf sollten Sie gesondert bewerten.

Reicht F1 für Pflegekräfte, die nur das QM-Handbuch lesen?

Für reines Lesen im Intranet, Teams-Chat und Schichtpläne kann F1 reichen. F1 hat aber kein nutzbares Postfach und keine Bearbeitungsrechte in Office im Web. Sobald Mails gesendet, Formulare bearbeitet oder Dokumente gemeinsam erstellt werden, ist F3 die passende Wahl.

Können F3-Nutzer am Stationsrechner Word und Excel als Desktop-App nutzen?

Nein. Shared Computer Activation setzt einen Plan mit Microsoft 365 Apps for enterprise voraus. F3-Nutzer können installiertes Desktop-Office nur ansehen und drucken; zum Bearbeiten nutzen sie Office im Web.

Wie groß ist das Postfach bei F3?

2 GB, ohne Archivpostfach. Ein Archiv lässt sich über Exchange Online Archiving zukaufen. Wer regelmäßig größere Anhänge empfängt, ist bei F3 falsch aufgehoben.

Gibt es Microsoft 365 E3 oder E5 als Frontline-Variante?

Nicht als eigenen Grundplan. Frontline-Nutzer bekommen E5-Sicherheits- und Compliance-Funktionen über die Frontline-Ergänzungen, die Microsoft ursprünglich als F5 Security und F5 Compliance eingeführt hat. Die aktuellen Bezeichnungen prüfen Sie in der Preisliste Ihres Lizenzpartners.

Brauchen Honorarärzte und Leihkräfte eine eigene Lizenz?

Ja. Lizenzpflichtig ist die Nutzung, nicht der Arbeitsvertrag. Sammelkonten sind keine zulässige Abkürzung. Ein befristetes Konto mit F1 oder F3 und automatischer Deaktivierung zum Einsatzende ist der saubere Weg.

Bekommt ein gemeinnütziges Krankenhaus Nonprofit-Lizenzen?

Das entscheidet Microsoft nach eigenem Ermessen im Registrierungsverfahren. Die veröffentlichten Kriterien nennen Gesundheitsorganisationen als berechtigte Kategorie nur für bestimmte US-Einrichtungen. Planen Sie nicht mit dem Rabatt, bevor die Berechtigung bestätigt ist.

Sollten Pflegekräfte Teams Phone bekommen?

In aller Regel nicht. Die Station telefoniert über die Klinik-TK und DECT. Teams Phone ist im Krankenhaus eine Unteranlage für Verwaltung und ärztliche Leitungspositionen.

Darf man Copilot auf F3 lizenzieren?

Lizenzrechtlich ja – Microsoft listet F1 und F3 als Voraussetzung für die Copilot-Lizenz. Fachlich ist die Station selten der richtige Einstieg, und vor jeder Copilot-Einführung müssen Berechtigungen und Oversharing geprüft sein.

Fazit: Erst den Dienstplan lesen, dann die Lizenzen bestellen

Ein gutes Lizenzmodell für ein Krankenhaus ist kein Rabattthema, sondern ein Abbild der Arbeitsorganisation. Verwaltung, Leitungen und Stabsstellen brauchen die Vollausstattung mit Desktop-Apps, großem Postfach und Schutzfunktionen. Pflege, Funktionsdienste, Service, Auszubildende und Leihkräfte im Schichtdienst sind mit F3 oder F1 gut bedient – wenn die Frontline-Kriterien erfüllt sind und das Arbeitsplatzdesign dazu passt. Ärzte liegen dazwischen und verdienen eine Einzelbetrachtung statt einer Pauschale.

Die Ergänzungen folgen dem Risiko: Entra ID P2 und Defender dort, wo Angreifer anklopfen, Purview dort, wo Daten geschützt werden müssen, Teams Phone nur für die Unteranlage, Copilot erst nach dem Aufräumen. Und über allem gilt: Die Lizenz entscheidet, was technisch geht. Was erlaubt ist, entscheiden § 393 SGB V, die Schweigepflicht, das Landesrecht und Ihre Arbeitnehmervertretung. Wenn Sie das Lizenzmodell für Ihr Haus oder Ihren Verbund strukturiert erarbeiten möchten, unterstützt Sie die Microsoft-365-Beratung für Krankenhäuser; für die Administration der Lizenzzuweisung und der Frontline-Arbeitsplätze gibt es die Microsoft-365-Schulung für Krankenhäuser.

Weiter: Passende Beiträge und Kompetenzbereiche › Microsoft 365 im Krankenhaus: Warum die Klinik anders tickt als Verwaltung und Mittelstand › Patientendaten und Microsoft 365: Wo das KIS endet und das Office anfängt › § 393 SGB V und C5-Testat: Was Krankenhäuser beim Cloud-Einsatz nachweisen müssen › NIS2, § 391 SGB V und B3S: Was die Sicherheitspflichten für Microsoft 365 bedeuten › Microsoft 365 Security › Microsoft-365-Beratung für Krankenhäuser