Power Apps: Neue Governance- und Lizenzierungsoptionen

Executive Summary

Microsoft hat in den vergangenen Monaten an zwei Schrauben gleichzeitig gedreht, und zwar in entgegengesetzte Richtungen. Auf der Governance-Seite bekommst du Werkzeug, von dem du vor drei Jahren nur geträumt hast: Environment Groups als Ordner für Umgebungen, aktuell 24 zentral erzwingbare Rules, Environment Routing, das jeden neuen Maker automatisch in eine eigene saubere Entwicklerumgebung schiebt, und seit diesem Monat drei KI-Agenten im Power Platform Admin Center, die deinen Tenant nachts durchleuchten und dir morgens einen Maßnahmenplan auf den Tisch legen. Auf der Lizenzseite hat Microsoft aufgeräumt — und Aufräumen heißt bei Microsoft selten, dass es hinterher billiger ist.

Der Power Apps Per-App-Plan für 5 US-Dollar ist im Januar 2026 kommentarlos aus dem Licensing Guide verschwunden. Übrig bleiben Power Apps Premium für 17,30 Euro pro Nutzer und Monat und der Pay-as-you-go-Meter über eine Azure-Subscription. Wer im Enterprise Agreement sitzt, darf Per-App weiter verlängern; wer über MPSA gekauft hat, bekommt beim Vertragsende eine Abschiedsumarmung und 60 Tage Migrationsfenster.

Der eigentliche Hammer steht im Kleingedruckten der Managed Environments. Ab Februar 2027 öffnet eine App in einer Managed Environment nicht mehr, wenn der Nutzer keine passende Lizenz hat. Nicht "wird langsamer", nicht "zeigt einen freundlichen Hinweis" — sie öffnet nicht. Seit März 2026 warnt Microsoft die Administratoren, seit Juni 2026 die Endnutzer direkt in der App, in drei Eskalationsstufen im Abstand von jeweils sieben Tagen. Wer 2024 fröhlich Managed Environments eingeschaltet hat, weil das Feature so schön nach Ordnung klang, hat jetzt eine Deadline im Kalender, die er nicht selbst gesetzt hat. Bis dahin sind es keine siebzehn Monate, sondern knapp fünf.

Abbildung 1: Die Termine, die über dein Power-Apps-Budget 2027 entscheiden.

Worum geht es im Detail?

Fangen wir mit der Governance an, weil sie der angenehmere Teil des Gesprächs ist. Managed Environments sind der Schalter, der eine Umgebung von "irgendwer hat hier mal was gebaut" auf "wir wissen, was hier passiert" umstellt. Du brauchst dafür Dataverse in Produktions-, Sandbox- und Trial-Umgebungen, Entwicklerumgebungen kommen ohne aus. Aktivieren darf das nur, wer Power Platform Administrator oder Dynamics 365 Administrator in Entra ID ist — Delegated Admins und Umgebungsadministratoren kommen an diesen Schalter nicht heran, und das ist ausdrücklich Absicht.

Darüber liegen die Environment Groups. Stell dir einen Ordner für Umgebungen vor: Du bündelst zehn oder zehntausend Umgebungen nach Region, Geschäftsbereich oder Lebenszyklus und schaltest die Regeln einmal zentral. Wird eine Rule auf Gruppenebene veröffentlicht, ist die entsprechende Einstellung in jeder Mitgliedsumgebung schreibgeschützt. Der lokale Systemadministrator sieht das Feld, darf es aber nicht mehr anfassen. Ausnahmen für einzelne Umgebungen gibt es nicht, Gruppen lassen sich nicht verschachteln und jede Umgebung gehört zu genau einer Gruppe. Nimmst du eine Umgebung aus der Gruppe heraus, behält sie die letzte Konfiguration, wird aber wieder entsperrt. Nur Managed Environments dürfen überhaupt in eine Gruppe.

Die Regelliste ist inzwischen erwachsen geworden. Neben den Klassikern Sharing-Limits, Solution Checker, Maker Welcome Content, Usage Insights und Backup-Retention findest du dort Advanced Connector Policy, Blockieren von Unmanaged Customizations, Default Deployment Pipeline, Release Channel, Content Security Policy, Power Apps Code Apps, Zugriff auf Gesprächstranskripte in Copilot Studio, externe Modelle, experimentelle KI-Modelle und — betriebswirtschaftlich besonders spannend — Cost Controls für den Zugriff auf den Copilot-Credit-Pool des Tenants. Wer die Rules ernst nimmt, braucht das CoE Starter Kit für diese Aufgaben nicht mehr.

Dazu passt Environment Routing. Ruft ein Maker make.powerapps.com oder copilotstudio.microsoft.com auf, legt die Plattform ihm automatisch eine persönliche Entwicklerumgebung an — inklusive Dataverse, direkt als Managed Environment, direkt in der Gruppe deiner Wahl und damit ab der ersten Sekunde unter deinen Rules. Das Prinzip ist OneDrive für Apps. Der wahre Gewinn liegt woanders: Die Default-Umgebung, diese Rumpelkammer mit 4.000 Apps, von denen niemand mehr weiß, welche produktiv ist, wird endlich nicht weiter zugemüllt. Passend dazu ist die Funktion "Move apps out of the default environment" seit Januar 2026 in Preview und soll im September 2026 allgemein verfügbar werden.

Der Neuzugang dieses Monats heißt Agentic Center of Enablement und besteht aus drei Agenten. Der Highlights-Agent liefert täglich einen Snapshot: Was wurde angelegt, wo läuft Kapazität weg. Der Insights-Agent scannt den Tenant fortlaufend, findet herrenlose Ressourcen und Aktivität in der Default-Umgebung und priorisiert nach Auswirkung. Der Action-Plan-Agent baut daraus Maßnahmenpläne, die du prüfst und freigibst, bevor etwas passiert. Alles landet in einem Audit-Trail. Die Funktion ist eine Managed-Platform-Funktion und wird automatisch aktiviert, sobald mindestens eine Managed Environment im Tenant existiert. Du findest sie im Admin Center unter "Actions". Ja, das bedeutet: Der Tenant petzt jetzt von selbst.

Abbildung 2: Ein tragfähiges Zonenmodell — Green Zone, Dev/Test, Produktion — mit zentral gesperrten Rules und dem Lizenz-Gate darunter.

Damit zur Lizenzseite. Sie ist deutlich schlichter geworden, was man auch anders nennen kann. Der Per-App-Plan startete 2019 bei 10 US-Dollar, wurde 2021 auf 5 halbiert und verschwand im Januar 2026 aus der Preisliste. Im Enterprise Agreement darfst du weiter verlängern und über True-up Nutzer nachziehen, im CSP-Kanal war die Aufregung nach wenigen Wochen vorbei, weil das SKU im April 2026 auf die Preislisten zurückkehrte. Neue Kunden außerhalb CSP bekommen es nicht mehr. Bleiben zwei Wege: Premium pro Nutzer oder Pay-as-you-go pro aktivem Nutzer und App.

Managed Environments sind als Entitlement in Power Apps Premium, Power Automate Premium, Copilot Studio, Power Pages und den Dynamics-365-Enterprise-Lizenzen enthalten. Auch die Pay-as-you-go-Meter für Power Apps per App, Power Pages und Copilot Studio qualifizieren. Ein Nutzer, der in einer Managed Environment eine App startet und einen Cloud-Flow auslöst, braucht nicht beide Premium-Lizenzen; eine von beiden genügt. Aber Achtung: Der Power-Apps-PAYG-Meter deckt nur Power Apps ab. Flow-Nutzung außerhalb des App-Kontexts braucht eigene Power-Automate-Lizenzen oder einen Per-Flow-Plan. Trial-Lizenzen zählen — für 30 Tage, dann nicht mehr.

Was sind Chancen? Was sind Risiken?

Die Chance ist echt und sie ist groß: Governance ist von einer Bastelaufgabe zu einem Produkt geworden. Wer bisher das CoE Starter Kit betrieben hat, kennt das Ritual — Solution-Update, defekte Flows, Dataverse-Tabellen mit Schemaänderungen, und der eine Kollege, der es aufgesetzt hat, ist inzwischen bei der Konkurrenz. Environment Groups, Rules und Environment Routing sind Plattformfunktionen mit SLA. Du konfigurierst sie einmal und sie gelten. Das Zonenmodell, das Microsoft selbst propagiert — eine locker regulierte Green Zone für Experimente, ein Dev/Test-Bereich und eine streng reglementierte Produktion — lässt sich damit in einem Vormittag aufsetzen statt in einem Quartalsprojekt.

Die zweite Chance ist Kostenkontrolle mit echten Zahlen. Der Bericht "Users requiring licenses in Managed Environments" im Lizenzbereich des Admin Centers listet dir namentlich auf, wer im gewählten Monat Apps in Managed Environments gestartet hat, ohne eine passende Lizenz zu besitzen — mit Umgebung und App. Dazu kommt die Lizenzverbrauchsansicht, die gekaufte, zugewiesene und in den letzten 90 Tagen tatsächlich genutzte Lizenzen gegenüberstellt. Damit findest du beides: die Lücke und das teure Regal voller Lizenzen, die niemand benutzt.

Und jetzt die Risiken, denn davon lebt unser Berufsstand. Risiko Nummer eins ist die Kombination aus Managed Environment und Lizenzpflicht. Ein Maschinenbauer mit rund 1.200 Beschäftigten hatte seine Schichtübergabe-App in einer Umgebung, die vor zwei Jahren aktiviert wurde, weil jemand die Sharing-Limits haben wollte. Die App liest eine SharePoint-Liste, sonst nichts. Als im Juni 2026 die Hinweise in der App auftauchten, landete das Thema innerhalb von drei Tagen beim CFO — 1.200 mal 17,30 Euro sind gut 20.000 Euro im Monat für eine App, die jemand mal in einem Workshop an einem Nachmittag gebaut hat. Die Lösung war nicht mehr Budget, sondern die Umgebung: App raus aus der Managed Environment, in eine PAYG-Umgebung, Sharing-Limits über eine andere Mechanik. Kosten seither: rund 300 Nutzer, die die App monatlich wirklich öffnen, mal 10 US-Dollar.

Abbildung 3: Derselbe Nutzerkreis, drei Modelle, drei völlig verschiedene Rechnungen. Die Anzahl der Apps pro Nutzer entscheidet, wo der Break-even liegt.

Risiko Nummer zwei ist das Umgekehrte: Pay-as-you-go wird gern als Sparmodell verkauft und ist es auch — bis jemand drei Apps statt einer baut. Der Meter zählt pro App, nicht pro Nutzer. Drei Apps, die alle 100 Leute nutzen, kosten 3.000 US-Dollar im Monat, Premium für dieselben Leute 2.000. Wer in PAYG-Umgebungen Apps zerschneidet, weil es architektonisch schöner ist, baut sich eine Kostenmaschine. Dasselbe gilt für Dataverse: 48 US-Dollar pro Gigabyte Datenbank und Monat sind kein Tippfehler, und Log-Storage wird ab dem ersten Byte berechnet, sobald Auditing läuft. Ein Kunde hatte Auditing zur Fehlersuche für zwei Wochen scharf geschaltet und danach vergessen. Die Azure-Rechnung erinnerte ihn zuverlässig daran.

Risiko Nummer drei ist organisatorisch. Rules sind hart. Kein Per-Environment-Exception, kein Vetorecht des lokalen Administrators, keine Diskussion um 17 Uhr vor dem Go-live. Das ist genau der Punkt — aber es bedeutet, dass ein falsch gesetzter Schalter gleichzeitig hundert Umgebungen trifft. Und Risiko Nummer vier: Die Agenten im Admin Center produzieren Maßnahmenpläne. Wer die ungelesen freigibt, hat die Verantwortung nicht delegiert, sondern nur die Aufmerksamkeit. Der Audit-Trail vergisst nichts, und im Zweifelsfall steht dein Name unter der Freigabe.

Was müssen wir jetzt schon vorbereiten?

Fünf Monate klingen entspannt, sind aber bei Lizenzbeschaffung im Konzern ungefähr eine Kaffeepause. Die Reihenfolge ist wichtiger als die Geschwindigkeit.

Zahlen holen, bevor du diskutierst: Admin Center, Lizenzierung, Power Apps, Zusammenfassung, Bericht herunterladen, Nutzungstyp "Users requiring licenses in Managed Environments". Zwei bis drei Monate Rückblick, damit du saisonale Nutzung siehst und nicht nur den Urlaubsmonat.

Inventur der Managed Environments: Für jede eine Zeile mit der Antwort auf die Frage, welche Premium-Funktion sie rechtfertigt. Erfahrungsgemäß fällt bei einem Drittel die Antwort "jemand hat es damals angeklickt" aus — das sind deine Kandidaten für einen Rückbau.

Zonenmodell festlegen und in Environment Groups gießen: Green Zone für persönliche Entwicklerumgebungen, Dev/Test, Produktion. Environment Routing auf die Green Zone zeigen lassen, damit neue Umgebungen von Geburt an regelkonform sind.

Ist-Konfiguration je Umgebung dokumentieren, bevor du Gruppen befüllst — wegen der Überschreibung von Sharing-Limits, Welcome Content, Solution Checker, Usage Insights, Backup-Retention und Generative-AI-Einstellungen.

Entscheidungsmatrix pro App bauen: Nutzerkreis, Anteil monatlich aktiver Nutzer, Apps pro Nutzer, Premium-Connectoren ja oder nein. Daraus fällt die Antwort Premium, PAYG oder App Pass fast von selbst. Rechne beide Richtungen, nicht nur den Status quo.

Auto-Claim-Policy im Microsoft 365 Admin Center prüfen: Sie weist aktiven Nutzern automatisch Lizenzen zu und verhindert Zugriffsverluste. Sie leert aber auch dein Lizenzkontingent ohne Rückfrage. Nur mit Kapazitätsüberwachung aktivieren.

Billing Policies sauber schneiden: Je Kostenstelle eine eigene Policy und ein eigenes Power-Platform-Account-Resource in Azure, dazu Resource Groups und Tags. Sonst diskutierst du im Januar mit vier Bereichsleitern über eine Sammelrechnung.

Agentic CoE zähmen: Rollen klären, wer Action Plans freigibt, und die Activity-Seite in die monatliche Governance-Runde aufnehmen. Der Agent ist ein Praktikant mit Tenant-Zugriff, kein Ersatz für ein Urteil.

Und ein Satz zur Kommunikation: Die Hinweise in der App eskalieren nach jeweils sieben Tagen von Information über Warnung zu Fehler, und Nutzer können daraus direkt eine Lizenz anfordern. Diese Anfragen landen im Admin Center unter Actions und im Microsoft 365 Admin Center unter Abrechnung. Wenn du den Prozess dafür nicht definierst, definiert ihn dein Service Desk — und zwar im Februar 2027, mit einem Ticketberg und schlechter Laune.

Häufig gestellte Fragen

Brauchen auch Nutzer einfacher Apps mit Standard-Connectors eine Premium-Lizenz?

In einer Managed Environment ja. Die Anforderung hängt an der Umgebung, nicht an der Art der App: Jeder Nutzer, der dort eine App startet, braucht Power Apps Premium, Power Automate Premium, eine qualifizierende Dynamics-365-Lizenz oder einen passenden Pay-as-you-go-Meter. In einer nicht verwalteten Umgebung reicht für Apps mit ausschließlich Standard-Connectors weiterhin das in Microsoft 365 enthaltene Nutzungsrecht.

Was passiert im Februar 2027 genau, wenn eine Lizenz fehlt?

Die App öffnet nicht mehr und zeigt stattdessen die Standardmeldung, dass eine Power Apps Lizenz benötigt wird. Die App selbst wird nicht gelöscht oder verändert, und der Zugriff funktioniert wieder, sobald eine passende Lizenz erkannt wird — üblicherweise kurz nach der Zuweisung.

Kann ich den Power Apps Per-App-Plan noch kaufen?

Als Neukunde außerhalb des CSP-Kanals nicht mehr. Im Enterprise Agreement können Bestandskunden weiterhin verlängern und über True-up Nutzer nachziehen, im CSP-Kanal ist das SKU nach kurzer Unterbrechung im April 2026 auf die Preislisten zurückgekehrt. Bei MPSA endet die Verfügbarkeit mit dem Vertrag, danach bleibt ein Migrationsfenster von 60 Tagen.

Wann ist Pay-as-you-go günstiger als Power Apps Premium?

Immer dann, wenn der Anteil der monatlich aktiv zugreifenden Nutzer klein ist und jeder Nutzer nur eine oder zwei Apps braucht. Bei 10 US-Dollar pro aktivem Nutzer und App kippt die Rechnung ab etwa zwei Apps pro Nutzer zugunsten von Premium, weil Premium unbegrenzt viele Apps abdeckt.

Lohnt sich das CoE Starter Kit überhaupt noch?

Für Standardaufgaben wie Inventarisierung, Umgebungsrichtlinien, Sharing-Grenzen und Maker-Onboarding nicht mehr, weil Environment Groups, Rules und das Agentic Center of Enablement das als gewartete Plattformfunktionen abdecken. Sinnvoll bleibt es für individuelle Auswertungen und Prozesse, die Microsoft nicht abbildet — und dann bewusst als eigenes Projekt mit Verantwortlichem, nicht als Nebentätigkeit.