Was jede Stufe gegenüber Free hinzufügt, welche Microsoft-365-Pläne sie schon enthalten und wo Geld verloren geht.
Entra ID P1 fügt Conditional Access hinzu und ist in Microsoft 365 Business Premium und E3 enthalten. Entra ID P2 fügt risikobasierte Richtlinien (Identity Protection), Privileged Identity Management und Zugriffsüberprüfungen hinzu und ist in E5 enthalten. P2 wird typischerweise für die Administratoren gekauft, die PIM nutzen; bei risikobasierten Richtlinien braucht jeder Benutzer, den die Richtlinie erfasst, P2. Wo P2 oder P1 zusätzlich zu E5 gekauft wird, bezahlen Sie doppelt.
Free, P1 und P2 bauen aufeinander auf: P2 enthält alles aus P1. Massgeblich sind Microsofts aktuelle Produktbedingungen und Ihr Vertrag.
| Bedarf | Lizenz | Hinweis |
|---|---|---|
| Single Sign-on, einfache MFA über Security Defaults, einfache Berichte | Free | In jedem Microsoft-Cloud-Abonnement enthalten. Kein Conditional Access. |
| Conditional Access (zum Beispiel MFA nur von unbekannten Standorten, konformes Gerät erforderlich) | P1 | Dazu gruppenbasierte Lizenzierung, Self-Service-Kennwortrücksetzung mit Writeback, Hybrid- und Application-Proxy-Funktionen. |
| Risikobasierter Conditional Access: Anmeldungen sperren oder verschärfen, die Identity Protection markiert | P2 | Richtlinien für Anmelde- und Benutzerrisiko, Berichte zu riskanten Benutzern. |
| Privileged Identity Management: Admin-Rollen just-in-time und mit Genehmigung | P2 | Nötig für die Administratoren mit berechtigten Rollen, ebenso für Genehmiger und Prüfer von Zugriffsüberprüfungen. Siehe die Lizenzhinweise weiter unten. |
| Zugriffsüberprüfungen und Entitlement Management | P2 | Lifecycle Workflows und der weitere Governance-Umfang gehören zu Entra ID Governance, das auch in der Entra Suite steckt. |
| Identity Governance darüber hinaus, Netzwerkzugriff (Private und Internet Access) | Entra Suite | Setzt P1 voraus und bündelt Identity Protection, ID Governance und Netzwerkzugriff. Erst relevant, wenn die Funktionen von P1 und P2 im Einsatz sind. |
| Microsoft-365-Plan | Enthält Entra ID |
|---|---|
| Microsoft 365 Business Premium | P1 |
| Microsoft 365 E3 | P1 |
| Microsoft 365 E5 | P2 |
Ein Business-Premium- oder E3-Bestand hat also bereits Conditional Access, und ein erneuter P1-Kauf ist reine Verschwendung. Ob sich E5 allein wegen Entra P2 lohnt, ist selten die richtige Frage; der Vergleich des ganzen Plans steht in unserem Leitfaden E3 vs. E5. Die Entra Suite baut auf P1 auf und bündelt Identity Protection, ID Governance und Netzwerkzugriff; sie ist erst interessant, wenn die Funktionen aus dieser Tabelle bereits im Einsatz sind.
P2 für wenige Administratoren und P1 für alle anderen ist günstiger als P2 für alle, und für Privileged Identity Management ist das ein solides Muster, sofern auch Genehmiger und Prüfer lizenziert sind. Es kippt, wenn eine Funktion für eine grössere Gruppe aktiviert wird, als die P2-Lizenzen abdecken. Microsofts Grundsatz lautet: Jeder Benutzer, der von einer P2-Funktion profitiert, braucht eine P2-Lizenz. Eine risikobasierte Conditional-Access-Richtlinie für alle Benutzer oder eine Zugriffsüberprüfung über alle Mitarbeitenden bringt diese Benutzer in den Geltungsbereich. Gäste sind die Ausnahme: Sie werden nach dem External-ID-Preismodell (monatlich aktive Benutzer) abgerechnet. Legen Sie deshalb zuerst den Geltungsbereich jeder Funktion fest, zählen Sie die erfassten Benutzer und lizenzieren Sie diese Zahl. Weicht das Ergebnis von Ihrer P2-Anzahl ab, ist die Differenz entweder eine Unterlizenzierung oder eine ungenutzte Lizenz, und beides sollten Sie kennen.
Die klassische Verschwendung ist ein Benutzer mit E5 und zusätzlich einer einzelnen P1- oder P2-Lizenz, meist vor dem E5-Rollout gekauft und nie gekündigt. E5 enthält bereits P2, und P2 enthält P1; die Einzellizenz bringt nichts. Dasselbe gilt für Benutzer, die P1 und P2 zugleich halten. Die Zation Platform erkennt doppelt lizenzierte Konten pro Benutzer, sodass diese Überschneidungen als Liste erscheinen, die Sie vor der Verlängerung abarbeiten können, statt als Überraschung im True-up.
Evidenz pro Benutzer zu Überschneidungen zwischen E5 und einzelnen Entra-Lizenzen.