M365 Admin Konto | Lizenzieren oder nicht?

Ein dediziertes Administratorkonto sollte weder ein Exchange-Postfach besitzen noch für Teams-Besprechungen, Office-Anwendungen oder die tägliche Webnutzung verwendet werden. Daraus folgt meist: Das Konto benötigt keine vollständige Microsoft 365 Lizenz.

„Meist“ ist hier entscheidend. Einige Microsoft Cloud-Dienste prüfen neben der Administratorrolle, ob dem angemeldeten Benutzerobjekt ein passender Serviceplan zugewiesen ist. Fehlt dieser, erscheint häufig eine irreführende Berechtigungsfehlermeldung, obwohl die Entra-Rolle korrekt gesetzt wurde.

Ob dein Administratorkonto eine Lizenz benötigt, hängt nicht von der Höhe seiner Rolle ab. Entscheidend ist, welchen Dienst das Konto direkt verwendet.

Microsoft beschreibt ausdrücklich, dass dedizierte Administratorkonten keine Lizenz für die Cloud-Dienste benötigen, die sie lediglich verwalten. Als Beispiel nennt Microsoft ein SharePoint-Administratorkonto, dem keine Microsoft 365 Lizenz zugewiesen werden muss.

Eine Administratorrolle beantwortet die Frage:

Eine Produktlizenz beantwortet eine andere Frage:

Diese Trennung erklärt einen großen Teil der verwirrenden Fehlermeldungen. Ein Printer Administrator darf Drucker verwalten. Universal Print prüft trotzdem, ob das Konto zur Nutzung des Dienstes berechtigt ist. Ein Fabric Administrator darf Mandanteneinstellungen ändern. Das Fabric-Portal erwartet trotzdem eine Fabric-Lizenz.

Die Rolle steuert also die Autorisierung innerhalb eines Dienstes. Die Lizenz schaltet den Zugang zum Dienst frei.

Das Verhalten ist nicht über alle Microsoft Cloud-Produkte einheitlich. Exchange Online, SharePoint Online und viele klassische Microsoft 365 Verwaltungsfunktionen erlauben eine Administration ohne Exchange-, SharePoint- oder Office-Lizenz auf dem Administratorkonto. Andere Workloads behandeln den Administrator technisch wie einen Benutzer des Dienstes und verlangen deshalb eine zugewiesene Lizenz.

Microsoft empfiehlt für privilegierte Aufgaben separate Cloud-only-Konten. Diese Konten werden nicht aus dem lokalen Active Directory synchronisiert und nur für administrative Tätigkeiten verwendet.

Das reduziert mehrere Risiken:

Microsoft schreibt für reine Administratorkonten ausdrücklich keine Microsoft 365 for Business Lizenz vor. In einer weiteren Sicherheitsempfehlung fordert Microsoft, Produktivwerkzeuge wie Microsoft 365 E-Mail für privilegierte Konten zu sperren.

Eine vollständige Microsoft 365 E3, E5 oder Business Premium Lizenz auf jedem Administratorkonto ist deshalb meist die falsche Lösung. Sie erzeugt zusätzliche Serviceberechtigungen, Postfächer, OneDrive-Speicher und weitere Angriffsflächen, die das Konto für seine Aufgabe nicht benötigt.

Bei Microsoft Entra ID musst du zwischen einer Person und ihren Benutzerobjekten unterscheiden.

Ein Administrator kann beispielsweise folgende Identitäten besitzen:

Das erste Konto dient der täglichen Arbeit. Das zweite Konto wird ausschließlich für privilegierte Aufgaben eingesetzt.

Microsoft hat seine Lizenzposition dafür klarer formuliert: Besitzt dieselbe Person mehrere interne Identitäten oder Administratorkonten, ist keine zusätzliche Microsoft Entra ID Lizenz für jedes Benutzerobjekt erforderlich. Das gilt nach Microsofts FAQ innerhalb eines Tenants und tenantübergreifend innerhalb derselben Organisation.

Die Klarstellung umfasst auch Entra ID Governance. Eine Person mit normalem Benutzerkonto und getrenntem Administratorkonto benötigt nur eine Governance-Lizenz, damit beide Identitäten verwaltet werden können. Microsoft nennt dieses Modell „one person, one license“.

Das ist besonders für folgende Funktionen relevant:

Die Lizenz muss die Person abdecken, nicht jedes Konto derselben Person. Trotzdem solltest du intern dokumentieren, welche Administratorkonten zu welcher lizenzierten Person gehören. Sonst lässt sich die Lizenzkonformität bei einem Audit nur schwer nachweisen.

Das Prinzip gilt nicht automatisch für jedes andere Microsoft Produkt. Die Entra-Klarstellung erlaubt dir nicht, daraus eine allgemeine Regel für Intune, Universal Print, Power BI, Dynamics 365 oder andere Workloads abzuleiten.

Ein häufiger Denkfehler lautet: Wenn das Administratorkonto keine eigene P1-Lizenz besitzt, darf Conditional Access nicht darauf angewendet werden.

Die Lizenzierung orientiert sich hier an der Person. Ist der Administrator über sein normales Benutzerkonto mit Entra ID P1 oder P2 lizenziert, benötigt sein separates Administratorkonto keine zweite Entra-Lizenz.

Du kannst und solltest das Administratorkonto trotzdem in passende Conditional-Access-Richtlinien aufnehmen. Sinnvolle Anforderungen sind:

Nicht jede Person im Tenant ist durch eine einzelne P1-Lizenz des Administrators abgedeckt. Microsoft verlangt Lizenzen für Administratoren, die Premiumfunktionen konfigurieren, und für Benutzer, auf die lizenzpflichtige Funktionen angewendet werden. Eine einzelne P1-Lizenz schaltet Conditional Access technisch im Tenant frei, lizenziert aber nicht automatisch alle Benutzer.

Universal Print ersetzt klassische Druckserver durch einen Cloud-Druckdienst. Unterstützte Drucker kommunizieren direkt oder über einen Connector mit dem Microsoft-Dienst. Drucker werden zentral registriert, freigegeben und Benutzern zugewiesen.

Für die Verwaltung stehen unter anderem folgende Rollen zur Verfügung:

Die Rolle allein reicht nicht aus. Microsoft schreibt ausdrücklich vor, dass Endbenutzer und IT-Administratoren eine Universal-Print-berechtigte Lizenz benötigen, um zu drucken oder die Druckumgebung zu verwalten.

Zu den berechtigten kommerziellen Abonnements zählen unter anderem:

Achte auf die genaue Produktbezeichnung. Office 365 E3 oder Office 365 E5 werden in Microsofts aktueller Liste nicht als Universal-Print-Berechtigung genannt. Microsoft 365 E3 und Microsoft 365 E5 enthalten dagegen die erforderliche Berechtigung.

Du meldest dich mit einem Global Administrator oder Printer Administrator an. Das Portal lässt sich öffnen und vorhandene Informationen werden teilweise angezeigt. Beim Registrieren, Freigeben oder Ändern eines Druckers erscheint dann eine Meldung wie:

Die Meldung sieht nach einem Rollenproblem aus. Die Ursache kann aber der fehlende Universal-Print-Serviceplan sein.

Prüfe deshalb zwei Ebenen:

Bei delegierter Druckerverwaltung über Administrative Units kommen weitere Anforderungen hinzu. Microsoft verlangt für die delegierten Printer Administrators eine Universal-Print-Lizenz und eine Entra ID P1 oder P2 Lizenz. Die Entra-Lizenz kann nach dem personenbezogenen Modell über das normale Benutzerkonto abgedeckt sein. Die Universal-Print-Berechtigung muss der verwaltenden Identität technisch zur Verfügung stehen.

Der Microsoft Intune Certificate Connector verbindet Intune mit einer lokalen Microsoft Zertifizierungsstelle. Er wird unter anderem für folgende Verfahren verwendet:

Die Installation des Connectors erfolgt lokal auf einem Windows Server. Für den eigentlichen Installationsvorgang genügt ein Konto mit lokalen Administratorrechten. Während der Konfiguration fordert der Assistent jedoch eine Anmeldung bei Microsoft Entra ID an.

Für dieses Anmeldekonto gelten zwei Anforderungen:

Microsoft dokumentiert die Lizenzpflicht ausdrücklich für das Konto, mit dem du dich im Konfigurationsassistenten anmeldest. Fehlt die Intune-Lizenz, kann die Anmeldung mit einer wenig hilfreichen Fehlermeldung wie „An unanticipated error occurred“ abbrechen.

Nach der erfolgreichen Konfiguration arbeitet der Connector mit seinem konfigurierten Dienstkonto. Die interaktive Intune-Administratoridentität ist für den normalen Zertifikatsbetrieb nicht dauerhaft angemeldet.

Trotzdem solltest du die verwendete Identität und den Lizenzbedarf dokumentieren. Bei einer Neuinstallation, Reparatur oder erneuten Konfiguration benötigst du wieder ein Konto mit Intune-Lizenz.

Eine saubere Betriebsdokumentation enthält mindestens:

Die Dokumentation verhindert, dass ein Administrator bei einem späteren Update lange nach Netzwerk-, Rollen- oder Zertifizierungsfehlern sucht, obwohl nur der Intune-Serviceplan fehlt.

Power BI ist inzwischen in die Verwaltungs- und Lizenzarchitektur von Microsoft Fabric integriert. Das frühere Power BI Adminportal ist Teil des Fabric Adminportals.

Für den Zugriff auf das vollständige Adminportal verlangt Microsoft:

Als administrative Rollen kommen primär Fabric Administrator und Power Platform Administrator infrage. Ein Global Administrator besitzt weitreichende Rechte, sollte für den täglichen Fabric-Betrieb aber nicht als Standardrolle verwendet werden.

Microsoft unterscheidet aktuell folgende benutzerbezogenen Lizenztypen:

Für den Zugriff auf das Fabric Adminportal verlangt die Dokumentation eine Fabric-Lizenz. Sie fordert nicht pauschal eine kostenpflichtige Pro- oder PPU-Lizenz für reine Mandantenverwaltung.

Daraus folgt für ein reines Administratorkonto: Fabric Free kann ausreichen, solange das Konto keine Berichte veröffentlicht, Inhalte teilt oder andere Pro- beziehungsweise PPU-Funktionen verwendet.

Das Problem entsteht in Tenants, die Self-Service-Registrierung deaktiviert haben. Meldet sich ein unlizenzierter Administrator bei Fabric oder Power BI an, kann der Dienst keine kostenlose Fabric-Lizenz automatisch aktivieren. Das Konto besitzt dann zwar die administrative Rolle, kommt aber nicht vollständig in den Dienst.

Microsoft beschreibt diesen Fall inzwischen ausdrücklich: Wenn Self-Service für kostenlose Lizenzen, Testversionen oder Käufe blockiert ist, muss die IT dem Konto die erforderliche Lizenz zentral bereitstellen.

Eine Anmeldung mit dem Power BI PowerShell-Modul kann zunächst funktionieren:

Erst beim Abruf von Verwaltungsdaten erscheint ein Fehler:

Typische Rückgaben sind:

Die erfolgreiche Authentifizierung bestätigt nur, dass Entra ID das Konto erkannt hat. Sie bestätigt weder die Fabric-Lizenz noch die Berechtigung für den aufgerufenen API-Endpunkt.

Prüfe deshalb beim Fabric- und Power-BI-Troubleshooting immer Rolle und Lizenz getrennt.

Bei seltenen Verwaltungsaufgaben erscheint es wirtschaftlich, eine Lizenz kurz zuzuweisen und nach der Konfiguration wieder zu entfernen.

Technisch kann das funktionieren, wenn eine ungenutzte Lizenz dauerhaft für dasselbe Administratorkonto reserviert bleibt. Problematisch wird es, wenn ein einzelner Lizenzplatz regelmäßig zwischen verschiedenen Administratoren verschoben wird.

Die Microsoft Product Terms untersagen bei den meisten User Subscription Licenses eine kurzfristige Neuzuweisung innerhalb von 90 Tagen. Ausnahmen gelten etwa beim Ausscheiden eines Mitarbeiters oder bei längerer Abwesenheit. Eine rotierende „Lizenz für den Admin der Woche“ kann daher gegen die Lizenzbedingungen verstoßen.

Für selten benötigte Workloads sind drei Modelle sauberer:

Beim dritten Modell musst du prüfen, ob Abhängigkeiten zwischen Serviceplänen bestehen. Eine vollständige Microsoft 365 E5 Lizenz mit aktivem Exchange Online, Teams und OneDrive ist für ein Administratorkonto unnötig, wenn nur Universal Print benötigt wird.

Emergency-Access- oder Break-Glass-Konten sind keine normalen persönlichen Administratorkonten. Microsoft empfiehlt mindestens zwei Cloud-only-Notfallkonten mit dauerhaft aktiver Global-Administrator-Rolle.

Diese Konten sollten:

Für solche Konten solltest du keine normale Microsoft 365 Lizenz vorsehen. Ein Exchange-Postfach, Teams oder OneDrive widersprechen dem vorgesehenen Einsatzzweck. Nur wenn dein Wiederherstellungsverfahren einen lizenzpflichtigen Workload zwingend benötigt, wäre eine entsprechende Lizenz zu prüfen. Besser ist ein Recovery-Verfahren, das nicht von zusätzlichen SaaS-Diensten abhängt.

Im Microsoft 365 Admin Center findest du die Zuweisungen unter:

Für eine detaillierte Prüfung der aktivierten Servicepläne eignet sich Microsoft Graph PowerShell:

Damit erkennst du nicht nur die zugewiesene Produktsuite. Du siehst auch, welche einzelnen Servicepläne innerhalb der Lizenz aktiviert wurden. Microsoft dokumentiert Get-MgUserLicenseDetail als vorgesehenes Cmdlet für die Anzeige von Lizenz- und Servicedetails eines Benutzerkontos.

Achte bei der Auswertung auf drei Fragen:

Für die meisten Umgebungen ist folgende Struktur praktikabel:

Das normale Benutzerkonto erhält die vollständige produktive Lizenz, beispielsweise Microsoft 365 Business Premium, E3 oder E5. Es dient für Outlook, Teams, Office, Intune-Geräteverwaltung und die tägliche Arbeit.

Das separate Cloud-only-Administratorkonto erhält keine vollständige Microsoft 365 Produktivlizenz. Entra-Premiumfunktionen werden über die personenbezogene Lizenz des Mitarbeiters abgedeckt.

Nur wenn ein Dienst eine direkte Lizenzprüfung durchführt, erhält das Administratorkonto den erforderlichen Serviceplan. Das betrifft beispielsweise Universal Print, die Konfiguration des Intune Certificate Connectors und das Fabric Adminportal.

Die beiden Notfallkonten bleiben ohne Produktivlizenz. Sie werden nicht für normale Administration verwendet und besitzen keine Abhängigkeit von Exchange, Teams, Intune-Compliance oder PIM-Aktivierung.

Ein Microsoft Cloud Administratorkonto benötigt nicht automatisch eine Lizenz. Für klassische Verwaltungsaufgaben in Microsoft 365 ist ein dediziertes, unlizenzierter Cloud-only-Konto sogar das sauberere Sicherheitsmodell. Es besitzt kein Postfach, keine Teams-Umgebung, kein OneDrive und keine Office-Nutzungsrechte. Damit sinkt die Zahl der Dienste, über die das privilegierte Konto angegriffen werden kann.

Bei Microsoft Entra ID zählt die Person und nicht jedes einzelne Benutzerobjekt. Besitzt ein Mitarbeiter ein normales Benutzerkonto und ein separates Administratorkonto, ist keine zweite Entra ID P1, P2 oder Governance-Lizenz erforderlich. Dieses Prinzip solltest du jedoch nicht auf alle Microsoft Cloud-Produkte übertragen.

Universal Print verlangt eine berechtigte Lizenz für den Administrator, der Drucker verwaltet. Der Intune Certificate Connector prüft bei der Konfiguration, ob das angemeldete Intune-Administratorkonto eine Intune-Lizenz besitzt. Microsoft Fabric erwartet neben der Administratorrolle mindestens eine Fabric-Lizenz. Für reine Administration kann Fabric Free ausreichen, sofern Self-Service oder eine zentrale Zuweisung verfügbar ist.

Die wichtigste Regel lautet deshalb: Prüfe Rollen und Lizenzen als getrennte Ebenen. Eine Fehlermeldung wie „Unauthorized“, „You don't have access“ oder „An unanticipated error occurred“ ist nicht automatisch ein Berechtigungsproblem. Wenn die Rolle korrekt gesetzt ist, solltest du als Nächstes den Serviceplan auf dem verwendeten Benutzerobjekt kontrollieren.

Vermeide als pauschale Lösung eine vollständige Microsoft 365 Lizenz auf jedem Administratorkonto. Weise nur den Dienst zu, den das Konto technisch benötigt. Dokumentiere zugleich, welche persönlichen Benutzerkonten und Administratorkonten derselben Person gehören. Damit bleiben Sicherheitsarchitektur, Lizenzierung und Betrieb nachvollziehbar.