M365 Defender | Lizenzen 2026

Sieben Produkte tragen den Namen Defender, vier davon in zwei Planstufen, und alle laufen im selben Portal zusammen. Wer daraus schließt, dass ein Produktname gleich einer Lizenz ist, plant falsch.

Der teuerste Fehler dabei ist nicht die zu kleine Lizenz, sondern die zu große: Du zahlst für Funktionen, die im Tenant nie aktiv werden, weil eine zweite Lizenz fehlt oder weil ein Mischbetrieb die gekaufte Stufe blockiert.

Dieser Beitrag klärt zuerst, welche Lizenz welche Funktion freischaltet. Danach folgt der Teil, der in den meisten Übersichten fehlt: was die Kombinationen kosten, ab wann sich ein Add-on gegen ein Suite-Upgrade rechnet, und wie derselbe Portalbildschirm in drei unterschiedlich lizenzierten Tenants aussieht.

Microsoft verkauft kein Produkt namens Defender XDR. Es gibt keine SKU, keinen Listenpreis, keine Zuweisung pro Benutzer. Der Zugang zum Defender-Portal und zu den XDR-Funktionen entsteht als Nebenprodukt einer bestehenden Lizenz, und die Liste der qualifizierenden Lizenzen ist deutlich breiter, als in der Praxis angenommen wird.

Zwei Einträge fallen auf: Microsoft 365 Business Premium und Defender for Business stehen ebenfalls auf dieser Liste. Ein Business-Premium-Tenant hat also Zugang zu Defender XDR, ohne ein einziges P2-Produkt zu besitzen.

Der Planungsfehler sitzt eine Ebene tiefer. XDR korreliert Signale aus den Workloads, die du lizenziert hast, und erzeugt selbst keine Telemetrie. Fehlt ein Workload, fehlt die zugehörige Signalquelle, und die Incident-Ansicht bleibt an dieser Stelle leer.

Ein Tenant mit Business Premium sieht dasselbe Portal wie ein E5-Tenant. Portalzugang ist aber nicht gleich Sichtbarkeit, weil die Datenquellen für Identität und Cloud-Apps fehlen.

Zwei XDR-Funktionen sind zusätzlich an Defender for Endpoint Plan 2 gebunden, und hier widerspricht sich die Microsoft-Dokumentation selbst.

Der Widerspruch hat einen technischen Grund: Attack Disruption löst je nach Angriffsszenario unterschiedliche Aktionen aus, und Geräteaktionen wie das Isolieren eines Clients brauchen den Endpoint-Stack. Prüfe im eigenen Tenant, welche Aktionen tatsächlich verfügbar sind, statt dich auf eine der beiden Seiten zu verlassen.

Der Mailschutz ist keine Ja-Nein-Entscheidung, sondern eine Leiter mit drei Sprossen. Wer sagt, er habe keinen Mailschutz, meint meist, er habe die Richtlinien der untersten Sprosse nie angepasst.

Die Built-in Security Features stecken in jedem Abonnement mit Cloud-Postfach:

Plan 1 ergänzt Prävention und Erkennung:

Plan 2 setzt auf Untersuchung, Reaktion und Automatisierung:

Seit dem Sommer 2026 ändert sich die Ausgangslage für E3-Kunden. Der Rollout begann im Juni 2026 und sollte am 1. August 2026 abgeschlossen sein, die Preisanpassung greift zum 1. Juli 2026 (MC1304290).

Zwei Details werden dabei regelmäßig verwechselt. Office 365 E1, Business Basic und Business Standard bekommen nicht Plan 1, sondern nur den Klickzeitschutz für Links. Safe Attachments und Impersonation Protection sind dort nicht enthalten. Und Business Premium bekommt keinen Defender-Zusatz, weil Plan 1 dort schon lange steckt.

Ein Punkt aus dem Message Center wird in den Übersichten meist überlesen und trifft dich im Betrieb zuerst: Die Built-in Protection Policy samt Safe Links, Safe Attachments und Anti-Phishing wird beim Rollout standardmäßig auf alle Benutzer angewendet. Diese Richtlinie lässt sich nicht deaktivieren, nur durch eigene Richtlinien mit höherer Priorität überschreiben oder per Ausnahme für Benutzer, Gruppen und Domains einschränken.

Daraus folgen drei Aufgaben vor dem Rollout-Termin:

Der Unterschied zwischen den Endpoint-Plänen ist keine Frage des Komforts. Plan 1 liefert Prävention, Plan 2 liefert Erkennung. Ein laufender Angriff, der keine Datei mit bekannter Signatur ablegt, erzeugt in Plan 1 keinen Alarm, weil die Verhaltenserkennung samt Alarmkette zu Plan 2 gehört.

Zwei Punkte gehören in jede Kalkulation:

Business Premium enthält Defender for Business für die Endgeräte und Defender for Office 365 Plan 1 für Mail und Dateien. Defender for Business liegt funktional zwischen den Endpoint-Plänen.

Die harten Rahmenbedingungen für die SMB-Variante:

Der letzte Punkt ist der eigentliche Stolperstein. Sobald in einem Tenant Defender for Business vorhanden ist, fällt die gesamte Umgebung auf die Defender-for-Business-Erfahrung zurück, auch für jene Benutzer, die zusätzlich Defender for Endpoint Plan 2 zugewiesen bekommen haben.

Microsofts eigenes Beispiel: 80 Benutzer mit Business Premium, dazu 30 Lizenzen der Defender Suite mit Plan 2, Ergebnis sind 80 Benutzer mit Defender-for-Business-Erfahrung. Um auf die Plan-2-Erfahrung umzuschalten, musst du alle Benutzer für Plan 2 lizenzieren und anschließend den Support kontaktieren, damit der Wechsel für den Tenant durchgeführt wird.

Wer schrittweise migrieren will, kauft in dieser Konstellation Funktionen, die niemand sieht. Was dieser Fehler kostet, steht weiter unten im Kostenteil.

Defender for Identity ist eine Benutzerlizenz. Der häufigste Kalkulationsfehler ist der Einkauf nach Sensoranzahl oder nach Domain Controllern, denn der Sensor selbst wird nicht lizenziert. Diese Wege führen zur Lizenz:

Bei Defender for Cloud Apps kommt die Verwechslungsgefahr aus dem Namen. Die beiden Produkte haben nichts miteinander zu tun.

Das frühere Add-on Microsoft 365 E5 Security heißt seit Oktober 2025 Microsoft Defender Suite. Inhalt und Funktionsumfang blieben gleich:

Für kleinere Umgebungen gibt es eine eigene Variante. Business Premium ist seit Mai 2025 keine gültige Voraussetzung für das Enterprise-Add-on mehr, die beiden Wege sind getrennt.

Rechnerisch ergibt E3 plus Defender Suite den Sicherheitsumfang von E5 ohne die Purview-Compliance-Funktionen, den Power-BI-Anteil und die Telefonie. Wenn der Grund für einen E5-Upgrade ausschließlich Security war, ist das die günstigere Route. Mit dem Umzug von Defender for Office 365 Plan 1 in E3 verschiebt sich diese Rechnung noch weiter, weil eine der Begründungen für E5 aus der Vergangenheit jetzt in E3 steckt.

Die Lizenztabellen erklären, was du kaufst. Was du davon siehst, zeigt erst das Portal. Die folgenden drei Tenants rufen dieselbe URL auf, security.microsoft.com, und bekommen drei unterschiedliche Oberflächen.

Ausgangslage: Business Basic oder Office 365 E1 ohne Zusatzlizenz, Stand vor dem Packaging-Rollout. Das Portal öffnet sich, weil jedes Cloud-Postfach Exchange Online Protection mitbringt. Die Navigation ist kurz.

Sichtbar sind Bedrohungsrichtlinien, Quarantäne, Übermittlungen und der Message Trace. Nicht sichtbar sind Safe Links, Safe Attachments, Echtzeiterkennungen, Explorer, Gerätebestand und Advanced Hunting. Das Incident-Dashboard existiert als Menüpunkt, bleibt aber leer, weil keine Signalquelle Alerts erzeugt.

Der praktische Effekt: Eine Phishing-Mail mit einem beim Versand sauberen Link, der zwei Stunden später bösartig wird, wird zugestellt und beim Klick nicht geprüft. Es entsteht kein Alert, weil es keinen Detektor gibt.

Ausgangslage: Microsoft 365 Business Premium, 120 Benutzer, keine Zusatzlizenz.

Jetzt füllt sich die Navigation. Defender for Office 365 Plan 1 bringt Safe Links, Safe Attachments und Impersonation Protection, Defender for Business bringt den Gerätebestand samt EDR und automatischer Untersuchung. Das Incident-Dashboard zeigt Vorfälle, sobald Mail oder Endpoint etwas melden.

Zwei Lücken bleiben und sie sind lizenzbedingt, nicht konfigurationsbedingt:

Dazu fehlen zwei komplette Signalquellen, wenn ein lokales Active Directory im Einsatz ist: Defender for Identity und Defender for Cloud Apps sind in Business Premium nicht enthalten. Ein Angriff, der über einen kompromittierten Client zum Domain Controller läuft, bricht in der Incident-Ansicht genau an der Stelle ab, an der es interessant wird.

Ausgangslage: dieselben 120 Benutzer, alle mit dem Add-on ausgestattet.

Aus Echtzeiterkennungen wird Explorer. Advanced Hunting bekommt die Endpoint-Tabellen mit voller Retention. Zwei neue Bereiche erscheinen: Identitäten mit den Signalen aus dem lokalen AD und Cloud-Apps mit Schatten-IT und OAuth-Berechtigungen. Entra ID P2 schaltet zusätzlich risikobasierten Conditional Access frei.

Wichtig ist das Wort alle in der Ausgangslage. Wenn nur ein Teil der Benutzer das Add-on bekommt, greift die Mischlizenz-Regel aus dem vorigen Abschnitt und der Tenant bleibt auf der Business-Premium-Erfahrung stehen.

Die mittlere Spalte ist die interessante. Business Premium ist kein Sparmodell mit Lücken, sondern ein vollständiger Schutz für Mail und Endgeräte, dem die Identitäts- und SaaS-Perspektive fehlt. Ob dir das reicht, hängt davon ab, ob ein lokales AD existiert und ob jemand die Signale überhaupt auswertet.

Ab hier wird gerechnet. Alle Angaben sind Microsoft-Listenpreise in US-Dollar pro Benutzer und Monat, Stand nach der Anpassung zum 1. Juli 2026. Der Euro-Listenpreis wird je Markt eigenständig festgelegt und lag nach der FX-Korrektur vom Februar 2026 unter dem, was die reine Umrechnung erwarten lässt. Zieh für die eigene Kalkulation die aktuellen Werte aus der Preisliste im Partner Center oder aus dem Admin Center unter Abrechnung. Die Systematik der Rechnung bleibt gleich, nur die Zahl ändert sich.

Business Premium und Office 365 E1 bleiben stehen. Für Umgebungen unter 300 Benutzern verschiebt das die Rechnung deutlich, weil die Alternative E3 teurer wird, während der SMB-Weg gleich bleibt.

Die Preise der Einzelprodukte schwanken zwischen den Microsoft-Preisseiten und den Angeboten der Distribution. Prüfe sie vor der Angebotsabgabe gegen die aktuelle Preisliste, statt diese Tabelle als Grundlage zu zitieren.

Ein E3-Tenant will den vollen Defender-Stack. Der naheliegende Weg ist der Einkauf der vier Produkte einzeln.

Die Suite kostet 42 Prozent weniger und enthält zusätzlich Entra ID P2, das im Einzelstack noch fehlen würde. Bei 500 Benutzern sind das 52.200 US-Dollar Unterschied pro Jahr für denselben Funktionsumfang. Der Einzelkauf lohnt nur, wenn du genau ein Produkt brauchst, etwa Defender for Identity für ein reines AD-Schutzprojekt.

Der Vergleich, der bei jeder Verlängerung ab 300 Benutzern auf dem Tisch liegt.

Für diese Differenz bekommst du in E5 die Purview-Compliance-Funktionen, Power BI Pro und die Telefonie-Grundlagen. Die Frage ist nicht, ob das Geld wert ist, sondern ob du es einsetzt. Prüfe konkret: Läuft mindestens eine DLP-Richtlinie im Blockier-Modus? Gibt es aktive eDiscovery-Fälle? Nutzt jemand Communication Compliance? Sind alle drei Antworten nein, zahlst du 9 US-Dollar pro Benutzer und Monat für Funktionen ohne Betrieb.

Umgekehrt gilt: Wenn Purview aus einem Audit heraus vorgeschrieben ist, etwa aus ISO 27001, TISAX oder einer aufsichtsrechtlichen Anforderung, ist E5 der kürzere Weg. Der Nachkauf der Compliance-Bausteine zu E3 plus Suite führt am Ende über den E5-Preis.

Der Sprung von Business Premium auf das Add-on kostet 14.400 US-Dollar im Jahr und bringt Explorer, Advanced Hunting mit voller Retention, Defender for Identity, Defender for Cloud Apps und Entra ID P2. Dieselbe Funktionsmenge über E3 plus Suite kostet 73.440 US-Dollar, also 59 Prozent mehr, weil du die E3-Basis mitkaufst, deren Produktivitätsanteil Business Premium bereits abdeckt.

Solange die 300er-Grenze nicht in Sicht ist, ist der SMB-Weg der günstigere. Plane den Wechsel trotzdem, bevor die Grenze erreicht wird, denn die Migration von Defender for Business auf Plan 2 ist kein Lizenztausch im laufenden Betrieb, sondern erfordert die Umstellung aller Benutzer und ein Support-Ticket.

Microsofts Beispiel in Zahlen. 80 Benutzer mit Business Premium, dazu 30 Lizenzen Defender Suite für einzelne Benutzer, in der Annahme, man könne schrittweise migrieren.

Der Tenant bleibt auf der Defender-for-Business-Erfahrung, weil Defender for Business keine gemischte Lizenzierung unterstützt. Die 30 Add-ons erscheinen in der Abrechnung, aber nicht im Portal. Rechne den Fehler auf eine Laufzeit von drei Jahren hoch und du bist bei 10.800 US-Dollar für nichts.

Der korrekte Weg kostet mehr und wirkt: alle 80 Benutzer mit dem Add-on ausstatten, also 80 × 32,00 × 12 = 30.720 US-Dollar pro Jahr, und anschließend den Support kontaktieren, damit der Tenant auf die Plan-2-Erfahrung umgestellt wird.

Wer heute E3 fährt und Defender for Office 365 Plan 1 als Add-on dazugekauft hat, zahlt diesen Posten nach dem Rollout doppelt.

Setz dir eine Erinnerung auf den Tag, an dem MC1304290 für deinen Tenant abgeschlossen meldet, und kündige das Add-on zum nächsten Termin. Dasselbe gilt für Drittanbieter-Gateways, die ausschließlich Safe-Links-Funktionalität geliefert haben.

Gegenrechnung nicht vergessen: E3 steigt gleichzeitig um 3,00 US-Dollar je Benutzer und Monat, bei 500 Benutzern also um 18.000 US-Dollar pro Jahr. Die Ersparnis beim Add-on federt den Anstieg zu zwei Dritteln ab, sie hebt ihn nicht auf.

Vor jeder Verlängerung lohnt eine Bestandsaufnahme aus dem Tenant statt aus dem Angebot. Der schnellste Weg führt über Microsoft Graph, weil du dort Abonnements und Service Plans in einem Durchlauf siehst.

Ein Wort zur Modulwahl, bevor du kopierst. Das naheliegende Cmdlet Get-MgSubscribedSku liegt im Sub-Modul Microsoft.Graph.Identity.DirectoryManagement. Wer nur Microsoft.Graph.Authentication installiert hat, kann Connect-MgGraph ausführen und scheitert danach an der Meldung, das Cmdlet sei nicht bekannt. Die folgende Variante ruft die API direkt auf und läuft deshalb überall, wo die Anmeldung schon funktioniert.

Für die Defender-Anteile innerhalb der Suiten musst du eine Ebene tiefer gehen, weil ein SKU-Name wie ENTERPRISEPREMIUM nichts darüber sagt, welche Service Plans darin aktiv sind. Deaktivierte Service Plans sind ein häufiger Grund dafür, dass eine bezahlte Funktion im Portal fehlt.

Für die Zuordnung der Ergebnisse zu den Produktnamen hilft diese Übersicht der häufigsten Service Plans:

Prüfe die Bezeichner gegen die Microsoft-Referenz zu Produktnamen und Service-Plan-Bezeichnern, weil Microsoft sie gelegentlich umbenennt.

Wenn du lieber mit den Cmdlets arbeitest, installier das Sub-Modul nach und achte auf drei Stolperfallen:

Ergänzend zeigt das Admin Center unter Abrechnung, welche Abonnements aktiv sind und wann sie verlängert werden.

Die Defender-Lizenzierung ist nicht kompliziert, weil die Produkte kompliziert wären, sondern weil die Benennung dreimal geändert wurde und Microsoft dieselben Bausteine über Suiten, Add-ons und Einzelprodukte parallel verkauft. Wer bei Beschaffungsgesprächen von einer Defender-Lizenz spricht, redet über mindestens sieben Produkte und riskiert eine Zuweisung, die im Tenant anders wirkt als im Angebot.

Vier Aussagen halten der Prüfung stand und tragen jede Planung.

Für die konkrete Entscheidung gilt eine einfache Reihenfolge. Bestimme zuerst, welche Signalquellen du überhaupt auswerten willst und wer sie auswertet. Ein SOC-loses Team gewinnt aus Advanced Hunting und sechs Monaten Telemetrie wenig, während Safe Attachments und Angriffsflächenreduzierung sofort wirken. Prüfe danach, welche Add-ons du heute parallel bezahlst, weil die E3-Erweiterung vom Sommer 2026 einige davon überflüssig macht. Erst dann vergleiche E5 gegen E3 plus Defender Suite, und rechne den Preisanstieg zum 1. Juli 2026 in beide Varianten ein.

Der Zeitpunkt der Verlängerung ist dabei der stärkste Hebel, den du hast. Bestandskunden bleiben bis zur nächsten Verlängerung auf den alten Preisen, während die neuen Suite-Inhalte unabhängig davon im Tenant ankommen. Wer den Rollout im Message Center verfolgt und die Lizenzzuweisung danach aufräumt, holt aus derselben Vertragssumme mehr Schutz heraus als jemand, der erst beim nächsten Audit hinsieht.