Lizenzierung & Microsoft

Windows Enterprise E3 und E5

Overview

Windows Enterprise E3 und E5 sind Abonnements pro Benutzer, die die Enterprise-Funktionen von Windows 11 freischalten. Voraussetzung ist Windows Pro als qualifizierendes Betriebssystem auf dem Gerät. Meldet sich ein lizenzierter Benutzer mit seinem Entra-Konto an, wird das Gerät per Abonnementaktivierung ohne Neuinstallation auf Enterprise gehoben.

E3 bringt unter anderem Credential Guard, Personal Data Encryption, die Anpassung der Benutzeroberfläche, Organisationsnachrichten, 36 Monate Support für jährliche Feature-Updates, bis zu fünf Windows-Instanzen pro Benutzer, MDOP sowie Nutzungsrechte für Azure Virtual Desktop und Windows 365 Enterprise. E5 enthält zusätzlich Microsoft Defender for Endpoint Plan 2.

Veraltete Funktionen: Microsoft Defender Application Guard für Edge ist seit Dezember 2023 abgekündigt und ab Windows 11 24H2 nicht mehr verfügbar; ältere Beschreibungen, die Application Guard als E5-Vorteil nennen, sind überholt. DirectAccess ist seit Juni 2024 abgekündigt (Empfehlung: Always On VPN), Windows Information Protection seit 24H2 entfernt.

Windows Enterprise E3 und E5 sind in Microsoft 365 E3 bzw. E5 enthalten. Mit dem Update 2026 bekam Windows E3 Quick Machine Recovery für Unternehmen und Post-Quantum-Kryptografie-APIs, die Listenpreise von Windows E3 und E5 stiegen zum 1. Juli 2026.

How it works

Die Bereitstellung über Abonnementaktivierung:

  1. Gerät mit Windows 11 Pro wird mit Microsoft Entra ID verbunden (Entra Join oder Hybrid Join).
  2. Der Benutzer erhält die Lizenz Windows Enterprise E3 oder E5 (einzeln, über Gruppe oder über Microsoft 365 E3/E5).
  3. Bei der Anmeldung prüft Windows die Lizenz und schaltet die Edition auf Enterprise um, ohne Neustart oder Neuinstallation.
  4. Verliert der Benutzer die Lizenz, fällt das Gerät nach einer Frist auf Pro zurück; Enterprise-Richtlinien greifen dann nicht mehr.
  5. Bei E5 werden Geräte zusätzlich in Defender for Endpoint P2 eingebunden (Onboarding per Intune).

Benefits

  • Pro-Benutzer-Lizenzierung deckt mehrere Geräte eines Mitarbeitenden ab, statt jedes Gerät einzeln zu lizenzieren.
  • Kein Reimaging nötig, weil Geräte mit Pro ab Werk per Abonnementaktivierung umgestellt werden, ideal mit Windows Autopilot.
  • Credential Guard schützt Anmeldeinformationen gegen Pass-the-Hash-Angriffe besser als Windows Pro.
  • Nutzungsrechte für virtuelle Desktops (AVD, Windows 365 Enterprise) sind enthalten.

Practical example

Ein Unternehmen mit 400 Mitarbeitenden kauft Notebooks mit Windows 11 Pro und rollt sie per Autopilot aus. Mit Microsoft 365 E3 werden die Geräte bei der ersten Anmeldung automatisch zu Windows Enterprise, Credential Guard wird per Intune aktiviert. Die IT entfernt aus ihren Baselines die veralteten Application-Guard-Richtlinien und ersetzt DirectAccess durch Always On VPN. Ergebnis: Enterprise-Sicherheitsfunktionen ohne eigenes Image und ohne veraltete Komponenten.

Things to keep in mind

  • Plane Application Guard nicht mehr ein: Die Funktion ist ab Windows 11 24H2 entfernt, alte Richtlinien sollten aus Intune und GPOs verschwinden.
  • Abonnementaktivierung braucht Entra-angemeldete Benutzer, bei reinen Domänenkonten ohne Synchronisierung funktioniert sie nicht.
  • Für Geräte ohne festen Benutzer (Kiosk, Hallenterminal) prüfe, ob eine gerätebasierte Windows-Enterprise-Lizenz sinnvoller ist.
  • Die in Microsoft 365 F3 enthaltene E3-Variante umfasst laut Microsoft nicht MDOP, LTSC und Windows Autopatch.

Licensing & availability

Pro Benutzer, nur über kommerzielle Lizenzprogramme inklusive CSP. Voraussetzung: Windows Pro auf dem Gerät. Enthalten in Microsoft 365 E3/E5 (F3 mit eingeschränkter E3-Variante). E5 = E3 plus Defender for Endpoint P2. Gerätebasiertes Windows Enterprise ist separat erhältlich. Listenpreise seit 1. Juli 2026 höher. Stand: Oktober 2026.

Conclusion

Windows Enterprise E3 ist für verwaltete Unternehmensgeräte die sinnvolle Ergänzung zu Windows Pro, meist schon über Microsoft 365 E3 vorhanden. Achte darauf, abgekündigte Funktionen wie Application Guard und DirectAccess aus Deinen Konzepten zu streichen.

Further reading

Related articles