Lizenzierung & Microsoft

Microsoft Entra ID P1 und P2

Allgemeine Infos

Microsoft Entra ID gibt es in drei Stufen. Die Stufe Free ist in Microsoft-Cloudabonnements wie Microsoft 365 und Azure enthalten und bietet unter anderem MFA, einmaliges Anmelden an SaaS-Apps, Benutzer- und Gruppenverwaltung und die Synchronisierung aus dem lokalen Active Directory. P1 und P2 sind die kostenpflichtigen Stufen, die früher Azure AD Premium P1 und P2 hießen.

Entra ID P1 bringt die Funktionen für den Unternehmensalltag: Conditional Access, Self-Service-Kennwortzurücksetzung mit Rückschreiben ins lokale AD, dynamische Gruppen, Anwendungsproxy, benutzerdefinierte Rollen, Verwaltungseinheiten, mandantenübergreifende Synchronisierung und HR-gesteuerte Bereitstellung. Entra ID P2 enthält alles aus P1 und ergänzt Entra ID Protection mit risikobasiertem Conditional Access, Privileged Identity Management (PIM) sowie Grundfunktionen von Zugriffsüberprüfungen und Berechtigungsverwaltung.

P1 ist in Microsoft 365 E3, E5, E7, F1, F3, Business Premium und EMS E3 enthalten, P2 in Microsoft 365 E5 und E7, EMS E5 und der Microsoft Defender Suite. Die Listenpreise der Einzelpläne hat Microsoft zum 1. Juli 2026 angepasst, neue Funktionen kamen dabei nicht hinzu.

Abgrenzung: Der Eintrag Microsoft Entra ID beschreibt die Plattform, dieser Eintrag die Lizenzstufen. Die Microsoft Entra Suite baut auf P1 auf und ergänzt Private Access, Internet Access und den vollen Umfang von ID Governance. Enterprise Mobility + Security bündelt P1 oder P2 mit Intune und Purview Information Protection. Die Funktionen selbst erklären die Einträge Conditional Access, Identity Protection und Identity Governance sowie Privileged Access Management.

Funktionsweise & Details

Die Lizenzierung gilt pro Benutzer. Microsoft nennt unter anderem diese Regeln:

  1. Conditional Access setzt P1 voraus, risikobasierte Bedingungen mit Anmelde- und Benutzerrisiko verlangen P2, weil sie auf ID Protection beruhen.
  2. Dynamische Mitgliedschaftsregeln brauchen P1 für jedes Mitglied der Gruppe.
  3. Benutzerdefinierte Rollen brauchen P1 für jeden Benutzer mit einer solchen Rollenzuweisung, Verwaltungseinheiten P1 für jeden darauf beschränkten Administrator; integrierte Rollen sind kostenlos.
  4. PIM mit allen Einstellungen verlangt P2 oder Entra ID Governance, Lifecycle Workflows nur Entra ID Governance.
  5. Läuft die Lizenz ab, bleiben Conditional-Access-Richtlinien bestehen, lassen sich aber nicht mehr bearbeiten. Bei PIM werden berechtigte Rollenzuweisungen entfernt, dauerhafte bleiben erhalten.

Vorteile & Nutzen

  • P1 schließt die wichtigste Lücke der Stufe Free: Conditional Access verlangt MFA oder ein konformes Gerät abhängig von Benutzer, Standort und App statt pauschaler Sicherheitsstandards.
  • SSPR mit Rückschreiben entlastet den Helpdesk auch in hybriden Umgebungen, weil Benutzer ihr AD-Kennwort selbst zurücksetzen.
  • P2 erkennt kompromittierte Konten anhand von Anmelderisiken und erzwingt per Richtlinie einen Kennwortwechsel oder blockiert die Anmeldung.
  • PIM in P2 ersetzt dauerhafte Adminrechte durch zeitlich begrenzte Aktivierung mit Begründung und optionaler Genehmigung.

Praxisbeispiel

Ein Elektrogroßhändler mit 140 Mitarbeitenden nutzt Microsoft 365 Business Standard und hat MFA nur über die Sicherheitsstandards aktiviert. Nach einem Phishing-Vorfall wechselt er auf Business Premium und erhält damit Entra ID P1. Die IT richtet Conditional-Access-Richtlinien für konforme Geräte und gegen Legacy-Authentifizierung ein und ergänzt für die fünf Administratoren Entra ID P2 als Einzellizenz, um PIM zu nutzen. Ergebnis: Adminrechte sind nur noch bei Bedarf aktiv, und der Zugriff auf Microsoft 365 setzt ein verwaltetes Gerät voraus.

Worauf sollte man achten?

  • Lizenziere P2 gezielt für Administratoren und besonders gefährdete Konten, wenn Microsoft 365 E5 für alle Benutzer zu teuer ist.
  • Weise die Lizenzen über gruppenbasierte Lizenzierung zu, damit neue Mitarbeitende automatisch die richtige Stufe erhalten.
  • Achte bei dynamischen Gruppen und Verwaltungseinheiten auf die Lizenzpflicht pro Mitglied oder Administrator, sie wird bei Audits leicht übersehen.
  • Plane vor einem Wechsel von P2 auf P1 ein, dass berechtigte PIM-Zuweisungen entfallen; richte vorher die benötigten Rollen auf anderem Weg ein.
  • Verlängere Lizenzen rechtzeitig, weil sich Conditional-Access-Richtlinien nach dem Ablauf nicht mehr anpassen lassen.

Lizenz & Verfügbarkeit

Free: in Microsoft-Cloudabonnements enthalten. P1: einzeln oder in Microsoft 365 E3, E5, E7, F1, F3, Business Premium und EMS E3. P2: einzeln oder in Microsoft 365 E5, E7, EMS E5, Microsoft Defender Suite und den Security-Add-on-Suiten für Business Premium. PIM auch über Entra ID Governance, Lifecycle Workflows nur mit Entra ID Governance. Lizenzierung pro Benutzer, Listenpreise der Einzelpläne seit 1. Juli 2026 angepasst. Stand: Oktober 2026.

Fazit

Entra ID P1 ist die Mindestausstattung für jeden Tenant, der Conditional Access ernsthaft einsetzt. P2 lohnt sich vor allem für Administratoren und exponierte Konten, für die PIM und ID Protection einen klaren Sicherheitsgewinn bringen.

Weiterführende Links

Verwandte Artikel