Microsoft 365 Business Premium: Sicherheitsfunktionen, die Sie nutzen können
Conditional Access, Intune, Defender und Archivierung sind in Business Premium enthalten, müssen aber eingerichtet werden. Was in der Lizenz steckt, womit ich anfange und warum PIM eine Zusatzlizenz braucht.
Microsoft 365 Business Premium enthält Werkzeuge für den Schutz von Konten, Geräten und Unternehmensdaten. Welche davon in Ihrem Unternehmen tatsächlich wirken, hängt von der Einrichtung ab. Ich zeige, welche Sicherheitsfunktionen ich bei der Übernahme einer Umgebung prüfe und wann sich eine Anpassung lohnt. Die Beobachtungen stammen aus Tenant-Reviews, zuletzt aus dem Jahr 2026.
Was ich in geprüften Tenants häufig finde
Die häufigste Überraschung sind Grundeinstellungen, keine exotischen Lücken. Lizenzen sind bezahlt, aber niemandem zugewiesen, oder sie laufen für ausgeschiedene Mitarbeitende weiter. In mehreren Umgebungen lief der Tenant noch in der Standardkonfiguration: Die Sicherheitsfunktionen waren lizenziert, aber nicht eingerichtet.
- Die Mehrstufige Anmeldung ist nur für einen Teil der Konten aktiv oder gar nicht.
- Einzelne Konten haben dauerhaft globale Administratorrechte und werden damit im Alltag benutzt.
- Konten ehemaliger Mitarbeitender sind noch aktiv oder lizenziert.
- SPF, DKIM und DMARC für die E-Mail-Domain sind unvollständig.
- Freigaben an externe Personen sind ohne Einschränkung möglich und werden auch genutzt.
- Eine Datensicherung für Microsoft 365, die über den Papierkorb hinausgeht, fehlt.
Keiner dieser Punkte lässt sich mit einem Schalter beheben. Jede Sicherheitsfunktion muss einmal an die Arbeitsweise, die Geräte und die Zuständigkeiten im Unternehmen angepasst werden. Genau dieser Schritt fällt nach dem Lizenzkauf oft weg.
Welche Sicherheitsfunktionen stecken in Business Premium?
Teil von Entra ID P1. Regeln, wer sich von wo, mit welchem Gerät und unter welchen Bedingungen anmelden darf. Die Grundlage für alles Weitere.
Verwaltung von Windows, macOS, iOS und Android: Verschlüsselung, Updates, Apps und Compliance. Erst verwaltete Geräte machen Zugriffsregeln wirksam.
Endpoint-Schutz mit Erkennung und Reaktion (EDR) und automatischer Untersuchung, gedacht für Unternehmen bis 300 Nutzer.
Safe Links und Safe Attachments prüfen Links und Anhänge in E-Mails sowie Dateien in SharePoint, OneDrive und Teams, dazu erweiterter Phishing-Schutz.
Vertraulichkeitsbezeichnungen und Richtlinien gegen Datenverlust für E-Mails und Dateien über Microsoft Purview.
Exchange Online Archiving ist enthalten, das Archivpostfach muss aber für jeden Nutzer aktiviert werden.
Neue Windows-Geräte richten sich mit Anwendungen und Richtlinien selbst ein, sobald sich der Nutzer anmeldet.
Mitarbeitende setzen ihr Kennwort selbst zurück, bei Anbindung an ein lokales Active Directory auch mit Rückschreiben dorthin. Das Rückschreiben fehlt in Basic und Standard.
Dazu kommt Windows LAPS, das die Kennwörter lokaler Administratorkonten regelmäßig wechselt und zentral ablegt. LAPS selbst ist kostenlos, in der Praxis steuere ich es über Intune. Auch das finde ich bei Business-Premium-Kunden selten eingerichtet vor.
Sicherheitsstandards oder Conditional Access?
Jeder neue Tenant startet mit den Sicherheitsstandards von Microsoft. Sie erzwingen die Mehrstufige Anmeldung und blockieren veraltete Anmeldeverfahren. Das ist ein wirksamer Grundschutz, lässt sich aber nicht anpassen: keine Ausnahmen für Notfallkonten, keine Regeln nach Gerät oder Standort, keine abgestufte Behandlung von Administratoren.
Nicht abbildbar. Die Regeln gelten für alle gleich, ohne Unterscheidung nach Gerät oder Standort.
Die Buchhaltung öffnet Postfach und Dateien nur auf verwalteten Firmengeräten. Der Außendienst greift unterwegs auch vom Smartphone zu, aber nur über die geschützte Outlook-App.
Mit Business Premium ersetze ich die Sicherheitsstandards deshalb früh durch Conditional Access, meist schon während der Bestandsaufnahme.
Womit ich anfange
- Notfallkonten und Conditional AccessMehrstufige Anmeldung für alle, veraltete Anmeldeverfahren blockiertZuerst
- Administratorrechte auf ZeitPIM, mit Begründung und Protokoll
- Defender for Office 365Safe Links, Safe Attachments, erweiterter Phishing-Schutz
- Alles WeitereIntune, Defender for Business, LAPS, Archivierung, Informationsschutz
Die beiden Notfallkonten sind von den Zugriffsregeln ausgenommen und besonders geschützt. Für Administratoren gelten strengere Anforderungen. Dauerhafte globale Administratoren ersetze ich durch Rechte, die ein Administrator bei Bedarf für eine begrenzte Zeit aktiviert. Das leistet Privileged Identity Management (PIM), für das die betroffenen Konten eine Zusatzlizenz brauchen. Defender for Office 365 aktiviere ich über voreingestellte Sicherheitsrichtlinien und passe sie anschließend an die Umgebung an.
Ab dem vierten Schritt richtet sich die Reihenfolge nach dem, was ich vorfinde. Intune richte ich mit Verschlüsselung und Compliance-Richtlinien ein, Defender for Business auf den Geräten.
Was Basic und Standard nicht enthalten
Viele Kunden arbeiten noch mit Business Basic oder Business Standard. Beide Lizenzen enthalten nur die kostenlose Stufe von Entra ID und damit kein Conditional Access. Dazu fehlen die Geräteverwaltung mit Intune und der Endpoint-Schutz mit EDR. Ob das ein Problem ist, hängt vom Bedarf ab und davon, welche Schutzmaßnahmen es sonst gibt. Wer Geräte zentral verwalten oder Zugriffe an Bedingungen knüpfen will, braucht mit Basic oder Standard Zusatzlizenzen. Dann ist Business Premium oft die einfachere Lösung.
| Funktion | Basic | Standard | Premium |
|---|---|---|---|
| Conditional Access (Entra ID P1) | – | – | ✓ |
| Geräteverwaltung mit Intune | – | – | ✓ |
| Endpoint-Schutz mit EDR (Defender for Business) | – | – | ✓ |
| Safe Links und Safe Attachments (Defender for Office 365) | – | – | ✓ |
| Vertraulichkeitsbezeichnungen und Richtlinien gegen Datenverlust (Purview) | – | – | ✓ |
In die andere Richtung gilt dasselbe. Für Unternehmen unter 300 Nutzern halte ich E3 oder E5 meist für unnötig. Business Premium für die Mitarbeitenden und gezielte Zusatzlizenzen wie Entra ID P1 oder P2 für die IT decken die meisten Anforderungen ab. Was Business Premium im Vergleich kostet und wie sich Copilot dazu verhält, habe ich im Artikel zum Paketpreis von Copilot und Business Premium durchgerechnet.
Was danach wegfallen kann
Sind die enthaltenen Sicherheitsfunktionen eingerichtet, stellt sich die Frage, welche zusätzlichen Produkte das Unternehmen noch braucht. Einige Kunden konnten danach einen separaten Endpoint-Schutz und ein vorgeschaltetes Mail-Gateway kündigen. Einen zusätzlichen E-Mail-Schutz setze ich vor allem dort ein, wo die Lizenz kein Defender for Office 365 enthält. Das ist keine allgemeine Empfehlung: Wo ein zusätzlicher Dienst einen klaren Mehrwert bietet, bleibt er. Die Entscheidung treffe ich aber erst, wenn klar ist, was die bezahlte Lizenz bereits leistet.
Häufige Fragen
Reichen die Security Defaults von Microsoft aus?
Als Grundschutz ja: Die Sicherheitsstandards erzwingen die Mehrstufige Anmeldung und blockieren veraltete Anmeldeverfahren. Sie lassen sich aber nicht anpassen, es gibt keine Ausnahmen für Notfallkonten und keine Regeln nach Gerät oder Standort. Mit Business Premium ersetze ich sie deshalb durch Conditional Access.
Ist PIM in Business Premium enthalten?
Nein, Privileged Identity Management (PIM) gehört nicht zu den Sicherheitsfunktionen von Business Premium. Es setzt Entra ID P2 oder Entra ID Governance voraus. Die Lizenz brauchen aber nur die Konten, die Administratorrechte aktivieren oder freigeben, deshalb reichen meist wenige Zusatzlizenzen für die IT.
Brauchen kleine Unternehmen Microsoft 365 E3 oder E5?
Für Unternehmen unter 300 Nutzern halte ich E3 oder E5 meist für unnötig. Business Premium für die Mitarbeitenden und gezielte Zusatzlizenzen wie Entra ID P1 oder P2 für die IT decken die meisten Anforderungen ab.
Quellen
- Sicherheitsfunktionen nach Lizenz: Microsoft Learn – Sicherheitsübersicht für Microsoft 365 for Business
- Conditional Access: Microsoft Learn – Was ist bedingter Zugriff?
- Sicherheitsstandards: Microsoft Learn – Sicherheitsstandards in Microsoft Entra ID
- Notfallkonten: Microsoft Learn – Verwalten von Konten für den Notfallzugriff
- Lizenzvoraussetzungen für PIM: Microsoft Learn – Lizenzierungsgrundlagen für Microsoft Entra ID Governance
- Defender for Business: Microsoft Learn – Übersicht über Microsoft Defender for Business
- Defender for Office 365: Microsoft Learn – Übersicht über Microsoft Defender for Office 365
- Vertraulichkeitsbezeichnungen: Microsoft Learn – Informationen zu Vertraulichkeitsbezeichnungen
- Archivierung: Microsoft Learn – Dienstbeschreibung Exchange Online Archiving
- Autopilot: Microsoft Learn – Übersicht über Windows Autopilot
- Kennwort-Selbstbedienung: Microsoft Learn – Lizenzanforderungen für die Self-Service-Kennwortzurücksetzung
- Windows LAPS: Microsoft Learn – Was ist Windows LAPS?
Mitarbeiterschulung mit Campus: Pflichtschulungen, Einarbeitung und Nachweise an einem Ort
Datenschutzunterweisung, Phishing, neue Mitarbeitende: Wie Campus Pflichtschulungen mit Frist, Einarbeitung und Nachweise für kleine Unternehmen organisiert, von der Erinnerung bis zum Jahresbericht.
Artikel lesen→
Microsoft 365 absichern: die wichtigsten Einstellungen für kleine Unternehmen
Welche Einstellungen in Microsoft 365 zuerst an die Reihe kommen, welche Lizenz sie brauchen und was auch ohne Business Premium möglich ist. Ein Überblick für Geschäftsführer und interne Verantwortliche.
Artikel lesen→
PHP2Shell: Ist meine Website von der PHP-Sicherheitslücke betroffen?
Zwei kritische Lücken in PHP bedrohen Millionen Websites, ein Update von WordPress hilft dagegen nicht. Wer betroffen ist, warum ein Patch allein nicht reicht und wie ich Ihre Website prüfe.
Artikel lesen→