Business Premium: bezahlte Sicherheitsfunktionen, die niemand eingeschaltet hat

Microsoft 365 Business Premium enthält eine ganze Reihe von Sicherheitsfunktionen, die kleinere Unternehmen sonst einzeln einkaufen müssten. Bei einem ersten Tenant-Review stelle ich trotzdem fast immer dasselbe fest: Die Lizenz ist bezahlt, die Funktionen sind aber nicht eingerichtet. Hier steht, was in der Lizenz steckt, womit ich anfange und wo Business Premium an seine Grenzen kommt. Die Beobachtungen stammen aus Tenant-Reviews, zuletzt aus dem Jahr 2026.

Was ich beim ersten Blick in den Tenant meistens finde

Die häufigste Überraschung sind Grundeinstellungen, keine exotischen Lücken. Lizenzen sind bezahlt, aber niemandem zugewiesen, oder sie laufen für ausgeschiedene Mitarbeitende weiter. Der Tenant läuft in der Standardkonfiguration, in der die Sicherheitsfunktionen zwar vorhanden, aber nicht scharfgeschaltet sind.

• Die Mehrstufige Anmeldung ist nur für einen Teil der Konten aktiv oder gar nicht.
• Einzelne Konten haben dauerhaft globale Administratorrechte und werden damit im Alltag benutzt.
• Konten ehemaliger Mitarbeitender sind noch aktiv oder lizenziert.
• SPF, DKIM und DMARC für die E-Mail-Domain sind unvollständig.
• Freigaben an externe Personen sind ohne Einschränkung möglich und werden auch genutzt.
• Eine Datensicherung für Microsoft 365, die über den Papierkorb hinausgeht, fehlt.

Keiner dieser Punkte lässt sich mit einem Schalter beheben. Jede Sicherheitsfunktion muss einmal an die Arbeitsweise, die Geräte und die Zuständigkeiten im Unternehmen angepasst werden. Genau dieser Schritt fällt nach dem Lizenzkauf oft weg.

Welche Sicherheitsfunktionen stecken in Business Premium?

Dazu kommt Windows LAPS, das die Kennwörter lokaler Administratorkonten regelmäßig wechselt und zentral ablegt. LAPS selbst ist kostenlos, in der Praxis steuere ich es über Intune. Auch das finde ich bei Business-Premium-Kunden selten eingerichtet vor.

Warum die Sicherheitsstandards nicht reichen

Jeder neue Tenant startet mit den Sicherheitsstandards von Microsoft. Sie erzwingen die Mehrstufige Anmeldung und blockieren veraltete Anmeldeverfahren. Das ist besser als nichts, lässt sich aber nicht anpassen: keine Ausnahmen für Notfallkonten, keine Regeln nach Gerät oder Standort, keine abgestufte Behandlung von Administratoren. Mit Business Premium ersetze ich die Sicherheitsstandards deshalb so früh wie möglich durch Conditional Access. Das geschieht während der Bestandsaufnahme, nicht erst am Ende eines Projekts.

Womit ich anfange

1. Notfallkonten und Conditional Access. Zuerst lege ich zwei Notfallkonten an, die von den Zugriffsregeln ausgenommen und besonders geschützt sind. Danach folgen die Regeln selbst: Mehrstufige Anmeldung für alle, veraltete Anmeldeverfahren blockieren, strengere Anforderungen für Administratoren.
2. Administratorrechte auf Zeit. Dauerhafte globale Administratoren ersetze ich durch Rechte, die ein Administrator bei Bedarf für eine begrenzte Zeit aktiviert, mit Begründung und Protokoll. Das leistet Privileged Identity Management (PIM).
3. Defender for Office 365. Safe Links, Safe Attachments und den erweiterten Phishing-Schutz aktiviere ich über voreingestellte Sicherheitsrichtlinien und passe sie anschließend an die Umgebung an.

Danach folgen Intune mit Verschlüsselung und Compliance-Richtlinien, Defender for Business auf den Geräten, LAPS, Archivierung und Informationsschutz. Die Reihenfolge richtet sich nach dem, was ich vorfinde. Die ersten drei Punkte stehen aber fast immer am Anfang.

Basic und Standard sind heute zu wenig

Viele Kunden arbeiten noch mit Business Basic oder Business Standard. Beide Lizenzen enthalten nur die kostenlose Stufe von Entra ID und damit kein Conditional Access. Dazu fehlen die Geräteverwaltung mit Intune und der Endpoint-Schutz mit EDR. Wer Geräte zentral verwalten will, dem rate ich vom Kauf von Business Standard ab.

In die andere Richtung gilt dasselbe. Für Unternehmen unter 300 Nutzern halte ich E3 oder E5 meist für unnötig. Business Premium für die Mitarbeitenden und gezielte Zusatzlizenzen wie Entra ID P1 oder P2 für die IT decken die meisten Anforderungen ab. Was Business Premium im Vergleich kostet und wie sich Copilot dazu verhält, habe ich im Artikel zum Paketpreis von Copilot und Business Premium durchgerechnet.

Was danach wegfallen kann

Sind die enthaltenen Funktionen eingerichtet, stellt sich die Frage, welche zusätzlichen Produkte das Unternehmen noch braucht. Einige Kunden konnten danach einen separaten Endpoint-Schutz und ein vorgeschaltetes Mail-Gateway kündigen. Einen zusätzlichen E-Mail-Schutz setze ich vor allem dort ein, wo die Lizenz kein Defender for Office 365 enthält. Das ist keine allgemeine Empfehlung: Wo ein zusätzlicher Dienst einen klaren Mehrwert bietet, bleibt er. Die Entscheidung treffe ich aber erst, wenn klar ist, was die bezahlte Lizenz bereits leistet.

Häufige Fragen

Reichen die Security Defaults von Microsoft aus?

Nein. Die Sicherheitsstandards erzwingen die Mehrstufige Anmeldung und blockieren veraltete Anmeldeverfahren, lassen sich aber nicht anpassen: keine Ausnahmen für Notfallkonten, keine Regeln nach Gerät oder Standort. Mit Business Premium ersetze ich sie deshalb so früh wie möglich durch Conditional Access.

Ist PIM in Business Premium enthalten?

Nein, Privileged Identity Management (PIM) gehört nicht zu den Sicherheitsfunktionen von Business Premium. Es setzt Entra ID P2 oder Entra ID Governance voraus. Die Lizenz brauchen aber nur die Konten, die Administratorrechte aktivieren oder freigeben, deshalb reichen meist wenige Zusatzlizenzen für die IT.

Brauchen kleine Unternehmen Microsoft 365 E3 oder E5?

Für Unternehmen unter 300 Nutzern halte ich E3 oder E5 meist für unnötig. Business Premium für die Mitarbeitenden und gezielte Zusatzlizenzen wie Entra ID P1 oder P2 für die IT decken die meisten Anforderungen ab.

Quellen

• Sicherheitsfunktionen nach Lizenz: Microsoft Learn – Sicherheitsübersicht für Microsoft 365 for Business
• Conditional Access: Microsoft Learn – Was ist bedingter Zugriff?
• Sicherheitsstandards: Microsoft Learn – Sicherheitsstandards in Microsoft Entra ID
• Notfallkonten: Microsoft Learn – Verwalten von Konten für den Notfallzugriff
• Lizenzvoraussetzungen für PIM: Microsoft Learn – Lizenzierungsgrundlagen für Microsoft Entra ID Governance
• Defender for Business: Microsoft Learn – Übersicht über Microsoft Defender for Business
• Defender for Office 365: Microsoft Learn – Übersicht über Microsoft Defender for Office 365
• Vertraulichkeitsbezeichnungen: Microsoft Learn – Informationen zu Vertraulichkeitsbezeichnungen
• Archivierung: Microsoft Learn – Dienstbeschreibung Exchange Online Archiving
• Autopilot: Microsoft Learn – Übersicht über Windows Autopilot
• Kennwort-Selbstbedienung: Microsoft Learn – Lizenzanforderungen für die Self-Service-Kennwortzurücksetzung
• Windows LAPS: Microsoft Learn – Was ist Windows LAPS?