Business Premium: bezahlte Sicherheitsfunktionen, die niemand eingeschaltet hat

Microsoft 365 Business Premium enthält eine ganze Reihe von Sicherheitsfunktionen, die in kleineren Unternehmen sonst einzeln eingekauft werden müssten. Bei einem ersten Tenant-Review stelle ich trotzdem fast immer dasselbe fest: Die Lizenz ist bezahlt, die Funktionen sind aber nicht eingerichtet. Hier steht, was in der Lizenz steckt, womit ich anfange und wo Business Premium an seine Grenzen kommt. Die Beobachtungen stammen aus Tenant-Reviews, zuletzt aus dem Jahr 2026.

Was ich beim ersten Blick in den Tenant meistens finde

Die häufigste Überraschung sind Grundeinstellungen, keine exotischen Lücken. Lizenzen werden bezahlt, aber niemandem zugewiesen oder für ausgeschiedene Mitarbeitende weitergeführt. Der Tenant läuft in der Standardkonfiguration, in der die Sicherheitsfunktionen zwar vorhanden, aber nicht scharfgeschaltet sind.

• Die Mehrstufige Anmeldung ist nur für einen Teil der Konten aktiv oder gar nicht.
• Einzelne Konten haben dauerhaft globale Administratorrechte und werden damit im Alltag benutzt.
• Konten ehemaliger Mitarbeitender sind noch aktiv oder lizenziert.
• SPF, DKIM und DMARC für die E-Mail-Domain sind unvollständig.
• Freigaben an externe Personen sind ohne Einschränkung möglich und werden auch genutzt.
• Eine Datensicherung für Microsoft 365, die über den Papierkorb hinausgeht, fehlt.

Keiner dieser Punkte lässt sich mit einem Schalter beheben. Jede Funktion muss einmal an die Arbeitsweise, die Geräte und die Zuständigkeiten im Unternehmen angepasst werden. Genau dieser Schritt wird nach dem Lizenzkauf oft ausgelassen.

Was in Business Premium steckt und oft ungenutzt bleibt

Dazu kommt Windows LAPS, das die Kennwörter lokaler Administratorkonten regelmäßig wechselt und zentral ablegt. LAPS selbst ist kostenlos, gesteuert wird es in der Praxis über Intune. Auch das finde ich bei Business-Premium-Kunden selten eingerichtet vor.

Warum die Sicherheitsstandards nicht reichen

Jeder neue Tenant startet mit den Sicherheitsstandards von Microsoft. Sie erzwingen die Mehrstufige Anmeldung und blockieren veraltete Anmeldeverfahren. Das ist besser als nichts, lässt sich aber nicht anpassen: keine Ausnahmen für Notfallkonten, keine Regeln nach Gerät oder Standort, keine abgestufte Behandlung von Administratoren. Mit Business Premium ersetze ich die Sicherheitsstandards deshalb so früh wie möglich durch Conditional Access. Das geschieht während der Bestandsaufnahme, nicht erst am Ende eines Projekts.

Womit ich anfange

1. Notfallkonten und Conditional Access. Zuerst lege ich zwei Notfallkonten an, die von den Zugriffsregeln ausgenommen und besonders geschützt sind. Danach folgen die Regeln selbst: Mehrstufige Anmeldung für alle, veraltete Anmeldeverfahren blockieren, strengere Anforderungen für Administratoren.
2. Administratorrechte auf Zeit. Dauerhafte globale Administratoren ersetze ich durch Rechte, die bei Bedarf für eine begrenzte Zeit aktiviert werden, mit Begründung und Protokoll. Das leistet Privileged Identity Management (PIM).
3. Defender for Office 365. Safe Links, Safe Attachments und der erweiterte Phishing-Schutz werden über voreingestellte Sicherheitsrichtlinien aktiviert und anschließend an die Umgebung angepasst.

Danach folgen Intune mit Verschlüsselung und Compliance-Richtlinien, Defender for Business auf den Geräten, LAPS, Archivierung und Informationsschutz. Die Reihenfolge richtet sich nach dem, was ich vorfinde. Die ersten drei Punkte stehen aber fast immer am Anfang.

Basic und Standard sind heute zu wenig

Viele Kunden arbeiten noch mit Business Basic oder Business Standard. Beide Lizenzen enthalten nur die kostenlose Stufe von Entra ID und damit kein Conditional Access, dazu keine Geräteverwaltung mit Intune und keinen Endpoint-Schutz mit EDR. Sollen Geräte zentral verwaltet werden, rate ich vom Kauf von Business Standard ab.

In die andere Richtung gilt dasselbe. Für Unternehmen unter 300 Nutzern halte ich E3 oder E5 meist für unnötig. Business Premium für die Mitarbeitenden und gezielte Zusatzlizenzen wie Entra ID P1 oder P2 für die IT decken die meisten Anforderungen ab. Was Business Premium im Vergleich kostet und wie sich Copilot dazu verhält, habe ich im Artikel zum Paketpreis von Copilot und Business Premium durchgerechnet.

Was danach wegfallen kann

Sind die enthaltenen Funktionen eingerichtet, stellt sich die Frage, welche zusätzlichen Produkte noch gebraucht werden. Bei einigen Kunden konnten danach ein separater Endpoint-Schutz und ein vorgeschaltetes Mail-Gateway gekündigt werden. Einen zusätzlichen E-Mail-Schutz setze ich vor allem dort ein, wo die Lizenz kein Defender for Office 365 enthält. Das ist keine allgemeine Empfehlung: Wo ein zusätzlicher Dienst einen klaren Mehrwert bietet, bleibt er. Die Entscheidung treffe ich aber erst, wenn klar ist, was die bezahlte Lizenz bereits leistet.

Quellen

• Sicherheitsfunktionen nach Lizenz: Microsoft Learn – Sicherheitsübersicht für Microsoft 365 for Business
• Conditional Access: Microsoft Learn – Was ist bedingter Zugriff?
• Sicherheitsstandards: Microsoft Learn – Sicherheitsstandards in Microsoft Entra ID
• Notfallkonten: Microsoft Learn – Verwalten von Konten für den Notfallzugriff
• Lizenzvoraussetzungen für PIM: Microsoft Learn – Lizenzierungsgrundlagen für Microsoft Entra ID Governance
• Defender for Business: Microsoft Learn – Übersicht über Microsoft Defender for Business
• Defender for Office 365: Microsoft Learn – Übersicht über Microsoft Defender for Office 365
• Vertraulichkeitsbezeichnungen: Microsoft Learn – Informationen zu Vertraulichkeitsbezeichnungen
• Archivierung: Microsoft Learn – Dienstbeschreibung Exchange Online Archiving
• Autopilot: Microsoft Learn – Übersicht über Windows Autopilot
• Kennwort-Selbstbedienung: Microsoft Learn – Lizenzanforderungen für die Self-Service-Kennwortzurücksetzung
• Windows LAPS: Microsoft Learn – Was ist Windows LAPS?