Jeder Microsoft-365-Mandant nutzt Microsoft Entra ID für Konten und Anmeldungen. Die Grundfunktionen sind in den Microsoft-365-Abonnements enthalten. Wer Anmeldungen an Bedingungen knüpfen, Rechte zeitlich begrenzen oder Risiken automatisch bewerten will, braucht die Lizenzstufen P1 oder P2. Sie gibt es einzeln oder als Teil größerer Pakete.
Was bietet Entra ID P1?
- Conditional Access: Anmeldungen je nach Person, Gerät, Standort und Anwendung erlauben, an Multi-Faktor-Authentifizierung knüpfen oder blockieren.
- Dynamische Gruppen: Mitgliedschaften entstehen automatisch aus Eigenschaften wie Abteilung oder Standort.
- Self-Service-Kennwortzurücksetzung mit Writeback: Benutzer setzen ihr Kennwort selbst zurück, auch für Konten aus dem lokalen Active Directory.
- Verwaltungseinheiten: Administrative Rechte lassen sich auf Teile der Organisation begrenzen, etwa auf einen Standort.
Was ergänzt Entra ID P2?
- ID Protection und risikobasierter Conditional Access: Microsoft bewertet Anmeldungen und Konten nach Risiko. Richtlinien reagieren darauf, etwa mit einer zusätzlichen Prüfung oder einer Kennwortänderung.
- Privileged Identity Management (PIM): Administrative Rollen werden nur bei Bedarf und für begrenzte Zeit aktiviert, mit Begründung und Protokoll. Das ist ein zentraler Baustein von Privileged Access Management.
- Zugriffsüberprüfungen: Verantwortliche bestätigen in Abständen, ob Mitgliedschaften und Zugriffe noch nötig sind.
Preise und Pakete
Einzeln kostet Entra ID P1 6,10 € und Entra ID P2 8,70 € pro Benutzer und Monat, bei jährlicher Abrechnung und ohne Umsatzsteuer.
In Paketen sind die Lizenzstufen bereits enthalten:
- P1: in Microsoft 365 E3, E5, F1, F3 und Microsoft 365 Business Premium.
- P2: in Microsoft 365 E5.
Seit Jänner 2026 gibt es über Microsoft CSP Step-up-Lizenzen, mit denen Organisationen von E3 auf Entra ID P2 aufstocken, ohne das ganze Paket zu wechseln.
Welche Stufe passt?
Für die meisten Unternehmen ist P1 die Grundlage, weil ohne Conditional Access keine abgestuften Anmelderegeln möglich sind. P2 lohnt sich vor allem für Konten mit hohen Rechten und für Organisationen, die Zugriffe regelmäßig nachweisen müssen, etwa wegen NIS2.
P1 und P2 lassen sich mischen. Lizenziert werden die Personen, die eine Funktion nutzen oder von ihr geschützt werden. Wer PIM für Administratoren einsetzt, braucht P2 für diese Administratoren, nicht für die ganze Belegschaft.
Worauf Unternehmen achten sollten
- Vor dem Kauf prüfen, welche Pakete P1 oder P2 bereits enthalten, um doppelte Lizenzen zu vermeiden.
- Notfallkonten von Conditional-Access-Richtlinien ausnehmen und gesondert absichern.
- Neue Richtlinien zuerst im Berichtsmodus testen und dann schrittweise aktivieren.
- Administrative Rollen über PIM statt dauerhaft zuweisen, sobald P2 vorhanden ist.
Entra ID mit TOMORIS einführen
Der TOMORIS-Einstieg Intune und Entra Einführung beschreibt Voraussetzungen und Umfang. Welche Lizenz zu welcher Benutzergruppe passt, klärt Microsoft-Lizenzen.