Conditional Access Lizenz: Wer wirklich Entra ID P1 braucht

Conditional Access setzt Microsoft Entra ID P1 voraus. Geprüft wird das im laufenden Betrieb aber nie. Ihre Richtlinien greifen auch für Nutzer ohne passende Lizenz, und nichts im Admin Center weist Sie darauf hin. Genau dort entsteht eine Unterlizenzierung, die niemand bemerkt, bis jemand sie sucht.

Dieser Beitrag klärt drei Dinge: was Microsoft vertraglich wirklich verlangt, welche Pläne Entra ID P1 bereits enthalten und an welchen Konten sich fast jeder verrechnet.

Was verlangt Microsoft wirklich?

Der Abschnitt zu den Lizenzanforderungen in der Dokumentation zum bedingten Zugriff eröffnet mit einem klaren Satz: „Für die Verwendung dieses Features sind Microsoft Entra ID P1-Lizenzen erforderlich." Daneben nennt er Microsoft 365 Business Premium, den P2-Bedarf für risikobasierte Richtlinien und das Verhalten bei Lizenzablauf.

Eine Pro-Nutzer-Pflicht steht dort an keiner Stelle. Das ist die Wurzel der Verwirrung.

Die vertragliche Grundlage liegt woanders, nämlich in den Universal License Terms der Microsoft Product Terms. Danach muss der Kunde die für die Nutzung eines Online-Dienstes nötigen Abonnementlizenzen erwerben und zuweisen, und jeder Nutzer, der auf den Dienst zugreift, braucht eine zugewiesene Nutzerlizenz. Die Multiplexing-Klausel stellt zusätzlich klar, dass auch indirekter Zugriff die Zahl der nötigen Lizenzen nicht senkt.

Bemerkenswert ist, dass Microsoft an anderer Stelle sehr wohl pro Kopf formuliert. Bei der tenantübergreifenden Synchronisierung heißt es wörtlich, jeder synchronisierte Nutzer brauche eine P1-Lizenz im Heimatmandanten. Dieselbe Deutlichkeit fehlt beim bedingten Zugriff. Wer die Regel also in der Produktdokumentation sucht, findet sie dort nicht.

Technisch merken Sie davon ohnehin nichts. Der bedingte Zugriff wird auf Mandantenebene aktiviert. Microsoft nennt als Voraussetzung einen funktionierenden Entra-Mandanten mit aktivierter P1-, P2- oder Testlizenz, nicht die Zuweisung an einzelne Nutzer. Wie weit das geht, zeigt das Verhalten bei Lizenzablauf: Laufen die nötigen Lizenzen aus, werden bestehende Richtlinien weder automatisch deaktiviert noch gelöscht.

Es gibt also keinen Moment, in dem ein System Ihnen sagt, dass Geltungsbereich und Lizenzbestand auseinanderlaufen.

Wer hat Entra ID P1 schon, ohne es zu wissen?

Bevor Sie etwas zukaufen, klären Sie den Bestand. Entra ID P1 steckt in mehr Plänen, als die meisten annehmen, und fehlt in einem, den fast jeder falsch einschätzt.

Zwei Zeilen verdienen besondere Aufmerksamkeit.

Office 365 E3 ist nicht Microsoft 365 E3. Der Namensunterschied ist ein Buchstabenspiel, der Lizenzunterschied ist erheblich. Office 365 enthält ausschließlich Entra ID Free. Wer darauf sitzt und Conditional Access nutzt, ist nicht knapp lizenziert, sondern gar nicht. Das ist die größte Lücke in der Praxis, und sie trifft ausgerechnet Unternehmen, die glauben, den großen Plan zu haben.

Frontline-Lizenzen können mehr, als ihr Preis vermuten lässt. Microsoft 365 F1 und F3 enthalten beide Entra ID P1. Wer Schichtkräfte lizenziert hat, deckt sie damit bereits ab. Welche Unterschiede zwischen den beiden sonst zählen, steht im Vergleich Microsoft 365 F1 vs. F3.

Für Tenants ohne P1 stellt sich die Frage nach dem Weg dorthin. Der naheliegende ist selten der beste. Entra ID P1 kostet als Zukauf 6,10 Euro pro Nutzer und Monat, Business Standard 12,13 Euro. Zusammen sind das 18,23 Euro. Business Premium kostet 19,06 Euro und enthält P1 bereits, dazu Defender for Office 365 P1, Defender for Business und Intune. Für 83 Cent mehr im Monat bekommen Sie also deutlich mehr als nur bedingten Zugriff.

(Listenpreise netto bei jährlicher Abrechnung, Stand 26. Juli 2026.)

Welche Konten zählen mit, welche nicht?

Drei Kontoarten führen regelmäßig zu Fehlrechnungen, und zwar in beide Richtungen.

Gäste kosten nichts. Externe Nutzer laufen nicht über zugewiesene Lizenzen, sondern über das MAU-Modell von Entra External ID. Die ersten 50.000 monatlich aktiven Nutzer sind kostenlos. Sie brauchen für Gäste also keine P1. Details und Ausnahmen stehen im Beitrag Kosten Gastkonten in Microsoft 365 Geld?.

Service-Accounts sind der teure Sonderfall. Hier liegt ein doppelter Irrtum. Erstens greift eine Richtlinie, die auf Nutzer gescopt ist, bei Dienstprinzipalen überhaupt nicht. Wer glaubt, seine Automatisierung sei durch die vorhandene Richtlinie abgesichert, irrt.

Zweitens braucht bedingter Zugriff für Workload Identities eine eigene Lizenz, die weder in P1 noch in P2 enthalten ist. Microsoft empfiehlt selbst, nutzerbasierte Dienstkonten auf Workload Identities umzustellen. Das senkt nebenbei die Zahl der Nutzer-Seats, wie im Beitrag zu technischen Konten und Service-Accounts beschrieben.

Break-Glass-Konten nehmen Sie aus, aber nicht überall. Microsoft rät ausdrücklich, Notfallkonten von Richtlinien auszunehmen, die Anmeldungen blockieren oder einschränken. Diese Ausnahme befreit sie jedoch nicht von der verpflichtenden Mehrfaktor-Authentifizierung für die Admin-Portale. Wer sein Notfallkonto darauf auslegt, ohne MFA hineinzukommen, hat kein Notfallkonto, sondern ein gesperrtes.

Wann zahlen Sie P1 doppelt?

Die Lücke läuft auch in die andere Richtung. Wer Entra ID P1 einzeln zukauft, obwohl die Nutzer über Microsoft 365 E3, E5, Business Premium oder F1 und F3 längst P1 besitzen, zahlt 6,10 Euro pro Kopf und Monat ohne Gegenwert. Bei 200 Nutzern sind das 14.640 Euro im Jahr.

Das Muster ist nicht neu. Es entsteht überall dort, wo eine Funktion in den Basisplan gewandert ist und das alte Add-on trotzdem weiterläuft. Wie Sie solche Redundanzen systematisch finden, steht in Microsoft 365 Add-ons doppelt bezahlt.

Geht Conditional Access auch ohne P1?

Nicht als bedingter Zugriff, aber es gibt einen lizenzfreien Ersatz mit klaren Grenzen. Security Defaults sind in jedem Mandanten enthalten und erzwingen einen festen Satz an Kontrollen, darunter die MFA-Registrierung für alle Nutzer, MFA für privilegierte Rollen und die Blockade veralteter Authentifizierungsverfahren.

Der Preis dafür ist Starrheit. Security Defaults kennen nur Ein oder Aus. Als Administrator können Sie niemanden ausnehmen, auch kein Notfallkonto. Die einzige fest eingebaute Ausnahme sind die Synchronisierungskonten von Entra Connect. Beides zusammen geht ohnehin nicht: Security Defaults und Conditional Access schließen sich gegenseitig aus.

Wichtig für die Planung ist die Richtung dieses Wechsels. Von Security Defaults zum bedingten Zugriff kommen Sie leicht. Zurück kommen Sie nur, wenn Sie alle Richtlinien löschen, auch die im Zustand „Aus" und die reinen Berichtsrichtlinien. Wer testweise beginnt, sollte wissen, dass der Rückweg keine Umschaltung ist.

Unabhängig davon greift die verpflichtende Mehrfaktor-Authentifizierung für das Azure-Portal und das Entra Admin Center. Sie hängt an keiner Lizenz und gilt auch für Mandanten, die nur Security Defaults nutzen.

Wie LessLicense den Abgleich sichtbar macht

LessLicense liest die Conditional-Access-Richtlinien Ihres Tenants read-only über Microsoft Graph und löst deren Geltungsbereich bis auf den einzelnen Nutzer auf, inklusive Gruppen und Rollen. Dabei zählen nur Richtlinien, die tatsächlich erzwungen werden. Was im Berichtsmodus läuft oder auf „Aus" steht, schützt niemanden und gilt deshalb auch nicht als Abdeckung.

Aus diesem Abgleich fallen beide Richtungen heraus:

• Wer im Geltungsbereich einer erzwungenen Richtlinie liegt, bekommt den P1-Bedarf in seiner Lizenzempfehlung ausgewiesen.
• Wer P1 hält, in keiner erzwungenen Richtlinie liegt und die Stufe auch sonst nicht braucht, erscheint als Einsparposten.

Ausschlüsse gewinnen dabei über Einschlüsse, genau wie bei Microsoft. Die Richtung ist bewusst vorsichtig gewählt. Eine fälschlich als ungeschützt eingestufte Person würde eine falsche Sparempfehlung erzeugen, deshalb löst die Analyse Einschlüsse vollständig auf, bevor sie eine Lizenz als entfernbar meldet.

Ein juristisches Urteil ist das nicht. Die Analyse zeigt, wo Geltungsbereich und Lizenzbestand auseinanderlaufen. Ob Ihre konkrete Vertragslage das deckt, entscheidet Ihr Lizenzvertrag.

FAQ

Braucht jeder Benutzer eine Entra ID P1 für Conditional Access?

Nach den Lizenzbedingungen braucht jeder Nutzer, der auf den Dienst zugreift, eine zugewiesene Lizenz. In der Produktdokumentation zum bedingten Zugriff steht diese Pro-Kopf-Formulierung allerdings nicht, dort heißt es nur, die Funktion erfordere P1-Lizenzen. Technisch wird nichts pro Nutzer geprüft.

Enthält Office 365 E3 Conditional Access?

Nein. Office 365 E1, E3 und E5 enthalten ausschließlich Entra ID Free. Bedingter Zugriff setzt Entra ID P1 voraus, das erst in Microsoft 365 E3, E5, Business Premium, F1, F3 oder EMS enthalten ist.

Ist Conditional Access in Business Standard enthalten?

Nein, Business Basic und Business Standard enthalten nur Entra ID Free. Der Wechsel auf Business Premium ist meist günstiger als der Zukauf einer einzelnen P1, weil Premium neben P1 noch Defender und Intune mitbringt.

Was passiert, wenn die Entra-ID-P1-Lizenzen ablaufen?

Nichts Sichtbares. Bestehende Richtlinien werden weder automatisch deaktiviert noch gelöscht. Genau deshalb fällt eine Unterlizenzierung im laufenden Betrieb nicht auf.

Reichen Security Defaults statt Conditional Access?

Für kleine Mandanten ohne Ausnahmebedarf oft ja. Sobald Sie einzelne Konten ausnehmen oder nach Standort, Gerät oder App differenzieren müssen, brauchen Sie bedingten Zugriff und damit P1.

Brauchen Gastkonten eine eigene P1-Lizenz?

Nein. Gäste werden über das MAU-Modell von Entra External ID abgerechnet, dessen erste 50.000 monatlich aktive Nutzer kostenlos sind. Eine zugewiesene P1 je Gast ist nicht vorgesehen.