Lizenzen automatisch zuweisen bei verschachtelten Gruppen

Von Philipp Metzner ·

Gruppenbasierte Lizenzierung kann Lizenzen automatisch zuweisen, aber nur an Mitglieder der ersten Ebene. Wer sie bei verschachtelten Gruppen auch an die Untergruppen verteilen wollte, nutzte den Regeloperator MemberOf. Der zieht die Mitglieder einer anderen Gruppe automatisch in die Lizenzgruppe nach. Am 3. November 2026 wird er abgeschaltet. Betroffene Konfigurationen verschwinden dann nicht, sie frieren ein, und ein eingefrorener Lizenzstand kostet Geld.

Was passiert am 3. November 2026?

Microsoft beendet die öffentliche Vorschau des MemberOf-Operators. Angekündigt ist das in der Message-Center-Meldung MC1448379 vom 5. August 2026.

Betroffen sind drei Flächen, nicht nur Lizenzen:

  • dynamische Mitgliedschaftsgruppen, deren Mitglieder eine Regel bestimmt statt eine Person
  • dynamische Verwaltungseinheiten, mit denen Sie Administratorrechte auf einen Teil des Verzeichnisses begrenzen
  • Auto-Zuweisungsrichtlinien im Entitlement Management, die Zugriffspakete ohne Antrag vergeben

Nach dem Stichtag hören diese Konfigurationen auf, sich zu aktualisieren. Sie bleiben im letzten bekannten Stand stehen. Weder eine Fehlermeldung noch ein Ausfall macht darauf aufmerksam, ein Monitoring schlägt also nicht an.

Der Grund ist Leistung, nicht Sicherheit. Laut Microsoft kann eine einzige MemberOf-Regel die Verarbeitung dynamischer Mitgliedschaften im gesamten Tenant verlangsamen. Deshalb hat der Operator die Vorschau nie verlassen.

Warum bricht damit die Lizenzzuweisung?

Weil die Lizenz an der Gruppenmitgliedschaft hängt und die Mitgliedschaft an der Regel. Friert die Regel ein, friert die Mitgliedschaft ein, und die Lizenz folgt nicht mehr nach.

Die Kette sieht in der Praxis so aus:

  1. Eine Quellgruppe hält eine Abteilung, oft aus dem lokalen Active Directory synchronisiert.
  2. Eine dynamische Gruppe liest deren Mitglieder über MemberOf.
  3. Dieser dynamischen Gruppe ist die Lizenz zugewiesen.

Ab dem 3. November verarbeitet Schritt 2 keine Änderungen mehr. Neue Mitarbeiter der Abteilung landen nicht mehr in der Lizenzgruppe. Ausgeschiedene bleiben darin stehen.

Microsoft benennt die Folge in der Ankündigung MC1448379 selbst: Lizenzen werden nicht mehr korrekt vergeben oder entzogen, Nutzer bleiben unlizenziert oder überlizenziert. Beides ist teuer, nur auf unterschiedliche Weise.

Was kostet ein eingefrorener Zustand?

Die unterlizenzierte Seite fällt sofort auf, weil sich jemand beschwert. Die überlizenzierte Seite fällt nie auf, weil niemand sich beschwert.

Rechnen Sie es an Ihrer eigenen Fluktuation durch. Bei 400 Nutzern und 15 Prozent Wechsel im Jahr verlassen rund 60 Personen das Unternehmen. Deren Lizenzen werden nach dem Stichtag nicht mehr eingezogen.

Setzen Sie dabei Ihren tatsächlichen Lizenzpreis ein, nicht einen Listenpreis aus einem Blog. Bei einem Enterprise-Plan im mittleren zweistelligen Eurobereich je Monat summiert sich ein Jahr auf einen fünfstelligen Betrag. Der Effekt wächst mit jedem Monat, weil sich die Austritte aufaddieren.

Dazu kommt ein zweiter Posten, der selten mitgerechnet wird. Neue Mitarbeiter bekommen ihre Lizenz nicht mehr automatisch. Jemand weist sie von Hand zu, meist direkt am Benutzerkonto. Damit entsteht die Doppelzuweisung, die beim nächsten Offboarding wieder hängen bleibt.

Warum kostet MemberOf schon heute Geld?

Der 3. November verschärft ein Problem, das bereits besteht. In den dokumentierten Grenzen der Vorschau steht ein Satz mit unmittelbarer Kostenwirkung.

Die Mitgliedschaft einer MemberOf-Gruppe aktualisiert sich nicht, wenn eine Untergruppe gelöscht wird oder wenn Mitglieder aus einer Untergruppe entfernt werden. Die betroffenen Konten bleiben Mitglied, bis jemand die Regel selbst anfasst.

Auf einer Lizenzgruppe heißt das: Wer aus der Abteilungsgruppe entfernt wird, behält seine Lizenz. Genau der Vorgang, den gruppenbasierte Lizenzierung automatisieren sollte, findet nicht statt.

Wer MemberOf für Lizenzen nutzt, wartet also nicht auf den November. Die Bereinigung ist längst fällig.

Vier weitere Grenzen zeigen, warum der Behelf nie ein Fundament war:

  • Nur direkte Mitglieder der Quellgruppe kommen an. Tiefere Verschachtelung löst der Operator ohnehin nicht auf.
  • Eine MemberOf-Gruppe darf nicht die Quelle einer anderen sein.
  • Die Regel lässt sich nicht mit anderen Bedingungen kombinieren. „Mitglied der Gruppe Vertrieb und Standort Berlin" lässt sich nicht abbilden.
  • Je Tenant sind 500 solcher Gruppen erlaubt, je Gruppe 50 Quellgruppen.

Wie finden Sie betroffene Gruppen?

Exportieren Sie die dynamischen Gruppen aus dem Entra Admin Center und filtern Sie die Regeln nach memberof. Die Regel steht im Klartext in der Mitgliedschaftsregel und sieht so aus:

user.memberof -any (group.objectId -in ['Objekt-ID der Quellgruppe'])

Für dynamische Verwaltungseinheiten und Entitlement-Management-Richtlinien führt kein Weg über die Oberfläche. Diese beiden Flächen prüfen Sie mit Microsoft Graph PowerShell.

Ein Hinweis für die Suche: der Operator ist im Regel-Assistenten nicht auswählbar. Er lässt sich nur über die erweiterte Syntax setzen. Wer ihn eingerichtet hat, hat das bewusst getan, und die Regel steht meist nicht in Ihrer Dokumentation.

Wie weisen Sie Lizenzen ohne MemberOf zu?

Ehrlich: nichts Gleichwertiges tritt an die Stelle. Microsoft schreibt, an einer Alternative werde noch gearbeitet. Bis dahin bleiben drei Wege, und jeder hat einen Preis.

Weg Was er kostet
Attributbasierte Regel statt Gruppenbezug Die Attribute müssen gepflegt sein. Bei synchronisierten Konten heißt das Arbeit an der Quelle, nicht in der Cloud
Umbau auf zugewiesene Mitgliedschaft Verlässlich, aber manuell. Damit fällt die Automatik weg, die der Grund für den Aufbau war
Eigenes Skript über Microsoft Graph Flexibel, aber Sie betreiben ab dann Software. Inklusive Berechtigungen, Protokollierung und Nachfolge

Die attributbasierte Regel ist für die meisten Tenants die richtige Wahl. Sie ist die einzige der drei, die nach der Umstellung ohne Betreuung weiterläuft.

Die Lehre über den Einzelfall hinaus: Lizenzautomatik gehört nicht auf eine Vorschau-Funktion. Die Dokumentation nannte MemberOf ausdrücklich für Lizenzzuweisungen und kennzeichnete es zugleich als nicht für den produktiven Einsatz gedacht. Beides stand auf derselben Seite.

Wie LessLicense das sichtbar macht

LessLicense liest die Lizenzzuweisungen Ihres Tenants read-only über die Graph-API und wertet sie je Gruppe aus. Sichtbar werden dabei genau die Zustände, die ein eingefrorener Automatismus erzeugt:

  • Doppelte Zuweisungen, bei denen eine Lizenz direkt und über eine Gruppe hängt. Kein doppelter Preis, aber der Platz wird beim Offboarding nie frei.
  • Zuweisungsfehler und Konflikte, etwa kollidierende Dienstpläne aus zwei Gruppen oder zu wenige freie Plätze.
  • Lizenztragende Gruppen mit inaktiven Mitgliedern. Das ist der Fingerabdruck einer Gruppe, die sich nicht mehr aktualisiert.

Die ehrliche Grenze: LessLicense sieht die Gruppe, ihre Mitglieder und deren Lizenzzustand. Die Mitgliedschaftsregel selbst liest es nicht. Ob eine Gruppe MemberOf verwendet, beantwortet der Export aus dem Entra Admin Center, nicht die Analyse. Was die Analyse beantwortet, ist die teurere Frage: welche Lizenzen in diesen Gruppen gerade niemandem nützen.

Mehr dazu, wo Lizenzkosten sonst noch versickern, steht in Microsoft 365 Lizenzkosten senken. Die Grundlagen und Fallen der Zuweisung über Gruppen behandelt gruppenbasierte Lizenzierung.

FAQ

Brauche ich für dynamische Gruppen eine eigene Lizenz?

Ja. Dynamische Mitgliedschaftsgruppen setzen Microsoft Entra ID P1 oder P2 voraus. Wer Microsoft 365 E3, Business Premium, F1 oder F3 einsetzt, hat P1 bereits im Paket. E5 enthält die höhere Stufe P2, die genügt ebenfalls. Nachkaufen müssen Sie in keinem dieser Fälle.

Werden am 3. November 2026 Lizenzen entzogen?

Nein. Es passiert das Gegenteil. Bestehende Zuweisungen bleiben stehen, weil die Gruppe im letzten Stand einfriert. Entzogen wird nichts mehr, auch bei Austritten nicht.

Betrifft die Abschaltung nur die Lizenzierung?

Nein. Dieselbe Regel steuert häufig auch den Zugriff. Betroffen sind unter anderem Teams- und SharePoint-Berechtigungen sowie die Zielgruppen bedingter Zugriffsrichtlinien.

Woran erkenne ich, ob mein Tenant betroffen ist?

Exportieren Sie die dynamischen Gruppen aus dem Entra Admin Center und suchen Sie in den Mitgliedschaftsregeln nach memberof. Prüfen Sie dynamische Verwaltungseinheiten und Entitlement-Management-Richtlinien zusätzlich per Graph PowerShell.

Was passiert mit Lizenzen, die nach dem Offboarding hängen bleiben?

Sie bleiben zugewiesen und werden weiter berechnet, bis jemand sie entfernt. Welche Daten dabei wie lange erhalten bleiben, steht in Lizenz entziehen: was mit den Daten passiert.