Lizenzoptimierung Microsoft 365: Methode, Daten, Ersparnis

Von Philipp Metzner · 4. November 2026

Lizenzoptimierung für Microsoft 365 heißt, jedem Nutzer die kleinste Lizenz zu geben, die vier Dinge zugleich abdeckt: seine Nutzung, die Richtlinien, die ihn erfassen, die Funktionen, die im Tenant für alle eingeschaltet sind, und seinen Speicher. Viele Anleitungen prüfen nur das Erste. Damit finden sie Karteileichen, stufen aber auch Nutzer ab, die ihre Lizenz aus einem der drei anderen Gründe brauchen.

Dieser Leitfaden geht alle vier Ebenen durch. Er zeigt, woher Sie die Daten bekommen und wo jede Quelle aufhört. Und er erklärt, wie Sie die Ersparnis vorab ausrechnen, statt einer Pauschalzahl zu glauben.

Was bedeutet Lizenzoptimierung bei Microsoft 365?

Lizenzoptimierung bedeutet, dass Menge und Stufe Ihrer Lizenzen zum tatsächlichen Bedarf passen. In der Praxis stecken darin drei Aufgaben, die oft vermischt werden:

• Aufräumen: Lizenzen, hinter denen kein arbeitender Mensch mehr steht. Gesperrte Konten, Ausgeschiedene, nie zugewiesene Lizenzen. Das geht schnell und ist risikoarm.
• Zuschneiden: Menschen mit der falschen Stufe. E5 für jemanden, dem E3 reicht, oder Business Standard für jemanden, der Business Premium braucht. Hier geht es schnell um 20 € je Nutzer und Monat, etwa von E5 auf E3. Und hier passieren die Fehler.
• Einkaufen: Menge und Laufzeit der Abonnements. Eine frei gewordene Lizenz senkt die Rechnung erst, wenn auch die bestellte Menge sinkt.

Für das Aufräumen gibt es eine eigene Liste der acht teuersten Fundstellen. Dieser Leitfaden konzentriert sich auf das Zuschneiden. Wer zuschneidet, muss wissen, warum jemand eine Lizenz braucht. Darauf gibt es mehr als eine Antwort.

Woraus ergibt sich, welche Lizenz ein Nutzer braucht?

Aus vier Ebenen. Die Lizenz muss die höchste Anforderung decken, die eine davon stellt, und keine Ebene entscheidet allein. Die Grafik zeigt die vier Ebenen mit ihren Messpunkten und Datenquellen.

Ein typischer Fall: Die gemessene Nutzung verlangt wenig. Keine der genutzten Funktionen geht über eine kleine Lizenz hinaus. Die Richtlinien, die die Person erfassen, verlangen dagegen eine deutlich höhere Stufe. Genau diese Stufe muss die Lizenz decken. Wer hier nur nach Nutzung herabstuft, spart nicht, sondern reißt eine Lizenzlücke auf.

Ebene 1: Nutzung

Die erste Ebene fragt, welche Funktionen jemand tatsächlich verwendet. Gemessen wird das an vielen Stellen. Dazu gehören Postfach, Teams und OneDrive, die Aktivierungen der Desktop-Apps und einzelne Premium-Funktionen. Wer zum Beispiel die Desktop-Apps nie aktiviert hat, braucht keinen Plan mit Desktop-Office.

Nutzungsdaten sind ein guter Startpunkt und ein schlechter Richter. Sie verwechseln Elternzeit mit Nichtnutzung und übersehen Saisonarbeit. Und Compliance-Funktionen haben keine Nutzung, das ist ihr Zweck. Eine Aufbewahrungsrichtlinie erzeugt im Normalbetrieb keine einzige Aktivität. Wie Sie Nutzungsdaten trotzdem richtig lesen, steht im Leitfaden Welche Microsoft 365 Lizenz für welchen Mitarbeiter?.

Ebene 2: Richtlinien

Die zweite Ebene fragt, welche Richtlinien eine Person erfassen. Viele Funktionen wirken nicht, weil jemand sie anklickt, sondern weil ein Admin eine Richtlinie auf eine Gruppe gelegt hat. Wer im Geltungsbereich liegt, braucht die Lizenz, auch wenn er von der Richtlinie nie etwas merkt.

Typische Beispiele:

• Bedingter Zugriff (Conditional Access): Jeder Nutzer im Geltungsbereich einer aktiven Richtlinie braucht Entra ID P1. Eine eigene Regel dafür gibt es nicht, es gilt der allgemeine Grundsatz der Lizenzbedingungen: Wer einen Onlinedienst nutzt, braucht eine Lizenz. Wie Sie den Geltungsbereich richtig zählen, steht im Artikel Conditional Access Lizenz.
• Risikobasierter Zugriff (Identity Protection): verlangt Entra ID P2. Das steckt in E5, nicht in E3.
• Erweiterte DLP: Schutz vor Datenverlust in Teams-Chats und auf Endgeräten gehört zu E5. DLP für Exchange, SharePoint und OneDrive ist schon in E3 enthalten.
• Automatische Vertraulichkeitsbezeichnungen: Automatisches Labeling ist E5. Manuelles Labeln durch den Nutzer bleibt in E3.

Diese Ebene ist die unbequemste, weil sie in keinem Nutzungsbericht auftaucht. Sie steckt in der Konfiguration von Entra, Purview und Intune. Um sie zu prüfen, öffnen Sie jede Richtlinie einzeln. Dann lösen Sie die eingeschlossenen Gruppen bis auf den einzelnen Nutzer auf und ziehen die Ausschlüsse ab.

Sie hat aber eine zweite Seite. Eine Richtlinie ist eine Entscheidung, kein Naturgesetz. Erfasst sie Gruppen, für die sie nie gedacht war, ist der Geltungsbereich der Hebel und nicht die Lizenz. Ob das vertretbar ist, entscheidet die Sicherheitsverantwortung, nicht die Kostenrechnung. Welche dieser Richtlinien NIS2 betrifft und welche Lizenz das Gesetz dafür verlangt, zeigt der Artikel NIS2 und Microsoft 365.

Ebene 3: Tenantweite Funktionen

Die dritte Ebene fragt, was im Tenant für alle eingeschaltet ist. Manche Schutzfunktionen aktiviert ein Admin nicht pro Person, sondern für die ganze Organisation. Lizenziert werden sie trotzdem pro Kopf, und zwar für jeden, der davon profitiert.

Ein klares Beispiel ist Defender for Office 365. Lizenzpflichtig ist jeder, der auf ein geschütztes Postfach zugreift. Mit Safe Attachments für SharePoint, OneDrive und Teams oder Safe Links in den Apps sind es alle Nutzer dieser Dienste. Ein einziger Schalter macht so aus einer Funktion eine Lizenzpflicht für die ganze Belegschaft. Ein zweites Beispiel ist Defender for Identity. Es überwacht die Konten im lokalen Active Directory und lässt sich nicht auf einzelne Nutzer begrenzen. Lizenziert wird es trotzdem pro Nutzer, etwa über E5, die Defender Suite oder eine Einzellizenz. Ob Sie es einsetzen, ist deshalb eine Entscheidung für die ganze Organisation.

Daraus folgen zwei Fallen, die in entgegengesetzte Richtungen zeigen:

• Der gemischte Tenant. Sie stufen die Hälfte der Belegschaft auf einen Plan ohne Defender for Office 365 ab. Die Schutzrichtlinie bleibt aber für alle aktiv. Auf dem Papier sparen Sie, tatsächlich entsteht eine Unterlizenzierung.
• Die bezahlte, nie eingerichtete Funktion. Steckt eine tenantweite Funktion in der Lizenz, ist aber nie eingerichtet, nutzt sie niemand. Dann ist nicht ein einzelner Nutzer der Kandidat, sondern die ganze Belegschaft.

Diese Ebene lässt sich nicht aus Nutzerdaten ablesen. Sie ist eine Frage an den Tenant, die Sie einmal beantworten und danach auf alle anwenden.

Ebene 4: Speicher und Aufbewahrung

Die vierte Ebene fragt, ob der Bestand eines Nutzers in die kleinere Lizenz passt. Eine Lizenz bestimmt nicht nur Funktionen, sondern auch Kontingente. Ein Downgrade, das die Funktionen prüft und den Speicher übersieht, scheitert spätestens am vollen Postfach.

Drei Stellen sind zu prüfen:

• Postfach und Archiv. E3 und E5 bieten 100 GB Postfach und ein mitwachsendes Archiv bis 1,5 TB. F3 bietet 2 GB Postfach und kein Archiv. Welche Lizenz wie viel mitbringt, steht in Postfach-Speicher erhöhen.
• Beweissicherung (Litigation Hold). Sie setzt Exchange Online Plan 2 voraus, also E3 oder E5, oder Exchange Online Archiving auf einem Plan-1-Postfach. Business Premium bringt dieses Archiving als Dienstplan mit. Ein Postfach mit aktivem Hold lässt sich nicht sauber herabstufen: Exchange meldet einen Fehler am Konto, die Daten bleiben geschützt.
• SharePoint-Speicher des Tenants. Er beträgt 1 TB plus 10 GB je Lizenz eines berechtigten Plans, Frontline-Pläne erhöhen ihn nicht. Wer viele Lizenzen streicht oder auf F-Pläne umstellt, verkleinert also auch den gemeinsamen Speicher.

Wie kommen Sie an die Daten?

Über sechs Quellen, von denen keine alles liefert. Die Nutzungsberichte decken die erste Ebene ab, die Konfiguration die zweite und dritte, Exchange die vierte. Die eigentliche Arbeit ist nicht das Abrufen, sondern das Zusammenführen je Person.

Haben Sie die Umgebung gerade erst übernommen, gehen Sie diese Quellen in einer festen Reihenfolge durch, die Verlängerungstermine zuerst. Wie das geht, beschreibt die Bestandsaufnahme der Microsoft-365-Lizenzen nach einer Übernahme.

Drei Hürden sollten Sie kennen, bevor Sie anfangen.

Erstens die verborgenen Namen. Seit September 2021 zeigt Microsoft in allen Nutzungsberichten standardmäßig Pseudonyme statt Namen, auch in der Graph-Berichts-API. Solange das so bleibt, lassen sich die Berichte mit keiner anderen Quelle verbinden. Abschalten kann es nur ein globaler Administrator, unter Einstellungen, Organisationseinstellungen, Dienste, Berichte. In Deutschland ist die personenbezogene Auswertung von Nutzungsdaten aber regelmäßig mitbestimmungspflichtig. Klären Sie das vorher mit dem Betriebsrat, nicht danach.

Zweitens die letzte Anmeldung. Das Feld zur letzten Anmeldung liefert Microsoft Graph nur in Tenants mit Entra ID P1 oder P2. Und eine Anmeldung sagt nichts darüber, welche Funktion jemand genutzt hat. Ein Konto, das sich jeden Tag anmeldet, kann trotzdem eine viel zu große Lizenz tragen.

Drittens die fehlende Personensicht. Microsoft bietet keinen Bericht, der zu einer Person alle genutzten Dienste samt Umfang auflistet. Der Bericht der aktiven Benutzer nennt je Person nur das letzte Aktivitätsdatum für fünf Kerndienste. Die Zusammenführung je Kopf bauen Sie selbst, per Export und Abgleich über den Anmeldenamen. Für die Richtlinien-Ebene kommt das Auflösen verschachtelter Gruppen dazu. Bei einigen Dutzend Nutzern ist das in Handarbeit machbar. Bei mehreren Hundert und regelmäßiger Wiederholung wird es zum Projekt.

Was ist mit Speicher und Downgrades?

Ein Downgrade ist ein Lizenztausch, kein Entzug. Wer die alte Lizenz zuerst entfernt und die neue später zuweist, setzt Löschfristen in Gang. Ohne Aufbewahrung löscht Exchange das Postfach nach 30 Tagen. OneDrive wird nach 60 unlizenzierten Tagen schreibgeschützt und nach 93 archiviert. Die Einzelheiten stehen in Lizenz entziehen: was mit den Daten passiert.

Vor jedem Tausch stehen drei Fragen. Passt das Postfach in das Kontingent des Zielplans? Steht es unter Beweissicherung? Und verliert der Nutzer eine Funktion, in der Daten liegen, etwa ein Archiv? Den vollständigen Ablauf beschreibt Microsoft 365 Lizenz downgraden ohne Datenverlust.

Zwei Sonderfälle lohnen einen eigenen Blick:

• Ausgeschiedene Mitarbeiter. Ihr Postfach lässt sich in ein freigegebenes Postfach umwandeln, das bis 50 GB ohne Lizenz auskommt. Beweissicherung, mehr Speicher und ein mitwachsendes Archiv verlangen dagegen eine Lizenz. Mehr dazu in Shared Mailbox Lizenz.
• Lizenzen über Gruppen. Wer Lizenzen über Gruppen verteilt, tauscht sie am besten in einem Schritt, damit kein Zwischenzustand ohne Lizenz entsteht. Die Stolpersteine beschreibt Gruppenbasierte Lizenzierung.

Welche Ersparnis ist realistisch?

Das lässt sich vorab ausrechnen, und zwar je Hebel. Eine seriöse Pauschalzahl für alle Unternehmen gibt es nicht. Die Ersparnis ist der Preisunterschied je Monat, mal die Zahl der betroffenen Nutzer, mal zwölf.

Die Prozentzahlen, die im Netz kursieren, stammen meist von Anbietern. Eine der wenigen veröffentlichten Auswertungen speziell zu Microsoft 365 kommt ebenfalls von einem. CoreView wertete 2020 Nutzungsdaten von über fünf Millionen Beschäftigten bei Kunden seiner Plattform aus. Ergebnis: Ein durchschnittliches Unternehmen könnte seine Kosten allein über inaktive Lizenzen um 14 Prozent senken. Und 38 Prozent der Office-365-E5-Lizenzen ließen sich nach der App-Nutzung auf E1 herabstufen. Diese zweite Zahl zeigt genau das Problem: Sie misst nur die erste Ebene. Wie viele dieser Nutzer E5 wegen einer Richtlinie oder einer tenantweiten Funktion brauchten, sagt sie nicht.

Typische Hebel mit Listenpreisen, netto pro Nutzer bei Jahresbindung, Stand Oktober 2026:

Zwei Dinge gehören zu jeder dieser Rechnungen dazu:

• Die Ersparnis wirkt erst zum Verlängerungstermin. Bei CSP-Abos lässt sich die Menge nur in den ersten sieben Tagen nach Kauf oder Verlängerung senken. Beim Jahresabo heißt das: einmal im Jahr. Bis dahin kostet eine frei gewordene Lizenz weiter. Mehr dazu in Enterprise Agreement zu CSP.
• Der kleinste Hebel ist besonders heikel. Der Schritt von Business Premium auf Business Standard spart pro Kopf am wenigsten. Dafür trifft er genau die Funktionen der Ebenen zwei bis vier: bedingten Zugriff, E-Mail-Schutz und Archivierung. Den Unterschied der beiden Pläne zeigt der Lizenz-Vergleich.

Was können Sie heute selbst prüfen?

Fünf Prüfungen, die mit Bordmitteln gehen und noch keine Lizenz verändern:

1. Gekaufte gegen zugewiesene Lizenzen. Unter Abrechnung, Lizenzen im Admin Center stehen beide Zahlen je Produkt nebeneinander. Die Differenz ist reiner Leerlauf. Notieren Sie dazu den Verlängerungstermin jedes Abos aus „Ihre Produkte“, denn erst dann lässt sich die Menge senken.
2. Gesperrte Konten mit Lizenz. Filtern Sie im Entra Admin Center die Benutzer nach der Eigenschaft „Konto aktiviert“ (Account enabled) mit dem Wert Nein. Dann sehen Sie sich deren Lizenzen an. Jeder Treffer ist ein Kandidat für ein freigegebenes Postfach oder die Löschung. Die übrigen Fundstellen dieser Art stehen in Lizenzkosten senken.
3. Die Berichtseinstellung. Prüfen Sie, ob die Namen in den Nutzungsberichten verborgen sind. Wenn ja, klären Sie mit dem Betriebsrat, ob und wofür Sie sie einblenden dürfen.
4. Der 180-Tage-Bericht. Exportieren Sie unter Berichte, Nutzung den Bericht der aktiven Benutzer für 180 Tage. Wer in keinem der fünf Dienste aktiv war, ist ein Aufräumfall. Der Bericht der Microsoft-365-Apps-Aktivierungen zeigt zusätzlich, wer Desktop-Office nie aktiviert hat. Das sind Kandidaten zum Zuschneiden, entschieden wird aber erst nach dem Blick auf die Ebenen zwei bis vier.
5. Bedingter Zugriff gegen P1. Öffnen Sie Ihre aktiven Conditional-Access-Richtlinien und notieren Sie die eingeschlossenen Gruppen. Wer darin steht und kein Entra ID P1 hat, ist unterlizenziert. Wer P1 hat, in keiner Richtlinie steht und es sonst nicht braucht, ist ein Einsparkandidat.

Die fünfte Prüfung verdient besondere Aufmerksamkeit, weil sie als einzige die Richtlinien-Ebene berührt. Sie zeigt im Kleinen, warum eine Lizenzoptimierung nach Nutzung allein nicht reicht.

Selbst, mit Werkzeug oder mit Berater?

Das hängt davon ab, wie oft Sie die Frage stellen. Einmal im Jahr vor der Verlängerung ist Handarbeit vertretbar. Bei jedem Austritt, jeder neuen Richtlinie und jedem neuen Abo ist sie es nicht.

• Selbst: Die erste Ebene und die fünf Prüfungen oben schaffen Sie mit Admin Center und Tabellenkalkulation. Die Ebenen zwei und drei ebenfalls, solange der Tenant überschaubar ist und sich selten ändert.
• Berater: liefert eine gründliche Momentaufnahme. Sie veraltet mit der nächsten Personaländerung, und die nächste Runde kostet wieder Tage.
• Werkzeug: wiederholt die Zusammenführung bei jedem Lauf und hält so mit dem Tenant Schritt.

LessLicense ist ein solches Werkzeug, gebaut für genau diese vier Ebenen. Es holt die Signale unter anderem aus Microsoft Graph, den Nutzungsberichten, dem Überwachungsprotokoll, Exchange und der Geräteverwaltung. Dann legt es sie je Nutzer nebeneinander. Den bedingten Zugriff löst es bis auf die einzelne Person auf, inklusive Gruppen, Rollen und Ausschlüssen. Tenantweite Funktionen wie Defender for Identity stellt es der Organisation als eine Frage, statt sie je Person zu bewerten. Die Analyse ist read-only und läuft auf Ihrer eigenen Infrastruktur. Umsetzen tut niemand außer Ihnen.

FAQ

Reichen die Nutzungsberichte für eine Lizenzoptimierung?

Für das Aufräumen ja, für das Zuschneiden nein. Die Berichte zeigen, wer welchen Dienst nutzt. Richtlinien, tenantweite Funktionen und Aufbewahrung zeigen sie nicht, und genau daran scheitern Downgrades nach Nutzung.

Was ist der Unterschied zwischen Lizenzmanagement und Lizenzoptimierung?

Lizenzmanagement verwaltet den Bestand: zuweisen, entziehen, Verträge im Blick behalten. Lizenzoptimierung fragt, ob Menge und Stufe zum Bedarf passen. Das eine ist laufender Betrieb, das andere eine Prüfung, die den Betrieb verändert.

Welche Daten braucht eine Lizenzoptimierung mindestens?

Für jede Ebene eine Quelle. Für die Nutzung die Nutzungsberichte über 180 Tage, für Richtlinien und tenantweite Funktionen die Konfiguration in Entra, Purview, Intune und Defender, für den Speicher die Postfach- und Archivgrößen samt Holds. Dazu die Abrechnung mit den Verlängerungsterminen, weil eine Ersparnis erst dort wirksam wird.

Ist ein Downgrade nach Nutzungsdaten ein Lizenzrisiko?

Ja, wenn die anderen Ebenen ungeprüft bleiben. Liegt ein Nutzer im Geltungsbereich einer Richtlinie oder profitiert er von einer tenantweiten Schutzfunktion, braucht er die Lizenz weiter. Wer ihn trotzdem herabstuft, spart nicht, sondern ist unterlizenziert.

Dürfen wir die Nutzungsdaten unserer Mitarbeiter auswerten?

Technisch ja, organisatorisch nicht ohne Vorbereitung. Gibt es einen Betriebsrat, ist die personenbezogene Auswertung von Nutzungsdaten regelmäßig mitbestimmungspflichtig. Binden Sie ihn ein, bevor Sie die Namen in den Berichten sichtbar machen.