Gruppenbasierte Lizenzierung Microsoft 365: die Fallen

Bei gruppenbasierter Lizenzierung hängen Sie eine Lizenz an eine Entra-Gruppe. Wer beitritt, bekommt sie zugewiesen, wer die Gruppe verlässt, verliert sie wieder. Das erspart Ihnen das Nachpflegen einzelner Konten, vor allem beim Ein- und Austritt von Mitarbeitern.

Zwei Punkte daran sind unangenehmer, als sie aussehen. Die Funktion setzt eine kostenpflichtige Lizenzstufe voraus, und zwar für jeden Nutzer. Und der Wechsel von einer Gruppe in die andere scheitert ausgerechnet dort, wo Sie Geld sparen wollen.

Was macht gruppenbasierte Lizenzierung genau?

Sie weisen einer Gruppe ein oder mehrere Produkte zu. Das funktioniert mit Sicherheitsgruppen, mailaktivierten Gruppen und Microsoft-365-Gruppen. Sicherheitsgruppen dürfen dabei auch aus dem lokalen Active Directory synchronisiert sein. Entra ID sorgt dafür, dass alle Mitglieder diese Lizenzen bekommen, und zwar dauerhaft. Neue Mitglieder werden automatisch lizenziert, ausscheidende automatisch entlizenziert. Lizenzänderungen greifen laut Microsoft üblicherweise innerhalb weniger Minuten nach einer Mitgliedschaftsänderung.

Zwei Details entscheiden später über Ihren Handlungsspielraum. Erstens können Sie beim Zuweisen einzelne Dienstpläne innerhalb eines Produkts abschalten, etwa ein Produkt vergeben, ohne einen darin enthaltenen Dienst freizugeben. Zweitens lässt sich eine über eine Gruppe geerbte Lizenz am einzelnen Nutzer nicht mehr entfernen oder verändern. Sie ändern sie nur noch über die Gruppe.

Hält jemand dieselbe Lizenz aus mehreren Quellen, etwa aus zwei Gruppen oder aus einer Gruppe plus Direktzuweisung, verbraucht das trotzdem nur eine Lizenz. Direkt zugewiesene Lizenzen können Sie weiterhin einzeln entfernen, ohne die geerbten anzutasten.

Welche Lizenz brauchen Sie dafür?

Gruppenbasierte Lizenzierung ist keine Gratisfunktion des Mandanten. Microsoft verlangte dafür Entra ID P1 für jeden Nutzer, der davon profitiert, alternativ Microsoft 365 Business Premium oder Office 365 Enterprise E3 und höher. Nicht für den Administrator, der die Gruppe einrichtet, sondern für jeden, der auf diesem Weg eine Lizenz bekommt.

Dazu kommt eine Mengenregel, die oft übersehen wird. Diese Voraussetzungs-Lizenz müssen Sie für jedes eindeutige Mitglied lizenzierter Gruppen besitzen, einzeln zuweisen müssen Sie sie nicht. Bei 1.000 Personen in lizenzierten Gruppen sind das mindestens 1.000 Stück im Bestand. Das Produkt, das die Gruppe verteilt, bekommt dagegen jedes Mitglied automatisch zugewiesen.

Warum in der Vergangenheitsform? Microsoft hat die Seite, auf der diese Anforderung stand, am 1. Juli 2026 gelöscht. Drei Dokumentationsseiten zur gruppenbasierten Lizenzierung wurden zu einer einzigen, deutlich kürzeren Seite im Microsoft 365 Admin Center zusammengefasst. Die nennt die Lizenzanforderung nicht mehr. Verschwunden ist damit die Fundstelle, nicht die Pflicht.

Technisch hängt die Funktion allerdings am Mandanten, nicht am einzelnen Nutzer. Liegt gar keine qualifizierende Lizenz im Tenant, ist die Zuweisung an Gruppen im Portal ausgegraut, dann geht es schlicht nicht. Sobald aber eine einzige davon vorhanden ist, steht die Funktion tenantweit offen.

Genau daraus entsteht die Lücke. Im gemischten Bestand können Sie damit auch Nutzer auf Business Basic, Business Standard oder Office 365 E1 über Gruppen lizenzieren. Die sind dann unterlizenziert, und nichts im Portal weist darauf hin. Dieselbe Konstruktion kennen Sie vom bedingten Zugriff, auch dort wird pro Kopf lizenziert und nie pro Kopf geprüft.

Die gute Nachricht: Wer Microsoft 365 E3, Business Premium, F1 oder F3 einsetzt, hat P1 bereits im Paket. Microsoft 365 E5 enthält die höhere Stufe P2, die genügt ebenfalls. Nachkaufen müssen Sie in keinem dieser Fälle.

Wo sind die Grenzen?

Vier Einschränkungen treffen Sie im Alltag. Die erste davon ist die unangenehmste, weil sie stillschweigend wirkt und deshalb oft erst Monate später auffällt.

• Verschachtelte Gruppen funktionieren nicht. Weisen Sie einer Gruppe eine Lizenz zu, die andere Gruppen enthält, bekommen nur die Mitglieder der ersten Ebene eine Lizenz. Die Mitglieder der Untergruppen bleiben ohne.
• Im Admin Center können Sie höchstens 20 Gruppen auf einmal bedienen, und die Funktion „Erneut verarbeiten" arbeitet maximal 20 Nutzer gleichzeitig ab.
• Der Verwendungsort wird vom Mandanten geerbt, wenn er am Nutzer nicht gesetzt ist. Bei mehreren Ländern führt das zu falschen oder scheiternden Zuweisungen.
• Große Gruppen sind langsam. Bei sehr vielen Mitgliedern oder hoher Last kann die Verarbeitung deutlich länger dauern als die üblichen Minuten.

Eine fünfte Falle betrifft alle, die Gruppen dynamisch machen wollen: Wandeln Sie eine bestehende statische Gruppe in eine dynamische um, entfernt Entra zuerst sämtliche Mitglieder und wendet danach die Regel an. Wer in dieser Zeit auf die Gruppe angewiesen ist, verliert Zugriff.

Warum schlägt die Lizenzzuweisung fehl?

Fehler entstehen im Hintergrund, während der Dienst die Lizenzen verteilt. Sie bekommen sie deshalb nicht sofort gemeldet, sondern sie werden am Nutzerobjekt vermerkt. Das ist der Grund, warum solche Probleme unbemerkt bleiben, bis jemand gezielt nachsieht.

Zwei Eigenschaften dieser Fehler machen sie gefährlicher, als sie aussehen. Ein einzelner Fehler blockiert die ganze Gruppe: Hängen mehrere Produkte an einer Gruppe und eines scheitert, weist Entra die übrigen ebenfalls nicht zu. Und der Rückweg ist riskanter als der Hinweg, weil DependencyViolation beim Entfernen entsteht, nicht beim Zuweisen.

Microsoft löst diese Konflikte übrigens nicht selbst auf. Die Entscheidung liegt ausdrücklich beim Administrator.

Wie tauschen Sie eine Lizenz über Gruppen?

Hier liegt die Falle, an der die meisten Sparprojekte hängenbleiben. Für Direktzuweisungen lautet die Regel: alte Lizenz raus, neue rein, in einem Vorgang. Sonst startet die Löschuhr für das Postfach, wie im Leitfaden zum Downgrade ohne Datenverlust beschrieben.

Bei Gruppen gilt das Gegenteil, weil die Mitgliedschaft asynchron verarbeitet wird und es diesen Ein-Vorgang-Wechsel nicht gibt. Microsoft schreibt diese Reihenfolge vor:

1. Nutzer zuerst in die Zielgruppe aufnehmen.
2. Auf der Lizenzseite des Nutzers prüfen, ob die neue Lizenz angekommen ist.
3. Erst dann aus der alten Gruppe entfernen.

Nehmen Sie zuerst heraus, ist die Person unlizenziert, bis die Verarbeitung durch ist. In großen Mandanten kann das länger dauern als erwartet.

Und jetzt die Zange: Schritt 1 bedeutet, dass der Nutzer kurzzeitig beide Lizenzen hält. Beim Wechsel von Microsoft 365 E3 auf Business Premium kollidieren die Exchange-Online-Pläne der beiden Suiten, und die Zuweisung scheitert mit MutuallyExclusiveViolation. Der dokumentierte sichere Weg führt also direkt in den dokumentierten Fehler. Welche Dienstpläne einander ausschließen, führt Microsoft nirgends auf, in Admin-Foren ist genau dieser Fall aber mehrfach beschrieben.

Einen Lösungsweg nennt Microsoft für den Konflikt nicht, die Entscheidung liegt wie erwähnt beim Administrator. Der praktikable Ausweg ergibt sich aus einer anderen Stelle der Dokumentation: Beim Zuweisen einer Gruppenlizenz lassen sich einzelne Dienstpläne abschalten. Nehmen Sie in einer der beiden Gruppenzuweisungen die kollidierenden Pläne heraus, bevor Sie jemanden hinzufügen. Dann ist der Parallelbetrieb möglich, und Schritt 3 entfernt am Ende die alte Lizenz ohne Lücke.

Eine Vorstufe gehört noch davor. Hängen an einer Gruppe mehrere Produkte und eines davon lässt sich nicht zuweisen, blockiert das auch alle übrigen. Prüfen Sie deshalb vorher, ob in der Gruppe noch Produkte hängen, die dort nichts mehr zu suchen haben.

Wie prüfen Sie das in Ihrem Tenant?

Drei Handgriffe, die Ihnen den Zustand zeigen:

1. Fehler finden: Microsoft 365 Admin Center, Abrechnung, Lizenzen, Produkt auswählen, Reiter „Fehler und Probleme". Dort stehen die betroffenen Nutzer samt Fehlertyp.
2. Direkt oder geerbt unterscheiden: Connect-MgGraph -Scopes "Organization.Read.All", dann Get-MgSubscribedSku -All | Select-Object skuid -ExpandProperty serviceplans | select serviceplanid, serviceplanname, um die Dienstplan-IDs zu bekommen und je Nutzer die Herkunft aufzulösen.
3. Im Nachhinein nachvollziehen: In den Entra-Überwachungsprotokollen filtern Sie auf die Aktivität „Change user license" mit Status „failure", ausgelöst von der Anwendung „Microsoft Entra ID Group-Based Licensing". Achtung, das Fenster ist eng. Üblich sind 30 Tage, mit Entra ID Free nur sieben. Wer also unterlizenziert ist, hat ausgerechnet die kürzeste Frist, um den Fehler nachzuvollziehen.

Nach jeder Korrektur müssen Sie den Nutzer neu verarbeiten lassen, sonst bleibt der Fehlerzustand stehen. Das geht über die Schaltfläche „Erneut verarbeiten" oder per Invoke-MgLicenseUser.

Wie LessLicense das sichtbar macht

LessLicense liest den Lizenz-Zuweisungsstatus jedes Nutzers read-only über Microsoft Graph, inklusive der Information, ob eine Lizenz direkt oder über eine Gruppe kommt. Daraus entstehen drei Dinge, die im Portal verstreut oder gar nicht sichtbar sind.

Fehlgeschlagene Zuweisungen werden zur Aufgabe. Statt eines rohen Fehlercodes bekommen Sie Klartext: MutuallyExclusiveViolation erscheint als „Konfligierende Service-Pläne", DependencyViolation als „Fehlende abhängige Lizenz". Dazu die betroffene Person, die betroffene Lizenz und der Hinweis, in einer der Gruppen den kollidierenden Plan zu deaktivieren.

Doppelzuweisungen fallen auf. Wer dieselbe Lizenz direkt und über eine Gruppe hält, taucht als eigener Befund auf. Das kostet zwar keine zweite Lizenz, wird aber beim Offboarding zum Problem, weil das Entfernen an einer Stelle nicht reicht.

Gruppen werden als Gruppen behandelt. Die Analyse bewertet jede lizenzzuweisende Gruppe als Ganzes und schlägt vor, sie zu bereinigen, aufzuteilen oder herabzustufen. Wer seine Lizenz ausschließlich über eine Gruppe bezieht, bekommt bewusst keine Einzelnutzer-Empfehlung mehr. Eine solche Empfehlung wäre nicht umsetzbar, weil Microsoft die Änderung am einzelnen Konto gar nicht zulässt.

FAQ

Brauche ich Entra ID P1 für gruppenbasierte Lizenzierung?

Ja. Microsoft verlangte die Stufe für jeden Nutzer, der von der Zuweisung profitiert, alternativ Business Premium oder Office 365 E3 und höher. Technisch geprüft wird das nicht: Eine einzige qualifizierende Lizenz im Mandanten schaltet die Funktion für alle frei. Seit dem 1. Juli 2026 steht die Anforderung zudem nicht mehr in der aktuellen Dokumentation, weil Microsoft die entsprechende Seite entfernt hat.

Warum bekommen Mitglieder meiner Untergruppe keine Lizenz?

Weil gruppenbasierte Lizenzierung keine verschachtelten Gruppen unterstützt. Nur Mitglieder der ersten Ebene werden lizenziert, alle darunter bleiben ohne Lizenz.

Kann ich einem einzelnen Nutzer eine über die Gruppe zugewiesene Lizenz entziehen?

Nein. Geerbte Lizenzen lassen sich nur über die Gruppe ändern. Brauchen Sie für eine Person eine andere Zusammenstellung, legen Sie eine weitere Gruppe an und nehmen die Person dort auf.

Was bedeutet MutuallyExclusiveViolation?

Der Nutzer soll zwei Dienstpläne bekommen, die einander ausschließen. Das passiert regelmäßig beim Wechsel zwischen zwei Suiten, in der Praxis meist an den Exchange-Online-Plänen. Eine Liste der unverträglichen Pläne veröffentlicht Microsoft nicht, der konkrete Fall steht im Überwachungsprotokoll. Lösen können Sie es, indem Sie den kollidierenden Dienstplan in einer der beiden Gruppenzuweisungen abschalten.

Verbraucht ein Nutzer zwei Lizenzen, wenn er in zwei lizenzierten Gruppen ist?

Nein. Dieselbe Lizenz aus mehreren Quellen wird nur einmal verbraucht. Sie brauchen aber trotzdem für jedes eindeutige Mitglied einer lizenzierten Gruppe eine Lizenz im Bestand.