Microsoft 365 Lizenz downgraden ohne Datenverlust

Kurz gesagt: Ein Lizenz-Downgrade in Microsoft 365 spart sofort Geld, kann aber Daten vernichten und Compliance-Pflichten verletzen, wenn Sie vorher die Abhängigkeiten nicht prüfen. Postfach, OneDrive, Archiv, Holds, Telefonnummern, Flows und Agenten entscheiden, ob ein Downgrade sicher ist. Diese Anleitung liefert pro Stufe eine abarbeitbare Checkliste: die Enterprise-Leiter (E7 auf E5, E5 auf E3), den Wechsel in die Business-Familie (E3 auf Business Premium, Premium auf Standard, Standard auf Basic) und die Frontline-Stufen (E3 auf F3, F3 auf F1).

Eine Abgrenzung vorweg: Hier geht es nicht um die Frage, ob sich ein Downgrade lohnt. Wir setzen voraus, dass diese Entscheidung steht, etwa weil ein Nutzer die teuren Features seiner Lizenz nicht braucht. Dieser Artikel behandelt ausschließlich, wie Sie es sicher umsetzen, ohne etwas zu zerstören.

Springen Sie direkt zu Ihrer Stufe:

Direkt zur Stufe springen:

Warum so viel Einsparpotenzial brachliegt

Genau diese Unsicherheit ist teuer. In vielen Organisationen laufen überdimensionierte Lizenzen jahrelang weiter, weil niemand das Risiko eines Downgrades einschätzen kann. Die Sorge, ein Postfach zu zerstören, einen Hold zu brechen oder einen produktiven Flow abzuschalten, wiegt schwerer als die monatliche Ersparnis. Das Ergebnis: E5 läuft, wo E3 reichen würde, und klare F3-Kandidaten behalten teure E3-Lizenzen.

Das Einsparpotenzial liegt also nicht brach, weil es fehlt, sondern weil die Abhängigkeitsprüfung fehlt. Wer pro Nutzer weiß, was beim Schritt nach unten bricht und was nicht, kann gezielt herunterstufen, statt aus Vorsicht alles auf der teuersten Stufe zu lassen. Dieser Artikel macht aus dem diffusen Risiko eine konkrete Liste.

Was beim Lizenzentzug technisch passiert

Sobald ein Dienst aus der Lizenz fällt, startet je nach Datenbestand eine Lösch- oder Sperruhr. Diese Mechanik gilt für jeden der folgenden Schritte und ist die Grundlage für alles Weitere.

  • Postfach: Wird die Exchange-Online-Lizenz entzogen, trennt Exchange Online das Postfach sofort ab und hält die Daten 30 Tage. Weisen Sie innerhalb dieser 30 Tage wieder eine Exchange-Online-Lizenz zu, wird das Postfach vollständig wiederhergestellt. Nach 30 Tagen wird es endgültig gelöscht und ist nicht mehr wiederherstellbar. Voraussetzung für die Frist: kein aktiver Hold (siehe unten).
  • OneDrive (zwei Fälle, die oft verwechselt werden): Beim reinen Lizenzentzug, bei dem das Benutzerkonto in Entra ID bestehen bleibt, gibt es keine automatische 30-Tage-Löschung und keinen automatischen Vorgesetzten-Zugriff. Stattdessen wird OneDrive am 60. unlizenzierten Tag schreibgeschützt und am 93. Tag archiviert. Erst beim Löschen des Benutzerkontos startet der bekannte Ablauf: Standard-Aufbewahrung 30 Tage (einstellbar bis 3650), der in Entra ID hinterlegte Vorgesetzte erhält bei aktivierter Zugriffsdelegierung automatisch Zugriff plus Benachrichtigung, danach landet OneDrive für 93 Tage im Papierkorb der Websitesammlung.
  • Holds haben Vorrang, aber anders als oft gedacht: Liegt auf einem Postfach ein Litigation Hold oder eDiscovery-Hold, blockiert das nicht den Lizenzentzug selbst, schützt aber die Daten. Die Lizenz lässt sich entfernen, doch Exchange kann das Postfach unter aktivem Hold nicht abtrennen und meldet im Microsoft 365 Admin Center einen Fehler am Konto (per Design). Das Postfach bleibt in einem fehlerhaften Zwischenzustand aktiv, statt sauber gelöscht zu werden, die Daten gehen also nicht verloren. Wer ein Postfach mit Hold wirklich herunterstufen will, muss den Hold vorher manuell entfernen (danach werden die Daten löschbar) oder das Konto bei aktivem Hold löschen, sodass ein inaktives Postfach entsteht.

Ein Downgrade auf eine kleinere Lizenz ist kein reiner Lizenzentzug. Die gleiche Logik greift aber, sobald die Ziel-Lizenz einen Dienst nicht mehr enthält. Fällt zum Beispiel das Postfach-Recht weg, gilt für die Postfachdaten dieselbe 30-Tage-Frist.

Die wichtigste operative Regel: Tauschen Sie die Lizenz immer in einem Vorgang, also alte Lizenz entfernen und neue Lizenz zuweisen im selben Schritt. Wer die alte Lizenz erst entfernt und die neue später zuweist, startet zwischenzeitlich die Löschuhr. Microsoft fordert den Ein-Vorgang-Wechsel ausdrücklich.

Holds und inaktive Postfächer

Litigation Hold betrifft längst nicht jedes Postfach, ist aber der teuerste Fehler beim Downgrade. Proaktiv eingerichtet ist er vor allem in regulierten Branchen; viele Organisationen aktivieren ihn erst, wenn ein Rechtsstreit es erzwingt.

  • Lizenzgrundlage: Litigation Hold setzt Exchange Online Plan 2 voraus (in E3 und E5 enthalten) oder Exchange Online Archiving auf einem Plan-1-Postfach. Business Premium bringt genau dieses Archiving als Dienstplan mit und kann den Hold halten. Business Basic und Business Standard liefern nur Plan 1 ohne Archiving und können es nicht.
  • Reihenfolge: Soll ein Postfach erhalten bleiben, obwohl der Nutzer geht, muss der Hold vor dem Löschen des Kontos aktiv sein. Dann entsteht ein inaktives Postfach, das ohne Lizenz für die Compliance aufbewahrt wird. Ein erst nachträglich gesetzter Hold rettet das Postfach im 30-Tage-Fenster nicht.
  • Alternative auf Plan 1: Wer Litigation Hold ohne Plan 2 braucht, kann das Add-on Exchange Online Archiving auf ein Plan-1-Postfach buchen. Es ergänzt das Auto-Expanding-Archiv und Litigation Hold und ist oft günstiger als eine pauschale Plan-2- oder E3-Lizenz.

Der sichere Weg: Postfächer mit aktivem Hold vom Downgrade ausklammern, bis der Hold offiziell aufgehoben ist.

Der Besitz-Check: Flows, Apps und Agenten

Neben Daten verliert ein Nutzer beim Downgrade auch Eigentum an automatisierten Diensten. Diese laufen im Kontext des Owners und brechen, wenn dessen Lizenz die nötige Stufe verlässt. Das gilt für jeden der folgenden Schritte und wird beim Lizenzabbau am häufigsten übersehen.

  • Premium-Flows (Power Automate): Verliert der Owner die Premium-Lizenz, stuft Microsoft den Flow zuerst auf geringere Performance herunter, benachrichtigt die Owner und schaltet ihn nach 14 Tagen ohne Aktion ab. Abhilfe: Flow auf einen lizenzierten Owner umhängen oder direkt per Process- bzw. Per-Flow-Lizenz lizenzieren. Nach dem Lizenzkauf lässt er sich jederzeit wieder einschalten.
  • Power Apps Premium und Power Pages: Premium-Apps brauchen pro Endnutzer ein Premium-Entitlement (Power Apps Per User/Per App oder Dynamics 365). Bleibt nur die in Microsoft 365 enthaltene Berechtigung, deckt sie nur Standard-Connectoren. Premium-Apps und Power Pages starten dann nicht mehr, die Dataverse-Daten bleiben aber erhalten.
  • Agenten (Copilot Studio, Copilot Agent Builder): Verliert der Owner seine Copilot- bzw. Copilot-Studio-Lizenz oder verlässt die Organisation, wird der Agent zum verwaisten Agenten. Er läuft weiter und greift auf seine Wissensquellen zu, aber niemand verwaltet Einstellungen und Compliance. Die Eigentümer-Neuzuweisung geht nur per Admin (Power Platform API oder PowerShell) an einen Nutzer im selben Tenant; für den produktiven Weiterbetrieb braucht der neue Owner selbst eine Copilot-Studio-Lizenz und Zugriff auf die Umgebung. Bei Agent-Builder-Agenten ist die Übertragung im Produkt gar nicht vorgesehen, und löschen kann ursprünglich nur der Ersteller. Autonome Agenten verbrauchen zudem weiter Copilot Credits, bis ihre Trigger gestoppt werden.

Reihenfolge auch hier: Erst Flows, Apps und Agenten übertragen oder deaktivieren, dann die Lizenz umstellen. Sonst entstehen unverwaltete Dienste mit laufenden Kosten.

Downgrades sind kombinierbar

Die folgenden Blöcke sind bewusst pro Stufe aufgebaut. Wer eine Stufe überspringt, kombiniert die Blöcke. Ein Wechsel von E5 direkt auf F3 ist fachlich ein E5-auf-E3-Schritt plus ein E3-auf-F3-Schritt: Sie verlieren erst die E5-Security- und Compliance-Schicht und dann zusätzlich den gesamten Postfach-, Archiv- und Desktop-Umfang. Prüfen Sie in diesem Fall beide Tabellen nacheinander.

Das Gleiche gilt für E7 auf E3 (drei Blöcke) oder E5 auf F1 (drei Blöcke). Es gibt keine Abkürzung: Jede übersprungene Stufe bringt ihre eigenen Abhängigkeiten mit, und sie addieren sich.

Ab E3 gibt es außerdem einen zweiten Abzweig: quer in die Business-Familie (Business Premium, Standard, Basic), solange der Tenant unter 300 Nutzern bleibt. Auch diese Blöcke kombinieren sich: Ein Wechsel von E3 direkt auf Business Standard ist ein E3-auf-Business-Premium-Schritt plus ein Premium-auf-Standard-Schritt.

Zur Spalte „Kategorie": Jede Zeile ist eingeordnet als Funktion entfällt (eine Fähigkeit steht künftig nicht mehr zur Verfügung, es bricht aber nichts und es ist nichts vorzubereiten), Aktion nötig (Bestehendes bricht oder geht verloren, außer Sie handeln vorher), Verlust von Daten/Informationen (Daten oder Informationen gehen unwiederbringlich verloren) oder Compliance-Risiko (eine Aufbewahrungs- oder Rechtspflicht bleibt still unerfüllt, auch wenn funktional nichts auffällt). Nur die erste Kategorie ist ein reiner Verzicht, die anderen drei sind ein Stopp- oder Vorbereitungssignal.

E7 auf E5

Microsoft 365 E7 (Frontier Suite, allgemein verfügbar seit Mai 2026) ist E5 plus drei Schichten: Microsoft 365 Copilot, Microsoft Agent 365 und die volle Microsoft Entra Suite. E5 behält den kompletten Produktivitäts-, Security- und Compliance-Stack inklusive Entra ID P2. Beim Downgrade fallen genau diese drei Schichten weg. Das größte Risiko sind verwaiste Agenten und Agent-Identitäten.

Prüfen Was beim Downgrade bricht Kategorie Schwere
Eigene Agenten (Copilot Studio, Agent Builder) im Besitz des Nutzers Mit dem Wegfall der Copilot-Lizenz werden die Agenten verwaist und laufen unverwaltet weiter. Neuzuweisung nur per Admin an einen Nutzer im Tenant; produktiver Betrieb braucht beim neuen Owner eine Copilot-Studio-Lizenz. Aktion nötig hoch
Sponsor von Agent-Identitäten (Entra Agent ID) Der Sponsor ist der menschlich Verantwortliche für Lifecycle und Zugriff einer Agent-Identität. Die automatische Übergabe an den Manager läuft über Lifecycle Workflows, die zur Entra Suite gehören und in E5 fehlen. Ohne Sponsor droht ungovernte Agent-Berechtigung. Aktion nötig hoch
Microsoft Entra Private Access (ZTNA für interne Apps) Private Access ist Entra-Suite-Funktion. Der Nutzer verliert den Zugang zu internen Anwendungen, die nur über Private Access veröffentlicht sind. Ebenfalls als Standalone nachbuchbar. Aktion nötig hoch
Copilot Pages und Copilot Notebooks des Nutzers Inhalte liegen in nutzereigenen Containern und werden nicht sofort gelöscht, der Erstell- und Bearbeitungspfad über Copilot entfällt aber. Achtung: einzeln gelöschte Copilot Notebooks sind weder durch Admin noch Nutzer wiederherstellbar. Aktion nötig, sonst Datenverlust mittel
Copilot-Credit-Verbrauch durch Agenten des Nutzers Agentenaktionen werden in Copilot Credits abgerechnet. Der Pool ist tenant-weit, der Owner-Wegfall stoppt den Verbrauch nicht automatisch. Ein verwaister Agent kann weiter Kosten verursachen. Aktion nötig mittel
Entra ID Governance (Lifecycle Workflows, Access Packages, erweiterte Access Reviews) Lifecycle Workflows und die erweiterte Governance stecken in der Entra Suite, nicht in P2. Governance-pflichtige Zuweisungen können in einen nicht-lizenzkonformen Zustand geraten. Compliance-Risiko hoch
Agent 365 als Steuerungsebene (Agent-Registry, Agenten-Monitoring) Agent 365 ist die zentrale Sichtbarkeits- und Governance-Schicht für Agenten. Mit dem Downgrade verliert der Nutzer das Entitlement; ihm zugeordnete Agenten verlieren den verantwortlichen Owner. Compliance-Risiko hoch
Conditional Access für Agent-Identitäten Conditional Access und Risikobewertung für Agenten hängen an der Agent- und Governance-Schicht. Fällt der lizenzierte Owner weg, bleibt die Zugriffssteuerung der Agent-IDs unbeaufsichtigt. Compliance-Risiko mittel
Microsoft Entra Internet Access (Secure Web Gateway, Webfilter) Internet Access gehört zur Entra Suite und fällt weg. Webfilterung und Durchsetzung für diesen Nutzer entfallen. Einzeln als Standalone-Lizenz (mit P1/P2 als Voraussetzung) nachbuchbar. Funktion entfällt hoch
Microsoft 365 Copilot aktiv genutzt (Copilot in Word, Excel, Outlook, Teams, work-basierter Chat) Der work-basierte Copilot in den Apps fällt weg. Es bleibt nur der in E5 enthaltene web-basierte Copilot Chat. Funktion entfällt mittel
Verified ID Face Check Die High-Assurance-Verifizierung per Face Check gehört zur Entra Suite und entfällt. Verifizierungs- und Onboarding-Flows, die darauf bauen, brechen. Funktion entfällt niedrig

So prüfen Sie das (oberflächlich):

  1. Agenten-Eigentum: Power Platform Admin Center, Umgebungen, je Umgebung die Agenten nach Owner filtern; zusätzlich Agent Builder bzw. die Agent-Registry im Microsoft 365 Admin Center. Owner-Liste vor dem Entzug exportieren.
  2. Agent-Identitäten und Sponsorships: Entra Admin Center, Identity und ID Governance, prüfen welche Agent-IDs den Nutzer als Sponsor führen.
  3. Copilot-Nutzung und Credits: Microsoft 365 Admin Center, Copilot-Nutzung; Credit-Verbrauch im Power Platform Admin Center unter Licensing und Copilot Studio.
  4. Entra Suite: Entra Admin Center, Global Secure Access, prüfen ob der Nutzer Internet- oder Private-Access-Profilen zugewiesen ist; unter ID Governance auf Lifecycle Workflows und Access Packages.
  5. Service-Plan-Differenz: Microsoft 365 Admin Center, Nutzer, Lizenzen, vor dem Umstellen E7 gegen E5 ansehen.

Was nicht bricht: Der gesamte E5-Kern bleibt erhalten. Office-Apps, Exchange, SharePoint, OneDrive, Teams, Power BI Pro, Defender for Office 365 Plan 2, Defender for Endpoint Plan 2, die Purview-Compliance und Entra ID P2 (Conditional Access, PIM, Identity Protection für menschliche Identitäten) bleiben voll nutzbar. Vom Nutzer erstellte Agenten und Copilot-Inhalte werden durch den Lizenzentzug nicht sofort gelöscht.

E5 auf E3

E3 enthält die Standard-Stufe, E5 die Premium-Stufe darüber. Postfach (100 GB) und Archiv (Auto-Expanding bis 1,5 TB) sind in beiden Plänen identisch und bleiben. Weg fallen die E5-exklusiven Security-, Compliance- und Identity-Premium-Funktionen. Welche Pakete in E5 stecken und ab wann sich der Schritt lohnt, zeigt der Vergleich E5 vs. E3.

Prüfen Was beim Downgrade bricht Kategorie Schwere
PIM-Eligible-Rollen (Just-in-time-Admin, Entra ID P2) P2 entfällt. Eligible-Rollenzuweisungen werden entfernt, der Nutzer kann Rollen nicht mehr aktivieren; aktive zeitgebundene Zuweisungen werden dauerhaft. Vorher nötige Adminrechte als dauerhafte Zuweisung absichern, sonst Lockout-Gefahr. Aktion nötig hoch
Teams Phone (Telefonnummer) Die Nummernzuweisung wird aufgehoben. Bei Direct Routing wird die Nummer aus der Datenbank gelöscht, bei Calling Plan und Operator Connect geht sie in den Pool zurück. Lizenz in einem Schritt tauschen, sonst ist die Nummer weg. Aktion nötig, sonst Verlust der Nummer hoch
Access Reviews und Entitlement Management (P2) Laufende Access Reviews mit dem Nutzer enden, seine Reviewer-Rolle entfällt. Offene Reviews vor dem Downgrade abschließen. Aktion nötig mittel
Power BI Pro (in E5 enthalten, in E3 nicht) Der Nutzer kann nicht mehr in Workspaces veröffentlichen, bearbeiten oder teilen; My-Workspace-Inhalte und geplante Aktualisierungen brechen ohne separate Pro- oder PPU-Lizenz. Inhalte vorab sichern oder Eigentümerschaft übertragen. Aktion nötig mittel
Audit (Premium), Aufbewahrung über 180 Tage Neu erzeugte Audit-Records des Nutzers fallen von 1 Jahr (E5) auf 180 Tage zurück. Bereits gespeicherte Records behalten ihre Frist. Bei Forensik- oder Aufbewahrungspflicht vorab exportieren. Compliance-Risiko hoch
eDiscovery Premium und Custodian-Holds Review Sets, Custodian-Workflow und Analyse entfallen. Jeder gehaltene Custodian braucht eine E5-Lizenz. eDiscovery Standard inklusive Hold und Export bleibt in E3. Compliance-Risiko hoch
Records Management (als Datensatz markieren, Disposition, ereignisbasierte Aufbewahrung) Diese Label-Einstellungen kann der Nutzer nicht mehr neu anwenden. Bereits deklarierte Datensätze bleiben gesperrt und nicht entfernbar. Compliance-Risiko hoch
Insider Risk Management Aktivitätsüberwachung und die Reviewer-Rolle des Nutzers entfallen. Offene Fälle vorher sichern oder abschließen. Compliance-Risiko hoch
Adaptive und automatische Aufbewahrung (adaptive Scopes, Auto-Apply von Aufbewahrungslabels) Adaptive Scopes und automatisches Anwenden von Aufbewahrungslabels brauchen E5. Statische Richtlinien und manuelles Labeln bleiben in E3. Inaktiv werdende Postfächer lassen sich ohne adaptive Scopes nicht mehr gezielt halten. Compliance-Risiko hoch
Automatisches Sensitivity-Labeling mit Verschlüsselung Automatische Klassifizierung und erzwungene Verschlüsselung neuer Inhalte entfallen. Bereits verschlüsselte Dateien bleiben lesbar, manuelles Labeln bleibt in E3. Compliance-Risiko mittel
Communication Compliance (Aufsicht über Teams, Outlook, Viva Engage) Die Überwachung der Kommunikation des Nutzers auf Policy-Verstöße entfällt. In aufsichtspflichtigen Rollen ein Compliance-Bruch. Compliance-Risiko mittel
Information Barriers Ist der Nutzer einem IB-Segment zugewiesen, fehlt nach dem Downgrade die Lizenzdeckung für die Segmenttrennung. Compliance-Risiko mittel
Customer Lockbox Der Genehmigungsworkflow für Microsoft-Support-Zugriffe ist E5-gebunden und kann bei sinkender E5-Abdeckung entfallen (tenant-abhängig). Compliance-Risiko niedrig
Defender for Office 365 Plan 2 (Threat Explorer, Automated Investigation, Attack Simulation Training) Plan 2 entfällt. Die Plan-1-Basis (Safe Links, Safe Attachments, Anti-Phishing) bleibt in E3, sofern der Tenant den 2026 laufenden Plan-1-Rollout für E3 (Abschluss von Microsoft für Herbst 2026 angekündigt) bereits erhalten hat, sonst fehlt auch dieser Basisschutz. Funktion entfällt hoch
Defender for Endpoint Plan 2 (EDR, Advanced Hunting, Threat and Vulnerability Management) Plan 2 entfällt für das Gerät. Plan 1 (Next-Gen-Schutz, Attack Surface Reduction) bleibt in E3. Funktion entfällt hoch
Defender for Identity und Defender for Cloud Apps Beide sind E5-only und fallen weg: identitätsbasierte Angriffserkennung und CASB-Funktionen (App-Discovery, Session-Policies) entfallen. Funktion entfällt hoch
Identity Protection (risikobasierte Conditional Access, P2) Sign-in- und User-Risk-Policies decken den Nutzer nicht mehr. Nicht-risikobasierte Conditional Access bleibt mit P1 in E3. Funktion entfällt hoch
Erweiterte DLP (Endpoint DLP, DLP für Teams-Chat) Schutz sensibler Dateien auf dem Endgerät und in Teams-Chats entfällt. DLP für Exchange, SharePoint und OneDrive bleibt in E3. Funktion entfällt mittel
Audio Conferencing (Einwahlnummern für Meetings) Die PSTN-Einwahl für die Meetings des Nutzers entfällt. Teilnahme per Computer-Audio bleibt. Bei Bedarf als Add-on zukaufen. Funktion entfällt mittel

So prüfen Sie das (oberflächlich):

  1. Entra Admin Center, ID Governance: PIM-Eligible-Rollen des Nutzers, risikobasierte Policies aus Identity Protection, Access Reviews mit dem Nutzer als Subjekt oder Reviewer.
  2. Purview-Portal: Audit-Suche (Retention über 180 Tage nötig?), Aufbewahrungsrichtlinien auf adaptive Scopes und Auto-Apply, Records-Labels, Insider Risk Management, Communication Compliance, Information Barriers, DLP-Standorte Endpoint und Teams.
  3. Defender-Portal: Geräte-Onboarding (Plan 1 gegen Plan 2), Defender-for-Office-Plan-2-Funktionen, Defender for Identity und Cloud Apps.
  4. Purview eDiscovery: ist der Nutzer Custodian in einem Premium-Fall oder stehen seine Daten unter Custodian-Hold?
  5. Teams Admin Center, Sprache: zugewiesene Nummer, Calling Plan gegen Direct Routing, Audio Conferencing. Lizenzwechsel in einer Operation planen.
  6. Power BI: eigene Workspaces und veröffentlichte Berichte des Nutzers; Eigentümerschaft übertragen oder exportieren, bevor Pro entzogen wird.

Was nicht bricht: Postfach (100 GB) und Auto-Expanding-Archiv (1,5 TB) sind in E3 identisch. Entra ID P1 (Standard-Conditional-Access, MFA, SSPR), Defender Plan 1, statische Aufbewahrung, manuelles Labeln, DLP für Exchange, SharePoint und OneDrive sowie eDiscovery Standard bleiben. Office-Apps, Teams, SharePoint, OneDrive, Windows Enterprise und die Intune-Geräteverwaltung sind in E3 voll enthalten. Das Microsoft-365-Copilot-Add-on bleibt qualifiziert, weil E3 eine gültige Basislizenz ist.

E3 auf Business Premium

Der Wechsel von Microsoft 365 E3 auf Business Premium hat eine harte Vorbedingung: Die Business-Familie ist auf 300 Lizenzen je Tenant gedeckelt, über Basic, Standard und Premium zusammen. Der Wechsel selbst läuft je nach Abrechnungskonto über den geführten Abo-Wechsel oder manuell über Neukauf, Nutzerumzug und Kündigung des alten Abos. Die kritischen Punkte sitzen beim Postfach-Kontingent im Rollout-Fenster, bei Windows Enterprise und bei den Enterprise-Add-ons. Ob Business Premium für eine Rolle reicht, klärt der Vergleich Microsoft 365 Business Premium vs. E3.

Prüfen Was beim Downgrade bricht Kategorie Schwere
300-Nutzer-Deckel der Business-Familie (Basic + Standard + Premium zusammen maximal 300 Seats je Tenant) Der Deckel gilt familienweit, nicht je Plan: 60 vorhandene Business-Basic-Postfächer lassen nur noch 240 Premium-Seats zu. Bei mehr als 300 Nutzern ist der Wechsel nur teilweise möglich, der Rest bleibt im Mischbetrieb auf E3 oder E5. Vorher alle Business-Lizenzen im Tenant zählen und geplantes Wachstum einrechnen. Microsoft behält sich die Durchsetzung des Limits ausdrücklich vor. Aktion nötig hoch
Postfächer über 45 GB (E3 = 100 GB, Business Premium 50 GB; Microsoft rollt bis 1. August 2026 zusätzliche 50 GB aus) Bis das Packaging-Update im eigenen Tenant angekommen ist, gilt 50 GB. Größere Postfächer laufen in Prohibit Send/Receive: kein Versand, eingehende Mail wird abgewiesen. Der Rollout soll bis 1. August 2026 abgeschlossen sein, der Stand ist tenant-abhängig. Vorher Größen prüfen und das Ist-Kontingent am Testnutzer messen, oder den Termin hinter den Rollout legen. Aktion nötig, sonst Datenverlust hoch
Archiv wird abwählbarer Dienstplan (E3: Archiv fest in Exchange Online Plan 2; Business Premium: eigener Dienstplan Exchange Online Archiving) Das Auto-Expanding-Archiv bis 1,5 TB bleibt in Business Premium erhalten. Es hängt aber am einzeln abwählbaren Dienstplan Exchange Online Archiving. Wird er in der Gruppenlizenzierung abgewählt, entfällt die Archiv-Berechtigung samt Litigation Hold. Ein deaktiviertes Archiv ist nach 30 Tagen endgültig gelöscht, deshalb je Pilotnutzer ArchiveStatus und AutoExpandingArchiveEnabled prüfen. Aktion nötig, sonst Datenverlust hoch
Backup-Pflicht beim Wechsel (Wechsel auf einen Plan mit weniger Diensten) Microsoft dokumentiert für den Wechsel auf einen Plan mit weniger Diensten ausdrücklich den Pfad, alle zu behaltenden Daten vorher manuell zu sichern. Eine Erhaltungs-Zusicherung wie beim automatischen Planwechsel gibt es nicht. Die neue Lizenz im selben Vorgang zuweisen, in dem die alte entfernt wird, sonst startet die 30-Tage-Löschfrist. Vorher klären, welche Daten an Diensten hängen, die Business Premium nicht oder kleiner führt. Aktion nötig, sonst Datenverlust hoch
Lizenzierte Shared Mailboxes über 50 GB (100 GB nur mit zugewiesener Exchange-Online-Plan-2- oder E3/E5-Lizenz) Funktionspostfächer wie info@ oder buchhaltung@, die wegen ihrer Größe eine E3-Lizenz tragen, fallen auf 50 GB zurück. Eine Business-Premium-Lizenz hebt das Limit nicht an. Ob der +50-GB-Rollout Shared Mailboxes erfasst, ist nicht dokumentiert, also am Tenant nachmessen. Aktion nötig, sonst Datenverlust hoch
PIM und Entra ID P2 über Add-ons (EMS E5, Defender Suite oder Entra ID P2 standalone auf E3-Basis) Läuft die P2-Lizenz aus, entfernt Microsoft berechtigte Rollenzuweisungen, beendet laufende Access Reviews und löscht die PIM-Konfiguration. Aus Just-in-Time-Admins werden dauerhafte Admins oder Nutzer ohne Rolle. Enterprise-Add-ons lassen sich nicht an Business-Premium-Seats hängen, Ersatz ist die Defender Suite for Business Premium als Neukauf. Vor dem Wechsel Zuweisungen per Graph oder PowerShell exportieren und das Lückenfenster vermeiden. Aktion nötig, sonst Datenverlust hoch
Windows 365 Enterprise Cloud PCs (braucht Windows E3, Intune und Entra ID P1; Business Premium liefert nur die letzten beiden) Die Windows-Enterprise-Voraussetzung entfällt, bestehende Cloud PCs sind nicht mehr durchgehend lizenziert. Der Lizenztyp einer Bereitstellungsrichtlinie ist nachträglich nicht änderbar. Der Weg zu Windows 365 Business ist eine Neubereitstellung, die alle Daten auf dem Cloud PC löscht. Vorher lokale Daten sichern oder Windows Enterprise E3 je Cloud-PC-Nutzer zukaufen. Aktion nötig, sonst Datenverlust hoch
Windows 11 Enterprise wird Windows 11 Business (Pro-Ebene; betrifft Credential Guard, AppLocker, LTSC, VPN Device Tunnel) Mit dem Lizenzentzug endet die Subscription Activation, Geräte fallen beim nächsten Aktivierungszyklus auf Pro zurück. Credential Guard ist Enterprise-only und schaltet still ab. AppLocker bleibt auf Pro technisch vorhanden, verliert aber die Lizenzgrundlage; die Regeln gehören auf App Control for Business migriert. LTSC-Geräte an Maschinen oder Kassen verlieren die Lizenzgrundlage ganz, ein Step-down-Pfad existiert nicht. Betroffene Enterprise-Funktionen vor dem Wechsel inventarisieren. Aktion nötig hoch
Enterprise-Add-ons verlieren die Basis (Purview Suite, E5 Compliance, E5 Security setzen E3/E5 voraus) Business Premium ist seit 1. Oktober 2025 keine zulässige Basis der Microsoft Purview Suite mehr. Bestehende Compliance- und Security-Add-ons müssen auf die eigenen SMB-Varianten umgestellt werden, etwa die Purview Suite for Business Premium. Das ist ein Neukauf mit eigener Laufzeit und 300-Seat-Deckel, kein Weiterlaufen. Aktion nötig hoch
Planwechsel-Mechanik hängt am Kontotyp (MOSA blockt Ziele mit weniger Diensten; MCA und CSP/NCE: Storno und Seat-Reduktion nur 7 Tage nach Start oder Verlängerung) Bei Alt-Konten (MOSA) blockt der Wechsel-Assistent Zielpläne mit weniger Diensten, dort bleibt nur der manuelle Weg: neues Abo kaufen, Lizenzen ersetzen, altes kündigen. Bei MCA gibt es einen geführten Abo-Wechsel ohne dokumentierte Sperre; ob das konkrete Planpaar angeboten wird, garantiert Microsoft aber nirgends. Bei Jahresbindung ist das E3-Abo bis zum Laufzeitende bezahlt, wer früher wechselt, zahlt beide Abos parallel. Der reale Wechseltermin ist das Verlängerungsdatum, vorher mit dem Partner klären. Aktion nötig hoch
Office-Edition wechselt auf Apps for business (statt Microsoft 365 Apps for enterprise) Installierte Clients konvertieren sich nach dem Lizenzwechsel selbst, Nutzer bestätigen nur den Kontohinweis-Dialog. Anzupassen sind alle ODT- und Intune-Deployments: Die alte Produkt-ID verhindert die Aktivierung. Der Intune-Konfigurations-Designer kann die Business-Edition nicht abbilden, es braucht eine XML-basierte App. Aktion nötig mittel
Inactive Mailboxes (Postfächer ausgeschiedener Mitarbeiter; E3 = Ja, Business Premium = Nein) Der Standardweg Hold setzen, Konto löschen, Postfach bleibt durchsuchbar ist unter Business Premium nicht mehr lizenziert. Bestehende inaktive Postfächer brauchen keine Nutzungslizenz und bleiben, aber wer den Hold entfernt, löscht sie unwiederbringlich. Für künftige Austritte braucht es ein neues Aufbewahrungskonzept. Compliance-Risiko hoch
eDiscovery-Fälle und Holds (Fall-Workflow laut Microsoft an Enterprise E3/E5 gebunden) Der case-basierte eDiscovery-Workflow mit Holds verlangt laut aktueller Purview-Doku Enterprise E3 oder E5; Business Premium taucht in den eDiscovery-Tabellen nicht auf, und jeder Custodian braucht eine berechtigte Lizenz, nicht nur der Admin. Die reine Inhaltssuche (Content Search) bleibt dagegen laut Exchange-Doku in allen Plänen; sie ist lizenzrechtlich vom Fall-Workflow getrennt. Technisch laufen Fälle weiter, das Nutzungsrecht entfällt still, vor dem Wechsel mit Lizenzgeber und Rechtsbereich klären. Compliance-Risiko hoch
Teams-Meetings über 300 Teilnehmer (Enterprise 1.000 interaktiv plus 10.000 View-only, Business 300) Teilnehmer 301 und folgende kommen nicht mehr ins Meeting, die Grenze greift hart beim Beitritt. Der View-only-Überlauf für All-Hands entfällt komplett. Bereits geplante Events werden zur Event-Zeit gegen die dann gültige Lizenz geprüft, Registrierte über der Grenze werden abgewiesen. Formate über 300 vorher splitten oder umplanen. Funktion entfällt hoch
Intune Plan 2, Remote Help, Advanced Analytics (wandern bis 1. August 2026 kostenlos in E3; Business Premium behält Intune Plan 1) Nach dem Wechsel fehlen Remote Help, Advanced Endpoint Analytics und die Plan-2-Fähigkeiten wie Microsoft Tunnel for MAM. Wer die Ersparnis auf Basis der neuen E3-Zusammensetzung rechnet, muss diese Posten als Intune-Suite-Zukauf gegenrechnen. Funktion entfällt hoch

So prüfen Sie das (oberflächlich):

  1. Nutzerzahl gegen 300 halten: Microsoft 365 Admin Center, Abrechnung, Ihre Produkte, alle Business-Pläne im Tenant zusammenzählen; Gesamtbestand per Get-MgUser -All | Measure-Object.
  2. Postfachgrößen ermitteln: Get-Mailbox -ResultSize Unlimited | Get-MailboxStatistics | Where {$_.TotalItemSize -gt 45GB}; Rollout-Stand am Business-Premium-Testnutzer: Get-Mailbox <UPN> | Select ProhibitSendReceiveQuota (50 GB = Update noch nicht da, 100 GB = angekommen).
  3. Archiv und Hold je Pilotnutzer: Get-Mailbox <UPN> | FL ArchiveStatus,AutoExpandingArchiveEnabled,LitigationHoldEnabled; zusätzlich im Entra Admin Center unter Gruppen, Lizenzen kontrollieren, ob der Dienstplan Exchange Online Archiving aktiv ist.
  4. Windows-Bestand inventarisieren: Intune, Geräte, Windows nach Edition Windows 11 Enterprise und LTSC filtern; Credential Guard per msinfo32 (Virtualisierungsbasierte Sicherheit), AppLocker per Get-AppLockerPolicy -Effective.
  5. Add-ons und PIM sichern: Admin Center, Abrechnung auf Enterprise-Add-ons (Purview Suite, E5 Security, EMS E5) prüfen; Entra Admin Center, Privileged Identity Management auf berechtigte Rollenzuweisungen prüfen und vor dem Wechsel exportieren.
  6. Cloud PCs erfassen: Intune, Geräte, Windows 365, Alle Cloud PCs und Bereitstellungsrichtlinien auf Lizenztyp Enterprise prüfen; parallel Abrechnung, Ihre Produkte auf Windows-365-Enterprise-Abos.

Was nicht bricht: Entra ID P1 bleibt vollständig erhalten, damit Conditional Access, SSPR mit Writeback, dynamische Gruppen und gruppenbasierte Lizenzierung. Das Auto-Expanding-Archiv bis 1,5 TB bleibt bei aktivem Dienstplan bestehen, ebenso Litigation Hold und In-Place Hold. Intune Plan 1 mit Autopilot und Compliance-Richtlinien sowie Azure Virtual Desktop inklusive Windows Enterprise multi-session bleiben lizenziert. Purview-Basics wie manuelle Sensitivity Labels, Retention Policies und Labels, DLP für Exchange, SharePoint und OneDrive, Message Encryption und Audit (Standard) mit 180 Tagen bleiben in Business Premium enthalten. Die Copilot-Basis bleibt gültig, das volle Microsoft-365-Copilot-Add-on ist weiter zuweisbar. Defender for Business und Defender for Office 365 Plan 1 kommen mit Business Premium dazu, inklusive EDR und automatischer Untersuchung. Shared Computer Activation für Terminalserver bleibt, Business Premium ist der einzige Business-Plan damit.

Business Premium auf Business Standard

Business Premium auf Business Standard ist die schwerste Stufe im Business-Strang: Der komplette Security- und Gerätestack fällt weg, also Intune, Defender for Business, Defender for Office 365 Plan 1, Entra ID P1 und die Purview-Schutzrechte samt 1,5-TB-Archiv. Die Arbeitsumgebung selbst bleibt gleich: Exchange, SharePoint, Teams und die Office-Desktop-Apps sind in beiden Plänen identisch. Entscheidend ist die Reihenfolge: BitLocker-Schlüssel exportieren, Defender-Geräte offboarden und Conditional-Access-Ausnahmen ersetzen, bevor die Lizenz fällt. Ob Business Premium für eine Rolle nötig bleibt, klärt der Vergleich Microsoft 365 Business Premium vs. Standard.

Prüfen Was beim Downgrade bricht Kategorie Schwere
BitLocker-Wiederherstellungsschlüssel (Intune-Escrow, Entra-joined Windows-PCs) Microsoft warnt ausdrücklich: vor dem Retire eines Entra-joined Geräts BitLocker-Recovery-Key und lokale Admin-Zugangsdaten sichern. Das Löschen oder Retiren des Intune-Objekts entfernt zudem die Key-Protectors und setzt BitLocker auf dem Systemlaufwerk aus. Nach dem Downgrade escrowt keine Intune-Policy mehr neue oder rotierte Schlüssel. Vorher alle Schlüssel exportieren und je Gerät ein funktionierendes lokales Admin-Konto prüfen. Aktion nötig, sonst Datenverlust hoch
Exchange-Archiv über 50 GB (Business Premium 1,5 TB Auto-Expanding, Business Standard fester 50-GB-Bereich) Jedes Archiv über 50 GB ist nach dem Wechsel über Kontingent: Die Archivrichtlinie verschiebt nichts mehr, das Primärpostfach läuft Richtung Sendesperre voll. Wer das Archiv deaktiviert, hat 30 Tage Rückholfenster, danach ist der Inhalt endgültig gelöscht, auch bei Rück-Upgrade. Vorher Archivgrößen messen und ausdünnen, exportieren oder für Betroffene das Add-on Exchange Online Archiving einplanen. Aktion nötig, sonst Datenverlust hoch
Litigation Hold und eDiscovery-Hold (In-Place Hold und Litigation Hold nur in Business Premium, nicht in Business Standard) Business Standard trägt weder In-Place- noch Litigation-Hold-Rechte; die Exchange-Service-Description führt beide nur für Business Premium. Ohne Hold sind Postfachdaten 30 Tage nach dem Löschen des Kontos endgültig weg; inaktive Postfächer als Sicherheitsnetz gibt es in keinem Business-Plan. Gesetzte Hold-Flags bleiben technisch stehen und täuschen Erfüllung vor. Offboarding-Prozess vorher umbauen oder für Hold-Pflichtige das Archiving-Add-on oder Business Premium behalten. Aktion nötig, sonst Datenverlust hoch
Defender for Business inklusive EDR (Lizenzentzug ist kein Offboarding) Der komplette Endpoint-Schutz entfällt: EDR, automatische Untersuchung, Angriffsunterbrechung und Schwachstellenmanagement. Die Geräte senden nach dem Lizenzentzug weiter Daten, bis das Offboarding-Paket per Skript oder Intune ausgerollt ist; erst dann melden sie binnen 7 Tagen Inactive. Deshalb erst offboarden, dann Lizenz tauschen, sonst bleibt Handarbeit pro Gerät. Vorher Incidents, Alerts und Schwachstellenberichte exportieren: Die Daten bleiben nur bis zum Ablauf der Aufbewahrungsfrist sichtbar (üblich 180 Tage). Aktion nötig, sonst Datenverlust hoch
Entra-Anmelde- und Audit-Protokolle (Aufbewahrung fällt von 30 auf 7 Tage) Mit Entra ID Free behalten Sign-in- und Audit-Logs nur 7 Tage. Der Wechsel wirkt sofort, ältere Daten sind ohne vorherigen Export nicht wiederherstellbar. Genau das Fenster von Tag 8 bis 30, in dem Vorfälle typischerweise auffallen, fehlt dann für Forensik und Nachweise. Vor dem Downgrade Diagnoseeinstellungen mit Export nach Azure Monitor oder Storage einrichten. Verlust von Daten/Informationen hoch
Conditional-Access-Richtlinien frieren ein (Entra ID P1 nur in Business Premium) Microsoft deaktiviert die Richtlinien beim Lizenzverlust nicht: Sie greifen weiter, lassen sich aber nur noch ansehen und löschen, nicht mehr ändern. Keine neue Ausnahme mehr möglich, etwa für ein Break-Glass-Konto oder einen neuen Standort: Aussperr-Risiko ohne Reparaturweg. Microsoft räumt diesen Zustand nur als Migrationsfenster ein, Dauerbetrieb ist unlizenzierte Nutzung. Vorher alle Richtlinien samt Ausschlusslisten exportieren und entscheiden: kontrolliert löschen plus Security Defaults oder Entra ID P1 nachkaufen. Aktion nötig hoch
Security Defaults statt Conditional Access (an oder aus, keine Ausnahmen, SMTP AUTH fällt mit) Der einzige verbleibende Schutzrahmen kennt keine Ausnahmen für Konten, IPs oder Apps. Eingeschaltet blockt er Legacy-Authentifizierung und SMTP AUTH tenantweit: Scan-to-Mail und Mailversand aus Fachanwendungen stehen still. Ausgeschaltet fehlen MFA-Erzwingung und Legacy-Auth-Block komplett, was Zusagen gegenüber Versicherer und Auditor reißt. Die Ausschlussliste der bisherigen Block-Legacy-Auth-Richtlinie ist die Inventur: je Eintrag vorher OAuth, SMTP-Relay über einen Inbound-Connector oder Graph sendMail einrichten. Aktion nötig hoch
Intune Plan 1 komplett (Business Standard enthält kein Intune, nur Basic Mobility and Security) Compliance-Richtlinien, App-Verteilung, Update-Ringe und Windows Autopilot entfallen, der Ersatz BMS ist eine stark reduzierte Teilmenge. Windows-PCs fallen faktisch ganz aus der Verwaltung, weil der BMS-Enrollment-Prompt Entra ID P1 voraussetzt; macOS wird gar nicht unterstützt. Einen Migrationspfad von Intune zu BMS gibt es nicht: Geräte müssen einzeln per Retire ausgeschrieben werden, sonst bleiben Einstellungen als Tattooing auf den Geräten kleben. Je Gerät vorher Entscheidung und Zeitplan festlegen. Aktion nötig hoch
WLAN-, VPN- und Zertifikatsprofile (802.1X, SCEP/PKCS) BMS kennt weder WLAN- noch VPN-Profile, Zertifikatsverteilung kommt dort gar nicht vor. Beim nötigen Retire werden WLAN- und VPN-Profile entfernt, Zertifikate werden entfernt und widerrufen. Das Gerät verliert in dem Moment Firmen-WLAN und VPN, ein widerrufenes Zertifikat lässt sich nicht zurückkopieren. Der Ersatzweg (manuelle Verteilung, andere PKI oder anderes MDM) muss vor dem Retire stehen. Aktion nötig hoch
App-Schutzrichtlinien (MAM) auf Privatgeräten (BMS kennt kein MAM) App-PIN, Copy-Paste-Sperre, Speichern-unter-Verbot und selektives Löschen der Firmendaten aus Outlook, Word, Excel und OneDrive Mobile entfallen still, die Apps laufen weiter. Das BYOD-Konzept getrennter Firmendaten bricht damit, der einzige BMS-Ersatz wäre die volle MDM-Registrierung des Privatgeräts. Beim Retire eines Android-Arbeitsprofils werden zudem alle Daten, Apps und Einstellungen im Arbeitsprofil gelöscht. Nutzer vorher informieren und Neueinrichtung einplanen. Aktion nötig hoch
Dynamische Gruppen, Gruppenlizenzierung, SSPR-Writeback, App Proxy (Entra-ID-P1-Betriebsfunktionen) Dynamische Mitgliedschaften sind nicht mehr lizenziert und ihr Verhalten danach ist undokumentiert, deshalb vorher in statische Zuweisungen überführen. Gruppenbasierte Lizenz- und App-Zuweisungen auf Direktzuweisung umstellen, sonst bekommen neue Mitarbeiter still keine Lizenz und keinen App-Zugriff. Passwort-Reset mit Rückschreibung ins lokale AD und der Application Proxy für interne Web-Apps entfallen. Ersatz (Helpdesk-Prozess, VPN oder Reverse Proxy) vorher aufbauen. Aktion nötig hoch
Security-Add-ons auf Business-Premium-Basis (Defender Suite, Purview Suite, Defender for Business Servers) Die SMB-Suiten setzen laut Microsoft ausdrücklich ein laufendes Business Premium voraus und liefern unter anderem Entra ID P2, Defender for Endpoint P2 und eDiscovery (Premium). Fällt die Basis, fällt das komplette Paket mit, auch das separat bezahlte P2 bleibt nicht. Das Server-Add-on verlangt mindestens eine Lizenz Business Premium oder Defender for Business im Tenant. Vor dem Downgrade die Add-on-Folgen schriftlich mit Partner oder Microsoft klären. Aktion nötig hoch
Office auf Terminalservern (Shared Computer Activation nur in Business Premium) Business Premium ist laut Microsoft der einzige Business-Plan mit Shared Computer Activation. Auf RDS-, Citrix- und VDI-Hosts läuft das Lizenz-Token nach spätestens 30 Tagen aus, Office fällt für alle Nutzer des Hosts in den Modus mit reduzierter Funktionalität (nur ansehen und drucken). Vorher entscheiden: betroffene Nutzer auf Business Premium belassen, Microsoft 365 Apps for enterprise zukaufen oder das Terminalserver-Szenario ablösen. Details im Leitfaden Microsoft 365 Terminalserver: welche Lizenz. Aktion nötig hoch
DLP und Aufbewahrungsrichtlinien (Exchange, SharePoint, OneDrive) Die Nutzungsrechte für DLP und für organisationsweite oder standortweite Aufbewahrungsrichtlinien tragen E3/E5 und Business Premium, Business Standard nicht. Als Tenant-Dienste laufen die Richtlinien technisch weiter, das ist der klassische stille Lizenzverstoß. Wer die Aufbewahrung abschaltet, um konform zu werden, gibt zurückgehaltene Inhalte der Preservation Hold Library zur Löschung frei; sie sind danach nur noch 93 Tage über den Papierkorb der zweiten Stufe rettbar. Vor dem Abschalten exportieren. Compliance-Risiko hoch
Defender for Office 365 Plan 1 (Safe Links, Safe Attachments, Imitationsschutz) Die Anhang-Detonation für E-Mail, SharePoint, OneDrive und Teams, Safe Links in Office-Apps und Teams sowie der Imitationsschutz gegen CEO-Fraud entfallen. Es bleibt Exchange Online Protection: Sie fängt bekannte Malware, aber keine Zero-Day-Anhänge und keine Lookalike-Domains. Die Richtlinien bleiben im Defender-Portal stehen, wirken nach dem Wechsel aber nicht mehr. Die seit Juli 2026 in Business Standard enthaltene URL time-of-click protection ist nicht das volle Plan 1, ihr genauer Umfang ist offiziell nicht aufgeschlüsselt. Funktion entfällt hoch
Vertraulichkeitsbezeichnungen und verschlüsseltes Senden (Sensitivity Labels und Message Encryption hängen an AIP Plan 1) Der Vertraulichkeits-Button verschwindet aus den Office-Apps, manuelles Labeling ist für Business Standard nicht lizenziert. Auch das Nutzungsrecht, verschlüsselte Mails zu senden, hängt laut Purview-Lizenzleitfaden an AIP Plan 1; Empfangen und Beantworten bleibt lizenzfrei. Eine Pflicht-Kennzeichnung im Compliance-Konzept bleibt damit still unerfüllt, bestehende geschützte Dateien bleiben nach Microsoft-Angaben lesbar. Add-on-Ausweg: Azure Information Protection Plan 1 lässt sich zu Business Standard hinzukaufen und stellt beides wieder her. Funktion entfällt hoch

So prüfen Sie das (oberflächlich):

  1. Archive und Holds: Get-MailboxStatistics -Archive | Select TotalItemSize (Archive über 50 GB) und Get-Mailbox -ResultSize Unlimited | Where {$_.LitigationHoldEnabled -eq $true} (aktive Holds).
  2. Intune-Bestand sichern: Intune Admin Center, Geräte, Alle Geräte exportieren; unter Konfiguration die Profile vom Typ WLAN, VPN und Zertifikat listen; je Windows-Gerät unter Monitor, Wiederherstellungsschlüssel die BitLocker-Keys sichern.
  3. Defender-Offboarding vorbereiten: Defender-Portal, Assets, Geräte listen; Einstellungen, Endpunkte, Offboarding-Paket ziehen; Incidents, Alerts und Schwachstellenberichte exportieren.
  4. Conditional Access inventarisieren: Entra Admin Center, Schutz, Bedingter Zugriff, alle Policies samt Ausschlusslisten exportieren; dazu Get-CASMailbox -ResultSize Unlimited | ? {$_.SmtpClientAuthenticationDisabled -eq $false} für alle SMTP-AUTH-Sender (Scanner, ERP).
  5. Entra-P1-Abhängigkeiten: Entra Admin Center, Gruppen, Filter Mitgliedschaftstyp = Dynamisch; Admin Center, Abrechnung, Lizenzen auf gruppenbasierte Zuweisungen; Unternehmensanwendungen auf Zuweisungen vom Typ Gruppe.
  6. Add-ons und Purview: Admin Center, Abrechnung, Ihre Produkte auf Add-ons mit Business-Premium-Pflicht; Get-DlpCompliancePolicy und Get-RetentionCompliancePolicy für aktive DLP- und Aufbewahrungsrichtlinien.

Was nicht bricht: Exchange, SharePoint, OneDrive und Teams bleiben in identischer Ausbaustufe: Beide Pläne sind Exchange Online Plan 1 mit 50 GB Primärpostfach (Microsoft rollt für beide bis 1. August 2026 zusätzliche 50 GB aus), SharePoint Online Plan 1 und 1 TB OneDrive je Nutzer. Die Office-Desktop-Apps sind dasselbe Produkt (Microsoft 365 Apps for business), es ist keine Neuinstallation nötig. Exchange Online Protection bleibt vollständig erhalten, ebenso SPF, DKIM und DMARC. Die Verzeichnissynchronisation über Entra Connect oder Cloud Sync läuft weiter. Security Defaults stehen kostenlos als MFA-Grundschutz bereit, Basic Mobility and Security bleibt als Rest-MDM für iOS und Android. Gastzugriff und B2B-Freigaben funktionieren unverändert, Audit (Standard) mit 180 Tagen Aufbewahrung bleibt, und Business Standard bleibt qualifizierende Basislizenz für Microsoft 365 Copilot.

Ein Teil-Downgrade (Mischbetrieb Business Premium plus Standard) ist eine eigene Compliance-Falle: Intune verlangt eine Lizenz für jeden direkt oder indirekt profitierenden Nutzer, und Defender for Office 365 wirkt tenantweit auch für Unlizenzierte. Nach einem Teil-Downgrade die Richtlinien per Empfängerfilter auf die verbliebenen Business-Premium-Nutzer eingrenzen.

Business Standard auf Business Basic

Der Wechsel von Business Standard auf Business Basic halbiert den Lizenzpreis: 6,07 € statt 12,13 € netto pro Nutzer und Monat im Jahresabo. Basic enthält aber keine Desktop-Versionen von Word, Excel, PowerPoint, OneNote und Outlook. Postfächer, OneDrive-Daten und Teams bleiben vollständig erhalten; gearbeitet wird im Browser und in den Mobile-Apps. Kritisch wird der Wechsel dort, wo der Desktop-Client still mitarbeitet: PST-Archive, COM-Add-ins, Access-Datenbanken, Makros und Serienbriefe. Wer diese Punkte vorher abräumt und die Lizenz in einem Vorgang tauscht, verliert keine Daten.

Prüfen Was beim Downgrade bricht Kategorie Schwere
Lizenztausch in einem Vorgang (Basic zuweisen, dann Standard entfernen, nie andersherum) Entsteht beim Umlizenzieren eine Lücke ohne Lizenz, laufen zwei Uhren an: Exchange-Daten sind nach 30 Tagen unwiederbringlich gelöscht, das OneDrive schaltet an Tag 60 auf Nur-Lesen und wandert an Tag 93 ins kostenpflichtige Archiv. Das Postfach fällt zudem sofort aus eDiscovery-Suchen heraus; inaktive Postfächer als Netz gibt es weder in Standard noch in Basic. Beide Lizenzen dürfen gleichzeitig am Nutzer hängen; Set-MgUserLicense erledigt Zuweisen und Entfernen in einem Aufruf. Aktion nötig, sonst Datenverlust hoch
Makro-Dateien (.xlsm, .docm, .pptm: VBA läuft nur im Desktop) Makros lassen sich in den Web-Apps weder erstellen noch ausführen. Gefährlicher ist der Speicherpfad: Beim Bearbeiten einer .xlsm im Browser fordert Excel auf, eine Kopie ohne Makros zu speichern; wer das durchklickt, entfernt die Automatisierung dauerhaft aus der Datei. Betroffen ist jede gewachsene Excel-Automatisierung, vom Angebotsrechner bis zum DATEV-Export. Aktion nötig, sonst Datenverlust hoch
Access-Datenbanken (.accdb und .mdb: kein Access in Basic, keine Web-Version) Access ist nur in Business Standard und Premium enthalten und läuft ausschließlich als Desktop-App. Vorhandene .accdb-Datenbanken lassen sich mit Basic weder öffnen noch bearbeiten; daran hängen oft Insellösungen wie Zeiterfassung, Artikelstamm oder Kundenlisten. Die kostenlose Access Runtime führt verteilte Anwendungen weiter aus, erlaubt aber kein Entwerfen und kein Ändern. Daten vorher nach Microsoft Lists, Dataverse oder Excel überführen oder einen Entwicklerplatz auf Standard belassen. Aktion nötig hoch
Desktop-Office entfällt komplett (Word, Excel, PowerPoint, OneNote, Outlook: Basic = nur Web und Mobile) Die Service Description führt die Desktop-Apps für Basic mit No; auch das Recht auf 5 Installationen je Nutzer auf PC oder Mac entfällt. Installierte Apps verschwinden nicht, sondern kippen in den Modus mit reduzierter Funktionalität: nur Ansehen und Drucken, kein Bearbeiten, kein Speichern. Online verbundene Geräte trifft das binnen Tagen. Wer Desktop-Office behalten muss, belässt den Nutzer auf Standard; der Zukauf von Microsoft 365 Apps for Business hebt die Ersparnis rechnerisch wieder auf. Aktion nötig hoch
Outlook für Windows nicht mehr lizenziert (klassisch und neu) Business Basic darf Outlook für Windows und Mac nur nutzen, wenn ein Konto mit Desktop-App-Rechten die App lizenziert. Das neue Outlook lehnt ein Basic-Konto als erstes Konto ab; als Zweitkonto neben einem desktop-lizenzierten Konto darf es mit. Mail läuft danach über Outlook im Web und Mobile. An diesem Wegfall hängen fast alle Folgepunkte: PST, COM-Add-ins, clientseitige Regeln. Aktion nötig hoch
Lokale PST-Archive (Import und Export nur im klassischen Outlook, Outlook im Web kann kein PST) Alte Mailarchive auf der Platte sind ohne lizenzierten Outlook-Desktop nicht mehr regelkonform zugänglich; das neue Outlook liest PST bestenfalls read-only. PST-Inhalte vor dem Wechsel ins Postfach oder ins Onlinearchiv importieren und dabei die Postfachgröße im Blick behalten. Zweiter Weg für Admins: der Purview-PST-Importdienst per Netzwerk-Upload, der ohne Outlook-Desktop funktioniert. Aktion nötig hoch
COM- und VSTO-Add-ins (DATEV, CRM- und DMS-Mailablage, Signatur- und Verschlüsselungstools) COM-Add-ins setzen den klassischen Desktop-Client voraus, den es unter Basic nicht mehr gibt; in den Web-Apps laufen nur ausgewählte Web-Add-ins. Hängt eine revisionssichere Mailablage (GoBD) an einem Outlook-Add-in, bricht damit still ein Aufbewahrungsprozess, nicht nur Komfort. Ersatz wie Web-Add-in oder serverseitiges Journaling muss vor dem Downgrade stehen. Aktion nötig hoch
Excel-Datenmodelle und externe Datenverbindungen (Excel im Web: Verbindungen aktualisieren = No) Power Pivot entfällt als Erstellfähigkeit, Excel im Web zeigt Datenmodell-Inhalte nur an. Externe Datenverbindungen lassen sich im Web weder anlegen noch aktualisieren: Die Mappe zeigt den zuletzt bekannten Wert, die Zahlen wirken plausibel, sind aber eingefroren. Reporting-Mappen bleiben lesbar, aber unpflegbar. Mindestens einen desktop-lizenzierten Pflegeplatz für Controlling-Mappen einplanen. Aktion nötig hoch
Copilot-Add-on (Basic bleibt gültige Copilot-Basis, aber die Desktop-Fläche fehlt) Business Basic steht offiziell auf der Liste der zulässigen Basispläne für Microsoft 365 Copilot und Copilot Business; das Add-on bleibt gültig und wird nicht entzogen. Es fehlt aber die Fläche: Copilot verschwindet aus den Desktop-Apps und bleibt in den Web-Apps, in Teams und in der Copilot-App, bei unverändertem Add-on-Preis. Vorher prüfen, wer Copilot überwiegend in Word und Excel nutzt; für diese Nutzer kippt die Wirtschaftlichkeit des Seats. Aktion nötig hoch
Offline-Arbeit und der Sync-Trugschluss (Office im Web braucht Verbindung, OneDrive-Sync läuft weiter) Offline-Bearbeiten entfällt vollständig; die Web-Apps führen Offline viewing and authoring durchgängig mit No. Der OneDrive-Sync-Client bleibt voll lizenziert und hält die Dateien lokal aktuell; genau das täuscht Verfügbarkeit vor, denn der gewohnte Doppelklick öffnet die tote Desktop-App statt des Browsers. Außendienst, Bahn und Baustelle brauchen eine Alternative oder bleiben auf Standard. Je Gerät Office deinstallieren oder die Dateizuordnung von .docx/.xlsx/.pptx auf den Browser umstellen. Funktion entfällt hoch
Webinare und Town Halls (Teams Events nur in Business Standard und Premium) Die Teams Service Description führt Webinare und Town Halls für die Business-Pläne nur mit Business Standard und Premium; Business Basic behält reguläre Meetings bis 300 Teilnehmer, aber keine Event-Formate. Wer Kundenwebinare oder All-Hands als Town Hall fährt, ist auf Basic falsch oder plant auf reguläre Meetings um. Funktion entfällt mittel
Serienbriefe (Mail Merge in Word im Web = No) Der Seriendruck entfällt ersatzlos; Word im Web führt Mail merge explizit mit No. Betroffen sind Massenbriefe, Mahnläufe und Etikettendruck aus einer Excel-Liste. Ein gleichwertiger Web-Ersatz existiert nicht; betroffene Rollen brauchen vor dem Wechsel einen Desktop-Platz oder ein Drittwerkzeug. Aktion nötig mittel

So prüfen Sie das (oberflächlich):

  1. Desktop-Nutzung erheben: Entra Admin Center, Anmeldeprotokolle nach Client-App filtern (Outlook Desktop gegen OWA); das Microsoft 365 Apps Admin Center (config.office.com) zeigt unter Inventory, auf welchen Geräten Office-Desktop installiert ist.
  2. PST-Bestände finden: Auf allen Clients nach *.pst suchen (typisch %localappdata%\Microsoft\Outlook, Dokumente\Outlook-Dateien, Netzlaufwerke); zusätzlich in Outlook unter Datei, Kontoeinstellungen, Datendateien auf eingebundene Archive prüfen.
  3. Add-ins inventarisieren: Outlook und Excel, Datei, Optionen, Add-Ins (COM-Add-Ins); typische Kandidaten sind DATEV, CRM- und DMS-Mailablage, Signatur- und Diktier-Tools.
  4. Dateiablagen durchsuchen: *.accdb und *.mdb sowie *.xlsm, *.docm, *.pptm in SharePoint, OneDrive und auf Fileservern; Excel-Mappen mit Datenmodell über Daten, Abfragen und Verbindungen identifizieren.
  5. SKU im Warenkorb prüfen: Steht dort Microsoft 365 Business Basic oder Business Basic EEA (no Teams)? Die Variante ohne Teams kappt Chat, Meetings und Teams Phone. Gegenprobe je Nutzer unter Lizenzen und Apps, ob der Dienstplan Microsoft Teams enthalten ist.
  6. Tausch in einem Vorgang: Basic zuweisen, erst danach Standard entfernen; per PowerShell Set-MgUserLicense mit -AddLicenses und -RemoveLicenses in einem Aufruf. Danach Gegenprobe unter Aktive Benutzer: null unlizenzierte Nutzer.

Was nicht bricht: Der Datenbestand und die Dienste dahinter bleiben unverändert: Beide Stufen enthalten Exchange Online Plan 1 mit 50 GB Postfach (Microsoft rollt bis 1. August 2026 zusätzliche 50 GB aus, an Basic und Standard gleichermaßen), 1 TB OneDrive je Nutzer und denselben SharePoint-Speichertopf. Der OneDrive-Sync-Client inklusive Ordnersicherung läuft weiter, ebenso Office im Web mit vollen Bearbeitungsrechten und Co-Authoring. Der Teams-Kern bleibt erhalten, inklusive Desktop-Client, Chat, Kanälen und regulären Meetings; Teams Phone bleibt auf der regulären Basic-Variante zubuchbar. Serverseitige Posteingangsregeln, Transportregeln und die eDiscovery-Inhaltssuche stehen in beiden Plänen identisch. Litigation Hold und das Onlinearchiv-Erfordernis sind in beiden Stufen gleich; hier geht nichts verloren, weil es vorher schon fehlte. Copilot Chat, Planner, Bookings, Forms sowie die Power-Platform-Grundrechte sind in beiden Stufen deckungsgleich. Das Bearbeiten in den Mobile-Apps bleibt auf Geräten bis 10,9 Zoll Bildschirmdiagonale erlaubt.

Der Abzweig zu Frontline

Frontline-Lizenzen sind kein freies Sparziel. Die Microsoft Product Terms knüpfen die Zuweisung von F1 und F3 an einen Gerätetest: Das primäre Arbeitsgerät hat einen einzelnen Bildschirm unter 10,9 Zoll, oder es wird während oder über Schichten hinweg mit anderen Frontline-lizenzierten Nutzern geteilt; eine der beiden Bedingungen genügt. Der Test hängt am Gerät, nicht am Jobtitel, und das Admin Center erzwingt davon nichts: eine klassische Audit-Falle, also den Gerätetest je Nutzer als Audit-Nachweis dokumentieren. Die Feinheiten der Klausel, das tragende „oder", die Nebenbedingungen des geteilten Geräts und die Frage, welche der beiden F-Lizenzen zur Rolle passt, erklärt Microsoft 365 F1 vs. F3.

Für die Business-Familie heißt das konkret:

  • F-Lizenzen zählen nicht gegen den 300er-Deckel der Business-Familie. Microsoft führt F1 und F3 in der Enterprise-Familie, das Mischen von Enterprise-, Business- und Standalone-Plänen im selben Tenant ist ausdrücklich erlaubt. Wer an die 300 stößt, schafft durch das Verschieben echter Frontline-Nutzer auf F3 oder F1 wieder Luft unter dem Deckel.
  • Anti-Muster Business Basic auf F3: keine Sparmaßnahme, sondern 43 Prozent Mehrkosten (6,07 € auf 8,66 € netto, Jahresabo). Dazu schrumpft das Postfach von 50 GB auf 2 GB. Nur F1 (2,60 € netto, Jahresabo) liegt preislich unter allen Business-Plänen.
  • Microsoft 365 F3 und F1 enthalten Entra ID P1 und Intune Plan 1. Business Basic und Standard enthalten beides nicht; beim Wechsel fällt hier also nichts weg. Das gilt für Microsoft 365 F3, nicht für Office 365 F3.
  • Der Absprung aus Business Premium verliert zusätzlich Defender for Business und Defender for Office 365 Plan 1, also Endpoint-Schutz, Safe Links und Safe Attachments.
  • Kein Business-Plan enthält Inactive Mailboxes. Das Sicherheitsnetz, mit dem E3-Kunden Postfachdaten eines gelöschten Kontos per Hold konservieren, existiert von Business aus nicht.

Die folgenden zwei Blöcke gelten damit für beide Absprungpunkte: ab E3 direkt, ab der Business-Familie mit den jeweils genannten Ausnahmen am Blockende.

E3 auf F3

F3 ist die Frontline-Suite mit deutlich schmalerem Umfang. Das Postfach schrumpft auf 2 GB, das Archiv fällt weg, Desktop-Office wird zu reinem Web- und Mobile-Zugriff, und Holds sind nicht mehr möglich. Identität, Geräteverwaltung und Windows-Enterprise-Recht bleiben dagegen erhalten.

Prüfen Was beim Downgrade bricht Kategorie Schwere
Postfachgröße über 2 GB (E3 = 100 GB, F3 = 2 GB, Exchange Online Kiosk) Ein Postfach über 2 GB kann nach dem Wechsel nicht mehr senden oder empfangen, bis es unter das Limit gebracht ist. Vorher Größe prüfen und aufräumen. Aktion nötig hoch
In-Place-Archiv mit Inhalt (F3 hat kein Archiv) F3 enthält kein Archivpostfach. Archivinhalt muss vor dem Wechsel ins Hauptpostfach zurückgeholt werden, passt aber oft nicht in 2 GB. Archiv nur per Exchange-Online-Archiving-Add-on nachrüstbar. Aktion nötig, sonst Datenverlust hoch
Installiertes Desktop-Office (F3 nur Web und Mobile) Installiertes Word, Excel, Outlook gehen in den Modus mit reduzierter Funktionalität (Lesen und Drucken, kein Bearbeiten). Lokale Dateien vorher in OneDrive sichern, Apps danach deinstallieren. Aktion nötig hoch
OneDrive über 2 GB (E3 = 1 TB und mehr, F3 = 2 GB) OneDrive wird für Nutzer über 2 GB schreibgeschützt. Vorher unter 2 GB bringen und vollständig synchronisieren. Dateien werden nicht gelöscht, solange das Konto besteht. Aktion nötig hoch
Outlook-Desktop und lokale Artefakte (F3 nur Outlook im Web) Outlook-Desktop entfällt. Lokale PST-Dateien, reine Client-Regeln und lokale Signaturen gehen nicht automatisch mit. Vorher PST identifizieren, Regeln dokumentieren, Signaturen exportieren. Aktion nötig, sonst Datenverlust mittel
Delegaten- und Stellvertreterzugriff auf das Postfach Auf einem F3-Postfach können keine Delegaten eingerichtet werden (der F3-Nutzer selbst kann fremde Postfächer öffnen). Bestehende Stellvertretungen brechen. Aktion nötig mittel
Litigation Hold oder eDiscovery-Hold (F3 kann keinen Hold) F3 unterstützt keinen In-Place- oder Litigation-Hold. Bei Hold-Pflicht den Nutzer nicht downgraden oder eine Hold-fähige Lizenz behalten. Compliance-Risiko hoch
Single Item Recovery und inaktives Postfach F3 bietet weder Single Item Recovery noch inaktive Postfächer. Wiederherstellung einzelner Elemente und Postfach-Aufbewahrung nach Austritt sind nicht mehr abgesichert. Compliance-Risiko mittel
Teams Town Halls und Webinare F3 kann nur reguläre Meetings, keine Town Halls oder Webinare. Wer das veranstaltet, ist kein F3-Kandidat. Reguläre Meetings inklusive Aufzeichnung bleiben. Funktion entfällt mittel
Teams Phone (Telefonie) F3 enthält keine Teams-Phone-Funktion. Für Frontline-Telefonie das Add-on Teams Phone Standard for Frontline Workers separat zuweisen. Funktion entfällt mittel
Purview DLP auf Postfach-Ebene F3 enthält keine Exchange-seitige Purview DLP. Der Postfach-DLP-Schutz für diesen Nutzer entfällt. Funktion entfällt mittel
Automatisches Labeling und erweiterte Nachrichtenverschlüsselung Auto-Labeling und Advanced Message Encryption sind in F3 nicht enthalten. Manuelle Vertraulichkeitslabels bleiben. Funktion entfällt niedrig
SharePoint persönliche Site und Site Mailbox Beide entfallen unter F3. Zugriff auf geteilte SharePoint-Sites und Bibliotheken bleibt. Funktion entfällt niedrig

So prüfen Sie das (oberflächlich):

  1. Postfach- und Archivgröße: Exchange Admin Center oder PowerShell (Get-MailboxStatistics, auch mit -Archive); Postfächer über 2 GB und Archive mit Inhalt herausfiltern.
  2. Holds: Pro Postfach prüfen, ob Litigation Hold oder ein eDiscovery-Hold aktiv ist. Bei aktivem Hold den Nutzer von der F3-Liste ausnehmen.
  3. OneDrive-Auslastung: SharePoint Admin Center oder Speicherbericht, Nutzer nahe oder über 2 GB identifizieren und vollständige Synchronisation bestätigen.
  4. Desktop- und Outlook-Nutzung: Microsoft 365 Apps Admin Center und Rückfrage beim Nutzer, wer installiertes Office und Outlook-Desktop nutzt; PST und Client-Regeln aufnehmen.
  5. Teams: Teams Admin Center, ob der Nutzer Town Halls oder Webinare organisiert oder eine Telefonnummer zugewiesen hat.
  6. Lizenz-Tausch: E3 entfernen und F3 in derselben Operation zuweisen.

Was nicht bricht: Microsoft Entra ID P1 (Conditional Access, SSPR), Microsoft Intune Plan 1 (Geräteverwaltung) und Windows 11 Enterprise (für berechtigte Shared-Device- und VDI-Nutzer) sind in F3 enthalten. Manuelle Labels, eDiscovery Content Search, Teams-Kern (Chat, Kanäle, reguläre Meetings inklusive Aufzeichnung), Outlook im Web, Microsoft 365 für das Web und Mobile, Forms, Planner, To Do sowie Power Apps und Power Automate (in der Variante mit Teams) bleiben nutzbar. Geteilte SharePoint-Sites bleiben zugänglich.

Ausgangspunkt Business-Familie: Kommt der Nutzer nicht von E3, sondern aus der Business-Familie, feuern einige Zeilen nicht. Ab Business Basic entfällt die Desktop-Office-Zeile, Basic hat kein Desktop-Office. Ab Basic und Standard entfallen die Hold- und die DLP-Zeile, beides war dort nie enthalten. Die Archiv-Klippe ist kleiner, aber nicht weg: Statt Auto-Expanding gibt es dort höchstens ein festes 50-GB-Archiv, dessen Inhalt trotzdem nicht in das 2-GB-Ziel passt. Ab Business Premium gelten alle Zeilen sinngemäß wie ab E3, zusätzlich fallen Defender for Business und Defender for Office 365 Plan 1 weg.

Welche der beiden Frontline-Lizenzen ein Nutzer überhaupt braucht, welche Features sie trennen und wann sich die F5-Aufstockung lohnt (die seit Oktober 2025 anders heißt), zeigt Microsoft 365 F1 vs. F3.

F3 auf F1

Der härteste Frontline-Schritt. F1 entzieht das Exchange-Postfach-Recht komplett und macht alle Office-Web- und Mobile-Apps schreibgeschützt. Identität, Geräteverwaltung und der OneDrive-Speicher bleiben unverändert.

Prüfen Was beim Downgrade bricht Kategorie Schwere
Exchange-Postfach des Nutzers (F1 hat kein Postfach-Recht) F1 stellt nur den Exchange-Kiosk-Plan für den Teams-Kalender bereit, ohne nutzbares Postfach. Das 2-GB-Postfach aus F3 verschwindet. Nach Lizenzentzug wird es 30 Tage gehalten, danach gelöscht. Vorher per PST exportieren oder archivieren. Verlust von Daten/Informationen hoch
Power Apps und Power Automate für Microsoft 365 F1 enthält weder Power Apps noch Power Automate. Vom Nutzer ausgeführte oder besessene Flows und Apps können stoppen. Ownership vorher übertragen. Aktion nötig mittel
Windows-11-Enterprise-Recht (Shared Device, VDI) F1 enthält kein Windows-11-Enterprise-Recht. Wer das über F3 abdeckt, verliert die Berechtigung und braucht eine andere Quelle. Aktion nötig mittel
OneDrive über 2 GB (2 GB in beiden Plänen gleich) Liegt der Nutzer über 2 GB, wird OneDrive nach dem Wechsel schreibgeschützt. Vorher unter 2 GB bringen und synchronisieren. Dateien bleiben erhalten, solange das Konto besteht. Aktion nötig mittel
Compliance am Postfach (Holds, eDiscovery, Retention-Labels) Nach Lizenzentzug ist das Postfach per eDiscovery nicht mehr durchsuchbar. Inhalte mit Retention-Labels bleiben für Discovery erhalten, das aktive Postfach nicht. Compliance-Risiko mittel
E-Mail als Geschäftsfunktion F1-Nutzer können weder senden noch empfangen, Outlook im Web wird für F1 deaktiviert. Wer Mail braucht, ist auf F1 falsch. Funktion entfällt hoch
Office-Web-Apps (Word, Excel, PowerPoint im Browser) F1 hat nur Leserechte, kein Erstellen, Bearbeiten oder Speichern. Wer aktiv Dokumente bearbeitet, kann das nicht mehr. Funktion entfällt hoch
Office-Mobile-Apps F1 erlaubt mobil nur Lesen. F3 erlaubt Bearbeitung (auf Geräten unter 10,9 Zoll). Funktion entfällt mittel
Microsoft Forms und Microsoft To Do F1 enthält weder Forms-Erstellung noch To Do. Antworten an bestehenden Formularen bleiben möglich, neue erstellen oder verwalten nicht. Aufgabenlisten werden unzugänglich. Funktion entfällt niedrig
EWS- und Drittanbieter-Postfachzugriff Mit F1 entfällt jeder Postfach-Pfad. Microsoft blockt EWS für Kiosk-, F1- und F3-Lizenzen ohnehin ab dem 1. Oktober 2026 und schaltet es am 1. April 2027 ganz ab. Die Funktion fällt für diese Nutzer also unabhängig vom Downgrade weg, Details im F1-vs-F3-Vergleich. Funktion entfällt niedrig

So prüfen Sie das (oberflächlich):

  1. Postfachgröße und Inhalt: Exchange Admin Center oder Get-MailboxStatistics; vor dem Schritt PST-Export oder Archivierung der zu sichernden Postfächer.
  2. Lizenz und Service-Pläne: Microsoft 365 Admin Center, Benutzer, Lizenzen und Apps.
  3. OneDrive-Belegung: Berichte oder SharePoint Admin Center, Nutzer über 2 GB identifizieren und unter das Limit bringen.
  4. Power-Platform-Abhängigkeiten: Power Platform Admin Center, Flows und Apps nach Eigentümer filtern; besessene oder laufende Flows übertragen.
  5. Compliance und Holds: Purview, aktive Holds und Retention-Policies am Nutzerpostfach.
  6. Windows-Enterprise-Bezug: prüfen, ob das F3-Windows-Enterprise-Recht für ein Shared Device oder VDI genutzt wird.

Was nicht bricht: Microsoft Entra ID P1 (inklusive Conditional Access) und Microsoft Intune Plan 1 sind in F1 wie F3 enthalten. Teams (Meetings, Chat, Kanäle, Kalender), SharePoint-Zugriff, der OneDrive-Speicher (2 GB), Microsoft Planner und Viva Engage bleiben. Desktop-Apps sind in beiden Plänen ohnehin nicht enthalten, hier entsteht kein zusätzlicher Verlust.

Ausgangspunkt Business-Familie: Beim Direktsprung aus der Business-Familie trifft die Postfach-Zeile voll. Wer von Business Basic direkt auf F1 wechselt, verliert die Postfach-Nutzung komplett, ohne die 2-GB-Zwischenstufe von F3. Bei Identität und Geräteverwaltung feuert dagegen nichts: Microsoft 365 F1 enthält Entra ID P1 und Intune Plan 1, Basic und Standard hatten beides nicht.

So nutzen Sie diese Checkliste

Ein sicheres Downgrade läuft immer in derselben Reihenfolge, egal welche Stufe.

  1. Inventarisieren. Erfassen Sie pro Nutzer Postfach- und OneDrive-Größe, Archiv- und Hold-Status, Flow-, App- und Agenten-Ownership, Telefonnummern und die einschlägigen Policy-Zuordnungen aus der jeweiligen Tabelle.
  2. Abhängigkeiten prüfen. Gehen Sie den passenden Block durch, bei übersprungenen Stufen mehrere Blöcke nacheinander. Jeder Treffer ist entweder ein Blocker oder eine Vorbedingung.
  3. Sichern oder migrieren. Postfach oder OneDrive über dem Ziel-Limit aufräumen oder exportieren. Flows, Apps und Agenten auf einen anderen Owner umhängen. Hold-pflichtige Postfächer ausklammern.
  4. Umstellen. Erst jetzt die Lizenz wechseln, immer in einem Vorgang (alte raus, neue rein, gemeinsam speichern).
  5. Verifizieren. Nach dem Wechsel prüfen: Postfach erreichbar, OneDrive intakt, Flows aktiv, Telefonnummer erhalten, keine Compliance-Lücke entstanden.

Der Aufwand pro Nutzer ist überschaubar. Das Problem ist die Menge. Bei 200 Nutzern sind das 200-mal ein gutes Dutzend Prüfungen, je Stufe unterschiedlich.

Wie LessLicense das löst

Genau hier setzt LessLicense an. Die Plattform führt diese Abhängigkeits-Checks automatisch für jeden Nutzer und jede Gruppierung aus, über alle Stufen hinweg. Bevor ein Downgrade überhaupt empfohlen wird, prüft LessLicense pro Nutzer Postfach, OneDrive, Archiv, Holds, Telefonnummern, Flow-, App- und Agenten-Ownership sowie die relevanten Security-, Compliance- und Identity-Policies und gleicht sie gegen die Ziel-Lizenz ab.

Statt einer pauschalen Empfehlung erzeugt LessLicense daraus konkrete Tasks: ein unsicheres Downgrade wird blockiert und durch einen Aufräum-, Migrations- oder Übertragungs-Task ersetzt, ein sicheres wird mit der erwarteten Ersparnis ausgewiesen. So wird aus der diffusen Angst vor Datenverlust eine abgesicherte Entscheidung, und das Einsparpotenzial wird tatsächlich gehoben, ohne dass jemand ein Postfach, einen Hold oder einen produktiven Agenten zerstört.

FAQ

Was passiert mit OneDrive und Postfach, wenn ich die Lizenz entziehe?

Das Postfach wird nach dem Lizenzentzug 30 Tage gehalten und dann gelöscht; eine erneute Exchange-Online-Lizenz innerhalb der Frist stellt es wieder her. OneDrive verhält sich anders: Bei reinem Lizenzentzug (Konto bleibt bestehen) wird es am 60. Tag schreibgeschützt und am 93. Tag archiviert. Erst beim Löschen des Benutzerkontos startet die 30-Tage-Frist mit automatischem Vorgesetzten-Zugriff.

Was ist mit einem Postfach unter Litigation Hold?

Litigation Hold setzt Exchange Online Plan 2 voraus (in E3 und E5). Ein Downgrade hebt den Hold nicht einfach auf: Die Lizenz lässt sich zwar entfernen, aber Exchange kann das Postfach mit aktivem Hold nicht abtrennen und meldet im Admin Center einen Fehler am Konto. Das Postfach bleibt fehlerhaft aktiv statt sauber gelöscht, die Daten bleiben geschützt. Wer wirklich herunterstufen will, muss den Hold vorher entfernen oder das Postfach in ein inaktives Postfach überführen, indem er den Hold setzt und dann das Konto löscht.

Stoppen meine Power-Automate-Flows, wenn der Besitzer die Lizenz verliert?

Ja. Verliert der Owner die Premium-Lizenz, wird der Flow zuerst gedrosselt, die Owner werden benachrichtigt, und nach 14 Tagen ohne Aktion wird er abgeschaltet. Hängen Sie den Flow vorher auf einen lizenzierten Owner um oder lizenzieren Sie ihn separat.

Was passiert mit Copilot-Agenten, die einem Nutzer gehören?

Verliert der Owner seine Copilot-Lizenz, wird der Agent verwaist und läuft unverwaltet weiter. Die Neuzuweisung geht nur per Admin über die Power Platform API oder PowerShell an einen Nutzer im Tenant, der für den Betrieb selbst eine Copilot-Studio-Lizenz braucht. Übertragen oder deaktivieren Sie Agenten vor dem Downgrade.

Kann ich von E5 direkt auf F3 wechseln?

Ja, aber das ist fachlich ein E5-auf-E3-Schritt plus ein E3-auf-F3-Schritt. Prüfen Sie beide Blöcke nacheinander, weil sich die Abhängigkeiten addieren: erst fällt die E5-Premium-Schicht, dann der gesamte Postfach-, Archiv- und Desktop-Umfang.

Kann ich mit Business Premium noch Litigation Hold setzen und E-Mails rechtssicher archivieren?

Ja. Business Premium enthält Exchange Online Archiving mit Auto-Expanding-Archiv bis 1,5 TB sowie Litigation Hold und In-Place Hold. Zwei Fallen bleiben: Das Archiv ist ein einzeln abwählbarer Dienstplan, dessen versehentliche Abwahl das Archiv nach 30 Tagen endgültig löscht. Und Inactive Mailboxes für ausgeschiedene Mitarbeiter gibt es in keinem Business-Plan, dafür braucht es ein neues Aufbewahrungskonzept.

Kann ich mir Intune, Defender und Entra ID P1 einfach als Add-ons zu Business Standard zurückkaufen?

Technisch ja: Defender for Business, Defender for Office 365 Plan 1, Entra ID P1, Intune Plan 1 und Azure Information Protection Plan 1 sind einzeln buchbar. Die Summe der Einzelpreise übersteigt den Preisabstand der beiden Pläne (netto, Jahresabo) aber schon ab wenigen Bausteinen. Gedacht ist der Einzel-Zukauf für gezielte Fälle, etwa Exchange Online Archiving für die Handvoll Nutzer mit großem Archiv oder Hold-Pflicht. Wer mehrere Bausteine ersetzen muss, rechnet die Downgrade-Entscheidung vor dem Wechsel neu durch.

Funktioniert Outlook auf dem PC noch, wenn ich meine Leute auf Business Basic umstelle?

Nein, nicht regulär. Business Basic lizenziert nur Outlook im Web und die Mobile-Apps; das installierte Outlook fällt nach dem Lizenzentzug in den Modus mit reduzierter Funktionalität, und das neue Outlook lehnt ein Basic-Konto als einziges Konto ab. Wer Outlook am PC braucht, bucht zusätzlich Microsoft 365 Apps for Business oder belässt den Nutzer auf Business Standard. Vorher lokale PST-Archive ins Postfach importieren, sonst sind alte Mailbestände nicht mehr zugänglich.

Kann ich Microsoft 365 Business Basic einfach auf F1 umstellen, um Geld zu sparen?

Nur wenn der Nutzer die Frontline-Bedingung der Product Terms erfüllt: primäres Arbeitsgerät unter 10,9 Zoll oder ein schichtweise geteiltes Gerät. Rechnen Sie außerdem mit Datenverlust: F1 hat keine Postfach-Nutzungsrechte, beim Wechsel gehen die E-Mails verloren. Der Preisschritt ist 6,07 € auf 2,60 € (netto, Jahresabo) und passt nur für Nutzer, die kein eigenes Postfach brauchen. Der Zwischenschritt F3 kostet von Basic aus 43 Prozent mehr.

Worauf muss ich bei E7 auf E5 besonders achten?

Auf Agenten und Agent-Identitäten. E7 enthält Copilot, Agent 365 und die Entra Suite. Beim Downgrade verlieren vom Nutzer betriebene Agenten ihren lizenzierten Owner und laufen verwaist weiter, und Entra-Suite-Funktionen wie Internet Access, Private Access und Lifecycle Workflows fallen weg. Übertragen Sie Agenten und Sponsorships zuerst, dann stellen Sie die Lizenz um.

Wie finde ich alle Abhängigkeiten auf einmal?

Manuell prüfen Sie pro Nutzer und Stufe ein gutes Dutzend Punkte über Exchange, Purview, Entra, Teams und Power Platform. LessLicense automatisiert diese Prüfungen tenantweit, blockiert unsichere Downgrades und erstellt stattdessen die passenden Tasks, bevor eine Empfehlung ausgesprochen wird.