Microsoft 365 Business Premium, E3 oder E5: Welche Lizenz welche Sicherheitsfunktionen enthält

Edouard Jacques

Managing Director, Cyber Culture

Welche Sicherheitsfunktionen Ihnen in Microsoft 365 zur Verfügung stehen, entscheidet die Lizenz. In Gesprächen mit IT-Leitungen begegnen uns beide Fehlannahmen: Funktionen, von denen man glaubt, dass man sie hat, und bezahlte Funktionen, die nie eingerichtet wurden. Dazu hat Microsoft die Pakete 2025 und 2026 spürbar umgebaut. Dieser Artikel zeigt mit Stand Oktober 2026, was Business Premium, E3 und E5 für die Sicherheit enthalten, welche Zusatzpakete es gibt und nach welchen Kriterien Sie wählen. Preise nennen wir bewusst nicht, sie hängen von Vertrag und Laufzeit ab.

Grundlage sind Microsofts offizielle Planvergleiche für Enterprise und Business, beide mit Stand 1. Oktober 2026.

Was alle drei Pakete gemeinsam haben

Ein Teil der Grundausstattung ist inzwischen in allen drei Paketen gleich. Entra ID P1 bringt Conditional Access, also Anmelderegeln nach Benutzer, Gerät, Ort und Anwendung. Intune Plan 1 verwaltet Geräte und setzt Compliance-Regeln durch. Defender for Office 365 Plan 1 ergänzt den Basisschutz von Exchange Online um Safe Links, Safe Attachments und den Schutz vor Identitätsvortäuschung von Personen und Domains.

Für E3 ist das neu: Plan 1 ist dort erst seit dem 1. Juli 2026 enthalten, vorher hatte E3 nur Exchange Online Protection (Microsoft Learn: Defender for Office 365). Wer seine E3-Umgebung vor diesem Datum eingerichtet hat, sollte prüfen, ob die neuen Richtlinien für Safe Links und Safe Attachments konfiguriert sind.

Ebenfalls in allen drei Paketen: manuelle Vertraulichkeitsbezeichnungen (Sensitivity Labels), Data Loss Prevention für E-Mail und Dateien und Audit (Standard), bei dem Microsoft die Protokolle 180 Tage aufbewahrt.

Business Premium: viel Schutz bis 300 Nutzer

Business Premium ist für kleinere Organisationen gedacht und auf 300 Plätze begrenzt, und zwar über alle Business-Pakete zusammen (Basic, Standard und Premium). Für Unternehmen dieser Größe ist es meist das Paket mit dem besten Verhältnis von Schutz zu Aufwand.

Der wichtigste Unterschied zu E3 liegt bei den Endgeräten. Business Premium enthält Defender for Business mit Endpoint Detection and Response (EDR), automatischer Untersuchung und Behebung sowie Schwachstellenmanagement. E3 enthält dagegen Defender for Endpoint Plan 1, der laut Microsoft Virenschutz der neuen Generation und Regeln zur Reduzierung der Angriffsfläche bietet, aber kein EDR (Microsoft Learn: Defender for Business). Auf dem Endgerät schützt das kleinere Paket also mehr.

Was Business Premium fehlt:

• Entra ID P2, also Privileged Identity Management (PIM) für zeitlich begrenzte Administratorrechte und risikobasierte Anmelderegeln aus ID Protection
• Defender for Identity, das ein lokales Active Directory überwacht
• Defender for Office 365 Plan 2 mit Threat Explorer und Angriffssimulationstraining
• automatische Klassifizierung, Endpoint DLP, Audit (Premium) und Insider Risk Management

Seit 2025 gibt es dafür eigene Zusatzpakete: die Microsoft Defender Suite for Business Premium (unter anderem Entra ID P2, Defender for Identity, Defender for Endpoint Plan 2, Defender for Office 365 Plan 2 und Defender for Cloud Apps) und die Microsoft Purview Suite for Business Premium für Datenschutz- und Compliance-Funktionen. Beide setzen Business Premium voraus und gelten ebenfalls nur bis 300 Plätze. Entra ID P2 lässt sich auch einzeln dazukaufen.

E3: seit Juli 2026 deutlich stärker

Microsoft hat E3 im Sommer 2026 aufgewertet. Neben Defender for Office 365 Plan 1 kamen Intune Plan 2, Remote Help und Advanced Analytics hinzu; laut Microsoft war die Einführung bis zum 1. August 2026 abgeschlossen (Microsoft Licensing FAQ). Dazu kommen Windows Enterprise und keine Obergrenze bei der Nutzerzahl.

Die Lücken liegen bei Identität und Endgerät. Ohne Entra ID P2 haben Sie weder PIM noch risikobasierte Regeln, ohne Defender for Endpoint Plan 2 kein EDR. Der übliche Weg ist die Microsoft Defender Suite, früher Microsoft 365 E5 Security. Sie ergänzt E3 um die Sicherheitsteile von E5, ohne die Compliance-Funktionen. Für Letztere gibt es die Microsoft Purview Suite, früher E5 Compliance.

E5: alles, was ein Sicherheitsbetrieb braucht

E5 enthält die vollständige Defender-Familie: Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity, Defender for Cloud Apps und Defender XDR, das Warnungen aus allen Bereichen zu Vorfällen zusammenführt. Dazu kommen Entra ID P2 mit PIM, ID Protection und Zugriffsüberprüfungen, auf der Purview-Seite automatische Klassifizierung, Endpoint DLP, Insider Risk Management, eDiscovery (Premium) und Audit (Premium), das die wichtigsten Protokolle ein Jahr statt 180 Tage aufbewahrt. Seit Mitte 2026 gehören auch Teile der Intune Suite dazu, etwa Endpoint Privilege Management.

Neu ist Security Copilot: Microsoft hat ihn im November 2025 für E5-Kunden angekündigt, mit einem monatlichen Kontingent von 400 Security Compute Units je 1.000 Lizenzen, höchstens 10.000 (Microsoft Security Blog). Seit Mai 2026 steht die Aufnahme in den Produktbedingungen.

Der Haken an E5 ist nicht die Technik, sondern der Betrieb. Defender XDR, ID Protection und Insider Risk Management erzeugen Warnungen, die jemand zeitnah bewerten muss. Ohne eigenes Sicherheitsteam oder einen externen Dienstleister für die Überwachung bleibt ein großer Teil des Mehrwerts ungenutzt.

Was keine Lizenz für Sie erledigt

Eine Lizenz schaltet Funktionen frei, sie richtet sie nicht ein. Typische Befunde aus Prüfungen: PIM ist lizenziert, aber alle Administratorrollen sind weiterhin dauerhaft zugewiesen. Defender for Identity ist bezahlt, aber auf keinem Domänencontroller läuft ein Sensor. Die Regeln zur Reduzierung der Angriffsfläche stehen im Überwachungsmodus statt im Blockiermodus. Bevor Sie über ein größeres Paket nachdenken, lohnt deshalb die Frage, ob Sie das vorhandene ausschöpfen.

Ein zweiter Punkt betrifft gemischte Lizenzen. Microsoft erlaubt, Business-, Enterprise- und Einzellizenzen in einem Tenant zu kombinieren. Defender for Business unterstützt aber keine Mischung mit Defender for Endpoint Plan 2: Solange nicht alle Nutzer Plan 2 haben, bleibt der Tenant laut Microsoft bei Defender for Business (Microsoft Learn: Defender for Business FAQ). Wer wächst und schrittweise auf E3 oder E5 umstellt, sollte das einplanen.

Nach welchen Kriterien Sie entscheiden

1. Nutzerzahl heute und in drei Jahren. Liegen Sie dauerhaft unter 300, ist Business Premium der naheliegende Ausgangspunkt. Planen Sie darüber hinaus, rechnen Sie den Wechsel auf E3 jetzt mit durch.
2. Lokales Active Directory. Wird es weiter betrieben und mit Entra ID synchronisiert, ist Defender for Identity ein starkes Argument für E5 oder ein Zusatzpaket.
3. Administratoren. Wer mehr als eine Handvoll Personen mit weitreichenden Rechten hat, braucht PIM und damit Entra ID P2, mindestens für diese Gruppe.
4. Betrieb. Gibt es intern oder extern jemanden, der Sicherheitswarnungen auch nachts und am Wochenende bewertet? Erst dann rechnen sich EDR mit Plan 2 und Defender XDR voll.
5. Compliance. Brauchen Sie für Ermittlungen längere Protokolle oder eDiscovery (Premium), etwa wegen Branchenvorgaben, kommt die Purview Suite oder E5 in Betracht.
6. NIS2 und Versicherungen. Weder das Gesetz noch Cyberversicherer schreiben eine bestimmte Lizenz vor. Gefragt sind wirksame Maßnahmen wie MFA, Erkennung von Angriffen und Protokollierung. Mit welcher Lizenz Sie diese abdecken, bleibt Ihre Entscheidung.

Der erste Schritt in Ihrem Unternehmen

Erstellen Sie im Microsoft 365 Admin Center unter Billing > Licenses eine Übersicht, welche Lizenzen Sie haben und wie vielen Nutzern sie zugewiesen sind. Legen Sie daneben die Liste der Sicherheitsfunktionen, die tatsächlich konfiguriert sind. Die Lücke zwischen beiden Listen ist meist größer als die Lücke zum nächsthöheren Paket. Unser Cloud Security Check berücksichtigt Ihre Lizenzlage und priorisiert die Maßnahmen, die Sie mit Ihren vorhandenen Lizenzen sofort umsetzen können. Wie die Konfiguration von Defender typischerweise hinter den Möglichkeiten zurückbleibt, beschreibt Microsoft Defender richtig konfigurieren, die wichtigsten Einstellungen in Entra ID finden Sie unter Entra ID nach CIS-Benchmark härten. Wenn Sie klären wollen, wer Ihre Warnungen auswertet, hilft der Blick auf SIEM- und SOC-Beratung.