Microsoft Entra ID P1 vs P2 vs Governance: Lizenzen, Preise und was der Mittelstand wirklich braucht

Für IT-Leiter und CISOs in Unternehmen mit 50 bis 500 Beschäftigten mit Microsoft 365 Business Premium oder E3, die entscheiden müssen, ob ein Audit P2 oder Governance rechtfertigt. Mit E5 ist P2 bereits enthalten.

Microsoft Entra ID P1 ist die Identitätslizenz, die Conditional Access, MFA-Richtlinien und Single Sign-on für 6,10 € pro Benutzer und Monat freischaltet, und sie ist in Microsoft 365 Business Premium und E3 bereits enthalten. Entra ID P2 kostet 8,70 € und ergänzt Identity Protection, Privileged Identity Management (PIM) und grundlegende Zugriffsüberprüfungen. Entra ID Governance ist ein Add-on für 6,10 € auf P1 oder P2, das Lifecycle Workflows und die erweiterten Prüffunktionen bringt. Für die meisten Mittelständler ist P1 für alle plus P2 für privilegierte Administratoren die wirtschaftlichste Basis; ob sich Governance lohnt, hängt davon ab, wie viele Ihrer Anwendungen tatsächlich an Entra angebunden sind.

Aktualisiert am 30. September 2026. Preise am selben Tag auf der Microsoft-Entra-Preisseite geprüft, Funktionsumfang auf Microsoft Learn.

Was sind Entra ID Free, P1, P2 und Governance?

Microsoft Entra ID (früher Azure Active Directory) ist der Cloud-Identitätsdienst von Microsoft, verkauft in aufeinander aufbauenden Stufen, bei denen jede Stufe die vorherige enthält. Free ist in jedem Microsoft-Cloud-Abonnement enthalten. P1 und P2 sind Lizenzen pro Benutzer. Governance ist keine Stufe über P2, sondern ein Add-on, das P1 oder P2 voraussetzt. Die Grundlagen des Produkts erklärt unser Glossareintrag zu Microsoft Entra ID.

Warum nennen so viele Leitfäden noch 6 $ und 9 $?

Weil das die Preise bis Mitte 2026 waren. Die US-Preisseite von Microsoft nennt inzwischen 7,00 $ für P1 und 10,00 $ für P2, also jeweils 1 $ mehr. Die Änderung kam mit der Microsoft-365-Preisanpassung, die am 1. Juli 2026 in Kraft trat und die Office 365 for IT Pros bei ihrer Ankündigung dokumentiert hat.

Mehrere gut platzierte Lizenzleitfäden, die im Sommer 2026 veröffentlicht oder aktualisiert wurden, nennen noch 6 $ für P1 und 9 $ für P2, etwa der Vergleich von CyberDuo (August 2026) und der Leitfaden von SAMexpert (aktualisiert im Juni 2026). iC Consult behält die alten Werte bei, weist aber auf die Erhöhung im Juli hin. Das ID-Governance-Add-on blieb unverändert. Für ein Budget in Euro sollten Sie von der offiziellen deutschen Preisseite ausgehen, nicht von einer aus Dollar umgerechneten Tabelle.

Wofür wird Entra ID P1 genutzt, und reicht das?

Entra ID P1 macht den Zugriff bedingt: MFA erzwingen, Legacy-Authentifizierung blockieren, Anmeldungen nach Gerätekonformität oder Standort einschränken und Anwendungen per Gruppe zuweisen. Für einen Mittelständler, der P1 über Business Premium oder E3 bereits besitzt, ist P1 in der Regel die richtige Basis für alle Beschäftigten.

Was P1 konkret bietet:

• Conditional-Access-Richtlinien (MFA, Gerätekonformität, Standort, Sitzungssteuerung). Laut Microsoft erfordert diese Funktion Microsoft-Entra-ID-P1-Lizenzen.
• Gruppenbasierter Zugriff und dynamische Gruppen, damit Zugriffe Abteilung oder Rolle folgen.
• Funktionen für hybride Identität, wenn noch ein lokales Active Directory synchronisiert wird.
• Automatische Gruppenbereitstellung in SaaS- und lokale Anwendungen. Die Benutzerbereitstellung in SaaS-Anwendungen ist bereits in Free enthalten.
• Ein Identity-Governance-Dashboard und die Bestätigung von Nutzungsbedingungen.

Was P1 nicht bietet: Risikoerkennung bei Anmeldungen, Just-in-Time-Administratorrollen und jede Form der Zugriffsüberprüfung. Genau diese drei Punkte fragen Auditoren und Cyberversicherer ab, weshalb die P2-Diskussion meist bei der Vertragsverlängerung beginnt.

Was sind die wichtigsten Unterschiede zwischen Entra ID P1 und P2?

P2 ergänzt P1 um drei Fähigkeiten: Identity Protection, Privileged Identity Management und grundlegende Identity Governance. Alles aus P1 bleibt enthalten.

• Identity Protection bewertet das Risiko jeder Anmeldung und jedes Benutzers (geleakte Anmeldedaten, unmögliche Reisen, anonyme IP-Adressen) und lässt Conditional Access reagieren, zum Beispiel mit einer erzwungenen Kennwortänderung.
• Privileged Identity Management (PIM) ersetzt dauerhafte Administratorrechte durch zeitlich begrenzte, genehmigungspflichtige Aktivierung, sodass eine globale Administratorrolle nur aktiv ist, wenn sie gebraucht wird.
• Zugriffsüberprüfungen und Berechtigungsverwaltung in der Grundversion: wiederkehrende Überprüfungen von Gruppen- und App-Mitgliedschaften, Zugriffspakete, Ablauf von Zuweisungen, Prüfung der Funktionstrennung.

Der Preisunterschied beträgt 2,60 € pro Benutzer und Monat, also 43 % mehr als P1. Bei 200 Benutzern kostet der Umstieg aller auf P2 jährlich 6.240 € mehr.

Kann ich P2 nur für meine Administratoren kaufen?

Ja, und für die meisten Mittelständler ist das der effizienteste Weg. Microsoft lizenziert PIM pro Benutzer, der davon profitiert: Im eigenen Beispiel braucht ein Mandant mit 50 Administratoren, von denen 42 über PIM verwaltet werden, mit fünf Genehmigenden und sechs Prüfenden 53 Lizenzen, nicht eine pro Beschäftigtem.

Die Grenze dieses Ansatzes ist Identity Protection. Risikobasierte Richtlinien schützen nur Benutzer mit P2-Lizenz: P2 für Administratoren sichert privilegierte Konten, lässt normale Benutzer aber auf P1-Niveau. Bei 200 Beschäftigten mit zehn Administratoren ist der Unterschied klein: 14.952 € pro Jahr für P1 überall plus P2 für die zehn Administratoren, gegenüber 20.880 € für P2 für alle.

Sind Zugriffsüberprüfungen eine P2- oder eine Governance-Funktion?

Beides, und genau das ist der häufigste Lizenzfehler in diesem Bereich. Grundlegende Zugriffsüberprüfungen und Berechtigungsverwaltung sind in P2 enthalten. Die erweiterten Prüf- und Lifecycle-Funktionen erfordern die separate Lizenz Entra ID Governance. Eine wiederkehrende Frage auf Microsoft Q&A lautet genau so: Reicht P2 für Zugriffsüberprüfungen von Gruppen?

Die Lizenztabelle von Microsoft klärt das. Von den 60 Funktionen für Beschäftigte, die in den Lizenzgrundlagen von ID Governance aufgeführt sind (Seite aktualisiert am 29. Juli 2026), erfordern 28 Entra ID Governance oder die Entra Suite und sind nicht in P2 enthalten. P1 allein deckt 8 davon ab.

Die praktische Folge: Wer Ein- und Austritte mit Lifecycle Workflows automatisieren will, kommt mit P2 nicht ans Ziel. Governance ist für jeden Benutzer im Geltungsbereich des Workflows nötig. Das Beispiel von Microsoft zählt 401 Lizenzen für einen Workflow mit 400 neuen Beschäftigten plus den Administrator, der ihn betreibt.

Was kostet jede Lizenzvariante für 200 Benutzer?

Für ein Unternehmen mit 200 Beschäftigten reicht die realistische Spanne von 14.640 € bis 39.600 € pro Jahr zum Listenpreis, je nachdem, wie weit Sie im Entra-Stack nach oben gehen. Die Tabelle wendet die Microsoft-Preise vom September 2026 auf sechs typische Szenarien an.

Zwei Lizenzregeln verändern diese Beträge in der Praxis:

• Lizenziert werden die betroffenen Benutzer, nicht der ganze Mandant. Microsoft zählt 76 Lizenzen für die Überprüfung einer Gruppe mit 75 Mitgliedern und einem prüfenden Besitzer. Wenn nur 80 Personen im Geltungsbereich Ihrer Überprüfungen liegen, lizenzieren Sie 80, nicht 200.
• Gäste werden anders abgerechnet. ID Governance lizenziert Gastbenutzer nach monatlich aktiven Benutzern (MAU), wofür ein Azure-Abonnement für die Gastabrechnung verknüpft sein muss.

Für die meisten Budgets im Mittelstand zählt die letzte Spalte. Wer bereits Business Premium oder E3 bezahlt, hat P1 als versunkene Kosten. Die eigentliche Entscheidung lautet: Liefern die nächsten 1.044 € oder die nächsten 14.640 € pro Jahr die Nachweise, die Ihr Auditor erwartet?

Was Entra-Lizenzen nicht sehen: Anwendungen ohne Anbindung an Entra

Jede Entra-Stufe, einschliesslich Governance, steuert die Anwendungen, die an Entra angebunden sind. Zugriffsüberprüfungen, PIM und Lifecycle Workflows wirken auf Gruppen, Rollen und Apps, die Entra kennt. Eine per Kreditkarte gekaufte App, die mit einem privaten Login genutzt oder nie an SSO und SCIM angebunden wurde, liegt ausserhalb jedes Lizenz-Upgrades.

Im Mittelstand ist dieser blinde Fleck selten klein. Als Satelia, ein auf Herzerkrankungen spezialisiertes Telemonitoring-Unternehmen, ISO- und SOC-2-Anforderungen erfüllen musste, entdeckte es 160 genutzte Anwendungen, weit mehr als die 30 aus den manuellen Berichten. Jede Überprüfung, die nur bekannte und angebundene Apps umfasst, wäre von der kürzeren Liste ausgegangen.

An diesem Punkt erweist sich die Debatte P2 gegen Governance oft als falsch gestellt. 14.640 € pro Jahr für Governance verbessern die Überprüfung der Apps, die Entra bereits sieht. Sie sagen nichts darüber, welche Apps existieren, wer sie bezahlt und wer nach dem Austritt noch ein Konto hat. Eine Governance-Schicht, die Entra als Identitätsquelle nutzt und Überprüfungen sowie Offboarding auf alle SaaS-Apps ausdehnt, ob angebunden oder nicht, schliesst diese Lücke. Genau dafür ist die automatisierte Identity Governance von Corma gebaut.

Welche Lizenz verlangt ein NIS2- oder ISO-27001-Audit wirklich?

Keine Regulierung schreibt eine bestimmte Microsoft-Lizenz vor. Auditoren verlangen Massnahmen und Nachweise, und jede Entra-Stufe liefert einen Teil davon. Die Tabelle ordnet die häufigsten Anforderungen der Stufe zu, die sie abdeckt.

Die NIS2-Richtlinie nennt in Artikel 21 Absatz 2 die erwarteten Risikomanagementmassnahmen, darunter unter Buchstabe i die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen sowie unter Buchstabe j den Einsatz von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung. In Deutschland ist das BSI die zuständige Behörde, und das IT-Grundschutz-Kompendium behandelt das Thema im Baustein ORP.4 Identitäts- und Berechtigungsmanagement. ISO/IEC 27001:2022 verlangt vergleichbare Massnahmen in Anhang A, insbesondere Zugangsrechte (5.18), privilegierte Zugangsrechte (8.2) und sichere Authentisierung (8.5).

Die letzte Zeile übergehen die meisten Lizenzleitfäden: Keiner der fünf Leitfäden, die wir für diesen Artikel ausgewertet haben, erwähnt NIS2. Dabei steht das Management von Anlagen im selben Buchstaben der Richtlinie wie die Zugriffskontrolle. Den Ablauf der Überprüfung selbst beschreibt unsere Roadmap für Zugriffsüberprüfungen nach ISO 27001.

Welcher Entra-Plan passt zu Ihrem Unternehmen?

Gehen Sie von der Lizenz aus, die Sie bereits besitzen, und von den Nachweisen, die Sie brauchen, nicht von der Funktionsliste. Das Raster fasst die häufigsten Situationen im Mittelstand zusammen.

Wenn Sie noch einen Identitätsanbieter statt einer Lizenzstufe auswählen, behandelt unser Vergleich Okta vs Microsoft Entra ID für den Mittelstand diese vorgelagerte Entscheidung.

Wie Corma Entra ID ergänzt

Corma ersetzt Entra ID nicht: Corma nutzt Entra als Identitätsquelle und steuert Zugriffe über alle Ihre SaaS-Apps, auch über jene, die Entra nicht sieht. Die native Microsoft-Entra-Integration synchronisiert Benutzer und Gruppen, danach ergänzt Corma, was keine Entra-Stufe allein liefert:

• SaaS-Erkennung und Lizenztransparenz über angebundene und nicht angebundene Apps, mit den Kosten jedes Tools, über das SaaS-Management von Corma.
• Zugriffsüberprüfungen über alle Apps, nicht nur über jene hinter SSO, mit auditfähigen Nachweisen aus den automatisierten Access Reviews.
• Automatisiertes Onboarding und Offboarding für den gesamten Stack. Skello hat mit Corma mehr als 140 Ein- und Austritte automatisiert.
• Hosting in der EU und DSGVO-Konformität auf einer nach ISO/IEC 27001:2022 zertifizierten Plattform, was zählt, wenn das Governance-Tool selbst Ihre Zugriffslandkarte enthält.

Für viele IT-Teams im Mittelstand kostet die Kombination aus P1 für alle, P2 für Administratoren und einer Governance-Schicht wie Corma weniger als Governance für alle Benutzer und deckt mehr Anwendungen ab. Wie das Identity- und Access-Management von Corma zu Ihrem Entra-Mandanten passt, zeigt am schnellsten eine Demo mit Ihrem eigenen Stack.

FAQ

Wie finde ich heraus, ob ich Entra ID P1 oder P2 habe?

Öffnen Sie das Microsoft Entra Admin Center und sehen Sie auf die Übersichtsseite: Die Infoleiste zeigt den aktuellen Entra-ID-Lizenzplan. Die vollständige Produktliste des Mandanten finden Sie unter Abrechnung, dann Lizenzen, dann Alle Produkte. Mit Microsoft 365 E3 oder Business Premium haben Sie P1; E5 enthält P2.

Ist Entra ID P2 in Microsoft 365 E3 enthalten?

Nein. Microsoft 365 E3 enthält Entra ID P1, nicht P2. Entra ID P2 ist in Microsoft 365 E5 und E7 sowie in der Microsoft Defender Suite enthalten. Ein E3-Kunde, der P2-Funktionen braucht, kauft eigenständige P2-Lizenzen für die betroffenen Benutzer.

Ist Entra ID P1 in E3 enthalten?

Ja. Microsoft 365 E3 enthält Entra ID P1, ebenso Microsoft 365 Business Premium, E5 und E7. E3-Kunden verfügen damit bereits über Conditional Access und müssen P1 nicht separat kaufen.

Wird Entra ID P1 oder P2 pro Benutzer oder pro Mandant lizenziert?

Entra ID P1 und P2 werden pro Benutzer lizenziert. Jeder Benutzer im Geltungsbereich einer Premium-Funktion, etwa einer Conditional-Access-Richtlinie, einer Zugriffsüberprüfung oder von PIM, braucht die entsprechende Lizenz. Eine einzelne Lizenz schaltet die Funktion nicht für den ganzen Mandanten frei.

Enthält Business Premium Entra ID P1 oder P2?

Microsoft 365 Business Premium enthält Entra ID P1. Entra ID P2 ist in der Microsoft Defender Suite für Business Premium enthalten oder als eigenständige Lizenz für 8,70 € pro Benutzer und Monat für die Benutzer erhältlich, die sie brauchen.

Wie werden Gäste für Governance lizenziert?

Microsoft Entra ID Governance lizenziert Gastbenutzer nach monatlich aktiven Benutzern (MAU), nicht pro zugewiesenem Platz. Dafür muss ein Azure-Abonnement für die Gastabrechnung mit dem Mandanten verknüpft sein. Beschäftigte und andere Mitgliedsbenutzer werden pro Benutzer lizenziert.