Microsoft Entra ID Governance: Abdeckung, Lizenzierung und die Mittelstandslücke

Dieser Leitfaden richtet sich an IT-Leiter in Unternehmen mit 50 bis 500 Mitarbeitenden, die bereits Microsoft 365 nutzen und entscheiden müssen, ob sich das Add-on Entra ID Governance lohnt. Sie betreuen einen Tenant mit 5.000 Arbeitsplätzen und ein eigenes IAM-Team? Dann hilft Ihnen die Dokumentation von Microsoft mehr.

Microsoft Entra ID Governance ist ein Add-on für Entra ID P1- und P2-Tenants, das Lifecycle Workflows, erweiterte Zugriffsüberprüfungen und Berechtigungsverwaltung (Entitlement Management) auf das Verzeichnis aufsetzt. Der Listenpreis liegt in Deutschland bei 6,10 € pro Benutzer und Monat bei jährlicher Bindung, und die Lizenz muss jedes Mitglied im Geltungsbereich einer Governance-Funktion abdecken, nicht nur die aktiven Nutzer. Das Add-on steuert Anwendungen, die über Single Sign-on oder Provisionierung mit Entra verbunden sind. SaaS-Tools, die nie über Entra laufen, bleiben ausserhalb seiner Reichweite, solange niemand ihre Zugriffsdaten von Hand hochlädt.

Zuletzt geprüft am 28. September 2026. Preise und Lizenzregeln an diesem Tag mit der deutschen Preisseite von Microsoft und Microsoft Learn abgeglichen.

Was ist Microsoft Entra ID Governance?

Microsoft Entra ID Governance ist das Angebot von Microsoft für Identity Governance and Administration (IGA) in Entra ID: Es regelt, wer worauf wie lange Zugriff hat, und belegt, dass diese Zugriffe überprüft wurden. Es wird als Add-on zu einem bestehenden Entra ID-Tenant verkauft, nicht als eigenes Verzeichnis, und baut auf Governance-Funktionen auf, die früher in Entra ID P2 lagen.

In der Praxis bündelt es vier Funktionsbereiche:

• Lifecycle Workflows: automatisierte Aufgaben für Eintritt, Wechsel und Austritt (Joiner, Mover, Leaver), ausgelöst durch HR-Attribute, mit bis zu 50 Workflows und 100 benutzerdefinierten Aufgabenerweiterungen.
• Zugriffsüberprüfungen (Access Reviews): wiederkehrende Rezertifizierungskampagnen, in denen Führungskräfte, Besitzer oder Benutzer Zugriffe bestätigen oder entziehen, mit Empfehlungen per Machine Learning und Überprüfungen inaktiver Konten. Unsere Roadmap für Zugriffsüberprüfungen nach ISO 27001 erläutert die Kontrolle selbst.
• Berechtigungsverwaltung (Entitlement Management): Zugriffspakete, die Gruppen, Teams, Anwendungen und SharePoint-Websites bündeln, mit Genehmigungsrichtlinien, Ablaufdaten und Prüfungen der Funktionstrennung.
• Privileged Identity Management (PIM): Just-in-Time-Aktivierung von Administratorrollen statt dauerhafter privilegierter Zugriffe.

Entra ID Governance ersetzt nicht Ihren Identitätsanbieter. Falls diese Wahl noch offen ist, beginnen Sie mit unserem Vergleich Okta vs. Microsoft Entra ID für den Mittelstand und kommen Sie dann zur Governance-Frage zurück.

Was bringt es zusätzlich zu Entra ID P1 und P2?

Die Trennlinie ist wichtig, weil viele Tenants bereits einen Teil davon bezahlen. Die Tabelle zeigt die Zeilen, die eine Entscheidung im Mittelstand verändern, entnommen aus der Funktionsübersicht nach Lizenz auf Microsoft Learn. Microsoft Entra Suite enthält alle Funktionen von Entra ID Governance.

Lesen Sie die P2-Spalte genau. Sie enthält einfache Zugriffsüberprüfungen, Zugriffspakete und PIM, doch die Automatisierung, die ein kleines IT-Team entlastet (Lifecycle Workflows, automatische Zuweisung, Account Discovery), gibt es nur in der Governance-Spalte.

Wie funktioniert die Lizenzierung von Microsoft Entra ID Governance?

Entra ID Governance wird pro Mitgliedsbenutzer mit jährlicher Bindung lizenziert und funktioniert nur, wenn der Tenant bereits ein Produkt mit Entra ID P1 oder P2 besitzt. Gäste werden separat abgerechnet, pro monatlich aktivem Benutzer über ein Azure-Abonnement.

Welche Microsoft-Pläne gelten als Voraussetzung?

Microsoft verkauft die Governance-Funktionen als sechs Produkte, die sich nur in der Voraussetzung unterscheiden. Für einen kommerziellen Tenant im Mittelstand zählen drei davon:

• Microsoft Entra ID Governance: erfordert ein Produkt mit dem Serviceplan P1 oder P2, etwa Entra ID P1, Microsoft 365 Business Premium, Microsoft 365 E3 oder Enterprise Mobility + Security E3.
• Microsoft Entra ID Governance Step Up for Microsoft Entra ID P2: für Tenants, die P2 bereits besitzen, zum Beispiel über Microsoft 365 E5. Der Preis steht nicht auf der öffentlichen Preisseite von Microsoft und läuft über einen Partner oder den Microsoft-Vertrieb.
• Microsoft Entra Suite: dieselben Governance-Funktionen plus Private Access, Internet Access, ID Protection und Verified ID für 10,40 € pro Benutzer und Monat. Sie setzt P1 voraus, und Microsoft bietet P2- und E5-Kunden Sonderkonditionen.

Die Voraussetzung muss aktiv bleiben. Microsoft warnt, dass Szenarien mit Entra ID Governance bei Ablauf „might not function as expected“ (möglicherweise nicht wie erwartet funktionieren), so die Lizenzierungsgrundlagen mit Stand 29. Juli 2026.

Wer braucht eine Lizenz: die Regel des Geltungsbereichs

Microsoft zählt nicht, wer klickt. Microsoft zählt die Mitgliedsbenutzer, für die eine Funktion gilt. Der Tenant braucht mindestens so viele Lizenzen wie gesteuerte Mitgliedsbenutzer, einschliesslich derer, die Zugriff auf die Anwendungen haben oder beantragen können, ihn genehmigen oder überprüfen (Microsoft Learn). Lizenzen müssen nicht einzelnen Benutzern zugewiesen werden, aber ihre Anzahl muss zum Geltungsbereich passen.

Genau hier liegen die meisten Forenbeiträge daneben. Die Frage „How does licensing work with entitlement management?“ taucht auf r/entra immer wieder auf, weil die Antwort vom Geltungsbereich abhängt und nicht von der Nutzung. Die Beispiele von Microsoft schaffen Klarheit:

Für ein mittelständisches Unternehmen ist die Folge einfach: Eine unternehmensweite vierteljährliche Zugriffsüberprüfung oder ein Austritts-Workflow, der für alle gilt, bringt die gesamte Belegschaft in den Geltungsbereich.

Gäste werden separat abgerechnet

Die Lizenzen der Mitarbeitenden decken keine geschäftlichen Gäste ab. Governance-Aktionen für Gäste werden pro monatlich aktivem Benutzer (MAU) über das Add-on Microsoft Entra ID Governance for guests abgerechnet, das eine Verknüpfung des Tenants mit einem Azure-Abonnement erfordert. Microsoft setzt diese Verknüpfung seit Januar 2026 durch, und die Abrechnung gilt für jeden gesteuerten Gast, auch innerhalb der ersten 50.000 MAU, die External ID kostenlos bietet. P2-Funktionen für Gäste werden nicht berechnet (Seite zur Gastlizenzierung, Stand 23. September 2026).

Ist Microsoft Entra ID Governance in E5 enthalten?

Nein. Microsoft 365 E5 enthält Microsoft Entra ID P2, und P2 ist nicht Entra ID Governance. E5-Tenants behalten die Governance-Funktionen, die schon in P2 steckten (einfache Zugriffsüberprüfungen, Zugriffspakete, PIM), brauchen aber den Step Up for Microsoft Entra ID P2, um Lifecycle Workflows, Machine-Learning-Empfehlungen bei Überprüfungen, Account Discovery und die übrigen Governance-exklusiven Funktionen freizuschalten.

Microsoft ist bei der Richtung eindeutig. Alle allgemein verfügbaren P2-Funktionen bleiben erhalten, „but no new Identity Governance & Administration (IGA) features or capabilities will be added to the Microsoft Entra ID P2 SKU“: P2 erhält keine neuen IGA-Funktionen mehr. Jede neue Governance-Funktion erscheint jetzt im Governance-Add-on oder in der Entra Suite. Am oberen Ende der Palette enthält Microsoft 365 E7 laut Microsoft Learn alle ID Governance-Funktionen über Entra Suite und Agent 365.

Was kostet Entra ID Governance ein Unternehmen mit 100 bis 500 Mitarbeitenden?

Zum Listenpreis zahlt ein Unternehmen, das bereits P1 hat, 73,20 € pro Benutzer und Jahr für Entra ID Governance, also rund 18.300 € pro Jahr für 250 Mitarbeitende im Geltungsbereich. Ohne P1 verdoppelt sich der Einstiegspreis, weil zuerst P1 gekauft werden muss.

Prüfen Sie die Zahlen, die Ihnen genannt werden. Viele Leitfäden und Forenantworten verwenden noch ältere Preise: Ein Beitrag auf r/AZURE schwankt zwischen „Entra ID P2 at $9 or Microsoft Entra ID Governance at $7 per user and month“. Die deutsche Preisseite von Microsoft nennt am 28. September 2026 P1 mit 6,10 €, P2 mit 8,70 €, Entra ID Governance mit 6,10 € und Entra Suite mit 10,40 € pro Benutzer und Monat bei jährlicher Abrechnung. Planen Sie mit den aktuellen Zahlen und prüfen Sie sie vor der Unterschrift erneut.

Zwei Faktoren verschieben diese Beträge. Partnerrabatte und Enterprise Agreements senken den Listenpreis. Der Geltungsbereich senkt die Kopfzahl: Deckt die Governance nur ein Finanzteam mit 40 Personen ab, das drei Apps beantragt, brauchen nur diese Benutzer und ihre Genehmiger eine Lizenz. Der Haken: Die Kontrollen, nach denen Auditoren fragen, etwa unternehmensweite Zugriffsüberprüfungen und automatisierte Austritte, gelten für alle.

Und dieses Budget deckt nur die Anwendungen ab, die Entra sieht. Wenn sich dieser Kompromiss für ein kleines IT-Team schwer rechtfertigen lässt, vergleichen Sie ihn mit einer Identity Governance für IT-Teams im Mittelstand, die auf Entra ID aufsetzt, statt es zu ersetzen.

Welche Apps kann Entra ID Governance tatsächlich steuern?

Entra ID Governance steuert eine Anwendung vollständig, wenn eine von zwei Bedingungen erfüllt ist: Entra ID ist der einzige Identitätsanbieter der App, sodass sich nur in Entra zugewiesene Benutzer anmelden können, oder Entra provisioniert und deprovisioniert die Konten der App, über SCIM, Microsoft Graph oder Active Directory-Gruppen. Ausserhalb dieser Bedingungen „can still be used“, schreibt Microsoft, und räumt ein: „there may be some limitations“ (Microsoft Learn).

Diese Einschränkungen sind für einen SaaS-Bestand im Mittelstand der Kern der Sache. Die Matrix ordnet typischen App-Arten zu, was das Add-on mit ihnen macht.

Was passiert mit Apps ohne SCIM und ohne SSO?

Microsofts Antwort für nicht verbundene Anwendungen ist die Ressource mit benutzerdefinierten Daten (Custom Data Provided Resource), weiterhin in der Vorschau (Dokumentation vom 12. März 2026). Sie bindet eine App in eine Zugriffsüberprüfung ein, indem ihre Zugriffsdaten hochgeladen werden, mit vier Einschränkungen:

• bis zu 10 CSV-Dateien pro Überprüfung, hochgeladen von Hand, über Microsoft Graph oder über eine Logic App;
• ein Zeitfenster von zwei Stunden, um den Upload abzuschliessen, sobald die Überprüfung den Status Initializing erreicht;
• nur einstufige Überprüfungen, mit den Vorgesetzten der Benutzer als Prüfern;
• eine Entra ID Governance- oder Entra Suite-Lizenz für die Benutzer im Geltungsbereich.

Das funktioniert für eine Handvoll sensibler Apps. Es skaliert nicht auf den Long Tail und hilft nicht bei Apps, die niemand registriert hat. Dieser Long Tail ist grösser, als die meisten Inventare vermuten lassen. Als Satelia, ein Anbieter für kardiologisches Telemonitoring mit 70 Mitarbeitenden, Corma während der Vorbereitung auf ISO 27001 und SOC 2 anband, kamen 160 Anwendungen zum Vorschein, weit mehr als die 30 aus den manuellen Berichten.

Die eigentliche Frage ist also nicht, ob Sie ungesteuerte Apps haben werden. Sie haben sie bereits. Wie Austritte bei diesen Tools ablaufen, zeigt unser Leitfaden zum Identitätslebenszyklus für Apps ohne SCIM, SAML oder SSO.

Wo die Mittelstandslücke entsteht

Die Lücke liegt nicht in der Funktionsliste. Sie entsteht dort, wo die Annahmen von Microsoft (ein IAM-Team, ein weitgehend integrierter App-Bestand, ein Lizenzbudget, das mit der Kopfzahl wächst) auf ein Unternehmen mit 50 bis 500 Beschäftigten und einem kleinen IT-Team treffen.

1. Lizenzrechnung für die gesamte Belegschaft. Unternehmensweite Kontrollen bringen jedes Mitglied in den Geltungsbereich: Die Kosten wachsen mit der Kopfzahl, nicht mit der Zahl riskanter Apps.
2. Ein Long Tail von Apps ohne SCIM. Jede App, die im tatsächlich gekauften Tarif kein SCIM bietet, landet in den Zeilen drei und vier der Matrix, wo die Arbeit manuell bleibt.
3. Kein Blick auf Lizenzausgaben. Entra weiss, wer einer Unternehmensanwendung zugewiesen ist. Es weiss nicht, welche bezahlten Lizenzen in dieser App ungenutzt bleiben oder welcher Vertrag nächsten Monat verlängert wird.
4. Auditnachweise mit 30 Tagen Gedächtnis. Microsoft Entra speichert Überwachungsereignisse bis zu 30 Tage, und Microsoft empfiehlt, sie für die Historie an Azure Monitor weiterzuleiten (Microsoft Learn). Gleichzeitig verlangt der BSI-Baustein ORP.4 in Anforderung ORP.4.A3, die Dokumentation der Benutzerkennungen und Rechteprofile regelmässig mit dem tatsächlichen Stand der Rechtevergabe abzugleichen und zu prüfen, ob die Rechte noch den Sicherheitsanforderungen entsprechen. Für Apps ausserhalb von Entra gelingt das nur mit einer zweiten Quelle, und vor einem ISO 27001- oder NIS2-Audit ist Azure Monitor eine weitere Komponente, die eingerichtet und bezahlt werden muss. Unsere NIS2-Compliance-Checkliste für IT-Teams ordnet das ein.
5. Konzeption und Pflege. Kataloge, Zugriffspakete, Lifecycle Workflows und Erweiterungen über Logic Apps sind leistungsfähig, aber jemand muss sie entwerfen und aktuell halten, während sich das Unternehmen verändert.

Héloïse Rozès, Mitgründerin und CEO von Corma, beschrieb dieses Muster bei der Ankündigung der Seed-Finanzierung am 8. Dezember 2025:

„Wir sehen überall Teams, die von der Zahl der Apps überfordert sind, die sie jeden Tag verwalten müssen. Sie verlieren an allen Ecken Geld und verbringen ihren Tag mit operativen Aufgaben statt mit strategischen Initiativen.“Héloïse Rozès, Mitgründerin und CEO von Corma (PR Newswire, Dezember 2025, aus dem Englischen übersetzt)

Was berichten IT-Teams, die es ausprobiert haben?

Öffentliche Diskussionen zeigen drei wiederkehrende Reibungspunkte: Unklarheit bei den Lizenzen, Aufwand bei der Einführung und Abdeckung jenseits von Microsoft. Es sind Einzelstimmen, keine Umfrage, aber sie decken sich mit den Fragen, die mittelständische Unternehmen in ein Governance-Projekt mitbringen.

• Welche SKU? „Could you clarify whether we need to purchase P2 licenses, Microsoft Entra ID Governance, or Microsoft Entra Suite?“, fragt ein Administrator auf r/AZURE.
• Aufwand. „Currently implementing Entra ID Governance and it's a nightmare“ (die Einführung sei ein Albtraum), schreibt ein Praktiker, der IGA-Tools auf r/IdentityManagement vergleicht.
• Abdeckung. Beiträge wie „CMV: Why do I need Microsoft Entra AND Sailpoint?“ zeigen, dass manche Teams Entra weiterhin mit einem zweiten Governance-Tool kombinieren, um Apps ausserhalb von Microsoft zu erreichen.

Entra ID Governance-Add-on oder Governance-Schicht über Entra ID?

Die Wahl lautet nicht Entra oder etwas anderes: Entra ID bleibt in beiden Fällen Ihr Identitätsanbieter. Die Frage ist, ob die Governance in Entra lebt, lizenziert pro Mitgliedsbenutzer im Geltungsbereich, oder in einer Schicht, die Entra ausliest und auch abdeckt, was Entra nicht sieht.

Wann ist das Microsoft-Add-on die richtige Wahl? Wenn die meisten kritischen Zugriffe in Microsoft 365, Azure und in Entra integrierten Apps liegen, wenn Sie Just-in-Time-Administratorrollen oder SAP-Geschäftsrollen in Zugriffspaketen (in der Vorschau) brauchen und wenn jemand im Team Kataloge und Workflows verantworten kann. Manche Teams nutzen beides: PIM und Microsoft-seitige Zugriffspakete in Entra, dazu eine App-übergreifende Schicht für alles andere.

Wie Corma die Lücke über Entra ID schliesst

Corma nutzt Entra ID als Quelle der Identitäten und erweitert die Governance auf alle Apps, die Ihre Teams verwenden, auch auf jene, die Entra nie sieht. Die Plattform vereint SaaS-Management und Identity Governance, sodass derselbe Bestand Zugriffsüberprüfungen, Austritte und Lizenzentscheidungen speist.

• Ein vollständiges App-Inventar. Die Erkennung über Entra ID und die Browsererweiterung macht Schatten-IT sichtbar, bevor ein Auditor danach fragt.
• Zugriffsüberprüfungen für alle Apps. Automatisierte Kampagnen für Access Reviews schliessen Tools ohne SCIM ein und liefern den Prüfpfad, den ISO 27001, SOC 2 und NIS2 erwarten.
• Eintritt, Wechsel und Austritt über Microsoft hinaus. Sobald die Personalabteilung ein Austrittsdatum einträgt, wird jedes Konto deaktiviert, auch dort, wo Entra nicht deprovisionieren kann.
• Kontrolle über Lizenzen und Ausgaben. Sie sehen, welche Lizenzen ungenutzt sind, wer sie hält und was als Nächstes verlängert wird, und holen sie zurück.
• Europäisch aus Prinzip. Datenhosting in der EU, Zertifizierung nach ISO/IEC 27001:2022 und Aufnahme in den Gartner Magic Quadrant 2025 für SaaS-Management-Plattformen.

„Ohne diese Informationen hätten wir die Zertifizierungen nach ISO 27001 und SOC 2 nicht vorantreiben können.“Eriel Cruz, Technical Project Manager, Satelia (aus dem Englischen übersetzt)

„Corma unterstützt mich enorm bei allen Aspekten der Anwendungserkennung und des automatischen Managements.“Jean-Marie Drucot, IT Manager und CISO, APGAR

FAQ

Ist Microsoft Entra ID kostenlos?

Ja, in der Basisstufe. Microsoft Entra ID Free ist in Microsoft-Cloud-Abonnements wie Microsoft 365 und Azure enthalten und umfasst SSO, Multi-Faktor-Authentisierung und Benutzerverwaltung. Einfache Zugriffsüberprüfungen beginnen mit P2, Lifecycle Workflows und erweiterte Überprüfungen erfordern das Add-on Entra ID Governance.

Welche Lizenzarten gibt es für Microsoft Entra ID?

Microsoft Entra ID gibt es als Free, P1 (6,10 € pro Benutzer und Monat) und P2 (8,70 €). Governance wird zusätzlich verkauft, als Microsoft Entra ID Governance (6,10 €) oder als Teil der Microsoft Entra Suite (10,40 €). P1 ist in Microsoft 365 Business Premium und E3 enthalten, P2 in Microsoft 365 E5 (Listenpreise Deutschland, September 2026).

Wofür wird die Lizenz Microsoft Entra ID P2 verwendet?

Entra ID P2 ergänzt risikobasierten Schutz durch Microsoft Entra ID Protection, Privileged Identity Management sowie die grundlegenden Funktionen für Zugriffsüberprüfungen und Berechtigungsverwaltung. Lifecycle Workflows und die neueren Governance-Funktionen sind nicht enthalten, sie erfordern Microsoft Entra ID Governance.

Welche Unternehmen nutzen Entra ID?

Jede Organisation mit Microsoft 365 oder Azure nutzt bereits Entra ID, weil die Free-Stufe mit diesen Abonnements geliefert wird. Ob zusätzlich das Governance-Add-on nötig ist, hängt weniger von der Unternehmensgrösse ab als davon, wie viele Zugriffe ausserhalb von Microsoft liegen.

Gibt es eine kostenlose Testversion von Microsoft Entra ID Governance?

Ja. Ein globaler Administrator kann im Microsoft 365 Admin Center unter Abrechnung und Dienste erwerben eine Testversion starten, wenn der Tenant bereits eine Voraussetzung wie Entra ID P1 besitzt und Entra ID Governance noch nie getestet hat. Tenants mit P2 starten stattdessen die Testversion des Step-Up-Produkts.

Kurz gesagt

Microsoft Entra ID Governance ist das richtige Werkzeug für Zugriffe, die innerhalb von Microsoft liegen. Für ein Unternehmen mit 50 bis 500 Beschäftigten hängt die Entscheidung an zwei Zahlen, die Sie diese Woche prüfen können: wie viele Mitgliedsbenutzer eine unternehmensweite Überprüfung in den Geltungsbereich bringt und wie viele Ihrer Apps Entra tatsächlich sieht. Liegt die zweite Zahl weit unter Ihrer realen App-Anzahl, muss Governance mit der Erkennung beginnen.