Microsoft Entra ID P1 und P2 Lizenzen besser verstehen

Stand: August 2025 – Unternehmen, die Microsoft Entra ID produktiv einsetzen, stehen früher oder später vor der Entscheidung, ob sie die Lizenzstufe P1 oder P2 benötigen. Beide Modelle erweitern die Basisfunktionen erheblich und ermöglichen eine sichere, skalierbare und zentral steuerbare Verwaltung von Benutzeridentitäten. Viele Organisationen setzen bevorzugt auf P1, da diese Lizenz bereits eine breite Palette an Funktionen bietet. Mit P2 adressiert Microsoft zusätzliche Anforderungen rund um Zugriffssicherheit, Risikoerkennung und umfassende Governance.

In diesem Beitrag werden die funktionalen Unterschiede zwischen P1 und P2 im Detail dargestellt und eingeordnet. Darüber hinaus erläutern wir, welche weiteren Bestandteile in der Microsoft Entra Suite enthalten sind. Zusätzlich stellen wir Ihnen unseren Cloud-Service DynamicSync vor, der erweiterte und kostengünstige dynamische Gruppensynchronisationen ermöglicht – Funktionen, die Sie in der Microsoft-Standardlösung so nicht finden.

Sprechen Sie uns gerne an

Von der Basis zu Premium: Einstieg in Entra ID P1 und P2

Grundfunktionen in Microsoft 365: Was ohne Zusatzlizenz möglich ist

Neben den Lizenzstufen P1 und P2 stellt Microsoft eine kostenfreie Variante von Entra ID zur Verfügung. Diese ist in Microsoft 365- oder Office 365-Abonnements enthalten und bildet die Grundlage für die Benutzer- und Gruppenverwaltung innerhalb dieser Dienste.

Technisch gesehen handelt es sich um eine abgespeckte Version, die über die bestehenden Microsoft-Abonnements lizenziert wird. Premium-Funktionen sind nicht enthalten. Die Funktionalität reicht aus, um Benutzerkonten zu erstellen, mit Anwendungen zu verbinden und grundlegende Sicherheitsrichtlinien durchzusetzen.

Wer darüber hinausgehende Funktionen benötigt, kann ein Upgrade jederzeit durchführen. Microsoft bietet hierzu eine Testfreischaltung der Premiumfunktionen für bis zu 100 Benutzer und 30 Tage.

Warum ein Upgrade auf P1 oder P2 notwendig werden kann

Multifaktor-Authentifizierung ist nur über vordefinierte Sicherheitseinstellungen, sogenannte Security Defaults, möglich. Diese aktivieren MFA pauschal für alle Nutzer, blockieren veraltete Protokolle wie IMAP oder POP3 und verlangen MFA zwingend für administrative Zugriffe. Eine differenzierte Steuerung dieser Vorgaben ist in der Entra ID Free Version nicht möglich.

Individuelle Anpassungen wie geräteabhängige Bedingungen, segmentierte Benutzergruppen oder app-spezifische Anforderungen stehen ausschließlich in P1 oder P2 zur Verfügung. Auch die integrierten Berichte sind in der Free-Version stark eingeschränkt, sowohl im Umfang als auch in der Aufbewahrungsdauer.

Lizenzmodell, Verwaltung und Kosten im Überblick

Alle Lizenzstufen werden zentral über das Entra Admin Center verwaltet. Dort lassen sich Testlizenzen aktivieren, Benutzerberechtigungen steuern und Lizenztypen flexibel wechseln. Entscheidet sich ein Unternehmen für P1 oder P2, erfolgt die Lizenzierung jeweils für ein volles Jahr. Viele Unternehmen starten mit Entra ID P1 für alle Benutzer und erweitern gezielt auf P2 für privilegierte Konten, Administratoren oder besonders schützenswerte Rollen.

Die Preisunterschiede zwischen den Modellen sind deutlich. Die kostenfreie Variante verursacht keine zusätzlichen Ausgaben, da sie im Microsoft 365-Abonnement enthalten ist. Entra ID P1 kostet etwa 5,60 Euro pro Benutzer und Monat. Für P2 müssen rund 8,40 Euro eingeplant werden. Beide Premium-Varianten beinhalten einen zugesicherten Dienstverfügbarkeitswert von 99,9 Prozent. (Stand August 2025, hier geht’s zur offiziellen Preisübersicht von Microsoft)

👉 Der Funktionsumfang von P2 enthält sämtliche Features von P1, eine doppelte Lizenzierung ist nicht erforderlich.

Ob der der Mehrpreis für P2 gerechtfertigt ist, hängt stark von den Sicherheits- und Governance-Anforderungen des Unternehmens ab. P2 bietet erweiterte Schutzmechanismen, detaillierte Berichte und vollständige Steuerung über privilegierte Zugriffe. Organisationen mit erhöhtem Sicherheitsbedarf, Prüfanforderungen oder hybriden Infrastrukturen sollten die erweiterten Funktionen von P2 gezielt einplanen. Der Zugewinn an Kontrolle und Transparenz kann in sicherheitskritischen Bereichen einen messbaren Mehrwert liefern.

Gemeinsame Funktionen in P1 und P2

Entra ID P1 baut auf der kostenfreien Version auf und erweitert diese um zentrale Funktionen wie Conditional Access, dynamische Gruppenverwaltung, erweiterte Berichte sowie Self-Service-Kennwortzurücksetzung für Cloud- und hybride Identitäten.

👉 Viele Unternehmen starten mit P1 als Standardkonfiguration und erweitern gezielt auf P2 bei wachsendem Schutzbedarf.

Beide Lizenzmodelle bieten:

🔐 Zugriffssteuerung und Authentifizierung

• Vollständiger Zugriff auf Conditional Access mit kontextbasierten Regeln (z. B. Standort, Gerätestatus oder App-Sensitivität).
• Steuerung der Sitzungslebensdauer durch Tokenrichtlinien und erneute Authentifizierungsanforderungen
• Zentral verwaltbare Zugriffseinschränkungen für SharePoint
• Schutz für globale Kennwörter inkl. benutzerdefinierter Sperrlisten und die Verwaltung synchronisierter Kennwörter aus lokalen Active Directories

👥 Benutzer- und Gruppenmanagement

• Dynamische Gruppen mit Ablaufregeln für Gruppenmitgliedschaften, Benennungsrichtlinien und Klassifizierungen
• Rollenbasierte Zugriffssteuerung (RBAC) ermöglicht die Zuweisung granularer Berechtigungen auf Basis definierter Verantwortlichkeiten
• Funktionen zur Self-Service-Kennwortzurücksetzung, zur Entsperrung von Konten sowie zur Telefonnummernverwaltung durch definierte Mitarbeiterrollen
• Unterstützung mandantenübergreifender Szenarien inkl. Synchronisierung und Mehrmandantenfähigkeit

📊 Berichte, Monitoring und Transparenz 

• Erweiterte Berichte zu Anmeldungen, Richtlinienverstößen und Sicherheitszustand (mit 30 Tagen Datenaufbewahrung)
• Integritätswarnungen und Zugriffsanalysen
• Zentraler Zugriff auf alle Apps via „Meine Apps“-Portal inkl. Benutzeranwendungssammlungen

So verwalten Sie Gruppenmitgliedschaften ohne P1

Governance- und Automatisierungsfunktionen nur in P2

Echtzeit-Identitätsschutz und privilegierte Zugriffsverwaltung

Die Microsoft Entra ID P2-Lizenz enthält sämtliche Funktionen aus Free und P1 und erweitert diese insbesondere im Bereich Sicherheitsautomatisierung, privilegierter Zugriffskontrolle und Identitäts-Governance:

Entra ID Protection bewertet Anmeldevorgänge (Sign-ins) dynamisch und in Echtzeit. Verdächtige Aktivitäten, wie das sogenannte „Impossible Travel“ — beispielsweise eine Anmeldung in London, gefolgt von einer weiteren in New York nur wenige Minuten später — werden automatisch als risikobehaftet eingestuft. Weitere Risikokriterien sind unter anderem:

• Logins aus unbekannten Ländern
• Verwendung kompromittierter Passwörter (Dark-Web-Leaks)
• Abweichendes Nutzerverhalten

In solchen Fällen kann Microsoft automatisch Maßnahmen ergreifen, wie zum Beispiel:

• Erzwingen einer Multi-Faktor-Authentifizierung (MFA)
• Blockieren des Zugriffs
• Initiieren eines Passwort-Resets

 

Ein weiteres zentrales Element in P2 ist das Privileged Identity Management (PIM). Statt dauerhaft administrativer Berechtigungen erhalten Benutzer temporär erweiterte Rechte – nach vorheriger Genehmigung und nur für einen definierten Zeitraum. Diese Rechte müssen aktiviert, begründet und protokolliert werden. Der gesamte Prozess lässt sich auditfähig dokumentieren. Das reduziert die Angriffsfläche deutlich, insbesondere bei externen Dienstleistern oder projektbezogenen Rollen.

Erweiterte Berichte, automatisierte Berechtigungsverwaltung und Compliance

P2 bietet zusätzlich erweiterte Sicherheitsberichte und Schutzfunktionen:

• Umfangreiche Sicherheitsberichte mit mehr Metriken zur Risikobewertung
• Detailliertere Empfehlungen zur Gefahrenabwehr
• Token-Schutz und Schutz vor Session Hijacking
• Adaptive Sitzungssteuerung

Diese Funktionen sind ausschließlich in P2 enthalten.

P2 erweitert ebenfalls den Funktionsumfang in Richtung automatisierter Berechtigungsverwaltung und Nachvollziehbarkeit von Zugriffsketten. Automatisierte Benutzerbereitstellungen sind sowohl für SaaS-Anwendungen als auch für lokale Systeme möglich. Die Gruppenbereitstellung für Applikationen lässt sich über zentrale Richtlinien definieren. HR-Systeme wie SAP SuccessFactors oder Workday können zur Steuerung des gesamten Identitätslebenszyklus eingebunden werden. Nutzungsbedingungen lassen sich in standardisierter Form hinterlegen, zuweisen und nachweisen.

P2 enthält die komplette Zugriffszertifizierung. Standardisierte Prüfverfahren werden ergänzt durch Machine-Learning-basierte Empfehlungen. Damit lassen sich verwaiste oder ungenutzte Berechtigungen frühzeitig erkennen und entziehen. Die Standard-Berechtigungsverwaltung ist ebenfalls vollständig enthalten. Erweiterungen über Microsoft Azure Logic Apps ermöglichen individuelle Prozesse zur Rollenvergabe. 

Integration von Microsoft Entra Verified ID für sichere Identitätsnachweise

P2 beinhaltet außerdem die Möglichkeit, mit Verified ID überprüfbare Identitätsnachweise zu erstellen. Funktionen umfassen:

• Ausstellung überprüfbarer Anmeldeinformationen
• Validierung über hochsicheren biometrischen Gesichtsabgleich
• Pro Lizenz sind bis zu acht Prüfungen monatlich möglich

Diese Funktionen sind besonders relevant in sicherheitskritischen Bereichen wie Behörden, Gesundheitswesen und Finanzwirtschaft.

Gegenüberstellung zum schnellen Vergleich

Diese Tabelle fasst die Lizenzstufen übersichtlich zusammen und hilft bei der Einordnung der Funktionalitäten:

Funktion/Feature	Entra ID Free	Microsoft Entra ID P1	Microsoft Entra ID P2
Zielgruppe	Basisnutzer, M365-Kunden	Unternehmen mit Hybridumgebungen	Organisationen mit hohem Sicherheits- & Governance-Bedarf
Lizenzkosten (ca. pro Benutzer/Monat, Stand 2025)	Inklusive in M365	ca. 5,60 €/User/Monat	ca. 8,40 €/User/Monat
Benutzer- und Gruppenverwaltung	Benutzer- und Gruppenverwaltung in der Cloud	Enthält alle Free-Funktionen + Dynamische Mitgliedschaftsgruppen + Erweiterte Gruppenverwaltung	Enthält alle P1 Funktionen
Verzeichnis-Synchronisierung	Lokale Verzeichnissynchronisierung (z.B. Microsoft Entra Connect)	Enthält alle Free-Funktionen	Enthält alle P1 Funktionen
Single Sign-On (SSO)	Einmaliges Anmelden (SSO) für Entra, Microsoft 365 und viele SaaS-Apps	Enthält alle Free-Funktionen	Enthält alle P1 Funktionen
Self Service Kennwortzurücksetzung	Für Cloudbenutzer verfügbar	Erweiterung um Rückschreibefunktion für lokale Benutzer	Enthält alle P1 Funktionen
Multi-Faktor-Authentifizierung (MFA)	MFA unterstützt für globale Administratoren (z.B. Microsoft Authenticator App); Nur Authenticator als Zweitfaktor (keine SMS oder Anrufe)	Erweiterte MFA, z.B. auch Telefonanrufe und SMS als zweiter Faktor	Enthält alle P1 Funktionen + Automatisierte, risikobasierte MFA
Conditional Access (Bedingter Zugriff)	❌	Erstellung und Nutzung von CA-Policies (ohne Risikoerkennung)	Risikobasierter Conditional Access inkl. dynamischer Risikoeinschätzung
Identity Protection (Risikobewertung)	❌	Sehr eingeschränkte Risikoanzeigen ohne Details und automatisierte Reaktion	Vollständige Entra ID Protection mit Echtzeit-Risikobewertung, Risiko-Alerts, automatischen Reaktionen (MFA, Zugriffssperre, Passwortreset)
Privileged Identity Management (PIM)	❌	❌	Vollständige PIM-Funktionen: zeitlich befristete, genehmigte Rollenvergabe, Audit und Protokollierung
Sicherheitsberichte & Monitoring	Einfache Berichte zur Benutzer- und Anmeldeaktivität	Basisberichte	Erweiterte Sicherheitsberichte mit tiefgehenden Risikoanalysen und Empfehlungen
Automatisierung & Provisionierung	❌	Eingeschränkte Benutzer- und Gruppenbereitstellung	Automatisierte Benutzerbereitstellung inkl. HR-System-Integration, Workflow-Erweiterungen
Session-Schutz & Token-Schutz	❌	❌	Schutz vor Session Hijacking, Token-Schutz, adaptive Sitzungssteuerung
Verified ID (Gesichtsverifikation)	❌	❌	Ausstellung und Validierung überprüfbarer Identitätsnachweise inklusive biometrischem Gesichtsabgleich
Zero-Trust-Netzwerkfunktionen (Entra Private Access)	❌	❌	Vollständige Zero Trust-Architektur für private Apps und Netzwerke mit Conditional Access
Erweiterbarkeit & Integration	Basisfunktionen	Erweitert	Erweiterbar durch Azure Logic Apps, Integration mit Drittanbieter-Tools

Microsoft Entra Suite: Erweiterung der Identitätssicherheit über P1 und P2 hinaus

Die Microsoft Entra Suite ist eine übergeordnete Produktfamilie, die verschiedene Sicherheits- und Zugriffsmanagement-Lösungen für Cloud- und On-Premises-Umgebungen bündelt. Sie geht deutlich über die einzelnen Lizenzstufen P1 und P2 hinaus und integriert zentrale Microsoft Entra-Produkte zu einer einheitlichen Plattform.

Eine Microsoft Entra ID P1-Lizenz ist Voraussetzung für die Nutzung der Entra Suite. Viele Bestandteile sind aber auch in P2 enthalten oder werden durch die Suite erweitert. Die einzelnen Bestandteile lassen sich separat lizenzieren, bieten jedoch im Paket preisliche Vorteile und eine abgestimmte Integration. 

Entra Suite als Gesamtpaket: Sie bündelt (Lizenzierung von Microsoft, Stand August 2025) fünf große Funktionsbereiche:

• Entra Private Access (Zero Trust Netzwerkzugriff, z. B. als VPN-Ersatz)
• Entra Internet Access (geschützter Zugriff auf Internetdienste / SaaS)
• Entra ID Governance (Rollen- & Berechtigungsmanagement, Identity Lifecycle, Zugriffsrezertifizierung)
• Entra ID Protection (Risikobasierte Zugriffssteuerung, Realtime-Monitoring)
• Entra Verified ID Premium (Verifizierbare Identitätsnachweise, u. a. Face Check)

Ein zentrales Element ist Entra Private Access. Dieser Dienst ersetzt klassische VPN-Lösungen durch eine Zero-Trust-Netzwerkarchitektur. Der Zugriff auf interne Anwendungen erfolgt identitätsbasiert über den globalen Secure-Access-Client, ohne direkte Netzwerkanbindung zwischen Client und Anwendung. Parallel dazu bietet Entra Internet Access eine cloudbasierte Webzugriffskontrolle mit Inhaltsfilterung. Der gesamte Internetverkehr lässt sich über Richtlinien absichern, ohne Umweg über zentrale Firewalls oder lokale Netzwerke.

Die Microsoft Entra Suite richtet sich an Organisationen, die bereits Entra ID produktiv einsetzen und zusätzliche Anforderungen an Netzwerksicherheit, Identitätsvalidierung oder cloudübergreifende Zugriffssteuerung haben.

DynamicSync – Erweitere dynamische Gruppensynchronisation für Microsoft Entra ID

DynamicSync ist ein unabhängiger Cloud-Service von FirstAttribute, der die nativen Gruppenverwaltungsfunktionen von Microsoft Entra ID technisch erweitert.

👉 Besonders praktisch: DynamicSync kann verschiedene Gruppentypen in Entra ID miteinander synchronisieren – zum Beispiel Verteilergruppen in M365 Gruppen oder M365 Gruppen in Sicherheitsgruppen. So bleiben Mitgliedschaften automatisch aktuell und lassen sich flexibel an unterschiedliche Anwendungsfälle anpassen. Diese Funktion steht in Microsoft Entra ID nicht zur Verfügung.

 

Während Microsofts dynamische Gruppen begrenzte Möglichkeiten bieten (abhängig von der Lizenzstufe), ermöglicht DynamicSync erweiterte, verschachtelte Filterabfragen von bis zu 50 Filtern. 

DynamicSync übernimmt zudem die Weiterbearbeitung von Active Directory Gruppen, die in die Cloud synchronisiert wurden. So können die Mitglieder synchronisierter AD Gruppen in M365 Gruppen übertragen werden, was insbesondere hybride Umgebungen mit umfangreicher On-Premises-Verwaltung unterstützt. Administratoren behalten so ihre gewohnte zentrale Steuerung, während DynamicSync die Cloud-Mitgliedschaften zuverlässig aktuell hält.

💡Da DynamicSync unabhängig von Microsofts Entra ID P1- oder P2-Lizenzen funktioniert, bietet es eine kostengünstige Alternative oder Ergänzung zu Microsofts eingeschränkten nativen Funktionen — gerade bei komplexen und verschachtelten Gruppenstrukturen oder bei fehlenden P2-Lizenzoptionen. Außerdem integriert die Lösung automatisiert Microsoft Teams und weitere M365-Gruppenmanagement-Szenarien.

Fazit

Entra ID Free deckt die grundlegenden Identitätsverwaltungsfunktionen ab, ist in den meisten Microsoft-Cloud-Abonnements inklusive und bietet wichtigen Basis-Schutz und SSO.

Die Microsoft Entra ID P1 Lizenz eignet sich für Organisationen, die dynamische Zugriffssteuerung und grundlegende Sicherheitsfunktionen in einer hybriden Umgebung benötigen. P2 adressiert komplexe Szenarien mit hohem Regelungsbedarf, externen Prüferwartungen und umfangreichen Anforderungen an Nachvollziehbarkeit, Automatisierung und Least-Privilege-Prinzipien. Eine gemischte Lizenzierung ist möglich und erlaubt es, privilegierte Nutzer mit P2 auszustatten, während Standardanwender über P1 abgesichert werden.

DynamicSync verschafft Unternehmen maximale Flexibilität und Automatisierung bei der dynamischen Gruppenverwaltung, übertrifft Microsofts native Beschränkungen deutlich und ermöglicht die Synchronisation verschiedener Gruppentypen in Microsoft Entra ID. So lassen sich komplexe Berechtigungs- und Kommunikationsstrukturen effizient und sicher abbilden – bei reduziertem Verwaltungsaufwand und optimierten Kosten.

Dynamische Gruppen in Entra ID – Jetzt mehr herausfinden

DynamicSync ist eine Automatisierungs-Software für Cloud-Gruppen der FirstAttribute AG. Als reiner Cloud-Dienst (SaaS) spezialisiert sich DynamicSync auf dynamische und automatische Gruppensynchronisierungen in Entra ID.

Neben der kostenlosen Online-Demo, stehen Ihnen unsere freundlichen Mitarbeiter auch telefonisch Rede und Antwort. Rufen uns an unter +49 81 969 984 330.

Kontaktieren Sie uns