E3 und E5 klingen nach mehr Sicherheit – sind für die meisten KMU aber eine Kostenfalle. Dieser Artikel zeigt, wann Business Premium plus Entra ID P2 wirtschaftlicher ist und welche Lizenzen wirklich zu Ihrem Betrieb passen.
Teil 1 dieser Serie hat gezeigt: Die grösste Schwachstelle in Microsoft-365-Umgebungen ist selten die Lizenz. Meist fehlt schlicht die Konfiguration. Viele KMU ziehen aus diesem Befund den falschen Schluss. Sie kaufen vorsichtshalber Microsoft 365 E3 oder E5 – und landen in einer neuen Kostenfalle. Dieser Artikel erklärt, warum E3 und E5 für die meisten KMU nicht wirtschaftlich sind. Die bessere Basis ist Microsoft 365 Business Premium – kombiniert mit Microsoft Entra ID P2 als Ergänzung.
Kurzfassung: Für die meisten Schweizer KMU bis 300 Mitarbeitende ist Microsoft 365 Business Premium plus Microsoft Entra ID P2 die wirtschaftlichste Wahl. Microsoft 365 E3 und E5 lohnen sich erst bei grösseren Betrieben oder bei konkretem Bedarf an Funktionen wie Insider Risk Management oder eDiscovery Premium. Aktuelle Schweizer Listenpreise finden Sie direkt auf der offiziellen Microsoft-Preisseite – wir verlinken sie im Abschnitt unten.
Der naheliegende, aber teure Reflex
Nach einem Sicherheitsvorfall oder beim nächsten Lizenz-Review stellen viele KMU dieselbe Frage: Sollen wir nicht auf E3 oder E5 upgraden – sicher ist sicher? Der Reflex ist verständlich. In der Praxis zeigt sich aber: E3 und E5 teilen sich in vielen Bereichen dieselben Kernfunktionen. Für die meisten Organisationen fühlt sich der Arbeitsalltag unter beiden Plänen identisch an – solange keine erweiterten Sicherheits-, Analyse- oder Compliance-Funktionen wirklich genutzt werden.
Was kosten E3, E5 und Business Premium?
Microsoft publiziert die offiziellen Schweizer Listenpreise auf der Microsoft-365-Preisseite für Enterprise-Pläne sowie im Vergleich der Business-Pläne. Die Preise werden jährlich angepasst – Microsoft hat in den letzten Jahren im Sommer regelmässig Anpassungen im Bereich von drei bis neun Prozent vorgenommen. Über einen Cloud Solution Provider (CSP) sind in der Regel fünf bis fünfzehn Prozent Rabatt auf den Listenpreis möglich. Bei Volumenverträgen ab rund 300 Lizenzen sind zusätzliche Rabatte üblich.
Wichtig für die Lizenzwahl: Microsoft 365 Business Premium ist auf maximal 300 Mitarbeitende pro Tenant begrenzt. Ab dieser Grenze ist ein Wechsel zu E3 oder E3/E5 die einzige Option. Für die meisten Schweizer KMU ist diese Grenze irrelevant – sie liegt deutlich unter der durchschnittlichen Unternehmensgrösse in der Schweiz.
Was E3 und E5 tatsächlich mitbringen
E3 und E5 sind in erster Linie für grössere Organisationen konzipiert – mit komplexen Compliance-, Governance- und Identitätsanforderungen. Die Unterschiede zu Business Premium liegen in vier Bereichen: Identität, Sicherheit, Compliance und Analytics. Im Identitätsbereich bringt E3 Entra ID P1 mit, E5 zusätzlich Entra ID P2. Im Sicherheitsbereich liefert E3 Defender for Endpoint Plan 1, E5 die vollständige Defender Suite. Im Compliance-Bereich ergänzt E5 mit Purview-Funktionen und Insider Risk Management. Im Analytics-Bereich enthält E5 Power BI Pro und Teams Phone standardmässig.
Identität und Zugriff im Vergleich
Die folgende Tabelle zeigt die zentralen Unterschiede zwischen Business Premium, E3 und E5 im Bereich Identität und Zugriff. Quelle: Microsoft Learn – Microsoft Entra licensing.
Microsoft 365 – Identitäts- und Sicherheitsfunktionen im Lizenzvergleich
| Funktion | Business Premium | E3 | E5 | Bemerkung |
|---|---|---|---|---|
| Microsoft Entra ID | P1 enthalten | P1 enthalten | P2 enthalten | P2 ist der entscheidende Mehrwert von E5 im Identitätsbereich |
| Multi-Faktor-Authentifizierung (MFA) | Ja | Ja | Ja | In allen Plänen verfügbar |
| Conditional Access | Ja (P1) | Ja (P1) | Ja (P1+P2) | Statische Regeln ab P1, risikobasiert erst ab P2 |
| Risikobasierter Conditional Access | Nein | Nein | Ja | Erfordert Entra ID Protection – P2-Funktion |
| Identity Protection | Nein | Nein | Ja | Erkennung geleakter Zugangsdaten, unmöglicher Reisen, Malware-IPs |
| Privileged Identity Management (PIM) | Nein | Nein | Ja | Just-in-Time-Admin-Zugriff mit Genehmigung und Zeitfenster |
| Access Reviews / Entitlement Management | Nein | Nein | Ja | Systematische Berechtigungsprüfungen – vor allem für Compliance relevant |
| Defender for Endpoint | Defender for Business | Plan 1 | Plan 2 | P1/P2 bietet erweiterte Bedrohungssuche und automatisierte Reaktion |
| Defender for Office 365 | Nicht enthalten | Nicht enthalten | Plan 2 enthalten | Phishing-Schutz mit Safe Attachments und Safe Links |
| Microsoft Purview (Compliance) | Basisfunktionen | Erweitert | P2 enthalten | Insider Risk Management und eDiscovery Premium erst in E5 |
Cloud- und Compliance-Funktionen
Im Cloud- und Compliance-Bereich liegt der grösste Mehrwert von E5 gegenüber Business Premium. E5 enthält Defender for Endpoint Plan 2, Defender for Identity, Defender for Cloud Apps, Microsoft Entra ID P2, Purview Information Protection P2, Insider Risk Management und Communication Compliance. Das sind mächtige Werkzeuge – für ein Konzern-IT-Team mit eigener Security-Abteilung oft unverzichtbar. Für ein KMU ohne dedizierte Security-Organisation bleiben sie in den meisten Fällen ungenutzt, weil niemand die Werkzeuge konfiguriert und überwacht.
Das eigentliche Problem: Bezahlen für Enterprise-Komplexität, die niemand betreibt
Genau hier liegt die Krux von E3 und E5 für KMU. Eine treffende Beobachtung aus der Branche bringt es auf den Punkt: Viele E3-Kunden lassen Wert ungenutzt liegen, weil sie annehmen, Microsoft kümmere sich um die Sicherheit. In Wirklichkeit stellt Microsoft nur Werkzeuge bereit. Sie müssen konfiguriert, abgestimmt und laufend verwaltet werden. Weder E3 noch E5 lösen einige der operativen Probleme, die für KMU im Alltag am relevantesten sind. Wie sich diese Lücken sinnvoll mit spezialisierten Drittanbieter-Tools schliessen lassen, zeigen wir im Detail in Teil 3 dieser Serie.
Hinweis zu Microsoft 365 E7: Microsoft hat 2026 mit E7 eine nächste Plan-Stufe eingeführt, die zusätzlich die Microsoft Entra Suite und Microsoft Agent 365 enthält. Für die meisten KMU ist E7 kein sinnvoller Plan – er richtet sich an Konzerne mit weit über 1'000 Mitarbeitenden. Die folgende Analyse konzentriert sich daher auf E3, E5 und Business Premium plus Entra ID P2.
Praxisbeispiel: Was passiert, wenn E5 ungenutzt lizenziert wird?
Ein Schweizer Produktionsbetrieb mit zwanzig Mitarbeitenden hatte vor zwei Jahren auf Microsoft 365 E5 gewechselt – auf Empfehlung eines IT-Beraters, der mit E5 mehr Sicherheit versprochen hatte. Zwei Jahre später zeigt eine Bestandsaufnahme: Niemand im Betrieb hat Defender for Identity konfiguriert, Insider Risk Management wurde nie aktiviert, und Purview eDiscovery Premium wurde kein einziges Mal benutzt. Der Betrieb zahlt pro Mitarbeitendem rund fünfzig Franken mehr pro Monat als mit Business Premium – das sind bei zwanzig Personen rund zwölftausend Franken pro Jahr, die für Funktionen ausgegeben werden, die im Alltag keinen Mehrwert liefern. Mit dem gleichen Budget hätte der Betrieb ein vollständiges Managed-Microsoft-365-Paket inklusive SOC-Monitoring finanzieren können – mit echtem Schutzeffekt statt ungenutzter Lizenzen.
Business Premium als solide Basis – mit einer echten Lücke
Wie in <a href="/it-wissen/microsoft-365-sicherheit-kmu-checkliste" class="kpx-inline-link">Teil 1</a> gezeigt, deckt Microsoft 365 Business Premium die zentralen KMU-Anforderungen ab: Office-Anwendungen, Exchange Online, Teams, OneDrive, Conditional Access über Entra ID P1, Defender for Business und Intune für Geräte-Management. Eine Lücke bleibt jedoch bestehen: Kunden mit Business Premium haben zwar Zugriff auf Conditional-Access-Funktionen, aber risikobasierte Richtlinien setzen Microsoft Entra ID Protection voraus – eine Funktion von Entra ID P2.
Business Premium bietet also nur statische Zugriffsregeln. Der Unterschied zu Entra ID P2 ist grundlegend: P1 verlangt von Administratoren, Zugriffsregeln manuell anhand bekannter Bedingungen wie Standort, Gerätekonformität oder Gruppenzugehörigkeit zu definieren. P2 führt zusätzlich eine kontinuierliche Risikobewertung ein. Die Richtlinien passen sich automatisch an, sobald verdächtige Verhaltensmuster erkannt werden.
Warum Entra ID P2 die richtige Ergänzung ist
Microsoft Entra ID P2 ist als eigenständiges Produkt verfügbar und kann zu Microsoft 365 Business Premium hinzugebucht werden. Es übernimmt alle Funktionen aus Entra ID P1 und ergänzt Microsoft Entra ID Protection für risikobasierte Richtlinien, Privileged Identity Management für Just-in-Time-Admin-Zugriff sowie Access Reviews für systematische Berechtigungsprüfungen. Eine weitere Option ist die Microsoft Defender Suite for Microsoft 365 Business Premium – sie bündelt Defender-Funktionen und Entra ID P2 in einem Bundle.
Microsoft Defender Suite for Business Premium: Microsoft bietet diese Bundle-Option speziell für Business-Premium-Kunden an. Sie enthält unter anderem Defender for Endpoint Plan 2, Defender for Office 365 und Entra ID P2. Das ist die einfachste Variante, um von Business Premium auf das Sicherheitsniveau von E5 aufzusteigen – ohne die Lizenzgrenzen und Kosten eines Enterprise-Plans.
Risikobasierter Conditional Access
Microsoft Entra ID Protection bewertet Anmeldungen dynamisch in Echtzeit. Verdächtige Aktivitäten wie unmögliche Reisen – etwa eine Anmeldung in London, gefolgt von einer weiteren in New York wenige Minuten später – werden automatisch als riskant eingestuft. Admins können darauf basierend automatische Sperrungen oder zusätzliche Authentifizierungsschritte auslösen lassen. Ohne diese Funktion bleibt nur die statische Regel, dass ein Login von einem ungewöhnlichen Standort zugelassen wird – mit dem Risiko, dass ein Angreifer mit gestohlenen Zugangsdaten ungehindert Zugriff erhält.
Identity Protection und Risk Detection
Kunden mit Entra ID P2 erhalten Zugriff auf detailliertere Risikoerkennungen: geleakte Zugangsdaten, unmögliche Reisemuster, mit Malware verknüpfte IP-Adressen und verdächtige Postfach-Manipulationsregeln. Das ist ein Frühwarnsystem, das im Phishing-Beispiel aus <a href="/it-wissen/microsoft-365-sicherheit-kmu-checkliste" class="kpx-inline-link">Teil 1</a> gefehlt hat. Admins sehen nicht nur, dass eine Anmeldung stattgefunden hat, sondern auch, dass die Anmeldedaten in einem bekannten Datenleck aufgetaucht sind – und können sofort handeln.
PIM und Access Reviews
Ein weiteres Kernelement von P2 ist Privileged Identity Management. Statt dauerhafter Administratorrechte erhalten Nutzer temporär erweiterte Berechtigungen – nach vorheriger Genehmigung und nur für einen definierten Zeitraum. Das adressiert genau das Risiko dauerhaft aktiver Global-Administrator-Konten, das bereits in der Checkliste aus Teil 1 benannt wurde. Access Reviews ergänzen PIM, indem sie in regelmässigen Abständen prüfen, ob zugewiesene Berechtigungen noch gerechtfertigt sind – eine Voraussetzung für viele Compliance-Frameworks.
Wann lohnt sich E3 oder E5 trotzdem?
Es gibt Konstellationen, in denen E3 oder E5 sinnvoll bleiben. Etwa wenn eine interne IT- oder Security-Abteilung Insider Risk Management, eDiscovery Premium oder ein SIEM aktiv betreibt. Oder wenn regulatorische Vorgaben explizit E5-exklusive Funktionen verlangen – typisch in stark regulierten Branchen wie Finanzdienstleistungen, Spitälern oder Kanzleien mit erhöhten Compliance-Pflichten. Generell gilt: Das gesamte Unternehmen mit dem höchsten Plan zu lizenzieren ist fast nie die effizienteste Option. Sinnvoller ist es, nach Nutzerprofil und tatsächlichem Risiko zu differenzieren – ein Power-User im Controlling bekommt E5-Funktionen, die Standardbelegschaft bleibt auf Business Premium.
Typische Lizenz-Fallen für KMU
Aus der Lizenz-Beratungspraxis für KMU begegnen uns regelmässig fünf Fallen, die zu unnötigen Kosten oder falscher Sicherheit führen. Wer diese Fallen kennt, kann sie beim nächsten Lizenz-Review gezielt vermeiden.
- 1
Lizenz-Drift – Mitarbeiter geht, Lizenz bleibt aktiv. Ohne quartalsweisen Abgleich zwischen Microsoft-365-Admin-Center und HR-System bleiben ausgetretene Mitarbeitende oft monatelang lizenziert. Bei zwanzig Personen summiert sich das schnell auf mehrere tausend Franken pro Jahr – Geld ohne Nutzen.
- 2
E3 oder E5 als reflexartige Default-Wahl – Wir nehmen halt das obere Paket, dann sind wir sicher. Wer den höchsten Plan wählt, ohne den konkreten Funktionsbedarf zu prüfen, zahlt für Capabilities, die niemand nutzt. Differenzieren Sie pro Nutzerprofil – nicht pro Tenant.
- 3
Frontend-Lizenzen vergessen – Mitarbeitende ohne festen PC im Lager, in der Produktion oder im Verkauf brauchen nicht zwingend Business Premium. Microsoft-365-Frontend-Lizenzen wie F1 oder F3 decken typische Szenarien mit deutlich tieferen Kosten ab. Ein Produktionsbetrieb mit hundert Personen kann so mehrere zehntausend Franken pro Jahr sparen.
- 4
Add-ons doppelt gebucht – Microsoft-365-Pläne enthalten bereits viele Funktionen, die separat als Add-on angeboten werden. Wer etwa Audio Conferencing zukauft, obwohl die Funktion in der eigenen Lizenz bereits enthalten ist, zahlt doppelt. Vor jedem Add-on-Kauf: Funktion in der eigenen Lizenz prüfen.
- 5
Jahresbindung ohne Flexibilität – Microsoft NCE-Annual bindet Unternehmen ein volles Jahr an eine Lizenzwahl. Saisonale Schwankungen – etwa in Gastronomie, Detailhandel oder Bau – lassen sich so nicht abbilden. Wer monatliche Anpassungen braucht, sollte mit monatlicher Abrechnung arbeiten – auch wenn das pro Lizenz rund zwanzig Prozent mehr kostet.
Checkliste: Business Premium plus Entra P2 statt E3/E5 – wann sinnvoll?
Die folgende Checkliste hilft bei der schnellen Entscheidung. Sieben Punkte sprechen klar für die Kombination Business Premium plus Entra ID P2, fünf Punkte eher für E3 oder E5.
- Sie haben kein dediziertes internes Security-Team im Haus.
- Conditional Access und Geräteverwaltung sind eine gute Basis – aber risikobasierte Zugriffskontrolle wird zunehmend wichtig.
- Mobile Mitarbeitende oder BYOD-Geräte sind im Einsatz.
- Administratorrechte sollen zeitlich befristet statt dauerhaft vergeben werden (PIM).
- CASB, Insider Risk Management oder SIEM werden absehbar nicht selbst betrieben.
- Sie wollen ein einheitliches Microsoft-Backend, das von einem Managed-Service-Partner betreut wird.
- Ihr Betrieb hat deutlich weniger als 300 Mitarbeitende – die Business-Premium-Grenze ist kein Engpass.
- Über 300 Mitarbeitende mit wachsender Compliance-Komplexität.
- Sie haben die Kapazität, Insider Risk Management, eDiscovery Premium und SIEM aktiv selbst zu betreiben.
- Regulatorische Pflicht zu spezifischen E5-exklusiven Funktionen in Ihrer Branche.
- Power BI Pro, Teams Phone oder Defender for Office 365 P2 sind in grossem Umfang im Einsatz.
- Ihre interne IT kann Lizenz-Audit, Conditional-Access-Konfiguration und PIM-Governance eigenständig leisten.
Ausblick: Teil 3 – Drittanbieter-Tools als E5-Ergänzung
Business Premium plus Entra ID P2 schliesst die Identitätslücke zu E5. Es löst aber weder das Backup-Problem noch automatisiertes Drittanbieter-Patching, erweiterten E-Mail-Schutz oder ein vollwertiges EDR/XDR. Teil 3 dieser Serie zeigt im Detail, mit welchen spezialisierten Drittanbieter-Tools sich Business Premium so ergänzen lässt, dass KMU am Ende oft besser geschützt sind als mit E5 – bei geringeren Gesamtkosten.
Häufige Fragen zu Microsoft 365 E3, E5 und Business Premium
Unsicher, ob Microsoft 365 Business Premium, Entra ID P2 oder doch E3 oder E5 zu Ihrem Betrieb passt? Im Rahmen einer individuellen Erstanalyse prüfen wir Ihre Lizenzstruktur, identifizieren Kostentreiber und zeigen konkret, wo Sie sparen und wo Sie nachrüsten sollten. Persönlich, ohne Verkaufsdruck, mit dem festen Ansprechpartner, den Sie suchen.
Jetzt Ihre individuelle ErstanalyseThemen