Von Enterprise-Lizenzen zu Microsoft 365 Business Premium: Fallstudie aus einem Entwicklungsunternehmen

Inhalt in Kürze

• Ein Entwicklungsunternehmen mit gut 20 Arbeitsplätzen im Hamburger Umland hatte Microsoft-365-Enterprise-Lizenzen, gekauft vor allem für ein dauerhaft verbundenes VPN. Seit die Ablage nach SharePoint wandert, braucht das VPN niemand mehr.
• Entschieden ist der Wechsel auf Microsoft 365 Business Premium plus Copilot als Jahreslizenz, dazu Planner Plan 1 statt Project Plan 3.
• Business Premium enthält Defender for Business mit EDR, Intune und Entra ID P1. Defender for Endpoint Plan 2 und Entra PIM gehören nicht dazu.
• Mit dem Wechsel kommen ein Standard-Setup für alle Rechner, weniger lokale Adminrechte, ein Austausch der Windows-10-Geräte in drei Etappen und klare Rechte in SharePoint, bevor Copilot startet.

Diese Fallstudie zeigt, wie eine Lizenzfrage zum Anlass wurde, Rechner, Rechte und Ablage gleich mit zu ordnen. Sie zeigt auch, was noch offen ist. Den Kunden betreuen wir laufend; Namen und Details sind verfremdet.

Ausgangslage: Enterprise-Lizenzen für ein VPN, das keiner mehr braucht

Das Unternehmen entwickelt technische Produkte. Ursprünglich fiel die Wahl auf Microsoft-365-Lizenzen aus der Enterprise-Reihe. Der wichtigste Grund damals: ein dauerhaft verbundenes VPN (Always-on-VPN), das den Rechner beim Start automatisch mit dem Firmennetz und damit mit dem Dateiserver verbindet.

Inzwischen hat sich die Lage geändert. Die Ablage zieht Schritt für Schritt nach SharePoint um. Wer eine Datei braucht, öffnet sie über Microsoft 365, nicht mehr über das Firmennetz. Damit fällt der Grund weg, aus dem die teureren Lizenzen einmal gekauft wurden.

Im Strategiegespräch im Frühherbst haben wir mit der Geschäftsführung den gesamten Stand durchgesehen: Lizenzen, Rechner, Sicherheit, Backup, SharePoint und Teams, dazu die Frage nach Copilot. Dabei kam mehr auf den Tisch als nur die Lizenz:

• Project Plan 3 war gebucht, die Desktop-App Project nutzte aber kaum jemand. Geplant wird im Browser.
• Die Rechner waren einzeln und unterschiedlich eingerichtet: verschiedene Browser, lokale Änderungen, und viele Nutzer arbeiteten mit lokalen Adminrechten.
• Auf den Bestandsgeräten lief der Virenschutz eines Drittanbieters.
• Rund 20 Rechner liefen noch mit Windows 10. Microsoft hat den Support dafür am 14. Oktober 2025 beendet, seitdem gibt es ohne Zusatzvertrag keine Sicherheitsupdates mehr (Microsoft Support: Windows 10 Support wurde eingestellt). Was der Zusatzvertrag kostet, steht in unserem Beitrag zu den Windows-10-ESU-Kosten für Unternehmen.

Gut war: Eine Online-Sicherung für Mail, OneDrive, SharePoint, Teams und Planner bestand bereits. Das lokale Server-Backup bleibt vorerst als Übergangslösung bestehen.

Die Entscheidung: Microsoft 365 Business Premium statt Enterprise-Lizenz

Entschieden ist der Wechsel von den Enterprise-Lizenzen auf Microsoft 365 Business Premium, ergänzt um Copilot. Der Kunde bucht beides als Jahreslizenz mit jährlicher Abrechnung, und zwar im laufenden Verlängerungsfenster.

Unsere Begründung im Gespräch war einfach: Business Premium deckt ab, was die Firma heute tatsächlich nutzt. Die Enterprise-Funktion, für die die alten Lizenzen gekauft wurden, braucht sie nicht mehr. Nach unserer Rechnung für diesen Kunden ist Premium außerdem die günstigere Wahl. Konkrete Beträge nennen wir hier nicht, weil sie von Laufzeit, Vertrag und Rabatten abhängen.

Business Premium ist laut Microsoft für Firmen mit bis zu 300 Nutzern gedacht. Bei gut 20 Arbeitsplätzen ist das kein Thema. Wichtiger ist, was in der Lizenz steckt. Zum Vergleich steht hier Microsoft 365 E3 als Beispiel für einen Enterprise-Plan:

Quellen: Microsoft Entra – Lizenzen, Defender for Endpoint Plan 1, Defender for Business im Vergleich, Business-Premium-FAQ.

Project Plan 3 oder Planner Plan 1?

Die zweite Lizenzfrage war schnell geklärt. Project Plan 3 heißt bei Microsoft inzwischen „Planner and Project Plan 3“. Die Desktop-App Project nutzte im Alltag kaum jemand. Im Alltag plant das Team aber im Browser. Der Kunde hat das im Gespräch bestätigt, also wechselt die Firma auf Planner Plan 1.

Quellen: Microsoft Planner – Lizenzen und die Leistungsbeschreibung von Microsoft Project. Wie Planner im Alltag funktioniert, zeigt unser Überblick zu Microsoft Planner.

Warum noch mehr Geld ausgeben, wenn das sowieso in der Lizenz drin ist?

Dennis KreftMicrosoft 365 & Cloud-Experte

Was der Wechsel auf den Rechnern ändert

Die Lizenz ist nur die Grundlage. Den Unterschied im Alltag machen die Einstellungen, die damit möglich werden. Mit dem Kunden haben wir fünf Punkte vereinbart:

1. Edge als Standardbrowser: Ein Browser für alle, gesteuert über eine Richtlinie in Intune. Lesezeichen und Startseiten werden überall gleich.
2. Standard-Setup für neue Geräte: Neue Rechner sollen sich über Intune und Autopilot selbst einrichten. Die Liste mit Lesezeichen und Startseiten liefert der Kunde.
3. Lokale Adminrechte weg: Nutzer arbeiten ohne Adminrechte. Wer für eine Installation mehr braucht, bekommt die Rechte nur auf Zeit.
4. Defender statt Fremd-Virenschutz: Auf neuen und auf Bestandsgeräten soll Microsoft Defender mit EDR laufen. Der alte Virenschutz wird vorher sauber entfernt.
5. Windows-10-Austausch in drei Etappen: Rund 20 Geräte werden bis Jahresende ersetzt, die ersten 10 sind beauftragt.

Der Punkt mit den Adminrechten braucht eine Ergänzung. Im Gespräch fiel der Name Microsoft Entra PIM. Laut Microsoft setzt PIM Entra ID P2 oder Entra ID Governance voraus. Beides steckt weder in E3 noch in Business Premium. Außerdem vergibt PIM Rollen in Entra und Azure, nicht die Adminrechte auf dem einzelnen Rechner. Wie die Rechte auf Zeit technisch vergeben werden, legen wir deshalb bei der Umsetzung fest. Welche Wege es dafür gibt, beschreibt unser Beitrag Lokale Adminrechte mit Intune entziehen.

Wie man Defender for Business im Detail aufsetzt, steht in unserer Anleitung Microsoft Defender for Business einrichten.

Stellen Sie sich vor: Sie packen einen neuen Laptop aus, schalten ihn ein — und er konfiguriert sich komplett selbst. Alle Apps, alle Einstellungen, alle Sicherheitsrichtlinien. Das geht heute mit Microsoft 365 und Intune.

Jens HagelGründer, hagel IT-Services GmbH

Befund, Risiko, Maßnahme: die Übersicht

SharePoint vor Copilot aufräumen

Copilot kommt mit dem Wechsel dazu. Bevor Copilot startet, muss aber die Rechtevergabe in SharePoint stimmen. Der Grund steht bei Microsoft: Copilot zeigt nur Unternehmensdaten an, auf die der jeweilige Nutzer mindestens Leserechte hat. Copilot umgeht also keine Rechte. Es findet aber alles, was jemand sehen darf, auch eine Datei in einem Unterordner, die dort vor Jahren mit Sonderrechten abgelegt wurde.

Vereinbart ist deshalb:

• Rechte nur über Gruppen. Keine Sonderrechte auf einzelnen Unterordnern oder Dateien.
• Eine Freigabe-Konvention. Zum Beispiel keine Links, die jeder ohne Anmeldung öffnen kann, und Freigaben mit Ablaufdatum. Der Kunde schreibt die Regeln, wir setzen sie technisch um.
• Regelmäßige Berichte. Wir liefern Berichte zu Berechtigungen und Freigaben, damit die Geschäftsführung sieht, wer worauf zugreift.
• Kurze Pfade. In SharePoint und OneDrive darf ein Pfad 400 Zeichen lang sein, die Office-Desktop-Apps unter Windows öffnen aber keine Datei mit mehr als 260 Zeichen ([Microsoft: Grenzen für Dateipfade](https://support.microsoft.com/en-us/onedrive/what-are-file-path-length-limits "Microsoft Support: Wie lang dürfen Dateipfade in OneDrive und SharePoint sein")). Ordner- und Dateinamen halten wir kurz und prüfen lange Pfade, bevor sie Probleme machen.

Der lokale Server bleibt danach nicht einfach stehen. Er wird zum Archiv für Unterlagen mit Aufbewahrungsfristen. Was in der täglichen Arbeit gebraucht wird, liegt in SharePoint.

Der Fahrplan bis Jahresende

Die Reihenfolge hat einen praktischen Grund. Neue Rechner kommen gleich mit dem Standard-Setup. So muss niemand ein altes Gerät erst umbauen und dann trotzdem tauschen. Auf den Bestandsgeräten, die noch bleiben, soll Defender den alten Virenschutz ablösen. Alles läuft über dieselbe Verwaltung in Intune, so wie wir es im Modern Workplace mit Intune für unsere Kunden aufsetzen. Wie das bei einer Firma mit 40 Arbeitsplätzen aussah, zeigt unsere Fallstudie zu Intune bei 40 Arbeitsplätzen.

Was wir daraus gelernt haben

Diese Fallstudie hat keine glatte Erfolgsgeschichte. Drei Punkte sind offen, und wir schreiben sie bewusst auf.

Die Firewall ist noch nicht umgebaut. Der Umbau war für den Sommer geplant und ist nicht abgeschlossen. Die Lehre für Geschäftsführer: Jedes Vorhaben braucht einen Termin und einen Verantwortlichen, damit auffällt, wenn es sich verschiebt.

Der Kunde wünscht sich mehr Rückmeldung von uns. Er möchte zu Tickets und Änderungen von uns aus hören, wie weit sie sind. Das ist berechtigt. Vereinbart sind jetzt regelmäßige Status-Updates. Die Lehre für jede Zusammenarbeit mit einem IT-Dienstleister: Legen Sie fest, wie oft und auf welchem Weg Sie den Stand erfahren.

E-Mails in Gruppenpostfächern lassen sich nicht verschieben, nur kopieren. Die Ursache haben wir noch nicht gefunden. Wir untersuchen es weiter und sagen es lieber offen, als eine Lösung zu versprechen, die es noch nicht gibt.

Was gut lief: Die Lizenzfrage hat geholfen, das Ganze zu sehen. Hätten wir nur die Lizenz getauscht, wären Adminrechte, Virenschutz und SharePoint-Rechte geblieben, wie sie waren. Und die Prüfung gegen Microsoft hat einen Fehler aus unserem eigenen Gespräch aufgedeckt: Plan 2 war nie Teil von Business Premium.

Ob die Rechte- und Gerätefragen bei Ihnen ähnlich aussehen, klären wir gern. Mehr dazu, wie wir Endpunkte, Firewall und Backup zusammen betrachten, steht auf unserer Seite Cybersecurity Hamburg. Für Firmen aus Entwicklung und Industrie gibt es zudem einen eigenen Überblick: IT für Industrie, Medien und Finanzwirtschaft.