Die Frage kommt fast immer als Beschaffungsfrage. Business Premium oder E5, was brauchen wir? Dahinter liegt ein Angebot mit zwei Spalten, einer langen Feature-Liste und einer Preisdifferenz, die sich über alle Mitarbeitenden hochrechnet.
Microsoft 365 Business Premium vs E5 ist aber zuerst eine Betriebsfrage. Die höheren Stufen enthalten vor allem Werkzeuge zum Untersuchen und Nachverfolgen. Werkzeuge zum Untersuchen brauchen jemanden, der untersucht. Wer diese Person nicht hat, kauft eine zusätzliche Zeile auf der Rechnung und keine zusätzliche Massnahme.
E5 ist nicht zu teuer. Der Vergleich wird nur an der falschen Stelle geführt.
Was in Microsoft 365 Business Premium an Sicherheit enthalten ist
Business Premium ist für Betriebe bis 300 Nutzende gedacht und enthält laut Microsofts Dokumentation fünf Sicherheitsbausteine: Microsoft Entra ID P1 für den Schutz der Konten, Intune Plan 1 für Geräteverwaltung, Defender for Business für die Geräte, Defender for Office 365 Plan 1 für Mail und Dateien sowie Purview Information Protection samt Data Loss Prevention.
Das ist eine vollständige Grundausstattung, keine abgespeckte Notlösung.
Der Haken liegt woanders. In unserer Erfahrung ist diese Ausstattung in den meisten Tenants nur teilweise in Betrieb. Entra ID P1 enthält Conditional Access, also die Regelschicht, die entscheidet, wer sich von wo anmelden darf. Wir haben an anderer Stelle beschrieben, warum das der Schutz ist, den viele KMU längst bezahlen und trotzdem nicht nutzen. Intune ist lizenziert, aber ein Teil der Notebooks ist nicht eingebunden. Data Loss Prevention ist enthalten, und es existiert keine einzige Regel.
Ein Betrieb in dieser Lage hat kein Lizenzproblem. Er hat ein Konfigurationsproblem, und das löst keine höhere Stufe.
Wo Defender for Business zwischen den Plänen steht
Beim Geräteschutz wird die Grundausstattung regelmässig unterschätzt, und zwar in beide Richtungen.
Defender for Business ist kein Virenscanner mit Zusatzknöpfen. Laut Vergleichstabelle enthält es unter anderem automatisierte Untersuchung und Behebung sowie die automatische Unterbrechung eines laufenden Angriffs. Beides fehlt in Defender for Endpoint Plan 1, der teureren Einzellizenz aus der Enterprise-Welt. Der Geräteschutz in Business Premium liegt also näher an Plan 2 als am Einstiegsprodukt.
Eine Zeile ist sogar exklusiv. Die vereinfachte Konfiguration von Firewall und Virenschutz für Windows gibt es nur in Defender for Business, weder in Plan 1 noch in Plan 2. Microsoft beschreibt das Produkt als assistentengeführt mit Standardrichtlinien, die von Tag eins schützen sollen, und hält ausdrücklich fest, dass kein Spezialwissen nötig ist.
Das ist bemerkenswert, wenn man den Preis dagegenhält. Die Stufe für kleinere Betriebe enthält eine Vereinfachung, die in der Enterprise-Familie fehlt, weil dort selbstverständlich ein Team sitzt, das Richtlinien von Hand baut. Ein KMU, das auf E5 wechselt, gibt diese Vereinfachung ab und übernimmt die Bauarbeit. Das ist kein Argument gegen den Wechsel. Es ist ein Posten, der in keinem Angebot steht.
Was E5 zusätzlich bringt
Microsoft 365 E5 enthält die Defender Suite, und die besteht laut Microsofts Plan-Übersicht aus Defender for Office 365 Plan 2, Defender for Endpoint, Entra ID Plan 2, Defender for Identity, Defender for Cloud Apps und Safe Documents. Dazu kommt die Purview-Suite mit automatischer Klassifizierung, Aufbewahrung, Insider Risk Management und erweiterten eDiscovery-Funktionen.
Sortiere diese Liste einmal nach Zweck, dann wird das Muster sichtbar. Der Sprung von Plan 1 auf Plan 2, von P1 auf P2, bringt kaum neue Abwehr. Er bringt Sicht und Nachvollziehbarkeit: Threat Hunting, Live Response, automatisierte Untersuchung, Angriffssimulation, Erkennung von Identitätsangriffen im Verzeichnis, Überblick über die genutzten Cloud-Dienste.
Das sind Fähigkeiten für jemanden, der Fragen an die Daten stellt. Sie ersetzen keine Konfiguration, sie setzen eine voraus.
Seit 2025 gibt es dafür einen Mittelweg, der in vielen Angeboten noch fehlt. Microsoft bietet ein Defender-Zusatzpaket für Business Premium an, das Entra ID P2, Defender for Identity, Defender for Endpoint Plan 2, Defender for Office 365 Plan 2 und Defender for Cloud Apps nachlädt, ohne dass du den Tenant auf die Enterprise-Familie umstellst. Wer die Untersuchungsfähigkeit will und unter 300 Nutzenden bleibt, muss dafür nicht zwangsläufig auf E5 wechseln. Das ist die Option, nach der ein Reseller selten von sich aus fragt.
Der Unterschied, der im Vorfall zählt
Im Vorfall zählt eine einzige technische Zeile: die Aufbewahrungsdauer.
Defender for Business bringt laut Microsoft die Funktionen von Defender for Endpoint Plan 1, einige aus Plan 2 und ein paar eigene für kleinere Betriebe. In der Vergleichstabelle fehlen ihm zwei Zeilen, und beide betreffen dasselbe Thema: 30 Tage Advanced Hunting und sechs Monate Datenaufbewahrung sind Plan 2 vorbehalten. Das Zusatzpaket für Business Premium enthält sie, Business Premium allein nicht.
An 364 Tagen im Jahr merkt das niemand. Am 365. sitzt jemand da und soll rekonstruieren, wann ein Konto übernommen wurde, was der Angreifer gesehen hat und ob er noch drin ist. Dann ist die Frage nicht, welche Erkennung gelaufen ist, sondern wie weit die Daten zurückreichen.
Das ist der ehrliche Unterschied zwischen den Stufen. Nicht mehr Schutz, sondern mehr Vergangenheit. Ein Betrieb, der eine Meldepflicht erfüllen oder einer Versicherung einen Ablauf schildern muss, zahlt für diese Vergangenheit gern. Fehlt die Person, die die Daten je abfragt, zahlt er für ein Archiv, das niemand öffnet.
Die 300er-Grenze entscheidet oft vor dem Feature-Vergleich
Bei wachsenden Betrieben erledigt sich die Diskussion manchmal von selbst, und zwar nicht über Funktionen.
Die Business-Familie ist auf 300 Nutzende begrenzt. Microsoft formuliert das deutlich: die Basis-Pläne sind für Organisationen bis 300 Nutzende ausgelegt, wer 250 Business-Premium-Plätze bereitgestellt hat, darf nur noch 50 weitere über alle Business-Pläne hinweg vergeben, und Microsoft behält sich vor, dieses Limit durchzusetzen. Betriebe über 300 Nutzenden sollen die Enterprise-Pläne prüfen.
Nimm einen Betrieb mit 280 Mitarbeitenden und zwei geplanten Übernahmen, ein Bild, das sich in vielen Schweizer KMU so oder ähnlich findet. Für ihn ist der Feature-Vergleich zweitrangig. Die Frage ist, ob er in achtzehn Monaten ohnehin migrieren muss und ob er das lieber geplant tut als am Tag, an dem die 301. Lizenz nicht mehr zugewiesen werden kann.
Diese Grenze gehört in die Planung, sobald ein Betrieb die 250er-Marke sieht. Sie ist eine der wenigen Stellen, an denen ein Lizenzthema ein Datum hat.
Was in keiner Stufe enthalten ist
Zwei Posten überraschen in fast jedem Budgetgespräch, und beide sind unabhängig von der Stufe.
Der erste sind Server. Die Dokumentation hält fest, dass der Schutz für Windows- und Linux-Server verfügbar ist, aber zusätzliche Lizenzen braucht. Ein Betrieb, der seine Endgeräte über Defender abdeckt und annimmt, die drei verbliebenen Server im Keller seien mitgemeint, hat eine Lücke im Schutz und eine im Budget.
Der zweite ist die Sicherung. Keine Microsoft-365-Stufe, auch E5 nicht, enthält ein Backup im eigentlichen Sinn. Papierkorb und Aufbewahrungsrichtlinien sind etwas anderes, und wir haben ausführlich aufgeschrieben, warum diese Verwechslung teuer wird. Wer von E5 auf ein Backup hofft, wechselt die Stufe aus dem falschen Grund.
Wie wir die Entscheidung anschauen
Wir fangen beim Betrieb an und nicht bei der Feature-Liste.
Zuerst die Bestandsaufnahme: Was von der bezahlten Stufe ist scharf geschaltet? Conditional-Access-Regeln, Intune-Einbindung aller Geräte, DLP-Regeln, Defender-Richtlinien statt Standardwerte. Solange hier Lücken sind, ist ein Upgrade der teurere Weg zum gleichen Ergebnis. Das ist derselbe Gedanke, den wir beim Dimensionieren der IT-Sicherheit verfolgen: passend besetzen, nicht aufstocken.
Dann die Zuständigkeit. Wer schaut sich Alarme an, mit welcher Frist, und was passiert an einem Freitagabend? Wenn die Antwort niemand ist, kauft die höhere Stufe Sichtbarkeit ohne Empfänger.
Danach die Verpflichtungen. Meldepflichten, Kundenverträge, der Fragebogen der Cyber-Versicherung, ein anstehendes Audit. Hier entstehen die Anforderungen an Aufbewahrung und Nachvollziehbarkeit, die eine höhere Stufe rechtfertigen.
Bleibt der Blick auf das, was schon läuft. In unserer Erfahrung zahlen viele KMU die Sicherheitsschicht zweimal: einmal in der Microsoft-Lizenz und einmal beim Drittanbieter, dessen Virenschutz, Mailfilter oder Passwortwerkzeug dasselbe abdeckt. Der Wechsel auf eine höhere Stufe verdoppelt diese Überlappung, statt sie aufzulösen. Lege vor einem Upgrade die Verlängerungstermine der übrigen Verträge daneben. Häufig finanziert eine Kündigung das Upgrade, und das Ergebnis ist mehr Schutz bei gleichem Budget.
Und erst dann die Stufe. Oft ist das Ergebnis nicht E5, sondern das Zusatzpaket für einen Teil der Belegschaft, verbunden mit dem Entscheid, wer die neuen Möglichkeiten nutzt. Manchmal ist es auch das Gegenteil: eine Stufe zurück und drei Werkzeuge kündigen, die dasselbe doppelt tun. Wie das aussieht, haben wir beim Konsolidieren von Sicherheitstools beschrieben.
Genau diese Arbeit, vorhandene Lizenzen ausreizen und den Betrieb sicherstellen, ohne ein eigenes Security-Team aufzubauen, machen wir in unseren Mandaten für Security Management und Betrieb. Wenn du vor einer Verlängerung stehst und nicht sicher bist, welche Stufe ihr betreiben könnt, sprich mit uns. Ein erstes Gespräch ist unverbindlich.
Die Frage, die dein Reseller nicht stellt
Ein Lizenzvergleich beantwortet, was du bekommst. Er beantwortet nicht, was davon läuft. Und die Stufe, die niemand betreibt, schützt in beiden Spalten gleich viel.
Wie viele der Sicherheitsfunktionen, die du heute schon bezahlst, sind in deinem Tenant scharf geschaltet?
Häufige Fragen
Was ist in Microsoft 365 Business Premium an Sicherheit enthalten?
Business Premium ist für Betriebe bis 300 Nutzende gedacht und enthält laut Microsoft fünf Sicherheitsbausteine: Entra ID P1 für den Schutz der Konten, Intune Plan 1 für die Geräteverwaltung, Defender for Business für die Geräte, Defender for Office 365 Plan 1 für Mail und Dateien sowie Purview Information Protection samt Data Loss Prevention. Das ist eine vollständige Grundausstattung.
Was bringt Microsoft 365 E5 zusätzlich?
E5 enthält die Defender Suite mit Defender for Office 365 Plan 2, Defender for Endpoint, Entra ID P2, Defender for Identity, Defender for Cloud Apps und Safe Documents. Der Zugewinn ist kaum neue Abwehr, sondern Sicht und Nachvollziehbarkeit: Threat Hunting, längere Datenaufbewahrung und automatisierte Untersuchung. Diese Fähigkeiten wirken nur mit einer zuständigen Person.
Muss ein KMU für mehr Sicherheit auf E5 wechseln?
Nicht zwingend. Microsoft bietet seit 2025 ein Defender-Zusatzpaket für Business Premium an, das Entra ID P2, Defender for Identity, Defender for Endpoint Plan 2, Defender for Office 365 Plan 2 und Defender for Cloud Apps nachlädt, ohne den Tenant auf die Enterprise-Familie umzustellen. Unterhalb von 300 Nutzenden ist das oft der günstigere Weg.
