Defender für Server: Lizenzen, Arc und Kosten

Inhaltlich geprüft am 29. Oktober 2026

Das Unternehmen hat Microsoft 365 E5, auf dem Server läuft ein Defender-Sensor und das Gerät erscheint im Sicherheitsportal. Ist damit die korrekte Serverlizenzierung belegt? Nein. Benutzerlizenz, technische Anbindung und Abrechnung des Schutzes sind drei getrennte Aspekte, die die Administration abgleichen muss.

Microsoft 365 E5 ersetzt keine Serverberechtigung. Mögliche Angebote sind Defender for Business servers, der eigenständige Defender for Endpoint for servers sowie die verbrauchsbasierten Pläne Defender for Servers Plan 1 oder Plan 2 in Defender for Cloud. Die Auswahl hängt von Umgebungsgröße, Funktionen und Anbindungsweg ab. Die Sensorinstallation trifft diese Entscheidung nicht.

Ähnliche Namen, unterschiedliche Angebote

Unterscheiden Sie zunächst Benutzergeräte und Serverbetriebssystemumgebungen. Die offiziellen Lizenzierungs-FAQ trennen Benutzerlizenzen ausdrücklich vom Serverschutz. Eigenständige Server-SKUs werden Servern außerdem nicht wie Benutzerlizenzen im Microsoft 365 Admin Center zugewiesen.

Die Microsoft Defender Licensing Guidance unterscheidet eigenständige Endpoint-Server-SKUs und Verbrauchspläne. Defender for Servers P1 ist nicht der clientbezogene Defender for Endpoint P1. Der Serverplan enthält den Endpunktschutz seines Serverangebots. P1 bezeichnet produktübergreifend nicht automatisch dieselben Funktionen.

Warum E5 und fünf Geräte pro Benutzer nicht ausreichen

Ein Server wird durch den Zugriff eines lizenzierten Mitarbeiters nicht zu dessen Clientgerät. Erfasst werden das Serverbetriebssystemumfeld und die passende Berechtigung. Weder RDS-Benutzerzahl noch Administrator ersetzen eine Serverlizenz.

Die Business-Variante hat konkrete Grenzen. Die Product Terms für Microsoft Defender verlangen bei Defender for Business servers eine separate Lizenz je OSE, höchstens 60 je Kunde. Eine allgemeine Defender-for-Business-Benutzerberechtigung deckt Server-OSEs nicht ab. Hier betrachten wir MCA; bei einem anderen Vertrag prüfen Sie die passende Fassung.

Zählen Sie deshalb auch die Virtualisierung korrekt. Ein physischer Virtualisierungshost und mehrere Windows-Server-VMs bilden nicht automatisch eine einzige geschützte Serverinstanz. Die tatsächlich angebundenen Betriebssystemumgebungen müssen Bestellung und spätere Kontrolle nachvollziehbar machen.

Azure Arc und Direct Onboarding haben andere Aufgaben

Azure Arc verbindet einen unterstützten Server außerhalb von Azure mit der Azure-Verwaltung. Direct Onboarding verknüpft einen berechtigten, bereits an Defender for Endpoint meldenden Server mit Defender for Servers und einem ausgewählten Azure-Abonnement. Es sind keine austauschbaren Installationsschaltflächen.

Die aktuelle Direct-Onboarding-Anleitung nennt einen wichtigen Umfang: Die Einstellung erfasst bestehende und zukünftige berechtigte Nicht-Azure-Server, die im selben Entra-Tenant an Defender for Endpoint angebunden sind. Einzelne Server oder eine Pilotgruppe lassen sich nicht auswählen. Die Operation installiert auch keinen Endpunktagenten.

Beispiel: Zwei Testserver können die gesamte Umgebung betreffen

Eine Organisation hat bereits 18 berechtigte Nicht-Azure-Server in MDE. Ein Administrator möchte die Abrechnung an zwei Servern testen und aktiviert Direct Onboarding in der Annahme, damit einen Pilot auszuwählen. Das ausgewählte Abrechnungsabonnement begrenzt den Umfang jedoch nicht auf diese beiden Maschinen.

Zwischen Absicht und tatsächlichem Umfang liegen 16 Server. Das ist keine Rechnungsberechnung: Kosten hängen von Plan, Zustand und Vertragsweg ab. Es ist ein Grund, die Auswirkungen vorher zu prüfen. Ein Endpunktrichtlinien-Pilot ist kein Pilot für eine tenantweite Verknüpfung.

Erstellen Sie die vollständige Liste betroffener Server, einschließlich vorhandener Arc-Verbindungen und anderer Lizenzierungswege. Halten Sie die Freigabe der Abrechnungsänderung fest. Wählen Sie dann eine unterstützte Testarchitektur, deren tatsächlicher Umfang der Genehmigung entspricht.

P2 nach konkreter Funktion prüfen

Plan 2 ergänzt Server- und Cloudfunktionen. Die Defender-for-Servers-Matrix bedeutet aber nicht, dass jede Funktion auf jedem Server, in jeder Cloud und mit jedem Verbindungsweg arbeitet.

Direct Onboarding unterstützt P1 und nur einen Teil der P2-Funktionen. Bestimmen Sie den Arc-Bedarf daher anhand der Funktion. Auch eine Arc-Registrierung beweist keinen gesunden Endpunktschutz. Beide Ebenen müssen getrennt getestet werden.

Beachten Sie den Bereitstellungsumfang: P1 kann auf Ressourcenebene aktiviert werden; P2 wird auf Abonnementebene eingeschaltet, einzelne Ressourcen können ausgeschlossen werden. Das ist wichtig, wenn nur ein kleiner Teil einen anderen Plan erhalten soll. Ein Abonnementschalter ist keine beiläufige Einzelserveränderung.

Zwei Abrechnungsfehler mit anderen Ursachen

Der erste ist die Überschneidung gekaufter eigenständiger Defender-for-Endpoint-for-servers-Lizenzen mit verbrauchsbasiertem Defender for Servers. Die Server-FAQ beschreiben einen Antrag auf Abrechnungsanpassung beim Support. Die Anrechnung erfolgt nicht automatisch und gilt ab Genehmigung, nicht rückwirkend. Übertragen Sie das Verfahren nicht ungeprüft auf jedes andere Defender-Produkt.

Der zweite Fehler verwechselt VM-Zustände. Eine Azure-VM im Zustand Stopped hat weiterhin zugewiesene Hardware; die FAQ führen sie im beschriebenen Modell als kostenpflichtig auf. Deallocated ist ein anderer Zustand. Das Herunterfahren von Windows innerhalb der VM belegt deshalb noch keinen Kostenstopp für den entsprechenden Schutz.

Prüfen Sie doppelte Einträge gesondert. Zwei Datensätze müssen weder zwei reale Server noch zwei abgerechnete Positionen bedeuten. Vergleichen Sie IDs, Verbindungswege und Agentenstand; bei Abweichungen untersuchen Sie Korrelation und Abrechnungsdaten. Ein kosmetisch entfernter Eintrag korrigiert keinen Lizenz- oder Sicherheitszustand.

Den Business-Tenant vor der Bestellung prüfen

Ein Unternehmen mit bis zu 300 Benutzern und weniger Servern kann das Business-Server-Add-on erwägen. Damit ist die Auswahl nicht abgeschlossen: Funktionen, vertragliche Verfügbarkeit und unterstützter Tenantmodus bleiben entscheidend. Laut Business-FAQ verändert Defender for Cloud die vereinfachte Defender-for-Business-Konfiguration nicht.

Die Quellen sind hier nicht vollständig abgestimmt. Die Lizenzierungs-FAQ beschreiben Einschränkungen beim Serverlizenzmix und setzen für Business-Tenants kein gewöhnliches Verbrauchsangebot voraus. Die Business-FAQ beschreiben dagegen das Zusammenspiel mit Defender for Cloud bei fortbestehender Business-Erfahrung. Daraus leiten wir keinen Anspruch auf beliebige Kombinationen ab. Lassen Sie die konkrete Kombination aus Server-SKUs, Tenant und Funktionen vor der Änderung schriftlich bestätigen; ein allgemeiner Marketingüberblick löst diesen Widerspruch nicht. Clientlizenzen behandeln wir in Defender for Business oder Defender for Endpoint P2.

Inventur für Beschaffung und Rechnungskontrolle

Die folgende Tabelle ist ein redaktionelles Modell ohne reale Kundenpreise. Sie setzt nicht voraus, dass ein Beschaffungsweg immer am günstigsten ist.

Insgesamt sind es 18 OSEs, nicht 18 E5-Benutzerlizenzen. Vergleichen Sie die geprüfte Zahl mit eigenständigen Serverberechtigungen oder der Population in Defender for Cloud. Für die Kosten brauchen Sie außerdem Sätze, Zeitprofil und gegebenenfalls genehmigte Anpassungen für Überschneidungen. Ohne diese Angaben wäre ein Monatskostenvergleich irreführend.

Erfassen Sie pro Server stabile ID, OS, Verantwortung, Standort, Onboarding, Plan, Berechtigungsquelle, Abrechnungsabonnement und Prüfdatum. Das verbindet Sicherheitsinventar und Rechnung. Eine Liste aus Hostnamen und Defender ja/nein erklärt nicht, was bestellt wurde und was tatsächlich berechnet wird.

Was sich zum 1. November 2026 ändert

Zum Veröffentlichungszeitpunkt ist eine weitere Änderung angekündigt. Die Microsoft-Versionshinweise nennen den 1. November 2026: Produktivitäts- und Desktopclientgeräte werden in P1 nicht mehr als Server berechnet; für P1 und P2 wird die Servererkennung granularer. Onlinemaschinen sollen mehrmals pro Stunde geprüft und bereitgestellte Maschinen auch bei gemeinsamer Arc-ID aus einem Golden Image einzeln gezählt werden.

Für P1 unterscheidet die Ankündigung Windows-Server von Linux und anderen Nicht-Windows-Servern: Bei Letzteren hängt die beschriebene Abrechnung vom bereitgestellten MDE-Agenten ab. Unter Windows in einer verbundenen Umgebung ist die manuelle Sensorinstallation allein kein ausreichendes Kriterium. Ergänzen Sie die Novemberprüfung um OS-Klassifikation und tatsächliche Zahl geklonter Instanzen. Eine geänderte abgerechnete Anzahl muss keinen neuen Lizenzkauf bedeuten.

Kontrollen nach der Änderung

1. Gleichen Sie die gesamte betroffene Population mit der ursprünglichen Inventur ab, auch Server außerhalb der anfänglichen Absicht.
2. Prüfen Sie Endpunkttelemetrie und Defender-for-Cloud-Plan getrennt. Ein historischer Geräteeintrag beweist keinen aktiven Schutz.
3. Testen Sie die Funktionen, die den Plan begründet haben. Dokumentieren Sie Umgebung und Voraussetzungen.
4. Vergleichen Sie Berechtigungen und abgerechnete Ressourcen. Klären Sie Überschneidungen mit dem Support und sichern Sie das Genehmigungsdatum.
5. Wiederholen Sie die Prüfung bei neuen VMs, Planänderungen und Vertragsverlängerungen. Halten Sie Verantwortung und Budgetzuordnung aktuell.

Die neue Cloud-Security-Erfahrung im Defender-Portal ist in Public Preview und verwendet bei migrierten Abonnements Defender Workload Units (DWUs). Klären Sie vor Rechnungsvergleichen das Preismodell. Für ein anderes Abrechnungsmodell erstellen Sie ein entsprechendes Budget. Dokumentieren Sie bei der Übergabe Plan und Änderungsumfang statt lediglich der Position einer Schaltfläche.