Ein Unternehmen hat achttausend Gäste im Verzeichnis. Der Einkauf plant achttausend Premiumlizenzen, der Administrator meldet weniger als tausend aktive Partner und das Sicherheitsteam führt zusätzlich erweiterte Zugriffsüberprüfungen ein. Jedes Team verwendet eine andere Zahl. Das Budget lässt sich erst klären, wenn gespeicherte Konten, aktive Identitäten und konkrete kostenpflichtige Funktionen getrennt sind.
MAU bezeichnet einen monatlich aktiven Benutzer, nicht die Zahl der Anmeldungen, MFA-Abfragen oder Einladungen. External ID Basic und Governance für Gäste verwenden zudem unterschiedliche Ereignisse zur Ermittlung abrechenbarer Aktivität. Das Freikontingent des Basisangebots macht daher weder jedes Add-on kostenlos noch berechtigt es Gäste zu beliebigen Anwendungen.
Inhaltlich geprüft am 21. Oktober 2026. Im Mittelpunkt stehen B2B-Gäste im Workforce-Mandanten eines Unternehmens. Sie werden von einem externen Mandanten für Kundenanwendungen und von gewöhnlichen Beschäftigten unterschieden. Die Zahlen sind eigene hypothetische Modelle, keine Kundenmessungen oder Angebote.
Zuerst Mandant und Kontotyp bestimmen
Die Übersicht zur External-ID-Abrechnung beschreibt Workforce-Mandanten für die Zusammenarbeit mit eingeladenen Partnern und externe Mandanten für Kundenanwendungen. Das sind keine austauschbaren Orte derselben Lösung. Unterstützte Funktionen, Konfiguration und verfügbare Add-ons unterscheiden sich.
Bei B2B-Zusammenarbeit verwendet die Dokumentation Gastidentitäten und die Eigenschaft UserType. Die Eigenschaften von B2B-Benutzern unterscheiden außerdem die Herkunft der Anmeldedaten und die Beziehung zur Organisation. Eine fremde E-Mail-Domäne oder ein umbenanntes Konto ist keine ausreichende Bestandsaufnahme. Erfassen Sie auch Identitätsherkunft und Zugriffszweck.
Die aktuelle Übersicht nennt ebenfalls interne Gäste mit internen Anmeldedaten. Daraus folgt jedoch nicht, dass ein Wechsel von Member zu Guest die Lizenzierung eines Beschäftigten in allen Diensten löst. Identitätsklassifizierung, Authentifizierungsabrechnung und Produktrechte sind getrennte Fragen. Gewöhnliche Mitarbeiterkonten werden hier nicht als externe Geschäftspartner gezählt.
| Szenario | Erste Prüfung | Was nicht automatisch gilt |
|---|---|---|
| Externer Partner als B2B Guest im Workforce-Mandanten | Identitätsherkunft, UserType und Abrechnungsverknüpfung | Derselbe Einkauf wie für Beschäftigte |
| Beschäftigter als Member | Mitarbeiterrechte für tatsächlich genutzte Funktionen | Abdeckung durch das kostenlose Gastkontingent |
| Benutzer einer Kundenanwendung im externen Mandanten | Funktionsunterstützung und aktuelles External-ID-Modell | Anwendbarkeit des gesamten Workforce-Konzepts |
| Maschinenaufruf ohne Person im externen Mandanten | Gegebenenfalls separates M2M-Modell | Jede Tokenausstellung ist ein menschlicher MAU |
Diese Tabelle dient der Klassifizierung, nicht der Kontoumwandlung zur Senkung von Lizenzzahlen. Unterscheidet Ihr Kontenbestand diese Fälle nicht, fehlt noch eine belastbare Zahl der zu beschaffenden Rechte.
Ein aktiver Gast wird nicht je Anmeldung gezählt
Das grundlegende MAU-Modell erfasst eindeutige Benutzer mit Authentifizierungsaktivität innerhalb eines Kalendermonats. Wiederholte Anmeldungen desselben berechtigten Gasts in diesem Monat erzeugen keine weiteren MAUs. Die Ereigniszahl im Anmeldeprotokoll ist deshalb ohne Aufbereitung keine Zahl abrechenbarer Personen.
Die aktuelle Preisseite nennt die ersten 50 000 MAUs des Basisangebots als kostenlos. Dieses Kontingent gilt für das Basisprodukt. Premium-Add-ons haben eigene Regeln und nicht automatisch dasselbe Freikontingent. Die Abrechnungsübersicht fasst außerdem MAUs aus Workforce- und externen Mandanten zusammen, die mit einem Abonnement verknüpft sind. Weisen Sie daher nicht jeder Anwendung oder jedem Verzeichnis ohne Prüfung ein neues Freikontingent zu.
Hypothetisches Beispiel: Ein Workforce-Mandant enthält 8 000 berechtigte B2B-Gäste. Im Monat authentifizieren sich 900 unterschiedliche Gäste. Wiederholungen erzeugen insgesamt 27 000 Anmeldungen. Vereinfacht tragen keine weiteren Mandanten unter demselben Abonnement zum Modell bei.
| Erfasster Wert | Anzahl | Bedeutung im Modell |
|---|---|---|
| Gespeicherte Gastkonten | 8 000 | Bestand, nicht automatisch monatliche Aktivität |
| Unterschiedliche Gäste mit Authentifizierungsaktivität | 900 | Basis-MAUs in diesem abgegrenzten Modell |
| Anmeldeereignisse | 27 000 | Nicht mit 27 000 MAUs gleichzusetzen |
| Zusätzliche Aktivität verknüpfter Mandanten | 0 laut Annahme | Diese Annahme prüfen, nicht im Bericht einfach weglassen |
Die 900 Basis-MAUs liegen im Modell unter dem genannten Freikontingent. Das sagt nichts über SMS-Authentifizierung, erweiterte Governance oder Zugriff auf andere Produkte aus. „Gastauthentifizierung liegt im Freikontingent“ ist keine Gesamtrechnung der Zusammenarbeit.
Governance misst andere Aktivität
Die Governance-Lizenzierung für Gäste beschreibt ein separates Modell: Die Monatsabrechnung enthält einen Datensatz je Gast mit mindestens einer relevanten Governance-Aktion im betreffenden Monat. Berechnet werden exklusive ID-Governance-Funktionen. Das Dokument grenzt Entra-P2-Aktionen ausdrücklich ab: Sie werden nicht über dieses Add-on berechnet und benötigen hierfür keine Azure-Abonnementverknüpfung.
Zu den abrechenbaren Ereignissen gehören bestimmte erweiterte Zugriffspaketanfragen, Zuweisungen mit benutzerdefinierten Erweiterungen, automatische Zuweisungen und ausgewählte erweiterte Zugriffsüberprüfungen. Entscheidend sind konkrete Funktion und Ereignis in der aktuellen Liste. „Überprüfung“ ohne Konfiguration reicht nicht, um jede Aktion kostenpflichtiger Governance zuzuordnen.
Die Messung basiert nicht nur auf Personen, die sich selbst anmelden. Ein Administrator oder Workflow kann ein Ereignis für einen Zielgast ausführen. Suchen Sie daher die Zielidentität im Auditprotokoll, nicht nur Akteurskonten und deren Anmeldeaktivität.
Fortsetzung des hypothetischen Beispiels: Für 70 unterschiedliche Gäste entstehen im Monat relevante abrechenbare Governance-Aktivitäten. Davon gehören 50 zu den 900 angemeldeten Gästen. Zwanzig haben sich nicht angemeldet, waren aber Ziel der betreffenden Governance-Aktion.
| Berechnung | Richtige Interpretation |
|---|---|
| 900 Basis-MAUs | Messgröße der grundlegenden Authentifizierung im Modell |
| 70 Governance-MAUs | Unterschiedliche Zielgäste mit relevanter Aktivität |
| Überschneidung von 50 Gästen | Überschneidung zweier verschiedener Messgrößen |
| 70 × vertraglicher Preis g | Modellierter Governance-Preis ohne erfundene Währung oder Preisangabe |
Die Zahl 970 darf weder als 970 verschiedene Personen noch als gemeinsame External-ID-Messgröße dargestellt werden. Ebenso lassen sich 70 Governance-MAUs nicht vom Basisfreikontingent abziehen, um ihren gesonderten Preis zu beseitigen. Eine Zuweisung aus dem Vormonat belegt für sich keine neue abrechenbare Aktion im Folgemonat. Die Dokumentation nennt ausdrücklich früher automatisch zugewiesenen Zugriff ohne neue Aktivität.
Gäste mit Governance-Verbrauch nachvollziehen
Microsoft nennt TargetId, TargetUserType = Guest und GovernanceLicenseFeatureUsed = True als Auditeigenschaften abrechenbarer Aktionen. Erfassen Sie für einen Kontrollbericht Ereignismonat, Ziel-Object-ID, Funktionstyp und erfolgreiche relevante Aktion. Mehrere Ereignisse desselben Gasts im Monat sind keine weiteren eindeutigen Gäste.
Bewahren Sie auch die ursprünglichen Ereignisdetails auf. Eine Zusammenfassung von siebzig Object IDs zeigt die Anzahl, erklärt aber nicht, welche neue Richtlinie den Verbrauch verändert hat. Ein Vergleich der Funktionskonfiguration vor und nach Einführung ist aussagekräftiger, als jeden Anstieg einer neuen Teams-Einladung zuzuschreiben.
Prüfen Sie die Azure-Abonnementverknüpfung anhand der entsprechenden Anleitung direkt im Mandanten. Zur Übergabe gehören Kostenverantwortliche, das richtige Abonnement und der Weg zur zugehörigen Messgröße. Dass das Unternehmen irgendwo Azure verwendet, genügt nicht. Grundauthentifizierung und Governance getrennt budgetieren.
Anmeldung verleiht noch keine Anwendungsrechte
External ID behandelt Identitäts- und Zugriffsszenarien. Daraus folgt keine Power-Automate-, Power-Apps- oder beliebige andere Anwendungslizenz durch Basis-MAUs. Beispielsweise verlangt die Gastunterstützung in Power Automate eine passende Lizenz aus dem Ressourcen- oder Heimatmandanten. Prüfen Sie Übertragbarkeit für den konkreten Dienst statt nach dem pauschalen Satz „Gäste bringen ihre Lizenz mit“.
Trennen Sie Lizenzierung auch vom technischen MFA-Verhalten. Authentifizierung und Conditional Access für B2B unterscheiden Vertrauen in MFA-Claims des Heimatmandanten von Anforderungen der Ressourcenorganisation. Ein Partner mit eigener MFA kann ohne passende Vertrauenseinstellung erneut aufgefordert werden. Eine richtige MAU-Berechnung behebt das nicht.
Werden auch Beschäftigte geschützt, hilft Conditional Access: Wer braucht eine Lizenz?. Übertragen Sie Mitarbeiterregeln nicht ungeprüft auf Gäste und verwenden Sie Gastabrechnung nicht als Abdeckung der gesamten internen Organisation.
Vor Erweiterung der Zusammenarbeit vorbereiten
- Workforce- und externe Mandanten, Anmeldedatenquellen und tatsächliche UserType-Werte unterscheiden.
- Konkrete Funktionen erfassen: Authentifizierung, Conditional Access, einzelne Governance-Szenarien und Zielanwendungen.
- Alle Abonnements und Mandanten im gemeinsamen MAU-Modell prüfen.
- Eindeutige aktive Identitäten je Kalendermonat ermitteln und von Anmeldeereignissen trennen.
- Einen separaten Governance-Bericht der Zielgäste anhand relevanter Auditeigenschaften und Ereignisse erstellen.
- Produktrechte und technischen Zugriff mit einem repräsentativen Partnerkonto prüfen.
- Nach Funktionsänderungen Konfiguration, Audit und tatsächliche Abrechnung vergleichen. Kosten nicht allein mit Verzeichniswachstum erklären.
Häufig gestellte Fragen
Bedeuten achttausend Gäste achttausend monatlich bezahlte Lizenzen?
Nicht automatisch. Kontenbestand, Basis-MAUs und Aktivität eines kostenpflichtigen Add-ons unterscheiden sich. Zuerst Funktion und Messgröße bestimmen.
Sind 50 000 MAUs dasselbe wie 50 000 Anmeldungen?
Nein. Basis-MAUs zählen eindeutige aktive Benutzer im Kalendermonat. Wiederholte Authentifizierung desselben Benutzers erzeugt keine weitere Person.
Ist Governance innerhalb des Basisfreikontingents kostenlos?
Nicht generell. Premium-Add-ons haben eigene Abrechnung. Bei Governance entscheiden die aufgeführten erweiterten Aktionen und Zielgäste.
Müssen Gäste sich anmelden, um für Governance gezählt zu werden?
Verlassen Sie sich nicht nur auf Anmeldeprotokolle. Einige relevante Ereignisse werden von Administratoren oder Workflows für Gäste ausgeführt. Entscheidend sind die aktuelle Liste abrechenbarer Aktionen und ihre Zielidentitäten.
Deckt MAU jede Anwendungslizenz eines Gasts ab?
Nein. Rechte am Zielprodukt sind separat zu prüfen. External-ID-Abrechnung ersetzt keine Lizenzregeln von Power Automate oder anderen Diensten.
