Microsoft Enterprise Mobility + Security E5 (NCE)

Microsoft Enterprise Mobility + Security E5 (NCE) ist eine benutzerbezogene Cloud-Suite für Identitäts-, Geräte-, Anwendungs- und Informationsschutz. Sie eignet sich für IT-Administratoren, mittelständische und größere Unternehmen sowie Organisationen, die Benutzerzugriffe, mobile Endgeräte, Cloud-Anwendungen und sensible Unternehmensdaten zentral absichern möchten.

Was ist Microsoft Enterprise Mobility + Security E5?

Microsoft Enterprise Mobility + Security E5, kurz EMS E5, bündelt erweiterte Sicherheits- und Verwaltungsdienste für moderne Unternehmensumgebungen. Die Suite verbindet Microsoft Entra ID P2, Microsoft Intune, Microsoft Defender for Identity, Microsoft Defender for Cloud Apps und Microsoft Purview Information Protection, damit Identitäten, Geräte, Anwendungen und Daten über gemeinsame Richtlinien geschützt werden können.

Identitäten und Zugriffe mit Microsoft Entra ID P2 schützen

Microsoft Entra ID P2 bildet die Identitäts- und Zugriffsebene von EMS E5. Unternehmen können Benutzerkonten zentral verwalten, mehrstufige Authentifizierung einsetzen und den Zugriff anhand von Benutzer, Gerät, Standort, Anwendung oder erkanntem Risiko steuern.

Conditional Access ermöglicht Richtlinien, die beispielsweise bei einer Anmeldung von einem unbekannten Gerät eine zusätzliche Authentifizierung verlangen oder Zugriffe aus riskanten Situationen blockieren. Microsoft Entra ID Protection bewertet auffällige Anmeldungen und Benutzerkonten, damit Sicherheitsverantwortliche auf kompromittierte Zugangsdaten reagieren können.

Für besonders sensible Administratorrollen steht Privileged Identity Management zur Verfügung. Berechtigungen können damit zeitlich begrenzt, genehmigungspflichtig und nachvollziehbar vergeben werden, anstatt privilegierte Rechte dauerhaft zuzuweisen.

Geräte und Unternehmensanwendungen mit Microsoft Intune verwalten

Microsoft Intune stellt cloudbasiertes Unified Endpoint Management für verwaltete Computer, Smartphones, Tablets und Unternehmensanwendungen bereit. IT-Abteilungen können Geräte registrieren, Konfigurationsprofile verteilen, Compliance-Vorgaben definieren und Anwendungen kontrolliert bereitstellen.

Bei vollständig verwalteten Geräten lassen sich Sicherheitsanforderungen wie Gerätesperre, Verschlüsselung, Betriebssystemstatus und zulässige Konfigurationen zentral prüfen. In Verbindung mit Conditional Access kann der Zugriff auf Unternehmensressourcen davon abhängig gemacht werden, ob ein Gerät die festgelegten Compliance-Richtlinien erfüllt.

Mobile Application Management schützt Geschäftsdaten auch in ausgewählten Apps. Das ist besonders für Bring-Your-Own-Device-Szenarien relevant, bei denen private Geräte eingesetzt werden, ohne dass die IT sämtliche privaten Inhalte und Funktionen verwalten soll.

Identitätsbasierte Angriffe und Cloud-Risiken erkennen

Microsoft Defender for Identity analysiert Signale aus lokalen oder hybriden Identitätsumgebungen und unterstützt Sicherheitsteams dabei, verdächtige Aktivitäten gegen Benutzerkonten und Verzeichnisdienste zu erkennen. Dazu gehören ungewöhnliche Authentifizierungen, verdächtige Rechteausweitungen und Verhaltensmuster, die auf kompromittierte Identitäten hindeuten können.

Microsoft Defender for Cloud Apps erweitert den Schutz auf verwendete Cloud-Dienste. Die Lösung unterstützt Cloud Discovery, Risikobewertungen, Aktivitätsanalysen und Richtlinien für den Umgang mit Unternehmensdaten in Software-as-a-Service-Anwendungen.

Dadurch können IT- und Security-Teams sogenannte Shadow-IT-Anwendungen besser identifizieren und prüfen, welche Dienste außerhalb der offiziell freigegebenen Umgebung verwendet werden. App-Kontrollen und Sitzungsrichtlinien hängen von der vorhandenen Konfiguration, den integrierten Diensten und den jeweiligen Lizenzvoraussetzungen ab.

Sensible Daten klassifizieren und kontrolliert weitergeben

Microsoft Purview Information Protection unterstützt die Klassifizierung, Kennzeichnung und Verschlüsselung geschäftlicher Informationen. Sensitivity Labels können beispielsweise zwischen öffentlichen, internen, vertraulichen und streng vertraulichen Dokumenten unterscheiden.

Der Schutz kann auch dann bestehen bleiben, wenn eine Datei kopiert oder außerhalb des ursprünglichen Speicherorts weitergegeben wird. Welche Kennzeichnungen automatisiert angewendet werden können, hängt von der Konfiguration, dem Inhalt und den zusätzlich eingesetzten Microsoft-Diensten ab.

Eine Übersicht der von Microsoft beschriebenen EMS-Komponenten bietet die offizielle Enterprise-Mobility-and-Security-Dokumentation. Den aktuellen Vergleich zwischen E3 und E5 stellt Microsoft in der EMS-Planübersicht bereit.

Technische Voraussetzungen für Microsoft EMS E5

Microsoft EMS E5 ist eine cloudbasierte Suite, deren Nutzung einen geeigneten Microsoft-Tenant, Benutzerkonten und administrative Einrichtung voraussetzt. Einzelne Dienste benötigen zusätzliche technische Konfigurationen, Sensoren, Geräteeinschreibungen oder Verbindungen zu bestehenden Identitäts- und Sicherheitsumgebungen.

Die konkrete Verfügbarkeit einzelner Funktionen hängt von Microsofts aktuellem Leistungsumfang, der Tenant-Region, der vorhandenen Infrastruktur, der Benutzerzuweisung und zusätzlich eingesetzten Lizenzen ab.

Kaufberatung und Lizenzwissen zu EMS E5 NCE

EMS E5 lohnt sich vor allem für Organisationen, die mehr benötigen als grundlegende Benutzer- und Geräteverwaltung. Die E5-Edition ergänzt den E3-Umfang insbesondere um erweiterte Identitätsrisikoanalyse, privilegierte Zugriffsverwaltung, Cloud-App-Sicherheit, erweiterten Informationsschutz und Microsoft Defender for Identity.

Ein typischer Anwendungsfall ist ein Unternehmen mit lokalen Active-Directory-Diensten und Microsoft-Cloudkonten, das verdächtige Identitätsaktivitäten über eine hybride Umgebung hinweg untersuchen möchte. Ein weiterer Einsatzbereich sind mobile Teams, deren Notebooks und Smartphones über Intune verwaltet und über Conditional Access kontrolliert werden sollen.

Auch Organisationen mit sensiblen Finanz-, Personal-, Kunden- oder Projektdaten können von einheitlichen Kennzeichnungs- und Schutzrichtlinien profitieren. Für kleinere Betriebe mit einfachen Sicherheitsanforderungen kann dagegen Microsoft 365 Business Premium CSP ausreichend sein, sofern dessen Benutzergrenze und Funktionsumfang zum Unternehmen passen.

Unternehmen, die neben Sicherheit auch Office-Apps, E-Mail, Kollaboration und weitere Produktivitätsdienste benötigen, sollten EMS E5 mit einer geeigneten Basislizenz kombinieren oder eine vollständige Microsoft-365-Suite prüfen. Passende Angebote und Einordnungen finden sich in den Kategorien Microsoft NCE, Office 365 und Microsoft 365 sowie Microsoft Office.

NCE-Lizenzmodell und digitale Bereitstellung

NCE steht für New Commerce Experience und beschreibt Microsofts Beschaffungs-, Abonnement- und Verwaltungsmodell für viele cloudbasierte Lizenzen. Die konkrete Vertragslaufzeit, Abrechnung, Verlängerung und mögliche Anpassung der Lizenzanzahl richten sich nach der im Angebot hinterlegten NCE-Konfiguration und sollten vor der Bestellung geprüft werden.

Die Bereitstellungsinformationen werden über software-guru.shop digital per E-Mail nach Zahlungseingang übermittelt. Es handelt sich um Microsoft-Originalsoftware als laufzeitgebundene Cloudlizenz, die nach der Bereitstellung einem geeigneten Tenant und den vorgesehenen Benutzern zugeordnet wird.

EMS E5 wird nicht wie eine lokale Desktopsoftware durch Eingabe eines klassischen Produktschlüssels installiert. Bei digitalen Inhalten kann das Widerrufsrecht nach § 356 Abs. 5 BGB vorzeitig erlöschen, wenn die gesetzlichen Voraussetzungen erfüllt sind, insbesondere die ausdrückliche Zustimmung zum vorzeitigen Beginn und die Bestätigung der Kenntnis vom Verlust des Widerrufsrechts.

Häufige Fragen zu Microsoft Enterprise Mobility + Security E5

Was ist der Unterschied zwischen EMS E3 und EMS E5?

EMS E5 enthält den Leistungsumfang von EMS E3 und ergänzt ihn um erweiterte Funktionen für Identitätsschutz, privilegierte Berechtigungen, Cloud-App-Sicherheit, Datenklassifizierung und die Erkennung identitätsbasierter Angriffe. E3 kann ausreichen, wenn grundlegende Geräteverwaltung und Identitätsfunktionen benötigt werden, während E5 für Umgebungen mit höheren Sicherheits- und Governance-Anforderungen gedacht ist.

Ist Microsoft EMS E5 dasselbe wie Microsoft 365 E5?

Microsoft EMS E5 und Microsoft 365 E5 sind unterschiedliche Produkte. EMS E5 konzentriert sich auf Identitäten, Endgeräte, Cloud-Anwendungen und Informationsschutz, während Microsoft 365 E5 zusätzlich umfangreiche Produktivitäts-, Kommunikations-, Sicherheits-, Compliance- und Analysefunktionen bündelt.

Sind Office, Outlook und Microsoft Teams in EMS E5 enthalten?

EMS E5 ist keine vollständige Office- oder Microsoft-365-Produktivitätssuite. Desktopprogramme wie Word, Excel, PowerPoint und Outlook sowie Dienste wie Exchange Online oder Microsoft Teams benötigen eine passende zusätzliche Lizenz, sofern sie nicht bereits über einen anderen Microsoft-Plan vorhanden sind.

Wie wird Microsoft EMS E5 aktiviert?

EMS E5 wird als Cloudlizenz innerhalb eines Microsoft-Tenants bereitgestellt und den vorgesehenen Benutzern durch einen Administrator zugewiesen. Die anschließende Nutzung erfordert je nach Dienst weitere Konfigurationen in Microsoft Entra, Intune, Microsoft Defender oder den jeweiligen Verwaltungsportalen.

Kann EMS E5 für mehrere Geräte genutzt werden?

Die Lizenz ist grundsätzlich benutzerbezogen und nicht als klassischer Schlüssel für ein einzelnes Gerät zu verstehen. Ein lizenzierter Benutzer kann im Rahmen der Microsoft-Lizenzbedingungen und der eingerichteten Intune-Umgebung mehrere zugeordnete Geräte verwenden oder verwalten; konkrete Grenzen und Voraussetzungen müssen anhand des jeweiligen Bereitstellungsszenarios geprüft werden.

Benötige ich bereits Microsoft 365, um EMS E5 einzusetzen?

Für die Verwaltung wird ein geeigneter Microsoft-Tenant mit Benutzerkonten und Microsoft Entra ID benötigt. EMS E5 kann Sicherheits- und Verwaltungsfunktionen zu einer vorhandenen Microsoft-365- oder Office-365-Umgebung ergänzen, ersetzt jedoch keine Basislizenz für benötigte Produktivitäts-, E-Mail- oder Kollaborationsdienste.

Was bedeutet NCE bei Microsoft EMS E5?

NCE steht für New Commerce Experience und beschreibt Microsofts Modell für den Verkauf und die Verwaltung abonnementbasierter Cloudlizenzen. NCE ist keine zusätzliche Sicherheitsfunktion und keine eigene EMS-Edition; Vertragslaufzeit, Abrechnung und Verlängerungsbedingungen ergeben sich aus der konkret angebotenen Produktkonfiguration.

Fazit: Für wen sich Microsoft EMS E5 eignet

Microsoft Enterprise Mobility + Security E5 eignet sich für Organisationen, die Identitäten, Endgeräte, Cloud-Anwendungen und sensible Daten über eine zusammenhängende Microsoft-Sicherheitsarchitektur verwalten möchten. Besonders sinnvoll ist die Lizenz für IT-Abteilungen mit hybriden Identitäten, mobilen Arbeitsplätzen, privilegierten Administratorrollen oder erhöhten Compliance-Anforderungen.

Für kleine Teams mit einfachen Geräte- und Zugriffsszenarien kann EMS E5 umfangreicher als nötig sein. Vor dem Kauf sollten deshalb vorhandene Microsoft-Lizenzen, Tenant-Struktur, Benutzerzahl, benötigte Dienste und das konkrete NCE-Laufzeitmodell geprüft werden.