Microsoft Entra ID (vormals Azure AD) ist das Fundament aller Microsoft-365-Identitäten. Hier legen Sie Benutzer an, organisieren sie in Gruppen und verteilen Lizenzen. Diese Anleitung zeigt den kompletten Weg für den Mittelstand: Cloud-Benutzer anlegen, Sicherheits- und Microsoft-365-Gruppen mit zugewiesener oder dynamischer Mitgliedschaft erstellen, die gruppenbasierte Lizenzierung sauber konfigurieren und alles per Portal sowie per Microsoft Graph PowerShell automatisieren.

Voraussetzungen

Rollen: Für Benutzer- und Gruppenpflege reicht meist User Administrator bzw. Groups Administrator; für Lizenzen License Administrator. Vollzugriff hat der Global Administrator.
Lizenzen für gruppenbasierte Lizenzierung: pro begünstigtem Benutzer Entra ID P1 oder höher, oder Microsoft 365 Business Premium beziehungsweise Office 365 E3 (bzw. A3/GCC G3) und höher.
Dynamische Gruppen: erfordern Entra ID P1 pro Mitglied.
Usage Location: Jeder Benutzer braucht eine gesetzte Verwendungsregion (z. B. DE), sonst schlägt jede Lizenzzuweisung fehl.
Portale: entra.microsoft.com (Benutzer und Gruppen), admin.microsoft.com (Lizenzen per UI, CSV-Massenanlage), admin.teams.microsoft.com (Teams).
PowerShell: Microsoft Graph PowerShell SDK (Modul Microsoft.Graph), PowerShell 5.1 oder 7.x.

Schritt 1: Cloud-Benutzer anlegen (Portal)

Reine Cloud-Benutzer legen Sie direkt im Portal an. Wichtig zur Abgrenzung: Synchronisierte Benutzer kommen aus einem lokalen Active Directory über Microsoft Entra Connect (Connect Sync) oder Microsoft Entra Cloud Sync und werden nicht in der Cloud bearbeitet, sondern im on-prem AD. Legen Sie synchronisierte Konten also niemals zusätzlich als Cloud-Benutzer an.

So legen Sie einen Cloud-only-Benutzer an:

Öffnen Sie entra.microsoft.com und wechseln Sie zu Entra ID > Users > All users.
Klicken Sie auf + New user > Create new user.
Vergeben Sie User principal name (UPN), Display name und ein Erstkennwort.
Wechseln Sie auf den Tab Properties und setzen Sie die Usage location (z. B. Deutschland). Ohne diese Angabe können Sie später keine Lizenz zuweisen.
Prüfen Sie die Angaben und klicken Sie Create.

Alternativ über das Microsoft 365 Admin Center: admin.microsoft.com > Users > Active users > Add a user. Hier können Sie im Assistenten direkt Standort und Lizenzen mitgeben.

Verifizieren: Unter Entra ID > Users > All users erscheint das neue Konto. In dessen Properties ist die Usage location gesetzt, und User type steht auf Member.

Schritt 2: Cloud-Benutzer per PowerShell anlegen

Für wiederkehrende Anlagen ist Microsoft Graph PowerShell schneller. Installieren Sie das Modul einmalig und verbinden Sie sich mit den passenden Scopes, alle benötigten Berechtigungen in einem Connect-MgGraph-Aufruf, sonst gibt es später „Insufficient privileges“.

# Modul installieren (einmalig)
Install-Module Microsoft.Graph -Scope CurrentUser

# Verbinden mit den noetigen Scopes
Connect-MgGraph -Scopes "User.ReadWrite.All","Group.ReadWrite.All","Organization.Read.All"

Anschließend legen Sie den Benutzer mit gesetzter Usage Location und Kennwortprofil an:

$PasswordProfile = @{
    Password = 'StartPw!2026'
    ForceChangePasswordNextSignIn = $true
}

New-MgUser -DisplayName 'John Doe' `
    -GivenName 'John' -Surname 'Doe' `
    -UserPrincipalName 'johnd@IHRE-DOMAIN.onmicrosoft.com' `
    -MailNickname 'johnd' `
    -UsageLocation 'DE' `
    -AccountEnabled:$true `
    -PasswordProfile $PasswordProfile

Hinweis: New-MgUser erstellt ausschließlich Cloud-only-Benutzer. Synchronisierte Konten dürfen so nicht erzeugt oder dupliziert werden. Die UPN-Domäne muss eine im Tenant verifizierte Domäne sein.

Verifizieren: Get-MgUser -UserId 'johnd@IHRE-DOMAIN.onmicrosoft.com' -Property DisplayName,UsageLocation | Select-Object DisplayName,UsageLocation liefert den Anzeigenamen und DE.

Schritt 3: Gruppen verstehen und anlegen

Entra ID kennt zwei Gruppentypen und zwei Mitgliedschaftstypen. Die Kombination entscheidet, wofür eine Gruppe taugt.

Eigenschaft	Sicherheitsgruppe	Microsoft-365-Gruppe
Zweck	Zugriff, Berechtigungen, Lizenzen, Conditional Access	Zusammenarbeit: Postfach, SharePoint, Teams, Planner
Lizenzierung möglich	Ja	Nein (nur Sicherheitsgruppen)
Mitgliedschaft	Assigned oder Dynamic (User/Device)	Assigned oder Dynamic (User)

So legen Sie eine Gruppe im Portal an:

Öffnen Sie entra.microsoft.com > Entra ID > Groups > All groups > New group.
Wählen Sie den Group type (Security oder Microsoft 365).
Wählen Sie den Membership type: Assigned (manuell), Dynamic User oder Dynamic Device.
Bei Assigned fügen Sie direkt Mitglieder hinzu; bei Dynamic definieren Sie über Add dynamic query die Regel.

Per PowerShell gehen alle drei Varianten ebenfalls:

# Sicherheitsgruppe mit zugewiesener Mitgliedschaft
New-MgGroup -DisplayName 'Test Group' -MailEnabled:$false `
    -MailNickname 'testgroup' -SecurityEnabled

# Microsoft-365-Gruppe (Unified)
New-MgGroup -DisplayName 'Marketing Team' -MailEnabled:$true `
    -MailNickname 'marketingteam' -SecurityEnabled:$false -GroupTypes @('Unified')

Verifizieren: Unter Groups > All groups stehen beide Gruppen mit dem passenden Group type (Security bzw. Microsoft 365) und Membership type Assigned.

Schritt 4: Dynamische Gruppen mit Regeln

Dynamische Gruppen befüllen sich automatisch anhand von Benutzerattributen - ideal für Abteilungen oder Standorte. Eine Regel hat die Form <Property> <Operator> <Value>, etwa user.department -eq "Sales".

Wichtige Regeln zur Syntax:

Logische Operatoren: -and, -or, -not.
Mehrere Werte: user.department -in ["Sales","Marketing"].
Null-Prüfung: user.department -eq null.
Doppelte Anführungszeichen im Wert mit Backtick escapen, z. B. user.department -eq `"Sales`".
Maximal 3072 Zeichen pro Regel; der Rule Builder unterstützt bis zu 5 Ausdrücke, darüber nutzen Sie das Textfeld.
Pro Tenant sind maximal 15.000 dynamische Gruppen möglich.

Im Portal definieren Sie die Regel beim Anlegen unter Add dynamic query. Per PowerShell:

# Dynamische Sicherheitsgruppe mit Regel
New-MgGroup -DisplayName 'Dynamic Sales' -MailEnabled:$false `
    -MailNickname 'dynamicsales' -SecurityEnabled:$true `
    -GroupTypes @('DynamicMembership') `
    -MembershipRule '(user.department -eq "Sales")' `
    -MembershipRuleProcessingState 'On'

Verifizieren: In der Gruppe unter Dynamic membership rules können Sie mit Validate Rules einen Testbenutzer prüfen; nach der Verarbeitung (je nach Tenantgröße Minuten bis Stunden) zeigt Members die Benutzer mit department = Sales.

Schritt 5: Gruppenbasierte Lizenzierung konfigurieren

Statt jedem Benutzer einzeln Lizenzen zu geben, weisen Sie eine Produktlizenz einer Sicherheitsgruppe zu. Alle Mitglieder werden automatisch lizenziert. Tritt jemand bei, erbt er die Lizenz; verlässt er die Gruppe, wird sie entfernt. Änderungen sind meist innerhalb von Minuten wirksam.

Voraussetzungen im Blick behalten:

Funktioniert nur mit Sicherheitsgruppen (cloud-only, synchronisiert oder dynamisch) - nicht mit Verteilerlisten oder mail-aktivierten Sicherheitsgruppen.
Jedes Mitglied braucht eine gesetzte Usage Location.
Anzahl-Regel: Es müssen genug Lizenzen für jedes eindeutige Mitglied vorhanden sein. 1000 Mitglieder bedeuten mindestens 1000 Lizenzen - auch wenn nicht alle aktiv genutzt werden.

Portal (nur Microsoft 365 Admin Center seit dem 1. September 2024):

Öffnen Sie admin.microsoft.com > Billing > Licenses.
Wählen Sie das Produkt aus und öffnen Sie den Tab Groups.
Klicken Sie Assign licenses, wählen Sie die Sicherheitsgruppe und schalten Sie optional einzelne Apps bzw. Service-Pläne ab.
Bestätigen Sie mit Assign.

Achtung: Die alte Lizenzzuweisung im Entra- bzw. Azure-Portal-UI ist seit dem 1. September 2024 weggefallen. Ältere Screenshots, die das Azure-Portal für Lizenzen zeigen, sind veraltet. API und PowerShell funktionieren weiterhin überall.

Per PowerShell ermitteln Sie zuerst die verfügbaren SKUs und weisen dann zu:

# Verfuegbare SKUs (Lizenz-IDs) ermitteln
Get-MgSubscribedSku -All |
    Select-Object SkuPartNumber, SkuId, ConsumedUnits, PrepaidUnits

# Lizenz an Gruppe zuweisen
$params = @{
    AddLicenses    = @( @{ SkuId = 'IHRE-SKU-GUID' } )
    RemoveLicenses = @()
}
Set-MgGroupLicense -GroupId 'IHRE-GROUP-GUID' -BodyParameter $params

# Variante mit deaktiviertem Service-Plan
$params = @{
    AddLicenses    = @( @{ SkuId = 'IHRE-SKU-GUID'; DisabledPlans = @('SERVICEPLAN-GUID') } )
    RemoveLicenses = @()
}
Set-MgGroupLicense -GroupId 'IHRE-GROUP-GUID' -BodyParameter $params

# Der Gruppe zugewiesene Lizenzen pruefen
(Get-MgGroup -GroupId 'IHRE-GROUP-GUID' -Property AssignedLicenses).AssignedLicenses

Service-Pläne und Konfliktbehandlung: Beim Zuweisen können Sie einzelne Dienste über DisabledPlans ausschalten. Erhält ein Benutzer dieselbe Produktlizenz aus mehreren Gruppen oder zusätzlich direkt, ist der Endzustand die Vereinigung aller Service-Pläne - dieselbe Lizenz wird nur einmal verbraucht.

Verifizieren: Im Admin Center zeigt der Tab Groups des Produkts die Gruppe. Bei einem Mitglied steht unter Active users > Licenses and apps die Lizenz mit dem Hinweis, dass sie über die Gruppe zugewiesen ist. Get-MgGroupMemberWithLicenseError (siehe Troubleshooting) liefert kein Ergebnis.

Schritt 6: Massenanlage von Benutzern per CSV

Für viele neue Konten ist der CSV-Import am schnellsten. Beide Portale bieten Vorlagen.

Microsoft 365 Admin Center:

admin.microsoft.com > Users > Active users > Add multiple users.
Laden Sie die CSV-Vorlage herunter (mit oder ohne Beispieldaten).
Füllen Sie mindestens die Pflichtfelder User Name und Display Name aus. Ändern Sie Spaltenüberschriften und -reihenfolge nicht.
Laden Sie die Datei hoch, wählen Sie Standort und Lizenzen und klicken Sie Add users.

Entra admin center:

entra.microsoft.com > Entra ID > Users > All users > Bulk operations > Bulk create.
Vorlage herunterladen, ausfüllen, hochladen.

Stolperfalle: Die UPN-Domäne muss eine im Tenant verifizierte Domäne sein, sonst bricht der Import ab.

Verifizieren: Im Entra admin center unter Users > Bulk operation results steht der Vorgang auf Completed ohne fehlerhafte Zeilen; im Admin Center erscheinen die neuen Konten unter Active users.

Schritt 7: Self-Service-Gruppen steuern

Benutzer können über mygroups (My Groups) eigene Microsoft-365- und nicht-mail-aktivierte Sicherheitsgruppen verwalten. Die Optionen dazu liegen unter entra.microsoft.com > Entra ID > Groups > General:

Owners can manage group membership requests in My Groups
Users can create security groups
Users can create Microsoft 365 groups

Die Optionen zur freien Gruppenerstellung sind oft standardmäßig aktiv. Das führt schnell zu unkontrollierter Gruppenwucherung. Im Mittelstand empfiehlt es sich, die freie Erstellung einzuschränken und stattdessen gezielt die Rolle Groups Administrator zu vergeben. Für die Owner-Genehmigung von Beitrittsanfragen ist Entra ID P1 oder P2 nötig. Self-Service ist nicht verfügbar für mail-aktivierte Sicherheitsgruppen und Verteilerlisten.

Verifizieren: Ein Testbenutzer ohne Admin-Rolle sieht in myaccount.microsoft.com bzw. My Groups keine Option mehr, neue Gruppen anzulegen, wenn Sie die Erstellung auf No gesetzt haben.

Troubleshooting

Lizenz lässt sich nicht zuweisen: Prüfen Sie die Usage Location am Benutzer. Ohne Verwendungsregion schlägt die direkte Zuweisung fehl; bei gruppenbasierter Lizenzierung wird der Standort des Verzeichnisses übernommen.
Mitglieder mit Lizenzfehlern: Zu wenige Lizenzen oder konfliktierende Service-Pläne führen zu Fehlern (LicenseProcessingState, LicenseAssignmentStates). Betroffene finden Sie per PowerShell:

# Mitglieder mit Lizenzfehlern in einer Gruppe auflisten
Get-MgGroupMemberWithLicenseError -GroupId 'IHRE-GROUP-GUID' -All

Direkte und geerbte Lizenz gleichzeitig: Die direkte Lizenz lässt sich erst entfernen, wenn die geerbte alle nötigen Dienste abdeckt. Sonst scheitert Set-MgUserLicense -RemoveLicenses mit dem Hinweis „inherited from a group membership“. Das schützt vor dem Verlust von Diensten und Daten.
„Insufficient privileges“: Zu wenige Scopes bei Connect-MgGraph. Ermitteln Sie die nötigen Scopes mit Find-MgGraphCommand -Command <cmdlet> und fordern Sie alle in einem Aufruf an.
Dynamische Regel greift nicht: Prüfen Sie MembershipRuleProcessingState auf On, das 3072-Zeichen-Limit und ob Anführungszeichen korrekt mit Backtick escaped sind.

Häufige Fragen

Kann ich Lizenzen noch im Azure- oder Entra-Portal zuweisen?

Nein. Seit dem 1. September 2024 ist die Lizenzzuweisung per UI nur noch im Microsoft 365 Admin Center (admin.microsoft.com) möglich. API und Microsoft Graph PowerShell funktionieren weiterhin.

Welche Gruppen kann ich lizenzieren?

Nur Sicherheitsgruppen - cloud-only, synchronisiert oder dynamisch. Verteilerlisten und mail-aktivierte Sicherheitsgruppen sind ausgeschlossen.

Was passiert bei zu wenigen Lizenzen?

Sie brauchen mindestens so viele Lizenzen wie es eindeutige Mitglieder in lizenzierten Gruppen gibt. Reicht der Bestand nicht, erhalten betroffene Benutzer einen Lizenzfehler statt der Lizenz.

Wie hängen Gruppen mit MFA und Conditional Access zusammen?

Dieselben dynamischen oder zugewiesenen Sicherheitsgruppen, die Sie für Lizenzen nutzen, können Sie als Ziel für Conditional-Access-Richtlinien verwenden. Sauber gepflegte Gruppen sind damit das Fundament für MFA und Zugriffssteuerung.

Worin unterscheiden sich Cloud-only- und synchronisierte Benutzer?

Cloud-only-Benutzer werden direkt in Entra ID gepflegt. Synchronisierte Benutzer stammen aus dem lokalen AD über Entra Connect oder Cloud Sync und werden dort verwaltet, nicht in der Cloud.

Fazit

Mit sauber strukturierten Benutzern, Sicherheits- und Microsoft-365-Gruppen sowie gruppenbasierter Lizenzierung reduzieren Sie den Verwaltungsaufwand in Microsoft 365 erheblich. Setzen Sie immer die Usage Location, nutzen Sie Sicherheitsgruppen für Lizenzen, bilden Sie Abteilungen über dynamische Regeln ab und automatisieren Sie wiederkehrende Aufgaben mit Microsoft Graph PowerShell. Diese Grundlage zahlt direkt auf Ihre Sicherheit ein: dieselben Gruppen steuern später MFA und Conditional Access.

Weiterführende Anleitungen und Quellen

MFA und Conditional Access in Entra ID einrichten - so sichern Sie die hier angelegten Gruppen ab.
Geräte mit Intune und Windows Autopilot ausrollen - dynamische Gerätegruppen ergänzen die Benutzerverwaltung.
Phishing-Schutz mit Defender for Office 365 einrichten - Identitäten zusätzlich absichern.
Weitere Anleitungen zu Microsoft 365

Offizielle Quellen:

Microsoft Learn: What is group-based licensing in Microsoft Entra ID?
Microsoft Learn: PowerShell examples for group-based licensing
Microsoft Learn: Manage rules for dynamic membership groups
Microsoft Learn: Get started with the Microsoft Graph PowerShell SDK