Gruppenbasierte Copilot-Lizenzen brauchen klare Regeln und Kontrolle

Wer Copilot-Lizenzen über Gruppen verwaltet, weiß die Erleichterung zu schätzen: Statt jede Lizenz von Hand zu vergeben, bildet man die Organisation über vorhandene Abteilungen oder Teams ab. Trotzdem stoße ich in vielen Tenants immer wieder auf Probleme, besonders dann, wenn mehrere Admins mitarbeiten oder niemand die Abläufe ordentlich dokumentiert hat. Weil direkte Zuweisungen, Gruppenzuweisungen und dynamische Regeln häufig gleichzeitig greifen, lässt sich bald kaum noch sagen, wer Copilot aus welchem Grund nutzen darf und wer nicht.

Gruppenbasierte Lizenzierung ist für Copilot zum Standard geworden

Copilot-Lizenzen lassen sich heute entweder im Entra Admin Center unter „Entra ID → Abrechnung → Lizenzen“ oder im Microsoft 365 Admin Center unter „Abrechnung → Lizenzen → Zuweisen zu Gruppe“ an Gruppen vergeben. Dabei funktionieren Sicherheits- und Verteilergruppen ebenso wie dynamische Gruppen. Vor allem dynamische Gruppen, die auf Attributen für Abteilung oder Standort beruhen (etwa department oder physicalDeliveryOfficeName), sind beliebt, denn mit ihnen bleibt die Verwaltung auch in größeren Organisationen beherrschbar. Details und Einschränkungen hat Microsoft in der offiziellen Dokumentation gut nachvollziehbar beschrieben.

Häufig sieht das so aus: Für die Marketingabteilung entsteht eine dynamische Gruppe mit der Regel (user.department -eq "Marketing"). Neue Kolleginnen und Kollegen landen dann automatisch darin, solange das HR-System das Attribut sauber pflegt. Was viele unterschätzen: Nach einem Austritt oder einer geänderten Abteilung dauert es oft eine Weile, bis die Lizenz tatsächlich weg ist, obwohl die Gruppenmitgliedschaft regelmäßig aktualisiert wird. Auf eine Kontrolle solltet ihr deshalb nicht verzichten.

Der Copilot-Nutzungsbericht zeigt, wer seine Lizenz nicht braucht

Inaktive Nutzer machen im Lizenzmanagement besonders viel Ärger. Copilot-Lizenzen kosten viel Geld, und an Konten, mit denen längst niemand mehr arbeitet, sind sie verschwendet. Deshalb lohnt es sich, regelmäßig den Copilot-Nutzungsbericht im Microsoft 365 Admin Center unter „Copilot → Nutzung“ anzuschauen. Dort steht, wer Copilot in den vergangenen Tagen aktiv verwendet hat. Ist jemand zum Beispiel seit mehr als 30 Tagen nicht mehr aktiv gewesen, gehört das Konto auf die Prüfliste. In größeren Umgebungen ergänze ich das gern um einen automatischen Entzug, der Nutzer aus der Lizenzgruppe nimmt, sobald sie eine festgelegte Inaktivitätsschwelle überschreiten.

Praxis-Tipp: Gleicht die dynamischen Gruppen für die Lizenzvergabe regelmäßig mit dem Nutzungsbericht ab. Das senkt die Kosten, und fehlerhafte Zuweisungen fallen euch früher auf.

Wie ihr Lizenzen gezielt kontrolliert, beschreibe ich ausführlicher im Beitrag Copilot-Lizenzen prüfen und neu verteilen.

Direkte und gruppenbasierte Zuweisungen vertragen sich nicht

Am häufigsten stolpern Admins darüber, dass sie Lizenzen sowohl direkt als auch über Gruppen vergeben. Das geht schneller, als man denkt: Ein Nutzer bekommt die Lizenz zunächst direkt zugewiesen und später ein zweites Mal über eine Gruppe. Im Lizenzportal tauchen dann Fehler auf, und manchmal bleiben Lizenzen „hängen“, nachdem jemand die direkte Zuweisung entfernt hat. Dagegen hilft nur eine einheitliche Vergabestrategie, für die ihr vorhandene direkte Zuweisungen gezielt bereinigt, zum Beispiel mithilfe eines Filters im Admin Center.

# PowerShell: Alle Nutzer mit direkter Copilot Lizenz (Microsoft Graph PowerShell, Rolle: Lizenzadministrator)
Get-MgUserLicenseDetail -All | Where-Object {
    $_.SkuPartNumber -eq "MICROSOFT_365_COPILOT" -and $_.IsAssignedDirectly
} | Select-Object UserDisplayName, UserPrincipalName

Ausgeführt in PowerShell 7 mit dem Microsoft.Graph-Modul und der Lizenzadmin-Rolle.

Ein Antragsprozess macht die Lizenzvergabe nachvollziehbar

Nicht jeder möchte sofort eine Copilot-Lizenz, und nicht jeder soll eine bekommen. Viele Unternehmen arbeiten deshalb inzwischen mit einem Antragsverfahren, im besten Fall automatisiert über das interne Ticketsystem oder direkt über die Power Platform. Technisch ist das schnell umgesetzt. Nutzer stellen einen Antrag, und nach der Freigabe werden sie zur dynamischen Lizenzgruppe hinzugefügt oder daraus entfernt. So bleibt jede Vergabe dokumentiert und lässt sich später nachvollziehen. Wer noch weiter gehen möchte, lässt die Nutzungsdaten zusätzlich automatisch auswerten und inaktive Nutzer wieder aus der Gruppe nehmen. Wichtig dabei: Wenn ihr ausschließlich mit Gruppen arbeiten wollt, muss auch der Entzug über die Gruppen laufen und darf nicht durch direktes Entfernen der Lizenz passieren. Andernfalls habt ihr das Problem doppelter Zuweisungen schnell wieder auf dem Tisch.

Die meisten Fehlerbilder lassen sich im Admin Center eingrenzen

Im Alltag begegnen mir diese Fehlerbilder immer wieder:

• Lizenzen werden gar nicht oder erst verspätet zugewiesen (meist, weil Attribute verzögert aktualisiert werden oder mit der Gruppe etwas nicht stimmt)
• Nutzer erhalten Meldungen über ungültige Lizenzen, weil Richtlinien oder Voraussetzungen wie ein Exchange-Postfach fehlen
• Die Lizenz erscheint als aktiv, die Copilot-Funktionen arbeiten aber nicht (etwa weil die Synchronisation fehlt)
• Überzählige Lizenzen bleiben blockiert, weil Zuweisungen nicht korrekt entfernt wurden

In all diesen Fällen solltet ihr im Admin Center die Zuweisungen prüfen, die passenden Berichte heranziehen und die Gruppenlogik kontrollieren, vor allem bei dynamischen Gruppen. Lässt sich eine Fehlermeldung nicht einordnen, hilft meist der Lizenzbereich im Entra Admin Center weiter, der Ursache und betroffene Nutzer recht genau benennt.

Damit klarer wird, wie die Zuweisung technisch abläuft, habe ich ein einfaches Flussdiagramm gezeichnet:

flowchart TD
    Start["Useranfrage Copilot"] --> Prüfung["Genehmigung/Abteilungszugehörigkeit"]
    Prüfung --> Gruppe["Mitgliedschaft Lizenzgruppe"]
    Gruppe --> Lizenz["Copilot Lizenz zugewiesen"]
    Lizenz --> Nutzung["Nutzungsreport prüfen"]
    Nutzung -- "Inaktiv" --> Entzug["Lizenz entziehen"]
    Nutzung -- "Aktiv" --> Weiter["Lizenz behalten"]
    Entzug --> Ende["Frei werdende Lizenz"]
    Weiter --> Ende

Abbildung: Ablauf der gruppenbasierten Copilot-Lizenzverwaltung mit Nutzungskontrolle.

Die Lizenzverwaltung bleibt Routine, läuft aber nicht von selbst

Selbst wenn Copilot-Lizenzen über Gruppen vergeben werden und die Werkzeuge inzwischen ausgereift sind, ist die Wirklichkeit komplizierter. Abläufe, Gruppenlogik und technische Kontrolle müssen ineinandergreifen, sonst entstehen unnötige Kosten und Lücken, und die Nutzer ärgern sich. Für mich gehören deshalb eine regelmäßige Lizenzinventur, eine eindeutige Vergaberichtlinie (entweder direkt oder über Gruppen, aber niemals beides!) und die laufende Auswertung der Nutzungsdaten zum Pflichtprogramm. Wer das konsequent durchzieht, spart Geld und Nerven und bleibt dabei compliant. Die nächste Lizenzprüfung kommt ohnehin.