Software Audits: Was soll uns schon passieren?

Eine Nachricht des Softwareherstellers landet im Posteingang. Er verlangt technische Daten, stellt Fragen zur Nutzung und schlägt einen Termin vor. Die IT informiert den Einkauf. Der Einkauf sucht die letzte Bestellung. Die Geschäftsleitung fragt: Was kostet uns das? Die Antwort liegt selten auf dem Tisch. Seit der Beschaffung sind Mitarbeitende hinzugekommen, Server wurden ersetzt oder Anwendungen zu einem anderen Provider verlagert. Die Software funktioniert weiter. Ihre Lizenzierung wurde womöglich nicht mitgeprüft.

«Unser IT-Lieferant kümmert sich darum.» Doch wurde das ausdrücklich vereinbart? Wer Software liefert, installiert oder betreibt, prüft nicht automatisch die gesamte Lizenzsituation. Das Unternehmen verlässt sich auf den Lieferanten. Dieser geht davon aus, dass der Kunde seine Nutzungsrechte kennt. So bleibt eine Aufgabe zwischen beiden liegen.


Im Audit wird die erfasste Nutzung mit den vorhandenen Rechten abgeglichen. Dabei können Lizenzlücken sichtbar werden, aber auch fehlende Nachweise oder unterschiedliche Auslegungen der Vertragsbedingungen. Gute Absichten genügen nicht. Nutzung und Rechte müssen nachvollziehbar belegt sein.

Warum Unternehmen geprüft werden

Ein Administrator bespricht mit dem Herstellersupport ein technisches Problem. Dabei beschreibt er die neue Serverlandschaft. Oder er erwähnt, dass inzwischen ein weiterer Standort dieselbe Anwendung nutzt. Solche Angaben helfen bei der Fehlersuche. Sie können aber auch Lizenzfragen aufwerfen: Decken die vorhandenen Rechte die veränderte Nutzung noch ab?

Eine grössere Lizenzanfrage kann Aufmerksamkeit wecken. Das Unternehmen lässt sich zusätzliche Lizenzen offerieren. Danach bleibt die Bestellung aus. Wurde das Projekt gestoppt? Hat man sich anders entschieden? Oder wird die Software bereits ohne die angefragten Rechte genutzt? Diese Fragen können zu einem Audit führen. Die fehlende Bestellung allein beweist keine Unterlizenzierung.


Auch öffentliche Meldungen können eine Rolle spielen. Das Unternehmen eröffnet einen Standort oder übernimmt eine andere Firma. Damit werden Veränderungen sichtbar. Ob die Lizenzierung mitgewachsen ist, bleibt zunächst offen.

Wer eine formelle Prüfung veranlasst, hängt von der Organisation des Herstellers ab. Hinweise aus Support oder Vertrieb sind noch keine Audit-Ankündigung. Auch korrekt lizenzierte Unternehmen können geprüft werden.

Ein laufender Vertrag mit dem Hersteller schliesst eine Prüfung nicht aus. Ein Enterprise Agreement von Microsoft oder ein Unlimited License Agreement von Oracle erlaubt nicht automatisch jede Nutzung. Entscheidend ist, welche Produkte, Gesellschaften und Nutzungsformen die konkrete Vereinbarung abdeckt und welche Bedingungen gelten.

Für das Unternehmen zählt deshalb die Frage: Was hat sich seit dem letzten Lizenzabgleich bei uns verändert?

Gleich viele Cores – also gleich viele Lizenzen

«Es ändert sich ja nichts. Wir haben weiterhin acht Cores.» Bei einem Umbau der IT scheint die Lizenzierung damit geklärt. Doch die Gesamtzahl allein kann täuschen. Je nach Produkt und Lizenzmodell zählen physische Prozessoren, physische Cores oder die einer virtuellen Maschine zugeteilten virtuellen Cores. Auch Mindestmengen können gelten.

Ein Beispiel mit Microsoft SQL Server: Nach einem Umbau verteilt sich dieselbe Rechenkapazität auf mehr virtuelle Maschinen. Obwohl insgesamt gleich viele Cores eingesetzt werden, kann der Lizenzbedarf steigen. Bei der Lizenzierung einzelner virtueller Maschinen gilt nämlich eine Mindestmenge pro Maschine. Mehr kleine Maschinen können deshalb mehr Lizenzen benötigen als wenige grosse.


Bei einem Providerwechsel muss geklärt werden, ob die vorhandenen Rechte den Einsatz beim neuen Anbieter erlauben. Auch die Hosts, zwischen denen virtuelle Maschinen wechseln können, gehören in die Prüfung. Welche davon zu lizenzieren sind, bestimmen Produkt, Lizenzmodell und die geltenden Nutzungsrechte.

Kann man in der Cloud überhaupt falsch lizenziert sein?

«Wir bezahlen jeden Monat für die Nutzung. Damit ist doch alles abgedeckt.» Die Rechnung allein beantwortet diese Frage nicht. Entscheidend ist, welche Rechte das gebuchte Angebot enthält und wie die Software tatsächlich eingesetzt wird. Manche Angebote enthalten die benötigten Softwarelizenzen. Andere setzen voraus, dass das Unternehmen eigene Lizenzen mitbringt. Diese müssen für den Einsatz beim gewählten Anbieter geeignet sein. Dass sich die Software dort installieren und betreiben lässt, genügt als Nachweis nicht.


Leicht wird die Übergangsphase übersehen. Die neue Lösung läuft bereits in der Cloud. Der alte Server bleibt noch in Betrieb, bis alles funktioniert. Aus wenigen Wochen werden mehrere Monate. Auch diese parallele Nutzung muss durch passende Rechte gedeckt sein. Übergangsrechte können an Bedingungen geknüpft und zeitlich begrenzt sein. Vor der Migration sollte feststehen, welche Rechte den Cloud-Betrieb abdecken. Auch die erlaubte Dauer des Parallelbetriebs und die Zuständigkeit für mögliche Fristen müssen geklärt sein.

Was tun, wenn die Audit-Ankündigung eintrifft?

Den Fragebogen ausfüllen, das Inventar exportieren und alles versenden: Das wirkt zunächst unkompliziert. Doch selbst korrekte technische Daten können ein unvollständiges Bild vermitteln. Vielleicht fehlen Verträge. Vielleicht braucht die Infrastruktur eine Erklärung. Daraus können Annahmen entstehen, die den berechneten Lizenzbedarf verändern.

Zuerst ist zu klären, ob es sich um ein freiwilliges Beratungsangebot, einen Lizenzcheck oder ein formelles Audit handelt. Auch bei einer freundlich formulierten E-Mail müssen Absender, Berechtigung und Vertragsgrundlage geprüft werden. Der Eingang wird bestätigt; genannte Fristen werden erfasst und anhand der Vereinbarungen geprüft.


Eine Kontaktperson koordiniert die Kommunikation und die internen Freigaben. Die IT kennt die Systeme, der Einkauf die Bestellungen, die Finanzabteilung die Belege. Der Dienstleister kann Informationen zum Betrieb beisteuern. Diese Angaben müssen zusammengeführt werden, damit nicht mehrere Stellen mit unterschiedlichen Datenständen antworten.

Fehlt intern das Lizenzwissen, kann unabhängige Fachunterstützung helfen. Der bisherige Softwarepartner bleibt eine wichtige Quelle für Unterlagen und Produktkenntnisse. Verkauft er zugleich die empfohlenen Lizenzen, ist eine unabhängige Zweitmeinung besonders wertvoll. Bei strittigen Vertragsfragen sollte rechtliche Unterstützung frühzeitig einbezogen werden. Folgende Schritte sind bei einem anstehenden Audit zentral:
- Eingang bestätigen und genannte Fristen prüfen
- Absender, Vertragsgrundlage und Prüfungsumfang klären
- Eine Kontaktperson bestimmen und interne Freigaben fest­legen
- Verträge, Lizenznachweise und technische Daten zusammenführen
- Datenerhebung abstimmen und Ergebnisse vor der Übermittlung prüfen

Eine bezahlte Rechnung reicht nicht als Nachweis

Eine bezahlte Rechnung zeigt, was der Lieferant abgerechnet hat. Sie bestätigt aber nicht automatisch, dass die Lizenzen beim Hersteller ordnungsgemäss beschafft und dem Unternehmen zugeordnet wurden. Deshalb gehören auch die vorgesehenen Lizenznachweise in die Ablage. Das können ein Lizenzzertifikat, eine Bestätigung des Herstellers oder ein Eintrag im Herstellerportal sein.

Häufig werden Rechnungen als Nachweis aufbewahrt. Diese sollten den Lizenznehmer, die genaue Produktbezeichnung, die Menge und das erworbene Lizenzmodell eindeutig ausweisen. Vorhandene Vertrags- oder Lizenznummern gehören dazu. Eine pauschale Position wie «Softwarelizenzen» lässt kaum erkennen, welche Rechte tatsächlich erworben wurden. Zusammen mit den geltenden Verträgen und Nachträgen müssen diese Unterlagen nachvollziehbar zeigen, welche Nutzung erlaubt ist. Auch ältere Dokumente können entscheidende Rechte enthalten.

Klärungsbedarf im Auftaktgespräch

Unternehmen und Prüfstelle klären, welche Produkte, Gesellschaften und Systeme untersucht werden. Dazu gehören der relevante Zeitraum, die Erhebungsmethoden und der Zeitplan. Wichtig sind der Umgang mit vertraulichen Daten und die Durchführung im laufenden Betrieb. Die Ergebnisse werden schriftlich festgehalten.

Welche Pflichten und Fristen gelten, bestimmen die konkreten Verträge. Ein aktuelles Vertragsmuster des Herstellers ersetzt die eigenen Vereinbarungen nicht. Individuelle Nachträge und ältere Bedingungen müssen in die Prüfung einfliessen.

Was das Inventar über die Lizenzierung aussagt

Vor dem Einsatz eines Erhebungsskripts prüfen die Betriebsverantwortlichen, was es tut. Welche Daten erfasst es? Welche Berechtigungen braucht es? Kann es den laufenden Betrieb beeinträchtigen? Anschliessend werden die Ergebnisse auf Vollständigkeit und Plausibilität kontrolliert. Wurden Systeme doppelt erfasst? Fehlt ein Standort? Gehört jeder gemeldete Server zur untersuchten Gesellschaft?

Beim VM-Beispiel genügt die Gesamtzahl der virtuellen Cores nicht. Die Auswertung muss auch deren Verteilung auf die einzelnen VMs zeigen. Bei einer Cloud-Migration ist zusätzlich relevant, wann welche Umgebung genutzt wurde. Erst zusammen mit den Verträgen entsteht daraus eine belastbare Lizenzbewertung. Die übermittelten Daten müssen zum geklärten Prüfungsumfang und zu den vertraglichen Pflichten passen. Lizenzrelevante Tatsachen dürfen nicht verschwiegen oder verfälscht werden. Die ursprünglichen Erhebungsdaten sollten gesichert und Korrekturen oder Erläuterungen nachvollziehbar dokumentiert werden.


Hektisches Aufräumen ersetzt diese Arbeit nicht. Wer Software deinstalliert oder Systeme abschaltet, klärt damit nicht die vergangene Nutzung. Nötige Änderungen sollten begründet und dokumentiert werden; der frühere Zustand muss nachvollziehbar bleiben. Bestätigte Lizenzlücken sollten dennoch zeitnah und abgestimmt behoben werden. Die Klärung der vergangenen Nutzung läuft davon getrennt weiter. Ein späterer Lizenzkauf deckt diese nicht automatisch rückwirkend ab.

Müssen wir die Nachforderung einfach akzeptieren?

Mit dem Ergebnisbericht kehrt die Frage zurück: Was kostet uns das? Vor einer Entscheidung muss das Unternehmen die Berechnung verstehen. Dazu gehören die betroffenen Produkte, die angesetzte Nutzung, der daraus abgeleitete Bedarf und die berücksichtigten Nutzungsrechte. Auch ein Prüfbericht kann Fehler enthalten. Daten können falsch sein, Nachweise übersehen werden oder Vertragsbestimmungen unterschiedlich ausgelegt werden. Es können aber auch tatsächlich Lizenzen fehlen. Deshalb wird jede Position eingeordnet: bestätigte Lücke, fehlende Information oder strittige Auslegung.

Eine unabhängige Prüfung kostet Geld. Sie kann aber eine unnötig hohe Nachzahlung verhindern. Übersehene Nutzungsrechte und falsche Berechnungsannahmen können erhebliche Beträge ausmachen. Unklare oder strittige Positionen sollten deshalb geprüft werden, bevor das Unternehmen das Ergebnis anerkennt oder einen darauf gestützten Nachkauf auslöst.


Für die Lösung sind zwei Fragen zu trennen: Wie wird die bisherige Nutzung geregelt? Welche Rechte braucht der künftige Betrieb? Ein günstiges Angebot beantwortet die erste Frage nicht automatisch. Eine Abschlussvereinbarung sollte ausdrücklich festhalten, welche Sachverhalte und Zeiträume damit erledigt sind.

Vorbereitung auf das nächste Audit

Ein KMU braucht keinen grossen Verwaltungsapparat für jedes kleine Programm. Es braucht klare Zuständigkeiten, auffindbare Verträge und eine Übersicht der eingesetzten Software. Damit lassen sich Nutzung und Rechte regelmässig abgleichen. Diese Arbeit gehört zum Software Asset Management, kurz SAM.

Am besten wird der Lizenzabgleich Teil bestehender Abläufe. Er gehört zur Planung von Beschaffungen, Providerwechseln und Migrationen. Bei Übernahmen müssen auch die berechtigten Gesellschaften und vorhandenen Verträge geprüft werden. So wächst die Dokumentation mit dem Betrieb und muss nicht erst unter Auditdruck aufgebaut werden. Folgende Fragen sollten daher geprüft werden:
- Nutzen mehr Mitarbeitende oder externe Personen die Anwendungen?
- Sind weitere Gesellschaften hinzugekommen?
- Wurden Server ergänzt, der Provider gewechselt oder Anwendungen verlagert?
- Laufen nach einer Migration noch alte und neue Systeme parallel?
- Sind diese Veränderungen durch dokumentierte Nutzungsrechte abgedeckt?


Mit dem Abschluss des Audits ist die Arbeit nicht vorbei. Jetzt gilt es, Lücken zu schliessen und die Lizenzprüfung fest in den IT-Alltag einzubauen. Dann lässt sich die Frage «Was soll uns schon passieren?» künftig mit nachvollziehbaren Fakten beantworten.