Lizenzaudit im Unternehmen: Wie man sich auf die Prüfung vorbereitet

Das Schreiben kommt selten überraschend und trifft trotzdem meist unvorbereitet. Ein Hersteller kündigt eine Überprüfung der Lizenznutzung an, nennt einen Termin in dreißig Tagen und einen beauftragten Wirtschaftsprüfer.

In vielen IT-Abteilungen beginnt dann eine hektische Bestandsaufnahme, deren Ergebnis niemand vorher kennt. Dabei entscheidet sich der Ausgang eines Audits überwiegend an Arbeit, die Monate vorher hätte stattfinden können. Wer weiß, worauf geprüft wird und welche Unterlagen verlangt werden, verhandelt aus einer anderen Position.

Das Prüfrecht steht im Vertrag und nicht im Gesetz

Ein Hersteller darf ein Unternehmen nicht deshalb prüfen, weil er Software verkauft hat. Die Grundlage ist eine Auditklausel, die in den Lizenzbedingungen oder im Volumenvertrag steht und der man mit dem Vertragsschluss zugestimmt hat. Diese Klauseln regeln üblicherweise, wie oft geprüft werden darf, meist einmal jährlich, mit welcher Vorlaufzeit angekündigt wird und wer die Kosten trägt. Häufig steht dort auch, dass der Kunde die Kosten übernimmt, wenn eine Unterlizenzierung oberhalb einer bestimmten Schwelle festgestellt wird.

Der erste Schritt nach der Ankündigung ist deshalb immer derselbe. Die einschlägige Klausel wird herausgesucht und gelesen. Daraus ergibt sich, was das Unternehmen tatsächlich schuldet, und in aller Regel ist das weniger, als die Ankündigung vermuten lässt. Ein uneingeschränktes Zutrittsrecht zu Serverräumen oder ein direkter Zugriff auf Systeme lässt sich aus den wenigsten Klauseln herleiten.

Die ersten Tage entscheiden über den Rahmen

Auf die Ankündigung folgt sinnvollerweise eine kurze schriftliche Empfangsbestätigung, die noch keine inhaltliche Zusage enthält. Danach wird die genannte Frist geprüft. Vier Wochen sind knapp bemessen, und Hersteller verlängern auf begründete Bitte hin regelmäßig, weil eine sorgfältige Erhebung auch in ihrem Interesse liegt. Parallel wird der interne Kreis festgelegt, der von der Prüfung weiß, üblicherweise die IT-Leitung, der Einkauf und die Rechtsabteilung. Bevor irgendwelche Daten das Haus verlassen, führt das Unternehmen eine eigene Zählung durch. Nur wer das eigene Ergebnis kennt, erkennt im Berichtsentwurf des Prüfers später die Stellen, an denen dessen Zahlen von den eigenen abweichen.

Der Ablauf folgt einem festen Muster

Audits laufen bei allen großen Herstellern ähnlich ab. Auf die Ankündigung folgt ein Gespräch zur Abgrenzung des Umfangs, in dem festgelegt wird, welche Produkte, welche Gesellschaften und welcher Zeitraum betrachtet werden. Danach beginnt die Datenerhebung, entweder über Auswertungsskripte des Herstellers, über das vorhandene Inventarisierungssystem oder über ausgefüllte Fragebögen. Die erhobenen Daten werden mit den nachgewiesenen Kaufbelegen abgeglichen, woraus die sogenannte Effective License Position entsteht, also die Gegenüberstellung von Bedarf und Bestand.

Der Entwurf dieses Berichts geht an das Unternehmen zurück, und an dieser Stelle liegt der wichtigste Hebel. Der Entwurf ist eine Berechnung mit Annahmen, keine Feststellung. Jede Annahme lässt sich prüfen und, wenn sie falsch ist, mit Belegen korrigieren. Wer den Entwurf ungeprüft bestätigt, verzichtet auf diesen Schritt.

Wenn die Prüfung anders heißt

Viele Hersteller laden zunächst zu einer kostenlosen Lizenzberatung oder einem Assessment im Bereich Software Asset Management ein. Das Angebot klingt nach Unterstützung und folgt in der Sache demselben Ablauf. Die erhobenen Daten fließen in dieselbe Auswertung, und ein festgestelltes Defizit führt zu denselben Nachforderungen. Der Unterschied liegt allein in der Freiwilligkeit. Wer teilnimmt, bestimmt den Umfang selbst und kann die Erhebung abbrechen. Wer ablehnt, muss damit rechnen, dass später ein formelles Audit auf Grundlage der Vertragsklausel angesetzt wird. Sinnvoll ist die Teilnahme vor allem dann, wenn das Unternehmen seine Lage bereits kennt und die Beratung nutzt, um eine strittige Auslegungsfrage zu klären.

Die meisten Lücken entstehen ohne Absicht

In der Praxis findet ein Audit selten vorsätzlich eingesetzte Raubkopien. Es findet gewachsene Strukturen, in denen niemand mehr den Überblick hat. Typisch sind fünf Konstellationen. Virtuelle Maschinen, die auf einem Host verschoben wurden, ohne dass die Lizenzierung nachgezogen wurde. Testinstallationen, die in den Produktivbetrieb gerutscht sind. Konten ausgeschiedener Mitarbeiter, die weiterhin aktiv sind. Software, die über ein Abbild verteilt wurde und dadurch auf mehr Geräten liegt als vorgesehen. Und die indirekte Nutzung, bei der Menschen über eine andere Anwendung auf ein System zugreifen, ohne selbst dort angemeldet zu sein.

Allen fünf Fällen ist gemeinsam, dass sie im laufenden Betrieb unsichtbar bleiben. Die Software funktioniert, niemand erhält eine Warnung, und der Abstand zwischen dem, was installiert ist, und dem, was erworben wurde, wächst still über Jahre. Sichtbar wird er erst durch einen Abgleich, den jemand bewusst anstößt.

Zugriffslizenzen sind der klassische blinde Fleck

Bei Serverprodukten reicht die Lizenz für den Server allein nicht aus. Hinzu kommt für jeden zugreifenden Nutzer oder für jedes zugreifende Gerät eine eigene Zugriffslizenz. Die Wahl zwischen der nutzerbezogenen und der gerätebezogenen Variante entscheidet über die Kosten. In einem Schichtbetrieb, in dem sich drei Personen einen Rechner teilen, ist die gerätebezogene Lizenz günstiger. Bei Beschäftigten mit Notebook, Telefon und Arbeitsplatzrechner ist es umgekehrt.

Wer Server CAL Lizenzen beschafft, sollte deshalb zuerst die Zugriffsstruktur klären und erst danach die Menge bestimmen. Bei it-nerd24 sind die Varianten getrennt ausgewiesen, was den Abgleich mit dem tatsächlichen Nutzungsmuster erleichtert. Zu beachten ist zudem, dass für Terminaldienste eigene Zugriffslizenzen zusätzlich zu den regulären erforderlich sind, was in Audits regelmäßig zu Nachforderungen führt.

Ebenso häufig übersehen wird die Regel, dass die Zugriffslizenz mindestens der Version des Servers entsprechen muss. Wer den Server aktualisiert und die Zugriffslizenzen belässt, ist unterlizenziert, obwohl die Anzahl stimmt.

Gemischte Landschaften erzeugen eigene Fehlerquellen

Der Wechsel in Abonnements gilt als Ausweg aus der Auditfrage, weil der Anbieter die Nutzung selbst misst und abrechnet. Für rein cloudbasierte Dienste trifft das weitgehend zu. Die meisten Unternehmen betreiben allerdings eine gemischte Landschaft aus Abonnements, dauerhaft erworbenen Lizenzen und eigenen Servern, und an den Übergängen entstehen die Fehler. Eine dauerhaft erworbene Lizenz, die in eine virtuelle Maschine bei einem externen Hoster wandert, unterliegt gesonderten Bedingungen und ist ohne den passenden Vertrag dort unzulässig. Auch die Zahl der Geräte, die ein einzelnes Abonnement abdeckt, ist begrenzt und wird bei Zweitgeräten im Homeoffice regelmäßig überschritten.

Was das Urheberrecht dazu sagt

Die rechtliche Grundlage ist knapp gefasst. Nach § 69c des Urheberrechtsgesetzes bedarf die Vervielfältigung eines Computerprogramms der Zustimmung des Rechtsinhabers, und dazu zählt bereits das Laden in den Arbeitsspeicher. Wer ein Programm ohne ausreichende Lizenz betreibt, verletzt damit ein Ausschließlichkeitsrecht, unabhängig davon, ob ein Schaden entstanden ist.

Daraus folgt zweierlei. Die Ansprüche des Herstellers richten sich nach dem Urheberrecht und nicht nur nach dem Vertrag, was Schadensersatz einschließt. Zugleich gilt aber auch, dass der Erwerber einer Lizenz zur bestimmungsgemäßen Benutzung berechtigt ist, und der Umfang dieser Berechtigung ergibt sich aus dem Vertrag. Streitig ist im Audit deshalb fast immer die Auslegung, nicht der Sachverhalt.

Die Vorbereitung beginnt vor der Ankündigung

Ein Unternehmen, das die folgenden Punkte im Griff hat, übersteht ein Audit ohne Aufregung:

• Eine vollständige Sammlung der Kaufbelege, Verträge und Lizenzbestätigungen an einem Ort, digital und nach Hersteller sortiert
• Ein aktuelles Inventar der installierten Software mit Version, Edition und Zuordnung zum Gerät oder Nutzer
• Eine Dokumentation der Virtualisierung, aus der hervorgeht, welche Instanz auf welchem Host läuft
• Ein Prozess für Ein- und Austritte, der Konten und Zuweisungen zeitnah anpasst
• Eine benannte Person, die für Lizenzfragen zuständig ist und die Kommunikation mit dem Hersteller führt
• Eine jährliche eigene Überprüfung, deren Ergebnis schriftlich festgehalten wird

Der letzte Punkt ist der wirkungsvollste. Wer einmal im Jahr selbst zählt, kennt die eigene Lage und kann Lücken zu regulären Konditionen schließen, statt später zu Listenpreisen nachzukaufen.

Während der Prüfung gelten eigene Regeln

Sobald das Audit läuft, empfiehlt sich ein zurückhaltender Umgang mit Daten. Übermittelt wird, was die Klausel verlangt, und zwar in der Form, die das Unternehmen bestimmt. Rohdaten aus Systemen enthalten oft mehr, als für die Prüfung nötig ist, etwa personenbezogene Angaben oder Informationen über nicht betroffene Produkte. Sinnvoll ist eine schriftliche Vereinbarung darüber, wie die Daten verwendet, wie lange sie aufbewahrt und wann sie gelöscht werden.

Ebenso gehört die Kommunikation gebündelt. Auskünfte einzelner Administratoren auf Zuruf haben schon Prüfungen in eine Richtung gelenkt, die sich später schwer korrigieren ließ. Eine Ansprechperson, die alle Anfragen entgegennimmt und beantwortet, verhindert widersprüchliche Angaben.

Wenn eine Unterlizenzierung festgestellt wird

Steht das Ergebnis fest, geht es um zwei Beträge. Die Nachlizenzierung für die fehlenden Lizenzen und mögliche Nachforderungen für zurückliegende Wartungszeiträume. Der erste Betrag wird üblicherweise zum Listenpreis berechnet, ohne die Rabatte, die im regulären Einkauf gelten. Genau darin liegt der wirtschaftliche Nachteil eines Audits gegenüber der freiwilligen Bereinigung.

Verhandelbar ist mehr, als viele annehmen. Hersteller haben ein Interesse an einer Fortsetzung der Geschäftsbeziehung, weshalb sich Nachforderungen häufig mit einer Erweiterung des bestehenden Vertrags verbinden lassen. Wer im selben Zug auf ein neues Lizenzmodell wechselt, bekommt Konditionen, die außerhalb dieser Situation nicht erreichbar wären. Wichtig ist, den Zeitdruck nicht zu übernehmen, denn die Frist im Abschlussbericht ist selten so bindend, wie sie formuliert ist.

Zu prüfen ist außerdem, für welchen Zeitraum überhaupt nachgefordert wird. Ansprüche aus lange zurückliegenden Jahren unterliegen der Verjährung, und die Beweislast für eine länger andauernde Nutzung trägt der Hersteller.

Was Unternehmen aus abgeschlossenen Audits lernen

Erfahrungen aus tatsächlich durchgeführten Prüfungen sind schwer zugänglich, weil Vertraulichkeitsvereinbarungen üblich sind. Ein Beitrag darüber, was man über Software-Audits noch wissen könnte, zeigt, wie unterschiedlich Lizenzbedingungen ausgelegt werden und warum ein Unternehmen, das vor drei Jahren compliant war, es heute nicht mehr sein muss.

Für den Dauerbetrieb führt der Weg über ein geordnetes Lizenzmanagement, das Installationen und Berechtigungen fortlaufend abgleicht. Der Nutzen zeigt sich bereits bei der jährlichen Budgetplanung, weil ungenutzte Lizenzen sichtbar werden und sich Verträge auf den tatsächlichen Bedarf zuschneiden lassen. Im Audit selbst verkürzt eine gepflegte Datenbasis die Erhebung von Wochen auf Tage.