Software-Lizenzmanagement und Audit-Risiken

Lizenzprüfungen durch Softwarehersteller treffen Vergabestellen, IT-Einkauf und Fachbereiche oft in ungünstigen Momenten: neue Fachanwendung, Migration in die Cloud, Parallelbetrieb alter Systeme. Dann stellt sich plötzlich die Frage: Sind wir eigentlich korrekt lizenziert oder droht eine teure Nachlizenzierung mit Rückwirkung und Vertragsstreit?

Im Folgenden schauen wir uns an, wie du Lizenzmodelle besser einordnest, Unter- und Überlizenzierung erkennst, dich auf Hersteller-Audits vorbereitest und mit einem strukturierten Lizenzmanagement deine Risiken deutlich reduzierst.

Typische Lizenzmodelle in der Praxis

Die Grundlage für jedes Lizenzmanagement ist das Verständnis der gängigen Lizenzmodelle. In der Praxis begegnen dir vor allem:

1. Per-Device- oder Per-Installation-Lizenzen Eine Lizenz pro Gerät oder Installation, etwa bei klassischer Desktop-Software oder Spezialanwendungen. Wichtige Punkte:

• Virtuelle Maschinen und Terminalserver zählen oft zusätzlich.
• Test- und Schulungssysteme sind je nach Vertrag lizenzpflichtig oder nur eingeschränkt nutzbar.

2. User- oder Named-User-Lizenzen Lizenz pro benanntem Nutzerkonto. Typische Stolpersteine:

• Mehrere Konten für dieselbe Person führen zu Mehrverbrauch.
• „Shared Accounts“ sind häufig unzulässig.
• Externe Nutzer wie Dienstleister oder Projektpartner sind oft separat zu lizenzieren.

3. Konzern- oder Behördenlizenzen (Enterprise Agreements) Rahmenverträge mit pauschalen Nutzungsrechten für eine definierte Organisationseinheit. Zu beachten:

• Abgrenzung, welche Behörden, Eigenbetriebe oder Beteiligungen umfasst sind.
• Meldepflichten bei Strukturänderungen, Ausgliederungen, Fusionen.
• Regelungen zur Nachlizenzierung bei Wachstum.

4. Subskriptions- und Cloud-Lizenzen (SaaS, PaaS, IaaS) Nutzungsrechte auf Zeit, häufig mit nutzungsabhängigen Komponenten. Kritisch sind hier:

• Skalierung je nach tatsächlicher Nutzung (z. B. aktive Nutzer pro Monat, Transaktionen, Speicher).
• Abgrenzung von Test- und Produktivumgebungen.
• Kündigungsfristen und automatische Verlängerungen.

5. Server- und CPU-/Core-basierte Lizenzen Häufig bei Datenbanken, Middleware und größeren Fachverfahren. Herausforderungen:

• Anrechnung virtueller Kerne und Hyperthreading.
• Cluster, Hochverfügbarkeit, Desaster-Recovery-Systeme.
• Lizenzmetriken, die an Hardware-Klassen oder „Processor Value Units“ anknüpfen.

Ohne klare Dokumentation, welche Lizenzmetrik für welches Produkt gilt, ist eine saubere Bestandsaufnahme kaum möglich. Ein erster Schritt ist daher, alle eingesetzten Produkte jeweils einer konkreten Metrik zuzuordnen und diese kurz zu beschreiben.

Unterlizenzierung, Überlizenzierung und warum beides problematisch ist

Unterlizenzierung und Überlizenzierung sind zwei Seiten derselben Medaille. Beide entstehen meist nicht durch böse Absicht, sondern durch fehlende Transparenz.

Unterlizenzierung

Unterlizenzierung bedeutet, dass mehr genutzt wird, als lizenziert ist. Typische Ursachen:

• Rollouts ohne Abgleich mit dem Lizenzbestand
• Schatten-IT, etwa selbst installierte Tools oder Cloud-Dienste
• Unklare Nutzung durch Dienstleister und Projektpartner
• Falsche Annahmen zu Test- oder Backup-Systemen

Risiken:

• Nachlizenzierung zu ungünstigen Konditionen, oft rückwirkend
• Vertragsstrafen und Schadensersatzforderungen
• Reputationsschäden und Diskussionen mit Rechnungsprüfung oder Aufsichtsgremien
• Interne Haftungsfragen, etwa bei grob fahrlässiger Missachtung von Lizenzbedingungen

Überlizenzierung

Überlizenzierung bedeutet, dass mehr Lizenzen gekauft wurden, als tatsächlich benötigt werden. Gründe:

• Sicherheitszuschläge ohne Datengrundlage
• Fehlende Prozesse zur Rückgabe oder Reallokation von Lizenzen
• Vergabeverfahren mit starren Stückzahlen ohne spätere Anpassung
• Nicht genutzte Module oder Editionen, die „vorsorglich“ beschafft wurden

Konsequenzen:

• Budget wird gebunden, das an anderer Stelle fehlt
• Wirtschaftlichkeitsuntersuchungen werden verzerrt
• Es entstehen Diskussionen mit Finanzcontrolling und Rechnungshof

Ziel eines professionellen Lizenzmanagements ist nicht „maximale Lizenzvermeidung“, sondern eine belegbare, wirtschaftliche Passgenauigkeit.

Hersteller-Audits: Ablauf, Rechte und Pflichten

Lizenzaudits sind in vielen Lizenzverträgen ausdrücklich geregelt. Gerade bei EVB-IT-Verträgen lohnt ein genauer Blick, wie Audit-Klauseln formuliert sind und welche Einschränkungen vereinbart wurden.

Typischer Ablauf eines Audits:

1. Ankündigung Der Hersteller oder ein von ihm beauftragter Dienstleister kündigt eine Prüfung an, oft mit Verweis auf vertragliche Auditklauseln. Wichtig:

• Prüfe, ob die im Vertrag geregelten Fristen und Formalien eingehalten werden.
• Kläre intern, wer die Federführung übernimmt (IT, Einkauf, Justiziariat, Datenschutz).

2. Informationsanforderung Es werden Daten angefordert, etwa:

• Installationslisten, Nutzerdaten, Systemübersichten
• Vertragsunterlagen, Bestellungen, Wartungs- und Subskriptionsnachweise
• Systemauszüge aus SAM- oder Inventarisierungs-Tools

3. Datenanalyse und Abgleich Der Hersteller ermittelt, ob und in welchem Umfang eine Unterlizenzierung oder Übernutzung vorliegt. Prüfe unbedingt:

• ob die zugrunde gelegten Lizenzmetriken korrekt angewendet wurden
• ob Sondervereinbarungen, Rabatte, Alt-Lizenzen oder Migrationsrechte berücksichtigt sind

4. Ergebnis und Verhandlung Auf Basis der Analyse werden Nachlizenzierungen oder Vertragsänderungen vorgeschlagen. Hier empfiehlt sich:

• genaue Prüfung der Berechnungen
• Dokumentation eigener Gegenargumente und Nachweise
• enge Abstimmung zwischen Fachbereich, Vergabestelle und Rechtsabteilung

Rechtlich kommt es stark auf die konkrete Vertragsgestaltung an, insbesondere bei EVB-IT Systemverträgen und EVB-IT Dienstverträgen. Allgemeine Aussagen sind hier gefährlich, weil einzelne Klauseln den Umfang des Zutritts, der Datenerhebung und der Mitwirkungspflichten erheblich verändern können.

Welche Nachweise du bereithalten solltest

Je besser deine Unterlagen, desto souveräner kannst du ein Audit begleiten. In der Praxis haben sich folgende Dokumentationsbereiche bewährt:

1. Vertrags- und Beschaffungsunterlagen

• Rahmenverträge, EVB-IT-Verträge, AGB des Herstellers
• Einzelbestellungen, Abrufe, Lieferscheine
• Wartungs- und Supportverträge, Subskriptionsnachweise
• Dokumentation von Sonderkonditionen, Übergangsregelungen, Migrationsrechten

2. Lizenz- und Nutzungsnachweise

• Lizenzzertifikate, Lizenzschlüssel, Portaleinträge
• Übersicht, welche Lizenzen welchem Produkt und welcher Metrik zugeordnet sind
• Historie von Upgrades, Downgrades und Editionswechseln

3. Technische Bestandsdaten

• Inventarisierung der eingesetzten Software, idealerweise aus einem zentralen Tool
• Übersicht über Server, virtuelle Maschinen, Terminalserver, Cloud-Dienste
• Zuordnung zu Organisationseinheiten, Standorten, Fachverfahren

4. Prozessdokumentation

• Regelungen zur Beschaffung von Software, etwa wer was bestellen darf
• Prozesse für Installation, Deinstallation und Reallokation von Lizenzen
• Umgang mit Test-, Schulungs- und Backup-Systemen
• Richtlinien zur Nutzung von Cloud- und Webdiensten

Eine saubere Dokumentation hilft nicht nur im Audit. Sie ist auch intern wichtig, um gegenüber Rechnungsprüfung, Datenschutz und Compliance nachweisen zu können, dass du deine Organisation im Griff hast.

Sauberes Lizenzmanagement: Bausteine und Zuständigkeiten

Lizenzmanagement ist weniger ein Tool als eine Organisationsaufgabe. Ohne klare Rollen und Prozesse laufen auch die besten SAM-Werkzeuge ins Leere.

Rollen und Verantwortlichkeiten

Bewährt haben sich unter anderem:

• Lizenzverantwortliche Stelle Typischerweise in IT oder Einkauf angesiedelt. Koordiniert Beschaffung, Vertragsverwaltung und Audit-Begleitung.

• Fachbereiche Melden Bedarfe, geben Informationen zur tatsächlichen Nutzung und zu geplanten Projekten, etwa Migrationen oder Neueinführungen.

• Justiziariat/Vertragsrecht Prüft Audit-Klauseln, Nutzungsrechte, Haftungsregelungen und Schnittstellen zu EVB-IT.

• Datenschutz und Informationssicherheit Bewerten Datenübermittlungen im Audit, Zugriffe externer Prüfer und etwaige Protokollauswertungen nach DSGVO und BDSG.

Kernprozesse im Lizenzmanagement

Ein pragmatisches Lizenzmanagement kann mit wenigen, aber verbindlichen Prozessen starten:

• Standardisiertes Verfahren für Softwarebestellungen
• Pflicht zur Einbindung der Lizenzverantwortlichen bei neuen Fachverfahren und Cloud-Projekten
• Regelmäßiger Abgleich zwischen Inventar und Lizenzbestand
• Dokumentierte Regeln für Test-, Schulungs- und Backup-Systeme
• Verfahren zur Außerbetriebnahme von Systemen und Freigabe von Lizenzen

Checkliste: Vorbereitung auf ein Hersteller-Audit

Die folgende Checkliste kannst du nutzen, um deine Organisation auditfest zu machen oder ein angekündigtes Audit strukturiert vorzubereiten.

Bereich	Prüffrage
Verträge	Sind alle relevanten Verträge, EVB-IT, AGB und Nachträge auffindbar?
Geltungsbereich	Ist klar dokumentiert, welche Organisationsteile jeweils umfasst sind?
Lizenzmetriken	Ist für jedes Produkt die Lizenzmetrik verständlich dokumentiert?
Bestandsdaten	Gibt es eine aktuelle Übersicht über Installationen und Nutzerzugriffe?
Cloud-Dienste	Sind SaaS-Nutzungen und Subskriptionen zentral erfasst?
Test/Backup	Gibt es definierte Regeln für Test-, Schulungs- und Backup-Systeme?
Prozesse	Sind Beschaffungs- und Freigabeprozesse schriftlich geregelt?
Rollen	Ist klar, wer im Audit welche Aufgaben übernimmt?
Datenschutz	Ist geklärt, welche Daten im Audit übermittelt werden dürfen?
Kommunikation	Gibt es einen abgestimmten Kommunikationsplan mit dem Hersteller?

Wenn du diese Punkte vor einem Audit klärst, reduzierst du das Risiko von Überraschungen deutlich.

Lizenzmanagement in EVB-IT-Verträgen intelligent absichern

Gerade bei größeren IT-Projekten der öffentlichen Hand, die über EVB-IT System- oder Systemlieferungsverträge abgewickelt werden, solltest du Lizenzthemen frühzeitig adressieren:

• Lizenzumfang und Metrik klar definieren Welche Nutzungsrechte erhält die Behörde, für welche Organisationsteile, in welchen Umgebungen?

• Audit-Klauseln prüfen und begrenzen Welche Fristen gelten, wie erfolgt die Ankündigung, welche Daten dürfen erhoben werden, welche Prüfer sind zugelassen?

• Verantwortlichkeit für Lizenzerfassung Wer liefert welche Nachweise, wie werden Änderungen in der Systemlandschaft an den Hersteller gemeldet?

• Änderungen und Erweiterungen Wie werden spätere Skalierungen, zusätzliche Module oder weitere Organisationseinheiten lizenziert, ohne jedes Mal ein komplettes Vergabeverfahren neu aufzusetzen?

Die Gestaltungsspielräume hängen von Markt, Produkt und Wettbewerbssituation ab. Es lohnt sich aber, Lizenz- und Auditfragen nicht als „Nebenabrede“ zu behandeln, sondern bewusst zu verhandeln.

Wie du Risiken langfristig senkst

Ein einmaliges Audit „überstehen“ reicht nicht. Ziel sollte eine dauerhafte Reduzierung der Audit- und Haftungsrisiken sein:

• Aufbau eines zentralen Lizenzregisters
• Regelmäßige interne Lizenzreviews, abgestimmt zwischen IT, Einkauf und Rechtsabteilung
• Schulungen für Fachbereiche zu Beschaffungswegen und Nutzungsregeln
• Einbindung von Lizenzfragen in Projektsteckbriefe und Wirtschaftlichkeitsbetrachtungen
• Dokumentation von Entscheidungen, etwa bei der Bewertung von Testsystemen oder Cloud-Nutzungen

Wenn du diese Punkte schrittweise umsetzt, wird ein Hersteller-Audit von einem Stressfaktor zu einem beherrschbaren Compliance-Thema.

Wenn du dein Wissen zu EVB-IT, IT-Vertragsrecht und Lizenzmanagement vertiefen möchtest, findest du passende Seminare und Termine bei uns auf cmt.de.