Ein Brief von Microsoft mit der Bitte um eine Übersicht aller installierten Produkte – für viele IT-Verantwortliche beginnt damit eine unruhige Zeit. Ein Lizenzaudit ist unangenehm, aber kein Ausnahmezustand: Es ist ein standardisierter Prozess, der planbar abläuft und bei sauberer Dokumentation ohne Nachforderungen endet.
Dieser Beitrag erklärt, wie ein Microsoft-Lizenzaudit typischerweise abläuft, worin sich ein SAM-Engagement davon unterscheidet und was Sie heute tun können, damit ein Audit für Sie zu einer Formsache wird.
📌 Hinweis: Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung. Ob und in welchem Umfang ein Hersteller im konkreten Fall Auskunft verlangen kann, hängt vom jeweiligen Vertrag ab. Bei einem laufenden Audit mit erheblichem Streitwert empfehlen wir, frühzeitig einen auf IT-Recht spezialisierten Anwalt einzubeziehen.
1. Warum Hersteller überhaupt auditieren
Softwarehersteller haben ein berechtigtes Interesse daran zu prüfen, ob ihre Produkte in dem Umfang lizenziert sind, in dem sie eingesetzt werden. Bei Microsoft, IBM, Oracle und SAP gehören Audits seit Jahren zum Standardrepertoire. Für größere Vertragsformen – etwa Enterprise Agreements oder vergleichbare Rahmenverträge – ist eine Prüfung während der Vertragslaufzeit ein üblicher Vorgang.
Der Auslöser ist selten ein konkreter Verdacht. Häufiger sind es strukturelle Anlässe:
- Turnusmäßige Prüfung innerhalb eines laufenden Vertrags
- Auffällige Veränderungen im Bestellverhalten – etwa deutlich weniger Neubestellungen bei wachsender Mitarbeiterzahl
- Fusionen, Übernahmen oder starkes Wachstum
- Auslaufende Verträge, die nicht verlängert wurden
2. SAM-Engagement und formales Audit: Der Unterschied
Diese Unterscheidung ist wichtig, weil sie im Anschreiben nicht immer deutlich wird.
| Merkmal | SAM-Engagement | Formales Audit |
|---|---|---|
| Ansprache | Als Unterstützungsangebot formuliert („Optimierung Ihres Lizenzmanagements“) | Formelle Ankündigung unter Verweis auf die Vertragsklausel |
| Durchführung | In der Regel durch einen Microsoft-Partner | Durch Microsoft selbst oder ein beauftragtes Prüfunternehmen |
| Finanzierung | Häufig von Microsoft finanziert | Vom Hersteller beauftragt |
| Ergebnis | Effective License Position (Abgleich Installation ↔ Berechtigung) | Effective License Position |
| Praktische Wirkung | Dieselbe Datenbasis, dasselbe Ergebnis | Dieselbe Datenbasis, dasselbe Ergebnis |
📌 Was das für Sie bedeutet: Ein SAM-Engagement wird freundlicher formuliert, arbeitet aber mit denselben Daten und erzeugt dasselbe Ergebnis wie ein Audit. Behandeln Sie beide Verfahren mit derselben Sorgfalt – insbesondere bei der Frage, welche Daten Sie in welcher Form herausgeben.
3. Der typische Ablauf
- Ankündigung: Ein Anschreiben kündigt die Prüfung an und benennt einen Ansprechpartner. Häufig ist bereits eine Frist genannt.
- Datenanforderung: Sie erhalten eine strukturierte Aufstellung – oft eine umfangreiche Tabelle – in die alle eingesetzten Produkte und die zugehörigen Lizenznachweise einzutragen sind.
- Erhebung: Die tatsächlichen Installationen werden erfasst, teilweise mit Inventarisierungswerkzeugen.
- Abgleich: Installationsstand und nachgewiesene Berechtigungen werden gegenübergestellt. Ergebnis ist die Effective License Position.
- Ergebnisgespräch: Bei einer festgestellten Lücke folgt ein Nachlizenzierungsangebot.
⚠️ Der kritische Moment: Sobald die ausgefüllte Aufstellung zurückgesendet ist, wird sie zur Grundlage der weiteren Bewertung. Korrekturen sind danach deutlich schwieriger. Prüfen Sie Ihre Angaben daher vor dem Absenden sorgfältig – und lassen Sie sich für diese Prüfung angemessen Zeit. Eine kurze Fristsetzung im Anschreiben bedeutet nicht automatisch, dass keine Verlängerung möglich ist.
4. Was geprüft werden darf – und was nicht
Ein Prüfungsrecht ergibt sich aus dem Vertrag zwischen Ihnen und dem Hersteller. Daraus folgt eine wichtige Einschränkung: Gegenstand eines vertraglichen Audits sind die Produkte, die über den auditierten Vertrag bezogen wurden.
Für Microsoft-Produkte bedeutet das in der Praxis: Software, die über andere Wege ins Unternehmen kam – etwa vorinstallierte OEM-Software auf gekaufter Hardware oder Paketprodukte aus dem Handel – ist von einem Volumenvertrags-Audit grundsätzlich nicht erfasst.
📌 Praktische Konsequenz: Bevor Sie Daten zusammenstellen, lohnt der Blick in den zugrunde liegenden Vertrag: Welche Klausel wird herangezogen, welchen Umfang sieht sie vor, welche Fristen sind vereinbart? Diese Vorarbeit strukturiert den gesamten weiteren Prozess – und sie ist der Punkt, an dem sich die Einbeziehung juristischer Beratung am ehesten auszahlt.
5. Die häufigsten Ursachen für Nachforderungen
In den meisten Fällen entstehen Lizenzlücken nicht durch Absicht, sondern durch typische betriebliche Vorgänge:
- Serverlizenzierung falsch berechnet: Die Core-Lizenzierung mit ihren Mindestregeln und die CAL-Systematik sind die mit Abstand häufigste Fehlerquelle – besonders in virtualisierten Umgebungen.
- Testinstallationen im Produktivbetrieb: Was als Evaluierung begann, ist nie zurückgebaut worden.
- Ausgeschiedene Mitarbeiter: Arbeitsplätze wurden neu besetzt, ohne dass die Lizenzzuordnung nachgezogen wurde – die Installation existiert doppelt.
- Fehlende Nachweise für vorhandene Lizenzen: Die Lizenz wurde korrekt erworben, aber die Unterlagen sind nicht auffindbar. Wirtschaftlich derselbe Effekt wie eine fehlende Lizenz.
- Übernommene Bestände nach Fusionen: Lizenzen wurden mitübernommen, die Dokumentation nicht vollständig.
- Downgrade ohne Dokumentation: Eine ältere Version läuft auf Basis eines Downgrade-Rechts – ohne dass das nachvollziehbar festgehalten wurde.
Auffällig ist, dass mehrere dieser Punkte keine echten Lizenzprobleme sind, sondern Dokumentationsprobleme. Genau dort liegt der größte Hebel für die Vorbereitung.
6. Gebrauchte Lizenzen im Audit
Eine Frage, die IT-Verantwortliche regelmäßig beschäftigt: Sind gebrauchte Lizenzen im Audit ein Risikofaktor?
Die sachliche Antwort: Nicht die Herkunft der Lizenz entscheidet, sondern die Nachweisbarkeit. Eine gebrauchte Lizenz mit vollständiger Dokumentation der Rechtekette ist im Audit genauso belastbar wie eine direkt vom Hersteller bezogene. Umgekehrt hilft eine neu gekaufte Lizenz wenig, wenn der Nachweis nicht auffindbar ist.
Was Sie für gebrauchte Lizenzen vorhalten sollten:
- Lizenznachweis mit Angabe von Produkt, Version und Umfang
- Vernichtungserklärung des Vorbesitzers
- Dokumentation des Ersterwerbs und der Übertragungskette
- Eigene Kaufunterlagen
Was zu einer belastbaren Dokumentation im Detail gehört, beschreibt unser Beitrag Lückenlose Lizenzkette: So sind gebrauchte Lizenzen audit-sicher dokumentiert.
7. Vorbereitung: Was Sie heute tun können
Die wirksamste Auditvorbereitung findet statt, bevor ein Audit angekündigt wird. Diese fünf Schritte lassen sich ohne externes Werkzeug beginnen:
- Vollständige Bestandsaufnahme: Welche Software läuft wo, in welcher Version, in welcher Anzahl? Beginnen Sie bei den Servern – dort liegen die größten Risiken und die höchsten Beträge.
- Lizenznachweise zusammenführen: Verträge, Rechnungen, Vertragsnummern, Übertragungsdokumente – an einem definierten Ort, mit klarer Zuständigkeit.
- Abgleich durchführen: Stellen Sie Installationen und Berechtigungen gegenüber. Diese Übung ist genau das, was im Audit passiert – nur eben zu Ihren Bedingungen und ohne Frist.
- Lücken schließen: Wo Unterlizenzierung festgestellt wird, ist die Nachbeschaffung vor einem Audit deutlich günstiger als danach – und hier sind gebrauchte Lizenzen eine wirtschaftliche Option.
- Überlizenzierung erkennen: Der Abgleich fördert regelmäßig auch das Gegenteil zutage – nicht genutzte Lizenzen, die Kapital binden. Wie Sie damit umgehen, zeigt unser Beitrag Software-Lizenzkosten senken: 7 Hebel für IT-Abteilungen.
💼 Best Practice: Wiederholen Sie diesen Abgleich einmal jährlich und halten Sie das Ergebnis schriftlich fest. Damit haben Sie im Auditfall nicht nur die Unterlagen, sondern können auch belegen, dass Ihr Unternehmen die Lizenzsituation regelmäßig und systematisch prüft.
8. Wenn das Schreiben schon da ist
Ein Audit ist angekündigt – was jetzt sinnvoll ist:
- Zuständigkeit klären: Benennen Sie eine verantwortliche Person und einen einzigen Kommunikationsweg nach außen. Parallele Auskünfte aus verschiedenen Abteilungen führen zu widersprüchlichen Angaben.
- Vertragsgrundlage prüfen: Welche Klausel wird herangezogen, welchen Umfang und welche Fristen sieht sie vor?
- Realistischen Zeitplan vereinbaren: Eine sorgfältige Erhebung braucht Zeit. Ein sachlich begründeter Terminvorschlag ist üblich und in der Regel verhandelbar.
- Eigene Erhebung zuerst: Verschaffen Sie sich Klarheit über Ihre Situation, bevor Sie Daten weitergeben. Wer die eigene Lage kennt, kann Ergebnisse einordnen und begründet widersprechen.
- Fachliche Unterstützung einbeziehen: Bei komplexen Server- und Virtualisierungsumgebungen oder größeren Beträgen ist externe Expertise sinnvoll – lizenztechnisch und gegebenenfalls juristisch.
Und der wichtigste Punkt: Ein Audit ist ein sachlicher Vorgang. Wer vorbereitet ist, kann ihm gelassen begegnen.
Wie audit-sicher ist Ihre Lizenzierung?
Wir prüfen Ihre Lizenzstruktur, gleichen Installationen und Berechtigungen ab und zeigen Ihnen, wo Lücken bestehen – und wo Sie im Gegenteil zu viel lizenziert haben. Am besten, bevor jemand anderes danach fragt.