Software-Lizenzmanagement im Mittelstand: Bestand, Compliance und Kosten steuern

Software-Lizenzmanagement im Mittelstand wird meist erst dann zum Thema, wenn ein Hersteller ein Audit ankündigt oder die Summe der monatlichen Abonnements im Controlling auffällt. Beide Auslöser kommen zu spät. Die Softwarekosten eines Unternehmens verteilen sich heute über Dutzende von Verträgen, viele davon per Kreditkarte in Fachabteilungen abgeschlossen, mit automatischer Verlängerung und ohne zentrale Übersicht. Parallel bestehen klassische Kaufverträge über lokal installierte Anwendungen, deren Nutzungsrechte an Prozessorkerne, Named User oder Serverinstanzen gebunden sind. Ohne einen definierten Prozess entsteht eine doppelte Fehlstellung: Auf der einen Seite werden Lizenzen bezahlt, die niemand nutzt, auf der anderen Seite wird Software eingesetzt, für die keine ausreichenden Rechte bestehen. Beides ist teuer, das zweite zusätzlich rechtlich riskant. Dieser Beitrag beschreibt, wie sich ein belastbares Lizenzmanagement aufbauen lässt, welche Datengrundlage dafür nötig ist, wie Audits vorbereitet werden und mit welchen Kennzahlen sich der Softwarebestand dauerhaft steuern lässt.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von effizienzpraxis.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Compagnons auf Unsplash.

Die gängigen Lizenzmodelle und ihre Zählproblematik

Die Schwierigkeit des Lizenzmanagements liegt weniger in der Zahl der Produkte als in der Vielfalt der Zählmodelle. Jedes Modell erfordert eine andere Messgröße, und genau daran scheitern viele Bestandsaufnahmen.

Modell	Zählgröße	Typische Fallstricke	Prüfpunkt
Named User	benannte Person	ausgeschiedene Mitarbeitende bleiben angelegt	Abgleich mit dem Verzeichnisdienst
Concurrent User	gleichzeitige Zugriffe	Spitzenlast wird nicht gemessen	Auswertung der Sitzungsprotokolle
Gerätebezogen	installierte Endgeräte	virtuelle Maschinen und Testsysteme	vollständige Hardwareinventur
Prozessor- oder kernbasiert	physische oder virtuelle Kerne	Virtualisierung erweitert die Zählbasis	Dokumentation der Hostkonfiguration
Abonnement je Nutzer	aktive Konten pro Monat	automatische Verlängerung, Staffelsprünge	monatlicher Abgleich der Nutzerlisten
Verbrauchsabhängig	Transaktionen, Speicher, Rechenzeit	unbemerkte Kostensprünge	Budgetalarme im Anbieterportal
Open Source	keine Nutzergrenze	Pflichten aus Copyleft-Lizenzen	Prüfung der Lizenztexte bei Weitergabe

Besonders unterschätzt wird die Wirkung der Virtualisierung auf kernbasierte Modelle. Wird eine Anwendung auf einer virtuellen Maschine betrieben, die innerhalb eines Clusters verschoben werden kann, verlangen manche Hersteller die Lizenzierung aller Kerne im gesamten Cluster. Ein technisch sinnvoller Ausbau der Virtualisierungsumgebung kann so unbemerkt eine erhebliche Nachlizenzierung auslösen.

Bestandsaufnahme als Ausgangspunkt

Ohne verlässliche Bestandsdaten ist jede weitere Maßnahme Spekulation. Die Bestandsaufnahme umfasst drei getrennte Datenquellen, die anschließend abgeglichen werden.

1. Vertragsdaten: alle Lizenz-, Wartungs- und Abonnementverträge mit Laufzeit, Kündigungsfrist, Mengengerüst, Nutzungsrechten und Preisstellung
2. Installationsdaten: tatsächlich installierte Software auf Clients und Servern, erhoben über ein Inventarisierungswerkzeug oder die Systemverwaltung
3. Nutzungsdaten: tatsächliche Verwendung je Anwendung und Nutzer, etwa Anmeldungen der letzten 90 Tage

Der Abgleich dieser drei Quellen liefert die zentrale Kennzahl des Lizenzmanagements: die Lizenzbilanz je Produkt. Sie stellt erworbene Rechte den tatsächlich benötigten Rechten gegenüber und weist Unter- wie Überdeckung aus. Eine Unterdeckung ist ein Compliance-Risiko, eine Überdeckung ist gebundenes Kapital.

Für die Erhebung von Schatten-Software, also in Fachabteilungen eigenständig beschaffter Anwendungen, hat sich die Auswertung der Kreditorenbuchhaltung als wirksamste Methode erwiesen. Eine Durchsicht aller Zahlungen an Softwareanbieter über zwölf Monate deckt regelmäßig Verträge auf, die in keiner IT-Übersicht geführt werden. Ergänzend liefert eine Auswertung der Netzwerkprotokolle auf bekannte Anbieterdomänen weitere Hinweise.

Standardisierung nach ISO/IEC 19770

Die Normenreihe ISO/IEC 19770 beschreibt Software Asset Management als Managementsystem. Der Teil 19770-1 definiert Anforderungen an Prozesse, Rollen und Nachweise, die Teile 19770-2 und 19770-3 beschreiben Datenformate für Softwarekennzeichnung und Berechtigungsnachweise. Eine vollständige Zertifizierung ist für mittelständische Unternehmen selten wirtschaftlich, die Prozessstruktur der Norm lässt sich jedoch als Orientierung nutzen.

Praktisch bedeutet das die Festlegung von vier Kernprozessen: Beschaffung mit definierter Freigabe, Bereitstellung mit dokumentierter Zuweisung, laufende Überwachung mit regelmäßigem Abgleich und Außerbetriebnahme mit Rückgabe oder Kündigung. Ergänzt wird dies durch eine eindeutige Rollenzuordnung. In Unternehmen mit weniger als 250 Beschäftigten genügt regelmäßig eine benannte Person mit anteiliger Zuständigkeit, sofern sie mit Freigabebefugnis ausgestattet ist.

Lizenzmanagement scheitert selten an fehlenden Werkzeugen und fast immer an fehlender Zuständigkeit für die Außerbetriebnahme.

Rechtlicher Rahmen

Software ist urheberrechtlich geschützt. Die zustimmungsbedürftigen Handlungen bei Computerprogrammen regelt § 69c UrhG, dessen Wortlaut über gesetze-im-internet.de abrufbar ist. Vervielfältigung, Bearbeitung und Verbreitung bedürfen der Zustimmung des Rechteinhabers, die üblicherweise durch den Lizenzvertrag erteilt wird. Eine Nutzung über den vertraglich eingeräumten Umfang hinaus ist damit nicht nur eine Vertragsverletzung, sondern kann zugleich eine Urheberrechtsverletzung darstellen.

Beim Erwerb gebrauchter Softwarelizenzen ist der unionsrechtliche Erschöpfungsgrundsatz zu beachten. Er erlaubt unter bestimmten Voraussetzungen die Weitergabe dauerhaft überlassener Programmkopien, verlangt aber unter anderem, dass der Ersterwerber seine eigene Kopie unbrauchbar macht und die Lizenzeinheit nicht aufgespalten wird. Die Beweislast für eine rechtmäßige Lizenzkette liegt beim erwerbenden Unternehmen, weshalb eine lückenlose Dokumentation erforderlich ist.

Für die Aufbewahrung gilt: Lizenznachweise, Rechnungen und Vertragsunterlagen sind Handelsbriefe und Buchungsbelege und unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen sowie den Anforderungen der GoBD an Nachvollziehbarkeit und Unveränderbarkeit. Eine reine Ablage in Postfächern einzelner Mitarbeitender erfüllt diese Anforderung nicht.

Herstelleraudits vorbereiten

Größere Softwareanbieter behalten sich in ihren Verträgen Prüfrechte vor. Ein Audit beginnt üblicherweise mit einem Ankündigungsschreiben und einer Frist zur Bereitstellung von Bestandsdaten. Der Verlauf hängt maßgeblich davon ab, wie gut das Unternehmen vorbereitet ist.

• Ankündigung nicht ignorieren und Fristen schriftlich bestätigen, gegebenenfalls Verlängerung erbitten
• Vertragliche Grundlage des Prüfrechts prüfen, insbesondere Umfang, Häufigkeit und Kostentragung
• Interne Datenerhebung vor der Herausgabe eigenständig durchführen und die Lizenzbilanz kennen
• Nur die vertraglich geschuldeten Daten bereitstellen, keine unstrukturierten Vollexporte
• Eine einzige Kommunikationslinie definieren, alle Auskünfte laufen über diese Stelle
• Erkannte Unterdeckungen vor dem Audit bewerten und Handlungsoptionen vorbereiten
• Ergebnisse des Auditors nachrechnen, insbesondere die Zuordnung virtueller Umgebungen

Die häufigste Ursache hoher Nachforderungen ist nicht bewusste Unterlizenzierung, sondern eine abweichende Auslegung von Zählregeln bei Virtualisierung, Testumgebungen, Ausfallsystemen und indirekter Nutzung über Schnittstellen. Gerade die indirekte Nutzung, bei der ein Drittsystem automatisiert auf eine lizenzierte Anwendung zugreift, wird bei der internen Erhebung regelmäßig übersehen.

Kostenoptimierung ohne Compliance-Risiko

Nach der Bestandsaufnahme lassen sich mehrere Hebel in einer sinnvollen Reihenfolge anwenden. Die ersten Maßnahmen erfordern keine Verhandlung und wirken sofort.

1. Ungenutzte Konten deaktivieren, insbesondere von ausgeschiedenen Beschäftigten und aus abgeschlossenen Projekten
2. Rechteklassen prüfen: Vollversionen dort durch günstigere Nutzungsstufen ersetzen, wo nur lesender Zugriff benötigt wird
3. Doppelfunktionen im Portfolio identifizieren, etwa mehrere Werkzeuge für Dateiablage, Videokonferenz oder Projektsteuerung
4. Automatische Verlängerungen zentral erfassen und Kündigungsfristen in einen Terminkalender überführen
5. Abrechnungszyklen bündeln und Vertragsenden auf einen gemeinsamen Stichtag zusammenführen
6. Verhandlungsposition durch konsolidiertes Volumen und dokumentierten Bedarf verbessern
7. Verbrauchsabhängige Dienste mit Budgetalarmen und Obergrenzen versehen

Die Zusammenführung der Vertragsenden ist der Hebel mit der größten mittelfristigen Wirkung. Wer über sämtliche Verträge zum selben Zeitpunkt verhandelt, tritt dem Anbieter mit dem Gesamtvolumen gegenüber und nicht mit einzelnen Positionen über das Jahr verteilt.

Besonderheiten bei Abonnementsoftware

Bei cloudbasierten Diensten verschiebt sich das Risiko von der Compliance zur Kostenkontrolle. Unterlizenzierung ist technisch meist ausgeschlossen, weil der Anbieter die Zugänge steuert. Dafür entstehen andere Effekte: Nutzerzahlen wachsen unbemerkt, Preisstaffeln greifen erst ab bestimmten Schwellen, Funktionspakete werden pauschal für alle gebucht, obwohl nur wenige sie benötigen. Ein monatlicher Abgleich der aktiven Konten gegen den Personalstamm ist hier die wirksamste einzelne Maßnahme.

Hinzu kommt die Frage des Datenzugriffs nach Vertragsende. Vor jeder Kündigung ist zu klären, in welchem Format und über welchen Zeitraum Daten exportierbar bleiben. Diese Klausel gehört bereits in die Beschaffungsprüfung und nicht erst in die Kündigungsphase.

Verhandlung mit Anbietern

Die Verhandlungsposition hängt weniger vom Volumen ab als von der Qualität der eigenen Datenbasis. Ein Unternehmen, das seinen tatsächlichen Bedarf je Nutzergruppe belegen kann, verhandelt aus einer anderen Position als eines, das lediglich die Verlängerung des Vorjahresvertrags anfragt.

• Verhandlungszeitpunkt bewusst wählen, nicht in den letzten Wochen vor Ablauf
• Bedarf nach Nutzungsstufen aufschlüsseln und nicht pauschal die höchste Ausstattung anfragen
• Preisentwicklung über die geplante Laufzeit vertraglich begrenzen, insbesondere bei Abonnements
• Regelungen für sinkende Nutzerzahlen aufnehmen, nicht nur für steigende
• Wartungsleistungen inhaltlich definieren, statt sie als prozentualen Aufschlag zu akzeptieren
• Prüfrechte des Anbieters auf ein angemessenes Maß begrenzen, etwa Ankündigungsfrist und Häufigkeit

Der vierte Punkt ist besonders wertvoll und wird selten verhandelt. Standardverträge sehen häufig vor, dass Nutzerzahlen unterjährig erhöht, aber erst zum Laufzeitende reduziert werden können. Bei personalintensiven Schwankungen oder nach Umstrukturierungen entsteht dadurch eine dauerhafte Überzahlung. Eine Klausel, die eine Anpassung nach unten innerhalb definierter Bandbreiten erlaubt, kostet in der Verhandlung wenig und wirkt über die gesamte Laufzeit.

Ebenso lohnt der Blick auf die Preisgleitklauseln bei mehrjährigen Verträgen. Formulierungen, die eine Anpassung an die allgemeine Preisentwicklung ohne Obergrenze zulassen, verlagern das gesamte Kostenrisiko auf das Kundenunternehmen. Eine betragsmäßige Deckelung je Vertragsjahr oder eine Bindung an einen veröffentlichten Index schafft Planbarkeit für die Budgetierung.

Kennzahlen für die laufende Steuerung

• Lizenzbilanz je Produkt, also Deckungsgrad zwischen erworbenen und benötigten Rechten
• Anteil ungenutzter Lizenzen, gemessen an Konten ohne Anmeldung in den letzten 90 Tagen
• Softwarekosten je Arbeitsplatz, getrennt nach Funktionsbereichen
• Anteil zentral beschaffter gegenüber dezentral beschaffter Software
• Zahl der Verträge mit automatischer Verlängerung ohne hinterlegte Fristenkontrolle
• Durchlaufzeit von der Anforderung bis zur Bereitstellung einer Lizenz

Die letzte Kennzahl wird häufig übersehen, ist aber entscheidend für die Akzeptanz. Wenn der offizielle Beschaffungsweg mehrere Wochen dauert, während ein Abonnement in fünf Minuten selbst abgeschlossen ist, entsteht Schatten-Software zwangsläufig. Ein schneller, unbürokratischer Standardprozess ist wirksamer als jede Richtlinie.

Typische Fehler

Erstens die Einführung eines Werkzeugs vor der Klärung der Prozesse. Ein Lizenzmanagementsystem inventarisiert zuverlässig, ersetzt aber weder die Vertragsauswertung noch die Zuständigkeit. Zweitens die Beschränkung auf Arbeitsplatzsoftware, während Serveranwendungen und Entwicklungswerkzeuge mit den höchsten Einzelrisiken unbeachtet bleiben. Drittens die fehlende Verknüpfung mit dem Austrittsprozess der Personalabteilung, wodurch Konten und damit Kosten nach dem Ausscheiden bestehen bleiben.

Viertens die unvollständige Dokumentation bei Unternehmenszukäufen. Übernommene Gesellschaften bringen eigene Lizenzverträge mit, deren Übertragbarkeit häufig an die Zustimmung des Herstellers gebunden ist. Fünftens die Annahme, kostenfreie Software sei ohne Prüfung einsetzbar. Frei verfügbare Werkzeuge unterliegen Lizenzbedingungen, die bei kommerzieller Nutzung oder bei Weitergabe eigener Produkte erhebliche Pflichten auslösen können.

Der Beschaffungsprozess als eigentlicher Hebel

Alle nachgelagerten Maßnahmen bekämpfen Symptome, wenn der Zugang zur Beschaffung ungeregelt bleibt. Ein tragfähiger Prozess muss zwei Anforderungen gleichzeitig erfüllen: Er muss kontrollieren und er muss schnell sein. Wird nur die erste Anforderung erfüllt, weichen die Fachabteilungen aus.

1. Anforderung: Die Fachabteilung beschreibt den fachlichen Bedarf, nicht das gewünschte Produkt. Diese Trennung verhindert, dass die Auswahl bereits durch eine Anbieterpräsentation vorbestimmt ist.
2. Vorprüfung: Abgleich gegen das vorhandene Portfolio. In vielen Fällen deckt eine bereits lizenzierte Anwendung den Bedarf ab, ohne dass dies in der anfragenden Abteilung bekannt ist.
3. Prüfkriterien: Datenschutz, Informationssicherheit, Schnittstellen, Exportfähigkeit, Vertragslaufzeit und Preisentwicklung bei wachsender Nutzerzahl.
4. Freigabe: Klare Wertgrenzen mit kurzer Entscheidungskette. Kleinbeträge sollten dezentral freigegeben werden dürfen, allerdings mit zentraler Registrierungspflicht.
5. Registrierung: Eintrag in ein zentrales Vertragsverzeichnis mit Laufzeit, Kündigungsfrist, fachlichem Verantwortlichen und Zahlweg.
6. Wiedervorlage: Automatische Erinnerung vor Ablauf der Kündigungsfrist mit Pflicht zur Bedarfsbestätigung.

Der letzte Schritt trennt funktionierende von nominellen Prozessen. Eine Verlängerung sollte niemals automatisch durch Zeitablauf eintreten, sondern eine aktive Bestätigung des fachlich Verantwortlichen erfordern. Diese eine Regel eliminiert einen großen Teil der klassischen Regalware, für die jahrelang gezahlt wird, ohne dass jemand die Notwendigkeit prüft.

Verankerung in der Buchhaltung

Der zuverlässigste Kontrollpunkt liegt nicht in der IT, sondern in der Kreditorenbuchhaltung. Wird ein eigenes Sachkonto für Softwarelizenzen und Abonnements geführt und werden Zahlungen an nicht registrierte Anbieter zurückgewiesen, entsteht eine wirksame Sperre. Ergänzend sollte die Nutzung von Firmenkreditkarten für wiederkehrende Softwarezahlungen an eine Registrierungspflicht gekoppelt sein, da diese Zahlungswege die üblichen Freigabeprozesse umgehen.

FAQ

Ab welcher Unternehmensgröße lohnt ein formales Lizenzmanagement?
Ein strukturierter Prozess lohnt sich, sobald mehr als etwa 50 Arbeitsplätze und mehrere Serveranwendungen im Einsatz sind. Der Aufwand besteht dann überwiegend aus der einmaligen Bestandsaufnahme, die laufende Pflege ist mit wenigen Stunden im Monat leistbar.

Ist ein spezielles Lizenzmanagementwerkzeug notwendig?
Für den Einstieg genügen die Inventarisierungsfunktionen der vorhandenen Systemverwaltung in Verbindung mit einer strukturierten Vertragsübersicht. Ein spezialisiertes Werkzeug rechnet sich, wenn kernbasierte Modelle, komplexe Virtualisierung oder eine hohe Zahl an Herstellern zu verwalten sind.

Wie ist mit unklaren Zählregeln umzugehen?
Auslegungsfragen sollten vor dem Einsatz schriftlich mit dem Hersteller geklärt und die Antwort dokumentiert werden. Mündliche Auskünfte von Vertriebsmitarbeitenden haben im Auditfall regelmäßig keinen Bestand.

Was ist bei der Ablösung einer Software zu beachten?
Neben der Kündigungsfrist sind die Datenexportmöglichkeiten, verbleibende Archivierungspflichten und die Frage zu klären, ob eine reine Lesefähigkeit für Altdaten weiterhin lizenziert werden muss.

Wie wird Schatten-Software dauerhaft eingedämmt?
Wirksam ist die Kombination aus einem schnellen offiziellen Beschaffungsweg, einer klaren Freigaberegel für Zahlungen an Softwareanbieter und einer regelmäßigen Auswertung der Kreditorenbuchhaltung. Verbote allein wirken erfahrungsgemäß nicht.

Zählen Testinstallationen und Ausfallsysteme mit?
Das hängt vom jeweiligen Vertrag ab. Manche Hersteller räumen Rechte für Entwicklungs-, Test- und Ausfallumgebungen ein, andere verlangen eine vollständige Lizenzierung. Diese Frage gehört zu den häufigsten Ursachen von Nachforderungen und sollte vertraglich eindeutig geklärt sein.