Software-Lizenzmanagement und Lizenz-Audits: Compliance ohne Ueberraschungen

Warum Lizenzmanagement kein Nebenjob ist

In vielen Schweizer KMU landet Lizenzmanagement irgendwo zwischen “macht der IT-Leiter nebenbei” und “faellt niemandem auf, bis die Rechnung kommt”. Das raecht sich doppelt: Entweder zahlst du systematisch zu viel, weil niemand ungenutzte Lizenzen kuendigt (Over-Licensing), oder du faehrst mit zu wenig Lizenzen, weil das Wachstum schneller war als die Beschaffung (Under-Licensing) - und genau das ist der Punkt, an dem ein Hersteller-Audit richtig teuer werden kann.

Der Unterschied zwischen einem Unternehmen, das ein Audit mit einem Achselzucken uebersteht, und einem, das eine sechsstellige Nachzahlung leistet, liegt fast nie an der Grösse der Firma. Er liegt daran, ob es einen sauberen, dokumentierten Prozess gibt: Wer hat welche Lizenz wann gekauft, wer nutzt sie tatsächlich, und kannst du das in 48 Stunden nachweisen, wenn ein Auditbrief im Postfach liegt?

Dieser Artikel geht durch die Lizenzmodelle, die dir in der Praxis begegnen, die Fallstricke bei Microsoft-Lizenzierung im Speziellen, wie du mit SAM-Tools eine Grundlage schaffst, wie der True-Up-Prozess bei Microsoft Enterprise Agreements funktioniert, wie du dich auf ein Audit vorbereitest - und wie du Schatten-IT identifizierst, bevor sie zum Compliance-Risiko wird.

Lizenzmodelle im Ueberblick

Bevor du irgendein Tool oder einen Prozess aufsetzt, musst du verstehen, nach welcher Logik der jeweilige Hersteller lizenziert. Das ist keine akademische Uebung - die Modelle unterscheiden sich fundamental darin, was du zaehlen musst, und ein falsches Verständnis führt direkt zu Over- oder Under-Licensing.

Wichtig dabei: Bei Windows Server und SQL Server gilt, dass jeder physische Prozessor mindestens 4 Lizenz-Cores braucht und jeder Server insgesamt mindestens 16 Core-Lizenzen (verkauft in 2er-Packs). Ein Server mit nur 2 physischen Cores wird trotzdem so lizenziert, als haette er 16 Cores. Das relativiert sich bei Konsolidierung - viele Cores pro Host mit vielen VMs sind meist guenstiger pro VM als viele kleine Hosts.

Named User vs. Core-based: Wann was?

Fuer Infrastruktur-Software mit wenigen, aber leistungshungrigen Workloads (Datenbankserver, Terminalserver) ist Core-based Licensing meist gesetzt - du hast dort keine Wahl. Bei Endanwender-Software (M365, CRM, Kollaborationstools) lohnt sich der Blick auf Named User vs. Concurrent User: Bei Schichtarbeit mit 3 Schichten auf 1 Arbeitsplatz sind Concurrent-User-Modelle (sofern verfuegbar) oft deutlich guenstiger, weil du nicht pro Kopf, sondern pro gleichzeitiger Nutzung zahlst.

Microsoft-Lizenzierung: CALs, M365 und die Fallstricke

Microsoft-Lizenzierung verdient einen eigenen Abschnitt, weil sie in praktisch jedem Schweizer KMU die groesste Position im Softwarebudget ist - und weil die Regeln notorisch verwirrend sind.

Client Access Licenses (CALs)

Eine Windows Server CAL berechtigt einen Nutzer oder ein Geraet, auf Dienste eines Windows Servers zuzugreifen (Dateifreigaben, Druckdienste, Active Directory-Authentifizierung). Wichtig zu verstehen:

• CALs sind versionsabhaengig, aber rueckwaertskompatibel. Eine Windows Server 2025 CAL deckt auch den Zugriff auf einen Windows Server 2019 ab, aber nicht umgekehrt: Eine aeltere CAL berechtigt nicht zum Zugriff auf eine neuere Serverversion.
• CALs sind netzwerkweit gueltig, nicht serverspezifisch. Eine User-CAL erlaubt einem Nutzer den Zugriff auf beliebig viele Windows Server in deiner Organisation - du brauchst also nicht pro Server neue CALs, sondern pro Nutzer oder Geraet.
• User-CAL vs. Device-CAL: User-CALs lohnen sich, wenn Mitarbeiter mehrere Geraete nutzen (Laptop + Homeoffice-PC). Device-CALs lohnen sich bei Schichtbetrieb, wo sich mehrere Mitarbeiter ein Geraet teilen (z. B. Produktionsterminal).
• RDS-CALs sind zusaetzlich noetig, wenn du Remote Desktop Services / Terminalserver betreibst - eine normale Windows-Server-CAL deckt keine RDS-Sitzungen ab.

Microsoft 365 - die haeufigsten Fallen

1. Lizenz-Downgrade-Pfade werden übersehen. Nicht jeder Nutzer braucht E5 nur wegen einer Funktion (z. B. Advanced Threat Protection). Oft reicht E3 + gezielte Add-on-Lizenz für die Nutzer, die die Zusatzfunktion wirklich brauchen.
2. Shared Mailboxes und Ressourcenpostfaecher zaehlen falsch. Eine Shared Mailbox bis 50 GB ist kostenlos, solange kein Nutzer sich direkt damit anmeldet - viele Admins lizenzieren sie versehentlich mit einer vollen Lizenz, weil sie einen Login dafuer eingerichtet haben.
3. Frontline-Lizenzen (F1/F3) werden für Wissensarbeiter verwendet, obwohl diese für Deskless Worker mit eingeschränkten Funktionen gedacht sind - das ist zwar günstiger, verletzt aber die Nutzungsbedingungen und wird bei einem Audit auffallen.
4. Guest- und External-User-Zugriff via Entra ID wird oft nicht sauber getrackt, obwohl externe Gastkonten in bestimmten Konfigurationen ebenfalls Lizenz-Implikationen haben können (z. B. bei Nutzung bestimmter Premium-Features).

Software Asset Management (SAM): Der Prozess hinter dem Tool

SAM ist kein Tool, das du kaufst und “aktivierst” - es ist ein Prozess, der Tool-Unterstützung braucht. Der ITIL-Standard beschreibt SAM als Teilbereich des IT Asset Management (siehe auch ITIL-Grundlagen und IT-Asset-Lifecycle-Management).

Kernbausteine eines funktionierenden SAM-Prozesses

1. Discovery: Automatisierte Erfassung aller installierten Software auf allen Endgeraeten und Servern.
2. Normalisierung: Rohdaten (z. B. “Microsoft Office Professional Plus 2021 - de-de”) werden auf ein einheitliches Produkt-/Editions-Schema gemappt, damit Zaehlungen konsistent sind.
3. Entitlement-Tracking: Abgleich, wie viele Lizenzen tatsächlich gekauft wurden (Vertraege, Rechnungen, Portale wie Microsoft 365 Admin Center oder VLSC/MVLS).
4. Reconciliation: Gegenueberstellung von Ist-Nutzung (Discovery) und Soll-Berechtigung (Entitlement) - hier zeigt sich Over- oder Under-Licensing.
5. Reporting & Alerting: Regelmaessige Berichte an IT-Leitung und Einkauf, idealerweise automatisiert.

SAM-Tools im Vergleich

Fuer den Einstieg reicht oft weniger als gedacht: Ein KMU mit unter 100 Arbeitsplaetzen braucht selten ein Flexera-Enterprise-Setup. Eine Kombination aus Microsoft 365 Admin Center (fuer M365-Lizenzen), Intune-Inventarisierung (fuer installierte Software auf verwalteten Geraeten, siehe Intune-Grundlagen) und einer sauberen Excel- oder SharePoint-Liste fuer Fremdsoftware-Vertraege deckt 80 % des Bedarfs ab - solange jemand das konsequent pflegt.

Beispiel: Lizenz-Reconciliation mit PowerShell und Microsoft Graph

Fuer M365-Lizenzen kannst du dir einen einfachen Abgleich zwischen zugewiesenen Lizenzen und tatsaechlicher Aktivitaet bauen:

# Voraussetzung: Microsoft.Graph PowerShell SDK installiert
# Install-Module Microsoft.Graph -Scope CurrentUser

Connect-MgGraph -Scopes "User.Read.All", "Reports.Read.All", "AuditLog.Read.All"

# Alle Nutzer mit zugewiesenen Lizenzen abrufen
$lizenzierteNutzer = Get-MgUser -All -Property "DisplayName,UserPrincipalName,AssignedLicenses,SignInActivity" |
    Where-Object { $_.AssignedLicenses.Count -gt 0 }

# Nutzer identifizieren, die seit 90 Tagen keinen Login hatten, aber lizenziert sind
$grenzdatum = (Get-Date).AddDays(-90)

$inaktiveLizenzen = $lizenzierteNutzer | Where-Object {
    $letzterLogin = $_.SignInActivity.LastSignInDateTime
    -not $letzterLogin -or ([datetime]$letzterLogin -lt $grenzdatum)
}

$inaktiveLizenzen |
    Select-Object DisplayName, UserPrincipalName, @{N='LetzterLogin';E={$_.SignInActivity.LastSignInDateTime}} |
    Export-Csv -Path "C:\Reports\inaktive-lizenzen.csv" -NoTypeInformation -Encoding UTF8

Write-Host "$($inaktiveLizenzen.Count) potenziell ungenutzte Lizenzen gefunden - Export nach C:\Reports\inaktive-lizenzen.csv"

Ein solcher Report, monatlich per Task Scheduler oder Azure Automation ausgefuehrt (siehe Task Scheduler), macht Over-Licensing sichtbar, bevor die naechste Rechnung kommt.

Der True-Up-Prozess bei Microsoft Enterprise Agreements

Wenn dein KMU (oder eher: die Unternehmensgruppe, in die es eingebettet ist) ein Microsoft Enterprise Agreement (EA) hat, kommst du am jaehrlichen True-Up nicht vorbei. Das Prinzip:

1. Ein EA laeuft ueber eine feste Grundlaufzeit von 36 Monaten.
2. Innerhalb jeder 12-Monats-Periode darfst du mehr Lizenzen bereitstellen, als du urspruenglich bestellt hast - du zahlst dafuer aber am Jahrestag nach.
3. Zwischen 60 und 30 Tagen vor dem Jahrestag der Registrierung musst du eine True-Up-Order einreichen, die die tatsaechlich genutzte Anzahl an Lizenzen widerspiegelt.
4. Fuer unbefristete Lizenzen (Perpetual Licenses) zaehlst du nur einmal jaehrlich - waehrend des Jahres darfst du beliebig viele Instanzen bereitstellen, solange du am Ende korrekt nachmeldest.

Ablauf eines True-Up in der Praxis

1. T-90 Tage: Interne Inventur starten (SAM-Tool-Export, HR-Daten fuer Headcount-Aenderungen)
2. T-75 Tage: Abgleich Ist-Nutzung vs. gemeldete Lizenzen der Vorperiode
3. T-60 Tage: Erste Zahlen mit Microsoft-Partner / Lizenzberater abstimmen
4. T-45 Tage: Budget-Freigabe fuer Mehrbedarf einholen
5. T-30 Tage: True-Up-Order offiziell bei Microsoft einreichen (Frist!)
6. T+0: Jahrestag - neue Lizenzperiode beginnt, Rechnung fuer Nachmeldung folgt

Fuer KMU ohne EA (z. B. mit Microsoft CSP-Lizenzierung ueber einen Cloud Solution Provider) entfällt der klassische True-Up-Mechanismus - dort werden Lizenzen meist monatlich flexibel angepasst, was für kleinere Unternehmen oft der praktikablere Weg ist.

Audit-Vorbereitung und Nachweisfuehrung

Ein Software-Audit kann von jedem grösseren Hersteller ausgelöst werden - Microsoft, Adobe, Oracle, SAP, Autodesk nutzen alle vertragliche Auditklauseln (meist im EULA oder Rahmenvertrag verankert). Der rechtliche Hebel: Mit der Installation/Nutzung akzeptierst du in der Regel, dass der Hersteller mit angemessener Vorankündigung Einsicht in deine Lizenznutzung verlangen darf.

Schritt-fuer-Schritt: Was tun, wenn der Auditbrief kommt

1. Ruhe bewahren, Frist pruefen (typisch 30 Tage Vorlauf bis Audit-Start)
2. Internen Auditverantwortlichen benennen (nicht den erstbesten verfuegbaren Mitarbeiter)
3. Rechtsabteilung / externen Lizenzberater informieren, bevor du antwortest
4. NDA/Scope-Dokument des Herstellers pruefen - was genau wird verlangt?
5. SAM-Tool-Export als Erstinventur ziehen, NICHT ungeprueft weiterreichen
6. Interne Voranalyse: Wo sehen wir selbst Luecken? (Selbstaudit vor Fremdaudit)
7. Luecken wenn möglich VOR Uebergabe der Daten nachlizenzieren
8. Erst dann formelle Antwort und Datenuebergabe an den Hersteller

Nachweisfuehrung - was du griffbereit haben solltest

• Kaufbelege / Rechnungen fuer alle Lizenzen (mindestens so lange aufbewahren, wie die Software im Einsatz ist plus gesetzliche Aufbewahrungsfristen)
• Vertraege und Volume-Licensing-Bestätigungen (VLSC/Microsoft 365 Admin Center Export, Adobe Admin Console, etc.)
• Downgrade-Rechte-Nachweise, falls du z. B. eine neuere Lizenz gekauft, aber eine ältere Version im Einsatz hast
• Transferdokumentation bei gebrauchter Software (Second-Hand-Lizenzen sind in der EU/Schweiz unter bestimmten Bedingungen zulässig, brauchen aber lückenlose Kettennachweise)
• Deinstallations-Nachweise fuer Lizenzen, die du intern verschoben hast (z. B. von einem alten auf einen neuen Server)

Over-/Under-Licensing und Schatten-IT

Over-Licensing erkennen

Over-Licensing ist stiller Geldverlust, kein Compliance-Risiko - aber in Summe oft die groessere Zahl. Typische Ursachen:

• Lizenzen fuer ausgeschiedene Mitarbeiter werden nicht deprovisioniert (siehe IT-Onboarding/Offboarding)
• “Sicherheitspuffer” beim Einkauf, der nie wieder reduziert wird
• Auto-Renewal von SaaS-Abos, die niemand mehr aktiv nutzt

Under-Licensing erkennen

Under-Licensing ist das direkte Compliance- und Audit-Risiko. Typische Ursachen:

• Schnelles Wachstum (Fusion, Zukauf, starkes Personalwachstum) ohne begleitende Lizenz-Nachbestellung
• Test-/Entwicklungsumgebungen, die “temporaer” mit Produktivlizenzen laufen und nie zurückgebaut werden
• Virtualisierungs-Sprawl: Neue VMs werden aus Templates geklont, ohne die Core-Lizenzierung des Hosts neu zu pruefen

Schatten-IT als Lizenz-Blackbox

Schatten-IT - von Fachbereichen ohne IT-Freigabe beschaffte Software, meist SaaS-Tools mit Kreditkarte - ist aus Lizenzsicht besonders gefaehrlich, weil sie ausserhalb jedes SAM-Prozesses laeuft. Ein Vertriebsteam, das sich ein CRM-Zusatzmodul selbst abonniert, taucht in keinem zentralen Lizenzreport auf, bis entweder die Kreditkartenabrechnung auffaellt oder - schlimmer - ein Datenschutzvorfall passiert, weil Kundendaten in einem nicht freigegebenen Tool liegen (Bezug: DSGVO/nDSG in der IT-Praxis).

Praxis-Szenario: Lizenz-Check vor einer Fusion

Ein typisches Szenario im Schweizer KMU-Umfeld: Firma A (80 Mitarbeitende) uebernimmt Firma B (25 Mitarbeitende). Die IT-Integration bringt zwei getrennte M365-Tenants, zwei unterschiedliche Windows-Server-Landschaften und zwei ERP-Vertraege mit unterschiedlichen Lizenzmodellen zusammen.

Der saubere Ablauf:

1. Vor der Migration: Beide SAM-Inventare (oder ersatzweise manuelle Bestandsaufnahmen) zusammenfuehren und auf Ueberschneidungen pruefen (z. B. doppelte Adobe-Lizenzen, wenn Mitarbeitende beide Systeme parallel nutzen).
2. Vertragliche Uebertragbarkeit pruefen: Nicht jede Lizenz ist bei einem Unternehmenskauf automatisch übertragbar - insbesondere OEM- und manche Volume-Licensing-Vertraege haben Change-of-Control-Klauseln.
3. Tenant-zu-Tenant-Migration (M365) sauber lizenzieren: Waehrend der Uebergangsphase brauchst du meist temporaer doppelte Lizenzen fuer Nutzer, die in beiden Tenants aktiv sind.
4. Nach Abschluss: Alte Lizenzen fristgerecht kuendigen, nicht “auslaufen lassen” - viele SaaS-Vertraege haben Kuendigungsfristen von 30-90 Tagen vor Verlaengerung.

Dieses Szenario zeigt exemplarisch, warum Lizenzmanagement kein einmaliges Projekt, sondern ein laufender Prozess sein muss: Jede organisatorische Veraenderung (Fusion, Wachstum, Restrukturierung) hat direkte Lizenz-Konsequenzen, die leicht uebersehen werden, wenn niemand explizit dafuer verantwortlich ist.

Weiterlernen

• Microsoft Learn: Windows Server - Produktlizenzierung
• Microsoft: Volume Licensing Enterprise Agreement - True-up-Leitfaden (PDF)
• Microsoft Learn: Microsoft Graph PowerShell SDK
• Microsoft Learn: Microsoft Purview Audit - Uebersicht
• Flexera: Software Asset Management
• Microsoft 365 Admin Center: Lizenzen verwalten

Videos

YouTube

YouTube