Lizenzaudit vorbereiten: Ablauf und Nachweise

Wie ein Herstelleraudit abläuft

Hersteller prüfen selbst oder über beauftragte Prüfer. Die Dauer hängt vom Umfang der geprüften Produkte ab.

1. Die Ankündigung nennt Vertrag, Produkte, geprüfte Gesellschaften und Zeitplan. Im Microsoft-Kundenvertrag gilt eine Ankündigungsfrist von 30 Tagen.
2. In der Selbstauskunft oder im Fragebogen meldet das Unternehmen seinen Einsatz je Produkt und Lizenzmetrik. Diese erste Festlegung gehört vor dem Versand geprüft.
3. Zur Datenerhebung laufen Skripte oder Messprogramme des Herstellers auf den eigenen Systemen, oder das Unternehmen liefert Exporte aus Inventarisierung und Softwareverteilung. SAP beschreibt dafür eine Vermessung je System, deren Ergebnisse gebündelt an SAP gehen.
4. Der Prüfer ermittelt die Lizenzposition, also Berechtigung gegen Einsatz je Produkt. Ein Entwurf ist die Gelegenheit, Fehler in der Zählung zu korrigieren.
5. Im Abschlussgespräch geht es um Ergebnis, Nachkauf und Kosten. Die Einigung sollte festhalten, dass mit dem Nachkauf alle Ansprüche für den geprüften Zeitraum erledigt sind.

Nicht jede Anfrage zur Lizenzlage ist eine Prüfung nach der Auditklausel. Die Pflicht zur Mitwirkung reicht so weit, wie der Vertrag sie beschreibt.

Die Auditklausel als Grundlage

Ein allgemeines Recht, beim Kunden nachzusehen, gibt das Gesetz dem Hersteller nicht. Der Anspruch auf Vorlage und Besichtigung nach § 101a UrhG setzt eine hinreichend wahrscheinliche Rechtsverletzung voraus und muss im Streitfall gerichtlich durchgesetzt werden. Die Auditklausel ersetzt das durch eine vertragliche Pflicht zur Mitwirkung.

Die Pflicht aus der ersten Zeile gilt unabhängig davon, ob je geprüft wird. Ein gepflegtes Lizenzinventar ist die naheliegende Form dieser Aufzeichnungen.

Unter- und Überlizenzierung und ihre Folgen

Unterlizenzierung liegt vor, wenn der Einsatz die belegten Berechtigungen übersteigt, und Überlizenzierung ist der umgekehrte Fall. Was als Einsatz zählt, bestimmt die Lizenzmetrik, etwa installierte Geräte, benannte Personen, gleichzeitige Nutzer oder Prozessorkerne.

Nachlizenzierung aus dem Vertrag

Die regelmäßige Folge ist der Nachkauf der fehlenden Lizenzen zum Preis, den der Vertrag vorsieht. Enthält er eine Aufschlagsklausel wie der Microsoft-Kundenvertrag, wird der Nachkauf ab der Schwelle teurer, und die Prüfkosten kommen hinzu.

Urheberrechtliche Ansprüche

Nach § 69c Nummer 1 UrhG bedarf jede dauerhafte oder vorübergehende Vervielfältigung eines Computerprogramms der Zustimmung des Rechtsinhabers. Das gilt auch für Laden, Ablaufen und Speichern, soweit dafür eine Vervielfältigung nötig ist. Wer über die eingeräumten Rechte hinaus installiert, handelt außerhalb dieser Zustimmung.

Nach § 97 UrhG besteht dann ein Anspruch auf Beseitigung und bei Wiederholungsgefahr auf Unterlassung. Bei Vorsatz oder Fahrlässigkeit kommt Schadensersatz hinzu, der sich nach der Vergütung berechnen lässt, die für eine Erlaubnis angemessen gewesen wäre. Der Europäische Gerichtshof hat 2019 entschieden, dass die Verletzung einer Klausel in einem Softwarelizenzvertrag, die die Rechte des Urhebers betrifft, als Verletzung von Rechten des geistigen Eigentums im Sinne der Durchsetzungsrichtlinie gilt (Rechtssache C-666/18).

Ob solche Ansprüche im Einzelfall bestehen, hängt von Vertrag, Verschulden und Umfang ab. Die Einigung im Abschlussgespräch sollte deshalb regeln, ob mit dem Nachkauf auch urheberrechtliche Ansprüche für den geprüften Zeitraum erledigt sind.

Überlizenzierung

Überzählige Lizenzen sind rechtlich unproblematisch und kosten trotzdem Geld. Sie decken auch keine Lücke bei einem anderen Produkt. Wo Plätze ohne Messung zurückkommen, beschreibt der Leitfaden Softwarelizenzen verwalten.

Was vor dem Audit bereitliegen muss

Jede Zeile der Lizenzposition braucht einen Beleg für die Berechtigung und einen für den Einsatz. Das Inventar verbindet beide, weil es sagt, welche Geräte es gibt und in welchem Status sie sind.

Rechnungen sind Buchungsbelege und dürfen nach § 257 HGB nach acht Jahren vernichtet werden. Eine Dauerlizenz kann länger laufen, und ihr Kaufnachweis gehört deshalb so lange in die Lizenzakte, wie die Software im Einsatz ist.

Bei gebraucht gekauften Dauerlizenzen kommt der Nachweis der Erschöpfung hinzu. Nach § 69c Nummer 3 UrhG erschöpft sich das Verbreitungsrecht an einem Vervielfältigungsstück, das mit Zustimmung des Rechtsinhabers in der Europäischen Union oder im Europäischen Wirtschaftsraum verkauft wurde. Der Europäische Gerichtshof hat das in der Rechtssache C-128/11 auf heruntergeladene Software mit unbefristetem Nutzungsrecht erstreckt und verlangt, dass der Vorbesitzer seine Kopie beim Weiterverkauf unbrauchbar macht.

Die Installationsdaten liefert die Softwareverteilung je Gerät. Im Audit taugen sie erst nach dem Abgleich mit dem Inventar, das Lagergeräte, ausgesonderte Geräte und Doppelerfassungen kennt. Wie der Abgleich über die Seriennummer läuft, beschreibt der Leitfaden Geräte aus Intune, Jamf oder einem Netzwerkscan übernehmen, und die Rollen der Systeme klären die Schnittstellen im IT-Asset-Management.

Eine Lizenzverwaltung ohne angebundene Geräteverwaltung liefert Berechtigung und Zuweisung, und die Installationen muss ein anderes System beisteuern. Ein Beispiel für eine offen benannte Grenze ist eine Lizenzverwaltung, die gekaufte Plätze und Zuweisungen führt und Installationen als „keine Quelle“ ausweist.

Sechs Schritte vor dem Audit

1. Die Verträge werden gesammelt, und zu jeder Auditklausel werden Frist, Umfang, Prüfer, Kosten und Vertraulichkeit notiert.
2. Die Berechtigungen werden je Produkt und Metrik mit Beleg zusammengestellt. Fehlende Rechnungen lassen sich beim Händler oder im Herstellerportal suchen.
3. Die Zuweisungen werden mit dem Personalbestand abgeglichen. Plätze ausgeschiedener Personen kommen zurück, und das geschieht am besten im selben Vorgang wie das Offboarding von Hardware und Zugängen.
4. Die Installationsdaten werden über die Seriennummer mit dem Inventar abgeglichen. Dabei fallen Installationen auf Lagergeräten und auf ausgesonderten Geräten auf.
5. Die eigene Lizenzposition wird gerechnet, bevor der Prüfer rechnet, und jede Differenz bekommt eine Erklärung oder eine Maßnahme.
6. Eine Person spricht mit dem Prüfer. Daten gehen erst nach eigener Prüfung hinaus und nur im Umfang der Klausel.

Eine Lizenzposition durchgerechnet

Mengen und Preise im Beispiel sind angenommen und keine Herstellerpreise. Ein Unternehmen mit 60 Arbeitsplätzen nutzt ein Zeichenprogramm mit Dauerlizenz je Gerät zu 2.400 Euro je Lizenz und ein Büropaket im Abonnement je Person zu 12 Euro je Monat.

Nach der Vorbereitung

Keine der vier Maßnahmen kostet eine Lizenz. Die größte Wirkung haben der gefundene Beleg und ein Inventar, das die Lagergeräte kennt.

Was in der Praxis schiefgeht

• Rohdaten aus der Inventarisierung gehen ungeprüft an den Prüfer. Testinstallationen, Doppelerfassungen und ausgesonderte Rechner kann er dann als Einsatz werten.
• Die Lizenzen hat eine andere Gesellschaft im Konzern gekauft. Ob sie für die geprüfte Gesellschaft gelten, entscheidet der Vertrag, und das gehört vor der Selbstauskunft geklärt.
• Geräte im Lager und in Reparatur stehen in keiner Nutzerliste. Ihre Installationen fallen erst auf, wenn der Prüfer sie findet.
• Gerätegebundene Lizenzen hängen nach der Aussonderung an Geräten, die es nicht mehr gibt. Ob der Platz auf ein Ersatzgerät übergehen darf, regelt die Lizenz.
• Bei Serversoftware kann die Zählweise an Prozessoren oder Kernen des Hosts hängen. Dann ändert jede Verschiebung einer virtuellen Maschine die Lizenzposition.
• Nach der Ankündigung wird hastig deinstalliert, ohne es festzuhalten. Passen Messwerte und Selbstauskunft danach nicht zusammen, fehlt die Erklärung.
• Eine Cyberversicherung hilft bei Nachforderungen nicht weiter, weil das GDV-Muster Schäden im Zusammenhang mit Lizenzen ausschließt. Einzelheiten stehen unter Cyberversicherung: welche Nachweise der Versicherer verlangt.

Häufige Fragen