Wenn der Auditor zweimal klingelt Stressfreie Software-Audits dank Lizenzmanagement

Wenn ­Wirtschaftsprüfer unter die Lupe nehmen, ob eine Unterlizenzierung von ­On-Premises-Software vorliegt, sollte die Spezial-Software der Prüfer nicht meckern. Sonst drohen Nachlizenzierung und Strafen. „Same energy as Steuerprüfung“, könnte man formulieren.

Schon Cicero sagte: „Sparen ist eine gute Einnahme.“ Aber wenn es um Software-Lizenzen geht wird das Sparen kompliziert. Schlichtweg, weil Lizenzmanagement so komplex ist. Dass häufig hybride On-Premises- und Cloud-Strukturen existieren, macht die Sache nicht einfacher.

In größeren Firmen arbeiten die internen Teams für IT- und Software-Asset-Management (ITAM), die sich um On-Premises-­Lizenzmanagement kümmern, mit den FinOps-Verantwortlichen zusammen, die sich der Cloud-Kosten-Optimierung widmen. In kleineren Firmen gibt es in der Regel keine geteilten Verantwortlichkeiten für beide Welten – damit bleibt es schwierig.

Wie man es dreht und wendet – wenn ein Software-­Audit ansteht, sollte die Software der Wirtschaftsprüfer grünes Licht geben, ansonsten gibt es Gesprächs- und in einem zweiten Schritt Nachlizenzierungsbedarf. Gegebenenfalls drohen sogar Strafzahlungen.

Verwendete Lizenzen in Echtzeit messen

Christoph van Lück, Geschäftsführer bei Echo Datacenter, steckt tief im Thema. Die Echo Gruppe setzt auf eine, von der KPMG-zertifizierte, Softwarelösung von CPL24. In Echtzeit werden dabei die eingesetzten Lizenzen gemessen und im Sinne eines Software Asset Managements (SAM) protokolliert. SAM-Consultants kontrollieren zudem regelmäßig die Lizenzmeldungen und Lizenzbestimmungen, was letztlich auf ein monatliches Selbstauditing hinausläuft. Echo agiert als Marktplatz für Hoster und muss deshalb seine Lizenzen im Griff haben. Das Unternehmen berät aber auch externe Unternehmen dahin­gehend, sich in Sachen Software-Audits im grünen Bereich zu bewegen.

Ein Job für Wirtschaftsprüfer

In der Regel werden die Audits von großen Wirtschaftsprüfungsgesellschaften durchgeführt, beispielsweise KPMG. „Nach meinem Kenntnisstand werden diese Firmen auf Provisionsbasis bezahlt, sodass hier durchaus das Interesse besteht, Unregelmäßigkeiten zu finden“, sagt Ronny Schausten, CEO des Gebrauchtsoftware-Händlers S2 Software. „Die Wirtschafts­prüfungsgesellschaften, die diese Audits durchführen, verfügen über spezielle Software, die genau auswertet, wie viele User zugreifen und inwieweit das mit den Lizenzen abgedeckt ist“, so Schausten. Aufgrund einer Haftungsfreistellung, die sein Unternehmen den Kunden ausstellt, liegt es in seinem ureigenen Interesse, dass es in Hinblick auf die verkauften Lizenzen keine Probleme gibt. Bei seinen Kunden kam es bislang nicht vor, aber werden Unregelmäßigkeiten gefunden, stehen Nachlizenzierungen an.

Einzelfallentscheidungen

Das ist mit den Kosten für neue Lizenzen und unter Umständen mit Strafzahlungen verbunden, die auferlegt werden. „Wobei es hier in der Praxis natürlich einen Unterschied macht, ob nur ein paar Lizenzen fehlen oder – was durchaus schon vorgekommen sein soll – dass 50 Prozent und mehr der Lizenzen fehlen.“ In krasseren Fällen wird auch über Strafen verhandelt und im Zweifel der Gerichtsweg beschritten. Eine Tabelle für Strafzahlungen gibt es nicht, vielmehr wird individuell verhandelt, wie man die festgestellten Verstöße vom Tisch bekommt.

Keine Hausdurchsuchungen

Doch warum weigern sich die Firmen nicht, Software-Audits durchführen zu lassen? Wirtschaftsprüfungsgesellschaften wie KPMG, die solche Audits durchführen, stehen schließlich nicht mit einem Hausdurchsuchungsbefehl vor der Tür. Es ermittelt auch kein Staatsanwalt, es besteht kein öffentliches Interesse und allgemein gesprochen: Es sind keine hoheitlich handelnden Behörden, die im Falle eines Audits tätig sind. Aber: Es gibt ein vertraglich geregelts Überprüfungsrecht.

Van Lück erläutert die Hintergründe: Bei Abschluss von Verträgen, über die Nutzung von Softwareprodukten sei geregelt, dass der Lizenzgeber, also der Hersteller, vom Lizenznehmer (dem Kunden) ein Überprüfungsrecht erhält. „Der Lizenz­geber kann also kontrollieren ob die Lizenzen, die er zur Verfügung stellt, in Art und Umfang vom Kunden wie vereinbart eingesetzt werden“, so der Echo-Manager. „Der Abschluss der entsprechenden Verträge wird unter Voll-Kaufleuten geschlossen und unterliegt daher primär dem Handelsrecht (HGB).“ Um eine Neutralität zu gewährleisten, wird ein unabhängiges Unternehmen mit der Prüfung beauftragt.

Konstruktive Gespräche

„Das kann man gut finden oder nicht“, so van Lück pragmatisch, „keiner wird gezwungen diese Verträge zu zeichnen.“ Allerdings ist es bei der monopolartigen Struktur im Softwarebereich schwer, auf bestimmte Hersteller zu verzichten, weiß der Manager und berichtet aus der Praxis: „Laut den Formulierungen in den Verträgen soll ein Audit nicht die betrieblichen Abläufe behindern. Aus der Erfahrung heraus können wir sagen, dass es immer einen zeitlichen Verhandlungsspielraum gibt.“

Schausten schlägt in dieselbe Kerbe: „In der Regel finden konstruktive Gespräche zwischen den Beteiligten statt, um eine einvernehmliche Lösung zu finden. Nur in Ausnahmefällen von gravierenden Lizenzverstößen könnte eine weitergehende rechtliche Auseinandersetzung unumgänglich sein. Das Ziel sollte jedoch immer eine für alle Seiten faire und angemessene Regelung der Lizenzsituation sein.“

Kommerzielle Interessen der Hersteller

„Warum es im Einzelfall zu Audits kommt, lässt sich nur mutmaßen“, sagt Andreas Thyen, Präsident des Verwaltungsrates der LizenzDirekt, der auch als Lobbyist für die Gebrauchtsoftware-Branche in Erscheinung tritt. Entweder seien es regelmäßige Intervalle, in denen etwa Kunden über ihre Nutzung berichten müssen und dabei (vermeintlich) Anlass für weitergehende Audits geben, „oder es wird ein kommer­zielles Interesse seitens der Hersteller verfolgt und damit das Audit als Mittel zum Zweck genutzt“. Ursächlich können hier im Raum stehende Wechsel zu Wettbewerbern des jeweiligen Software­anbieters, Zuwächse bei Mitarbeitern oder ausbleibende Nachkäufe sein. „In aller Regel hat der Kunde aber keinerlei Anlass hierfür gegeben, sodass es schlichtweg auch ein Mittel ist, um zusätzliche Umsätze zu kreieren“, findet der Verwaltungsratsprä­sident.

Thyen thematisiert auch, dass sich oftmals über die intransparenten Lizenzbestimmungen der Hersteller einschließlich deren Metriken vortrefflich streiten lässt. Dabei sei zu beachten, dass nach dem deutschen AGB-Recht Unklarheiten zulasten des Herstellers gehen.

Lämpchen an SQL-Datenbank: „Bitte melden“

S2-Software-Chef Schausten kennt Beispiele, bei denen es lizenzrechtlich einigermaßen kompliziert wird, oder zumindest für einige Akteure unerwartete Ergebnisse herauskommen. Zur Veranschaulichung dient ihm ein mehrgeschossiges Parkhaus mit 500 Stellplätzen. Der Betreiber verfügt über die üblichen Lizenzen wie beispielsweise für User. Zudem ist aber zu berücksichtigen: Jeder einzelne Parkplatz ist mit einer smarten LED-Leuchte ausgestattet. Diese ermöglicht es Autofahrern auf einen Blick zu erkennen, ob der Platz frei (grün) oder belegt (rot) ist. „Das klingt zunächst nach einer cleveren, übersichtlichen Lösung. Doch lizenzrechtlich wird es knifflig“, so der Manager. Denn jede dieser 500 LED-Leuchten kommuniziert mit dem zentralen Parkleitsystem. Dieses System läuft auf einem Server mit Microsoft SQL-Datenbank. Und hier kommt der Clou: „Für jede einzelne Leuchte benötigt man eine separate Device-CAL (Client Access License) für den SQL-Server“, so Schausten.

Das bedeutet bei 500 Park­plätzen werden 500 Device-CALs fällig. Setzt man für das Beispiel 200 Euro pro CAL an, läppern sich hier zusätzliche Lizenzkosten in Höhe von 100.000 Euro zusammen und zwar nur für die Berechtigung, dass die Lämpchen mit der SQL-Datenbank kommunizieren dürfen. „Dieses Beispiel zeigt, wie schnell sich scheinbar kleine Details zu erheblichen Kostenfaktoren summieren können und es unterstreicht, wie wichtig eine gründliche Lizenzplanung bei IT-Projekten ist“, so der Geschäftsführer.

Die Cloud-Ära

Einig sind sich die Lizenzexperten, dass die vermehrte Cloud-Nutzung dazu führt, dass es weniger Probleme mit Unterlizenzierungen gibt und in der Folge auch weniger Audits. Logisch: Wer Cloud-Dienste nutzt, ist quasi direkt mit dem Hersteller vernetzt, der selbst abrechnet.

Allerdings sind Stimmen zu vernehmen, dass nach einem „Audit-Tief“ zur Corona-Zeit und dem Cloud-Boom, nun wieder öfter „der Auditor zweimal klingelt“.

Eine Frage des Vertrauens

Ein Treiber des On-Premises-Modells ist der Gebrauchtsoftware-Handel und was das Thema Lizenzen angeht, müssen es die Akteure in diesem Markt sehr genau nehmen. Zumindest der gute Ruf steht auf dem Spiel. Und bei entsprechenden Haftungsfreistellungen, existiert zudem auch ein monetäres Risiko, wenn Unregelmäßigkeiten festgestellt würden. Mit einem Gedankenspiel (siehe Kasten) lässt sich die grundsätzliche Problematik dahinter erfassen, die auf ein Vertrauensproblem hinausläuft, das nur durch saubere Dokumentation gelöst werden kann.

Deshalb muss die Dokumentation des Gebrauchtsoftwarehändlers einen Audit beim Kunden bestehen, wenn dieser dessen Lizenzen einsetzt. Roland Schausten, der Zwillingsbruder von Ronny, der bei S2 Software als Purchase and Tender Administrator arbeitet, betont: „Vor etwa drei Wochen haben wir ein Zertifikat vom TÜV Nord erhalten, welches den sicheren Lizenztransfer in unserem Hause zertifiziert.“

Innenleben des Lizenzhandels

Erst nach Prüfung einiger Dokumente kann der Kunde die Verkaufsrechnung an S2 Software stellen, verrät Roland Schausten aus seinem Tagesgeschäft. Für die Dokumentation lässt sich das Unternehmen vom Kunden folgendes übermitteln, damit bei einem Audit keine Fragen offen bleiben:

• Eingangsrechnungen (bezüglich des Einkaufs, beispielsweise über einen Volumenlizenzvertrag) oder auch Microsoftverträge (beispielsweise EA- oder Open-Value-Vertrag) mit Unterschriften – falls vorhanden;

• Vernichtungserklärungen (Zusicherung, dass die Software gelöscht wurde);

• Auszüge aus dem Microsoft-365-Adminportal (früher VLSC-Center), aus denen die Vertragsnummer, Produkt und Stückzahl hervorgehen;

• Aktivierungsschlüssel mit den entsprechenden Downgrade-Keys (mit denen über Hersteller wie beispielsweise Microsoft geprüft werden kann, ob noch genügend Aktivierungen vorhanden sind).

Das Ende der Audits oder Dauer-Audit?

Für Echo-Boss van Lück ist klar: „Ein Audit findet niemand schön, für den Lizenzgeber bedeutet es Aufwand und Kosten, für den Lizenznehmer einen sehr großen internen Aufwand, Störung der Geschäftsprozesse, zusätzliche Arbeit für das Fachpersonal und das alles bei knappen Ressourcen.“ Der unaufhaltbare Trend zu cloudbasierten Software-Produkten wird allerdings das Ende der Software-Audits einläuten und so wird das Thema Audit irgendwann Geschichte sein.

Andere – wie Gebrauchtsoftware-Lobbyist Thyen – gehen eher davon aus, dass mit dem Wechsel auf Abo und Cloud dem Audit-Thema nicht zu entkommen sei – im Gegenteil: „Nicht nur protokolliert der Kunde zu jeder Zeit seine (Über-)Nutzung und wird damit sehr transparent für den Anbieter. Es besteht zudem im Vergleich zu Perpetual-Lizenzen eine einseitige Möglichkeit von Preis- und Konditions-­Anpassungen seitens des Anbieters. Insofern befinden sich solche Kunden im Grunde nunmehr im Dauer-Audit.“

S2-Software-Chef Schausten glaubt nicht an den Wegfall des On-Premises-Modells zugunsten der Cloud: „Basierend auf den aktuellen Markttrends lässt sich sagen, dass On-Premises-Lösungen, insbesondere bei größeren Unternehmen, nach wie vor eine wichtige Rolle spielen.“ Mit der Ankündigung von Office 2024 als On-Premises-Version zeige sich, dass viele Organisationen Wert auf diese Bereitstellungsoption legen. „Die Gründe hierfür können vielfältig sein, wie beispielsweise Aspekte der Datenhoheit oder spezifische Unternehmensanforderungen.“

Ehrbare Kaufleute und ihr Lizenzmanagement

Laut Gabler Wirtschaftslexikon zeichnet sich ein ehrbarer Kaufmann dadurch aus, dass Werte und Tugenden wie Ehrlichkeit, Verlässlichkeit und Integrität die Basis für sein Handeln darstellen. Was Lizenzen angeht, wird er sich in der Regel auf Profis verlassen müssen, denn wie man es dreht und wendet: Lizenzmetriken können sehr komplex sein und nur in den seltensten Fällen ist der Geschäftsführer eines Unternehmens (der ehrbare Kaufmann) auch Lizenzspezialist.

(ID:50098923)