Software-Audits: Wie funktionieren sie und wie schützt man sich?

Ein Software-Audit ist für viele Organisationen eine unerwartete und kostspielige Überraschung. Anbieter schicken ein Schreiben, verlangen Einblick in die Software-Nutzung, und das Resultat führt häufig zu Nachzahlungen von mehreren zehntausend bis zu Millionen Euro. Wie funktioniert das genau, und wie schützt man sich?

Wie funktioniert ein Software-Audit?

Fast jeder Enterprise-Softwarevertrag enthält eine Auditklausel. Diese gibt dem Anbieter das Recht, mit einer gewissen Ankündigungsfrist zu überprüfen, ob die Software entsprechend der Lizenzvereinbarung verwendet wird. In der Praxis läuft ein Audit in drei Schritten ab:

1. Ankündigung: Der Anbieter oder eine externe Prüfgesellschaft (oft KPMG, Deloitte oder ein spezialisiertes Unternehmen) schickt eine formelle Audit-Benachrichtigung

2. Inventarisierung: Man wird gebeten, Daten zu Software-Installationen, Nutzern, Servern und Deployment-Umgebungen bereitzustellen

3. Ergebnis: Der Auditor vergleicht den tatsächlichen Einsatz mit den erworbenen Lizenzen. Abweichungen führen zu Nachzahlungen

Warum werden Audits immer häufiger durchgeführt?

Software-Audits sind für Anbieter ein bewährtes Geschäftsmodell. Bei Grosskunden bringen Audits fast immer Einnahmen, Lizenzmodelle sind komplex, Regeln ändern sich häufig und die meisten Organisationen führen kein aktuelles Lizenzinventar.

Faktoren, die die Wahrscheinlichkeit eines Audits erhöhen: Vertragsverlängerung steht an, die Organisation ist gewachsen oder fusioniert, es gab eine Übernahme des Anbieters (wie VMware durch Broadcom) oder der Anbieter hat neue Produktversionen mit geänderten Lizenzbedingungen herausgebracht.

Wie schützt man sich?

Der beste Schutz ist Vorbereitung:

• Führen Sie ein aktuelles Lizenzinventar. Wissen Sie, was Sie gekauft haben, was installiert ist und wie viele aktive Nutzer es gibt

• Lesen Sie die Auditklausel sorgfältig. Wie lange ist die Ankündigungsfrist? Wie lange darf das Audit dauern? Wer trägt die Kosten?

• Reagieren Sie nicht sofort. Nach Erhalt einer Audit-Benachrichtigung haben Sie immer Zeit zu reagieren. Lassen Sie sich von einer unabhängigen Stelle begleiten, bevor Sie Daten freigeben

• Verhandeln Sie das Ergebnis. Selbst bei Abweichungen sind Nachzahlungen verhandelbar. Ein Anbieter hat Interesse daran, die Geschäftsbeziehung zu erhalten