Software-Audits: Wie funktionieren sie und wie schützt man sich?

Ein Software-Audit ist für viele Organisationen eine unerwartete und kostspielige Überraschung. Anbieter schicken ein Schreiben, verlangen Einsicht in die Software-Nutzung, und das Resultat führt regelmässig zu Nachforderungen von zehntausenden bis zu Millionen Euro. Wie funktioniert das genau, und wie schützt man sich?

Wie funktioniert ein Software-Audit?

Fast jeder Enterprise-Softwarevertrag enthält eine Audit-Klausel. Diese gibt dem Anbieter das Recht, mit einer gewissen Ankündigung zu prüfen, ob die Software entsprechend der Lizenzvereinbarung genutzt wird. In der Praxis läuft ein Audit in drei Schritten ab:

1. Ankündigung: Der Anbieter oder eine externe Audit-Firma (oft KPMG, Deloitte oder ein spezialisiertes Unternehmen) sendet eine formelle Audit-Mitteilung

2. Inventarisierung: Man wird gebeten, Angaben zu Software-Installationen, Nutzern, Servern und Deployment-Umgebungen zu liefern

3. Ergebnis: Der Auditor vergleicht den tatsächlichen Einsatz mit den gekauften Lizenzen. Abweichungen führen zu Nachforderungen

Warum werden Audits immer häufiger durchgeführt?

Software-Audits sind für Anbieter ein bewährtes Geschäftsmodell. Bei grossen Kunden bringt ein Audit fast immer einen Ertrag, Lizenzmodelle sind komplex, die Regeln ändern sich regelmäßig, und die meisten Organisationen führen kein aktuelles Lizenzverzeichnis.

Faktoren, welche die Audit-Wahrscheinlichkeit erhöhen: Eine Vertragsverlängerung steht an, die Organisation ist gewachsen oder fusioniert, der Anbieter wurde übernommen (wie VMware durch Broadcom), oder der Anbieter hat neue Produktversionen mit geänderten Lizenzbedingungen herausgebracht.

Wie schützt man sich?

Der beste Schutz ist Vorbereitung:

• Führen Sie ein aktuelles Lizenzverzeichnis. Wissen Sie, was Sie gekauft haben, was installiert ist und wie viele aktive Nutzer vorhanden sind

• Lesen Sie die Audit-Klausel sorgfältig. Wie viel Vorlaufzeit muss der Anbieter geben? Wie lange darf das Audit dauern? Wer trägt die Kosten?

• Reagieren Sie nicht sofort. Nach Erhalt einer Audit-Mitteilung haben Sie immer Zeit, um zu reagieren. Lassen Sie sich von einer unabhängigen Stelle begleiten, bevor Sie Daten teilen

• Verhandeln Sie das Ergebnis. Selbst wenn es Abweichungen gibt, sind Nachforderungen verhandelbar. Ein Anbieter ist daran interessiert, die Beziehung aufrechtzuerhalten