Microsoft-Lizenzaudit: Ablauf, Rechte, Vorbereitung

Das Wichtigste in Kürze

Microsoft prüft die Lizenznutzung seiner Kunden über zwei unterschiedliche Verfahren: das formal freiwillige SAM Engagement und das formelle Audit auf Grundlage des vertraglichen Prüfrechts. Beide folgen einem erwartbaren Ablauf, und in beiden gilt: Maßgeblich für Ihre Pflichten ist ausschließlich das, was in Ihrem Vertrag steht. Die beste Vorbereitung ist eine laufend gepflegte eigene Lizenzbilanz, denn wer seine Effective License Position selbst kennt, verhandelt aus einer Position der Stärke und übergibt keine Daten, deren Aussage er nicht vorher selbst geprüft hat.

Für Käufer von Gebrauchtlizenzen gibt es eine Besonderheit: Die Beweislast für die legale Herkunft liegt beim Nutzer. Mit vollständiger Rechtekette, Rechnungen und Vernichtungserklärung des Vorbesitzers sind gebrauchte Lizenzen im Audit genauso belastbar wie Neulizenzen. Die Quellenlage zu Audit-Praktiken stammt überwiegend von spezialisierten Beratern und Kanzleien; die Aussagen dieser Seite sind entsprechend konservativ formuliert und keine Rechtsberatung.

SAM Engagement vs. formelles Audit

Die beiden Verfahren werden im Alltag oft in einen Topf geworfen, unterscheiden sich aber in Rechtsgrundlage, Tonlage und Konsequenzen deutlich:

Wichtig zur Einordnung: Ein SAM Engagement ist kein „Audit light" ohne Folgen, denn auch hier entsteht eine dokumentierte Lizenzbilanz. Es ist aber das kooperativere Verfahren, und es lässt Spielraum für Verhandlungen über Umfang und Ablauf, bevor Daten fließen.

Typischer Ablauf eines Lizenzaudits

Nach übereinstimmender Darstellung spezialisierter Berater folgt ein Microsoft-Audit in der Praxis diesem Muster:

1. Ankündigungsschreiben: Microsoft bzw. der Prüfer kündigt die Prüfung schriftlich an und benennt die Rechtsgrundlage.
2. Kick-off und Scoping: In einem Auftaktgespräch werden Umfang (Produkte, Gesellschaften, Standorte), Zeitplan und Werkzeuge festgelegt. Hier entscheidet sich, wie aufwendig das Verfahren wird.
3. Datenerhebung: Inventarisierung über Tools, Skripte und Selbstauskunft: Welche Software läuft wo, in welcher Edition, mit wie vielen Zugriffen?
4. Abgleich: Die Installationen werden dem nachgewiesenen Lizenzbestand gegenübergestellt.
5. ELP-Entwurf: Der Prüfer erstellt den Entwurf der Effective License Position.
6. Stellungnahme: Sie prüfen den Entwurf, korrigieren Fehlzuordnungen und reichen fehlende Nachweise nach. Diese Phase wird häufig unterschätzt; viele vermeintliche Lücken sind Dokumentationslücken, keine Lizenzlücken.
7. Einigung und Nachkauf: Festgestellte echte Lücken werden durch Nachkauf geschlossen.

Die wichtigste Empfehlung aus der Beraterpraxis: Erstellen Sie Ihre eigene Lizenzbilanz, bevor Sie Daten übergeben. Geeignete interne Quellen sind Active Directory, SCCM/Intune, die M365-Admin-Reports und die Einkaufshistorie. Wer seine Position kennt, erkennt Fehler im ELP-Entwurf und verhandelt nicht blind.

Ihre Rechte: Was Sie verhandeln dürfen

Für den Umfang Ihrer Mitwirkungspflicht gilt ein einfacher Grundsatz: Maßgeblich ist ausschließlich der Vertrag. Weder ein Anschreiben noch die Praxis des Prüfers erweitern das Prüfrecht über das hinaus, was in Ihrer Audit-Klausel vereinbart ist. Daraus leiten Berater und Kanzleien legitime Forderungen ab, die Sie vor einer Zustimmung stellen können:

• Vertraulichkeit: eine Vertraulichkeitsvereinbarung (NDA) mit dem Prüfer, bevor Inventardaten das Haus verlassen.
• Angemessene Fristen: realistische Zeitpläne für Datenerhebung und Stellungnahme statt Ad-hoc-Termine.
• Begrenzter Umfang: Beschränkung der Prüfung auf vertragsgegenständliche Produkte und die betroffenen Gesellschaften.
• Tool-Transparenz: Klärung vorab, welche Erhebungswerkzeuge und Skripte eingesetzt werden und welche Daten sie erfassen.
• Beim SAM Engagement zusätzlich: Die Teilnahme darf höflich abgelehnt oder in Umfang und Zeitplan verhandelt werden, denn sie ist formal freiwillig.

Vorbereitung: Checkliste für die eigene Lizenzbilanz

Die wirksamste Audit-Vorbereitung passiert lange vor dem Ankündigungsschreiben. Diese Unterlagen und Routinen sollte jedes Unternehmen pflegen:

1. Installations-Inventar: vollständige Übersicht aller installierten Microsoft-Produkte mit Version und Edition, automatisiert erhoben (AD, SCCM/Intune, M365-Admin-Reports).
2. Einkaufshistorie: alle Rechnungen, Lizenzbestätigungen und Agreement-Nummern, auch aus Altverträgen wie Open License; bereits erworbene unbefristete Lizenzen bleiben gültig und zählen in die Bilanz.
3. Zuordnung: welche Lizenz deckt welches Gerät bzw. welchen Nutzer ab; bei Volumenlizenzen inklusive der Downgrade-Nutzung (eine aktuelle Lizenz, eingesetzt für eine ältere Version).
4. CAL-Bilanz: Serverzugriffe sind ein Klassiker im Audit. Dokumentieren Sie je Server, ob per User CAL oder Device CAL lizenziert wird, und zählen Sie RDS-Zugriffe separat, denn Remote-Desktop-Nutzung braucht zusätzlich RDS-CALs. Details erklärt unsere Seite CALs erklärt.
5. Aktivierung ist kein Lizenznachweis: KMS-, MAK- oder AD-basierte Aktivierung belegt nur die technische Freischaltung, nicht das Nutzungsrecht (siehe KMS vs. MAK). In die Bilanz gehören Kaufbelege, nicht Aktivierungszähler.
6. Gebrauchtlizenz-Akte: für jede gebraucht gekaufte Lizenz die vollständige Herkunftsdokumentation (nächster Abschnitt).
7. Jährlicher Selbst-Check: einmal im Jahr Installationen gegen Lizenzbestand abgleichen; so werden Lücken geschlossen, bevor ein Prüfer sie findet.

Gebrauchtlizenzen im Audit: diese Nachweise zählen

Gebrauchte Microsoft-Lizenzen sind in der EU legal handelbar; die Rechtsgrundlagen (EuGH C-128/11, BGH I ZR 8/13) erklärt ausführlich unsere Seite Gebrauchte Software legal kaufen. Im Audit gilt aber: Wer sich auf die Erschöpfung beruft, trägt die Darlegungs- und Beweislast. Deshalb gehört zu jeder Gebrauchtlizenz eine vollständige Akte:

Die Botschaft ist unspektakulär, aber belastbar: Ein ordentlich dokumentierter Gebrauchtlizenz-Kauf ist audit-fest. Entscheidend sind Dokumentation und eine seriöse Lieferkette, nicht der Kaufkanal. Ein seriöser Händler liefert dieses Nachweis-Paket von sich aus mit; fehlt es, sollten Sie nicht kaufen, egal wie günstig das Angebot ist.

Praxisbeispiel: 25-Mitarbeiter-Szenario

Eine Spedition mit 25 Mitarbeitern erhält die Einladung zu einem SAM Engagement. Statt sofort Daten zu liefern, geht die IT-Leitung strukturiert vor:

1. Eigene Bilanz zuerst: Aus Active Directory und Intune wird ein Inventar gezogen: 25 Office-Installationen, 2 Windows-Server, 25 Nutzer mit Serverzugriff, 5 davon per Remote Desktop.
2. Belege sortieren: 25 gebrauchte Office-Volumenlizenzen (gekauft mit Rechtekette und Vernichtungserklärung), 2 Windows-Server-Lizenzen aus dem CSP-Kauf, 25 User CALs, 5 RDS-CALs. Alle Rechnungen und Herkunftsnachweise liegen in einer Akte.
3. Abgleich: Die Selbstprüfung zeigt eine echte Lücke: Für einen Testserver wurde nie eine Lizenz gekauft. Die Spedition schließt die Lücke durch Nachkauf, bevor Daten übergeben werden.
4. Verhandeltes Verfahren: Für das Engagement vereinbart sie NDA, einen Zeitplan über acht Wochen und die Beschränkung auf die tatsächlich eingesetzten Produkte.

Ergebnis der Beispielrechnung: Statt einer im ELP-Entwurf ausgewiesenen Unterlizenzierung über mehrere Positionen (Testserver plus vermeintlich nicht nachgewiesene 25 Office-Lizenzen) bleibt nach Vorlage der Gebrauchtlizenz-Akte genau eine nachzukaufende Serverlizenz übrig. Die 25 dokumentierten Gebrauchtlizenzen passieren die Prüfung, und die Ersparnis von bis zu 80 % gegenüber dem Neupreis bleibt vollständig erhalten.

Fazit

Ein Microsoft-Lizenzaudit ist ein geregeltes, planbares Verfahren: SAM Engagement und formelles Audit unterscheiden sich in Rechtsgrundlage und Konsequenz, beide verlieren ihren Schrecken durch dieselbe Vorbereitung. Pflegen Sie eine eigene Lizenzbilanz, erstellen Sie sie in jedem Fall vor einer Datenübergabe, verhandeln Sie Umfang und Vertraulichkeit, und halten Sie für Gebrauchtlizenzen das vollständige Nachweis-Paket bereit. Dann ist auch die Kombination aus Audit und Gebrauchtsoftware kein Risiko, sondern Alltag. Wenn Sie Ihre Lizenzstruktur neu aufstellen möchten, finden Sie geprüfte gebrauchte Volumenlizenzen mit audit-tauglicher Dokumentation im Shop der Lyzio GmbH.

Häufige Fragen