Lizenzmanagement im Mittelstand: SAM praktisch

Warum Lizenzmanagement sich für den Mittelstand lohnt

Lizenzmanagement hat zwei Richtungen, und beide sparen Geld. Richtung eins: Unterlizenzierung vermeiden. Wer im Prüfungsfall fehlende Lizenzen zum Listenpreis nachkaufen muss, zahlt den teuersten Preis, den es gibt, und das zum ungünstigsten Zeitpunkt. Richtung zwei: Überlizenzierung erkennen. In gewachsenen Umgebungen liegen oft Lizenzen brach, die nach Serverkonsolidierungen oder Personalabgängen niemand mehr nutzt. Unbefristete Volumenlizenzen sind ein Vermögenswert: Sie können nachweislich überzählige Bestände legal verkaufen (Details in der Rubrik Lizenzen verkaufen).

Der dritte Gewinn ist Planbarkeit: Eine gepflegte Lizenzbilanz zeigt, welche Produkte auf Versionen ohne Support laufen und wo Migrationsentscheidungen anstehen. Die Termine dafür liefert unsere Support-Ende-Übersicht.

Zur Begriffsklärung: SAM bezeichnet die interne Praxis des Software Asset Management. Daneben benutzt Microsoft den Begriff im „SAM Engagement", einer von außen angestoßenen Lizenzprüfung. Diese Seite behandelt Ihre interne SAM-Praxis; den Prüfungsfall selbst (Ablauf, Rechte, Verhalten) behandelt ausführlich die Seite Microsoft-Lizenzaudit.

Schritt 1: Inventarisierung: das gehört ins Inventar

Grundlage jeder Lizenzbilanz ist ein vollständiges Inventar der Installationen. Entscheidend ist, nicht nur zu zählen, sondern die lizenzrelevanten Merkmale je Installation zu erfassen:

Die Datenquellen dafür haben die meisten Unternehmen bereits im Haus: das Active Directory (Geräte- und Nutzerbestand), Verwaltungswerkzeuge wie Configuration Manager oder Intune (installierte Software), die Admin-Reports des Microsoft-365-Portals (zugewiesene Abo-Lizenzen) und die Einkaufshistorie. Genau diese Quellen werden auch in Lizenzprüfungen herangezogen; wer sie selbst zuerst auswertet, kennt sein Ergebnis vor allen anderen.

Schritt 2: Lizenzbilanz: Lizenz und Installation zuordnen

Der zweite Schritt stellt dem Inventar den Lizenzbestand gegenüber: Jede Installation bekommt eine konkrete Lizenz zugeordnet, jede Lizenz höchstens so viele Installationen, wie sie deckt. Das Ergebnis ist das, was im Prüfungsjargon „Effective License Position" (ELP) heißt: die Differenz zwischen Bedarf und Bestand je Produkt.

Drei Stolpersteine verdienen besondere Aufmerksamkeit:

• Downgrade-Nutzung: Läuft eine ältere Version auf Basis einer neueren Lizenz, gehört diese Zuordnung explizit in die Bilanz, sonst wirkt die Installation unlizenziert. Die Regeln je Kanal erklärt die Seite Downgrade-Rechte.
• Server-Lizenzierung: Bei Windows Server zählt die Bilanz Core-Lizenzen (Minimum 8 je Prozessor, 16 je Server) und die VM-Rechte der Edition; bei SQL Server das gewählte Modell (Per Core mit Minimum 4 Core-Lizenzen oder Server+CAL).
• Aktivierung ist kein Lizenznachweis: Dass eine Maschine aktiviert ist, sagt nichts über die Lizenzlage; KMS aktiviert auch unlizenzierte Systeme mit (Hintergrund: KMS vs. MAK). Die Bilanz zählt Lizenzen, nicht Aktivierungen.

Schritt 3: Die CAL-Bilanz

Die häufigste Lücke in mittelständischen Lizenzbilanzen sind nicht Serverlizenzen, sondern CALs, denn CALs sind rein papierbasiert: Keine Technik erzwingt sie, erst die Prüfung zählt nach. Die CAL-Bilanz beantwortet drei Fragen:

• Wer greift zu? Jeder Nutzer oder jedes Gerät mit Zugriff auf einen Windows Server braucht eine CAL: User CAL je benanntem Nutzer (beliebige Geräte) oder Device CAL je Gerät (beliebige Nutzer, klassisch im Schichtbetrieb). Mischbetrieb ist zulässig. Grundlagen und Entscheidungshilfe: CALs erklärt.
• Gibt es Remote-Desktop-Nutzung? Für Terminalserver-Zugriffe ist je Nutzer oder Gerät eine RDS CAL zusätzlich zur Windows Server CAL nötig; die Versionszuordnung der RDS CALs ist zu beachten.
• Greifen Externe zu? Für externe Nutzer (Kunden, Partner) existiert der External Connector als Alternative zu Einzel-CALs: eine EC-Lizenz je physischem Server, für RDS-Zugriffe Externer zusätzlich ein eigener RDS External Connector.

Schritt 4: Dokumenten-Ablage und Rechtekette

Eine Lizenz, die sich nicht belegen lässt, ist im Prüfungsfall keine. Die Ablage gehört deshalb zum Lizenzmanagement wie das Inventar. Pro Beschaffung gehören dauerhaft und auffindbar abgelegt: Rechnung, Lizenzbestätigung bzw. Agreement-Nummer, bei OEM die Zuordnung zum Gerät, bei CSP die Bestell- und Key-Nachweise.

Bei gebraucht gekauften Lizenzen kommt die Rechtekette hinzu. Aus der Rechtsprechung (EuGH C-128/11, BGH I ZR 8/13) folgt: Die Darlegungs- und Beweislast für die Erschöpfungsvoraussetzungen liegt beim Nutzer beziehungsweise Händler. Dokumentiert sein müssen insbesondere:

• die unbefristete Ersterwerbs-Lizenz und die vollständige Bezahlung,
• die lückenlose Rechtekette vom Ersterwerber bis zu Ihnen (Herkunftsnachweis, Lieferantenerklärung); bloße Notartestate reichen nach einhelliger Gerichtsmeinung nicht aus,
• die Unbrauchbarmachung der Kopien der Vorbesitzer (dokumentierte Vernichtungserklärung als Branchenstandard),
• bei aufgeteilten Volumenpaketen der Nachweis der Einzellizenz-Struktur (keine Vermehrung der Kopien).

Was genau in Rechtekette und Vernichtungserklärung stehen muss, vertieft die Seite Rechtekette und Vernichtungserklärung; die zugrunde liegenden Urteile erklärt Gebrauchtsoftware legal. Die gute Nachricht: Ein ordentlich dokumentierter Gebrauchtlizenz-Kauf ist audit-fest. Entscheidend sind Dokumentation und seriöse Lieferkette, nicht der Kaufkanal.

Schritt 5: Der jährliche Selbst-Check (und die Werkzeugfrage)

Lizenzmanagement ist kein Projekt, sondern eine Routine. Ein fester Jahrestermin reicht im Mittelstand meist aus, ergänzt um anlassbezogene Prüfungen bei größeren Änderungen (Serverwechsel, Personalwachstum, Terminalserver-Projekte, Versionsumstellungen). Der Selbst-Check in fünf Punkten:

1. Inventar aktualisieren: Neue Geräte, Server, VMs und Abgänge seit dem letzten Check erfassen.
2. Lizenzbilanz nachziehen: Zukäufe und Stilllegungen einarbeiten; Unter- und Überdeckungen je Produkt ausweisen.
3. CAL-Bilanz prüfen: Nutzer- und Gerätezahlen gegen User-/Device-/RDS-CALs stellen.
4. Dokumente stichprobenartig testen: Lässt sich zu fünf zufälligen Installationen in wenigen Minuten der Nachweis ziehen? Wenn nein, ist die Ablage das Problem.
5. Lifecycle prüfen: Welche eingesetzten Versionen verlieren in den nächsten 24 Monaten den Support (Terminübersicht)? Daraus Migrations- und Beschaffungsbedarf ableiten.

Aus dem Check folgen zwei mögliche Handlungen: Fehlbestände gezielt nachkaufen (gebrauchte Volumenlizenzen senken die Kosten um bis zu 80 %) und nachweislich überzählige Bestände verwerten: Für unbefristete Volumenlizenzen erstellt die Lyzio GmbH ein Ankauf-Angebot binnen 24 h.

Braucht der Mittelstand ein SAM-Tool?

Nicht zwingend. Die Datenquellen aus Schritt 1 (Active Directory, Configuration Manager oder Intune, Microsoft-365-Admin-Reports, Einkaufshistorie) plus eine gepflegte Tabelle für Lizenzbestand und Nachweise genügen für Umgebungen mit überschaubarer Größe. Spezialisierte Inventarisierungs- und SAM-Werkzeuge können die Datenerhebung automatisieren; eine Produktempfehlung ist dafür nicht nötig, denn entscheidend ist die Routine, nicht das Werkzeug. Wichtig ist nur: Das Werkzeug zählt Installationen, die Lizenzbewertung (Kanal, Downgrade, CALs, Rechtekette) bleibt Kopfarbeit.

Praxisbeispiel: 25-Mitarbeiter-Szenario

Eine Musterfirma mit 25 Mitarbeitern macht ihren ersten Selbst-Check. Bestand: 28 PCs (einige Arbeitsplätze doppelt besetzt), 2 Windows Server (Domänencontroller/Dateiserver und ein Terminalserver), auf den Terminalserver greifen 10 Mitarbeiter zu. Die CAL-Bilanz als Rechenbeispiel (nur Stückzahlen, keine Preise):

Der Check deckt zwei typische Befunde auf: Für die 10 Terminalserver-Nutzer fehlten die RDS CALs (Unterlizenzierung, die kein System meldet), und 5 Office-Lizenzen aus abgeschafften Altgeräten lagen ungenutzt im Bestand (verwertbares Vermögen). Beides wäre ohne Bilanz unsichtbar geblieben.

Vorbereitet auf SAM Engagement und Audit

Kommt eine Prüfungsanfrage, zahlt sich die Routine aus. Zur Einordnung: Ein SAM Engagement ist formal freiwillig, wird oft vom Microsoft-Account-Team oder einem beauftragten Partner initiiert und endet in einer Effective License Position; Fehlbestände sind ohne Strafaufschlag nachzukaufen. Ein formelles Audit beruht auf dem vertraglichen Prüfrecht und läuft meist über eine Wirtschaftsprüfungsgesellschaft; bei Unterlizenzierung kann Microsoft Nachkauf zum Listenpreis verlangen, vertraglich teils mit Zuschlägen. Maßgeblich für Umfang, Fristen und Pflichten ist ausschließlich der eigene Vertrag.

Die wichtigste Vorbereitung ist in jedem Fall dieselbe: die eigene Lizenzbilanz vor jeder Datenübergabe, also genau das Ergebnis der Schritte 1 bis 5. Wer seine Position kennt, verhandelt aus Wissen statt aus Unsicherheit. Ablauf, Rechte und Verhaltensregeln im Prüfungsfall selbst behandelt ausführlich unsere Seite Microsoft-Lizenzaudit: Ablauf, Rechte, Vorbereitung.

Fazit

Lizenzmanagement im Mittelstand ist kein Hexenwerk: Inventar, Lizenzbilanz, CAL-Bilanz, saubere Ablage mit Rechtekette und ein Jahrestermin genügen, um Audit-Risiken zu entschärfen und brachliegendes Lizenzvermögen zu heben. Wer Fehlbestände findet, muss sie nicht zum Listenpreis schließen: Geprüfte gebrauchte Volumenlizenzen mit dokumentierter Rechtekette gibt es im Lizenz-Shop der Lyzio GmbH; bei Fragen zur passenden Lizenzierung hilft die persönliche Beratung.

Häufige Fragen