Lizenz-Compliance im Mittelstand: der pragmatische Weg

Inhalt in Kürze

• Compliance heißt nachweisen, nicht zählen. Ohne Beleg ist eine bezahlte Lizenz im Prüfungsfall keine.
• Drei Belegarten je Produkt genügen: Erwerbsbeleg, Lizenzbestätigung, Nutzungsbedingungen.
• Eine Installation ohne Zustimmung ist nach § 69c Nr. 1 UrhG eine Vervielfältigung — auch die versehentliche.
• Der häufigste Prüfer ist nicht der Hersteller, sondern der Käufer beim Unternehmensverkauf.
• Gebrauchte Software ist erlaubt. Was zählt, ist die lückenlose Nachweiskette.

Die meisten Betriebe haben mehr Lizenzen gekauft, als sie einsetzen. Und trotzdem können sie im Prüfungsfall nicht belegen, dass sie es dürfen.

Das ist kein Widerspruch, sondern der Kern des Themas: Compliance ist eine Frage des Nachweises, nicht der Menge.

Lizenz-Compliance heißt nachweisen, nicht zählen

Lizenz-Compliance bedeutet, für jede eingesetzte Software ein passendes Nutzungsrecht belegen zu können.

Die rechtliche Grundlage ist knapp: Nach § 69c Nr. 1 UrhG bedarf die Vervielfältigung eines Computerprogramms der Zustimmung des Rechteinhabers. Eine Installation ist eine Vervielfältigung.

Es gibt Ausnahmen — die bestimmungsgemäße Benutzung durch den Berechtigten und die Sicherungskopie nach § 69d UrhG. Was darüber hinausgeht, braucht eine Lizenz.

Bemerkenswert daran ist, was nicht vorkommt: die Absicht. Ob eine Installation versehentlich, aus Unkenntnis oder in Eile entstanden ist, spielt für die Frage keine Rolle.

Deshalb ist die praktische Aufgabe nicht, ehrlich zu sein — das sind fast alle —, sondern beweisen zu können, dass man es ist.

Warum die Konzernnorm im Mittelstand nicht trägt

Wer nach Compliance im Mittelstand sucht, landet zuerst bei Managementsystemen: ISO 27001, TISAX, die Meldepflichten aus NIS2, dazu GRC-Software. Das ist ein anderes Thema.

Lizenz-Compliance ist ein Baustein davon — und der einzige, der ohne Projekt und ohne Zertifizierung auskommt.

Für ihn gibt es eine eigene Norm, ISO/IEC 19770-1, und eine ganze Werkzeugklasse dazu. Beide sind auf Organisationen mit Tausenden Arbeitsplätzen und einer eigenen Rolle für Lizenzmanagement ausgelegt.

In mittelständischen Unternehmen gibt es diese Rolle nicht. Es gibt jemanden, der die IT nebenbei betreut, und jemanden, der die Rechnungen bezahlt.

Ein Prozess, der eine Rolle voraussetzt, die es nicht gibt, wird einmal aufgesetzt und nie gepflegt. Das ist schlechter als gar keiner, weil er Sicherheit vortäuscht.

Was stattdessen trägt, ist kleiner: eine Tabelle, drei Belegarten und ein Termin im Jahr.

Die Lizenzbilanz: Soll gegen Ist, je Produkt

Der Kern passt in eine Zeile je Produkt. Auf der einen Seite steht, wie viele Rechte erworben wurden. Auf der anderen, wie viele Installationen oder Zuweisungen es tatsächlich gibt.

Ein Beispiel: Für ein Konstruktionsprogramm sind zwölf Arbeitsplatzlizenzen erworben, installiert ist es auf vierzehn Rechnern. Die Unterdeckung beträgt zwei Plätze.

Beide Richtungen sind ein Befund, aber sie sind nicht gleich viel wert. Eine Überdeckung kostet Geld und lässt sich beim nächsten Verlängerungstermin abstellen.

Eine Unterdeckung ist ein Rechtsverstoß, der mit jedem Tag weiterläuft. Sie ist damit das eigentliche Risiko und hat Vorrang, auch wenn der Betrag kleiner ist.

Die Gegenrichtung — Plätze, die bezahlt und nicht genutzt werden — ist ein eigenes Thema mit eigenem Vorgehen: Ungenutzte Lizenzen finden.

Was als Nachweis gilt — und was nicht

Eine bezahlte Lizenz, die sich nicht belegen lässt, ist im Prüfungsfall keine. Drei Belegarten gehören zusammen.

Der Erwerbsbeleg. Rechnung oder Vertrag mit Produkt, Menge und Datum. Er sagt, dass gekauft wurde.

Die Lizenzbestätigung. Urkunde, Bestätigungsschreiben oder der Eintrag im Portal des Herstellers. Sie sagt, was gekauft wurde.

Die Nutzungsbedingungen der erworbenen Fassung. Sie sagen, was damit erlaubt ist — Zweitinstallation, Übertragbarkeit, Nutzung außerhalb des Betriebs.

Nicht als Nachweis gelten: ein Aufkleber am Gehäuse, ein Downloadlink, eine Bestellmail ohne Betrag, ein Datenträger ohne Schlüssel und die Erinnerung, das damals gekauft zu haben.

Der dritte Beleg ist der, der am häufigsten fehlt und am meisten entscheidet. Ohne ihn lässt sich die Frage nach der Zweitinstallation nicht beantworten — und genau dort entsteht Unterdeckung.

Wie man Verträge und Belege überhaupt zusammenbekommt, wenn sie über Postfächer und Ordner verteilt liegen, steht in den Grundlagen zum Vertragsmanagement.

Die fünf Stellen, an denen Unterdeckung entsteht

Zweitinstallationen. Ein Programm auf dem Rechner im Büro und auf dem Notebook. Manche Bedingungen erlauben das ausdrücklich, andere nicht — und niemand liest nach, bevor installiert wird.

Zugriffslizenzen. Bei Serversystemen reicht die Serverlizenz nicht. Jeder Zugriff braucht eine eigene Lizenz, und die Zahl der Zugriffe wächst mit dem Team, ohne dass jemand etwas installiert.

Test- und Entwicklungsumgebungen. Eine Kopie des Produktivsystems ist rechtlich eine weitere Vervielfältigung. Ob sie mitlizenziert ist, steht in den Bedingungen — oft nur für bestimmte Programme.

Übernommene Geräte. Beim Kauf eines Betriebs oder einzelner Anlagen gehen Lizenzen nicht automatisch mit über. Sie sind an eine Rechtsperson gebunden, nicht an das Gerät.

Gebrauchte Software ohne Kette. Der Preisvorteil ist echt, der Nachweisaufwand auch. Dazu gleich mehr.

Was alle fünf verbindet: Niemand hat eine Regel gebrochen. Die Vertragsbedingungen wurden nur nie neben die tatsächliche Nutzung gelegt.

Kostenlos ist nicht lizenzfrei: der Open-Source-Teil

Open-Source-Software kostet nichts und ist trotzdem lizenziert. Für kleine und mittlere Unternehmen ist das der am häufigsten übersehene Teil der Einhaltung.

Freizügige Lizenzen wie MIT oder Apache verlangen im Kern nur, den Lizenztext mitzuliefern. Copyleft-Lizenzen wie die GNU General Public License gehen weiter: Wer ein abgeleitetes Werk weitergibt, muss dessen Quellcode unter derselben Lizenz offenlegen.

Für den rein internen Einsatz ist das meist unkritisch. Kritisch wird es, sobald Software das Haus verlässt — als Produkt, als Kundenlösung oder eingebettet in ein Gerät.

Wer entwickeln lässt, sollte deshalb eine Liste der verwendeten Komponenten samt Lizenz verlangen. Die Cyberresilienz-Verordnung (EU) 2024/2847 macht eine solche Softwarestückliste für Produkte mit digitalen Elementen zur Pflicht; ihre Anforderungen gelten überwiegend ab dem 11. Dezember 2027.

Gebrauchte Lizenzen sind erlaubt — unter drei Bedingungen

Der Handel mit gebrauchter Software ist rechtlich geklärt und wird trotzdem gemieden, weil er als Grauzone gilt. Das ist er nicht.

Der Europäische Gerichtshof hat mit Urteil vom 3. Juli 2012 in der Sache C-128/11 entschieden, dass auch eine heruntergeladene Programmkopie weiterverkauft werden darf.

Drei Bedingungen müssen erfüllt sein: Der Rechteinhaber hat die Kopie gegen ein angemessenes Entgelt überlassen, er hat ein zeitlich unbegrenztes Nutzungsrecht eingeräumt, und der Verkäufer macht seine eigene Kopie unbrauchbar.

Die Aufspaltung einer als Einheit erworbenen Lizenz hat der Gerichtshof dagegen ausgeschlossen. Der Bundesgerichtshof hat dieses Verbot mit Urteil vom 11. Dezember 2014 (I ZR 8/13, UsedSoft III) für Volumenlizenzen mit abgrenzbaren Einzelplätzen eingeschränkt.

Für den Käufer heißt das praktisch: Der Preis ist der kleinere Teil der Prüfung. Was zählt, ist die lückenlose Kette an Nachweisen bis zum Ersterwerb — sie ist der einzige Grund, warum ein solcher Kauf im Audit standhält.

Ich baue lieber etwas, das eine Frage wirklich beantwortet, als etwas, das zehn Fragen halb beantwortet.

Jens Hagel, Mitgründer der frag.hugo Informationssicherheit GmbH

Wer eigentlich prüft — und warum es meist der Käufer ist

Der Einwand gegen dieses ganze Thema lautet fast immer gleich: Uns prüft doch niemand. Er ist statistisch nicht falsch und trotzdem die falsche Rechnung.

Hersteller melden sich selten zufällig, sondern aus konkretem Anlass: nach einer Supportanfrage, die eine ungewöhnliche Konstellation offenlegt, bei einer Vertragsverlängerung oder nach einem Hinweis aus dem Unternehmen selbst.

Häufiger ist ein anderer Prüfer, und der ist teurer. Beim Verkauf eines Unternehmens oder eines Anteils gehört die Lizenzlage zur Due Diligence.

Eine offene Frage landet dort entweder im Kaufpreis oder im Garantiekatalog. Beides kostet mehr als jede Nachlizenzierung.

Dieselbe Frage stellen Banken vor größeren Finanzierungen und Konzernkunden in ihren Lieferantenfragebögen. Die Antwort „das haben wir alles“ genügt in keinem der drei Fälle.

Was dabei zusammen mit den Lizenzen gefragt wird, sind Laufzeiten und Fristen der zugehörigen Verträge — beides gehört in dieselbe Übersicht, siehe Vertragsmanagement-Grundlagen. Was Yupana Controlling kostet, steht offen auf der Seite Preise.

Was passiert, wenn eine Lücke gefunden wird

Der Regelfall ist unspektakulär: Es wird nachlizenziert. Unangenehm ist daran vor allem der Preis, denn Nachlizenzierungen laufen zu Listenpreisen ohne den Nachlass, den man bei einer normalen Bestellung bekommt.

Rechtlich stehen dem Rechteinhaber daneben Ansprüche auf Unterlassung und Schadensersatz nach § 97 UrhG zu. Der Schaden wird nach der Lizenzanalogie bemessen — nach dem, was vernünftige Vertragsparteien vereinbart hätten.

Dazu kommen Auskunftsansprüche nach § 101 UrhG und im Extremfall der Anspruch auf Vernichtung rechtswidrig hergestellter Kopien nach § 69f UrhG.

Der praktisch wichtigste Punkt steht in keinem Gesetz: Wer die Lücke selbst findet und selbst meldet, verhandelt in einer völlig anderen Lage als jemand, der sie sich zeigen lässt.

Der Zettel, der die Wiederholung erspart

Am Ende des ersten Durchgangs steht eine Tabelle. Ohne einen zweiten Schritt ist sie in zwölf Monaten wertlos.

1. Abgrenzung festhalten — was zählt als Installation, was als Zuweisung, welche Geräte sind erfasst.
2. Belegablage bestimmen — ein Ort für Rechnung, Bestätigung und Bedingungen, je Produkt.
3. Verantwortlichkeiten benennen — eine Person, nicht eine Abteilung.
4. Eintritt und Austritt ergänzen — wo „Lizenz zuweisen“ steht, gehört „Lizenz entziehen“ daneben.
5. Termin setzen — einmal jährlich vollständig, im Quartal nur die Veränderungen.

Der vierte Punkt ist der wirksamste. Die meisten Abweichungen entstehen nicht durch Nachlässigkeit, sondern weil beim Wechsel einer Person niemand an die Zuweisung gedacht hat.

Wo die Belege liegen und wie sie mit den Zahlungen zusammenkommen, ist die eigentliche Arbeit. Der Erwerbsbeleg hängt an einer Zahlung, und die Zahlung steht ohnehin in der Buchhaltung.

Den schnellsten Weg dorthin bietet die BWA: In Yupana Controlling führt der Drilldown von der Kostenart bis zur einzelnen Buchung — mit Datum und Betrag, die zum Erwerbsbeleg gehören.

Was eine Lizenzbilanz nicht leistet

Sie beantwortet eine Frage sauber und drei andere gar nicht.

Sie ersetzt keine rechtliche Prüfung. Die Auslegung einer Nutzungsbedingung im Einzelfall ist Juristenarbeit. Die Bilanz zeigt, wo diese Arbeit nötig ist — mehr nicht.

Sie erfasst keine Cloud-Dienste im engeren Sinn. Wo der Anbieter selbst zählt und abrechnet, entsteht keine Unterdeckung. Dort ist die Frage eine andere, nämlich die nach der Höhe: Cloud-Kosten im Mittelstand.

Sie sagt nichts über Angemessenheit. Ob ein Programm in dieser Ausstattung gebraucht wird, ist eine fachliche Entscheidung. Welches Zählmodell dahinter steckt, erklärt die Übersicht zu den Lizenzarten.

Und sie findet nichts, was niemand angemeldet hat: Software, die jemand mit der Firmenadresse selbst eingerichtet hat, taucht in keiner Bestandsliste auf — dafür gibt es Schatten-SaaS finden. Was die Gesamtsumme aller Softwarekosten ergibt, steht unter Softwarekosten über alle Konten zusammenrechnen.

Lizenz-Compliance ist keine Frage der Ehrlichkeit, sondern der Belegbarkeit. Wer die Lücke selbst findet, zahlt den normalen Preis; wer sie sich zeigen lässt, den Listenpreis — und beim Unternehmensverkauf noch einmal denselben Betrag im Kaufpreis.