SaaS-Kostenkontrolle: fünf Werkzeugklassen, fünf blinde Flecken
Der schwierige Teil ist nicht das Verwalten, sondern das Finden. Wie die fünf Entdeckungswege funktionieren — und was jeder von ihnen systematisch übersieht.
Jens Hagel11 Min. Lesezeit
Inhalt in Kürze
- Der schwierige Teil der SaaS-Kostenkontrolle ist das Finden, nicht das Verwalten.
- Fünf Entdeckungswege sind verbreitet — und jeder hat einen systematischen blinden Fleck.
- Der Anmeldedienst findet die verwaltete Landschaft und übersieht genau die unverwaltete.
- Wer nur eine Quelle nutzt, hält eine unvollständige Liste für vollständig. Das ist teurer als gar keine Liste.
Warum die Werkzeugvergleiche an der Sache vorbeigehen
Die Listen zum Thema vergleichen Funktionen: Dashboard, Verlängerungskalender, Nutzungsanalyse, Freigabe-Workflow. Das ist alles vorhanden und in den meisten Werkzeugen ähnlich.
Was sie nicht vergleichen, ist die einzige Frage, die den Nutzen bestimmt: Woher weiß das Werkzeug, dass ein Dienst existiert?
Jedes System kann Verlängerungen überwachen — für die Dienste, die es kennt. Und genau dort liegt das Problem: Die teuren Überraschungen sind nie die bekannten Abos. Es sind die, von denen niemand wusste.
Ein Werkzeug, das dreißig von fünfzig Diensten kennt, ist deshalb nicht zu sechzig Prozent nützlich. Es ist gefährlich, weil es Vollständigkeit suggeriert und die Suche beendet.
Die fünf Entdeckungswege
1. Der Anmeldedienst: was per SSO läuft
Ein Identitätsanbieter wie Microsoft Entra ID oder Okta weiß, bei welchen Anwendungen sich Beschäftigte anmelden — sofern die Anwendung angebunden ist. Bei Microsoft 365 kommt die Nutzungsauswertung dazu: Wer hat sich wann zuletzt angemeldet, welche Dienste werden tatsächlich verwendet.
Was er findet: die verwaltete Landschaft, vollständig und mit Nutzungsdaten. Für die Frage nach ungenutzten Lizenzen ist das die beste verfügbare Quelle — Details unter Ungenutzte Lizenzen finden.
Der blinde Fleck: alles, was nicht über SSO läuft. Und das sind ausgerechnet die Dienste, die außerhalb der IT beschafft wurden — sie nutzen eine Mailadresse und ein eigenes Passwort. Der Anmeldedienst findet zuverlässig, was ohnehin bekannt ist.
2. Browser-Erweiterung oder Netzwerkanalyse
Manche Plattformen setzen eine Erweiterung auf den Arbeitsplätzen ein oder werten den Netzwerkverkehr aus: Welche Dienste werden tatsächlich aufgerufen?
Was sie finden: die tatsächliche Nutzung, auch von Diensten ohne SSO. Das ist der direkteste Weg zur Schatten-IT.
Der blinde Fleck: alles außerhalb des Firmengeräts und des Firmennetzes — private Laptops, Mobilgeräte, Homeoffice ohne VPN. Dazu kommt eine praktische Hürde: Eine Erweiterung, die mitliest, welche Seiten Beschäftigte aufrufen, ist mitbestimmungspflichtig und erklärungsbedürftig. In vielen Betrieben scheitert der Weg nicht an der Technik, sondern am Betriebsrat — zu Recht.
3. Die Zahlungsseite: was tatsächlich abgebucht wird
Hier werden die Kontobewegungen ausgewertet: Wiederkehrende Empfänger, ähnliche Beträge, regelmäßige Abstände. Aus vierhundert Buchungen werden vierzig Verträge.
Was sie findet: jeden Dienst, der über ein Firmenkonto bezahlt wird — unabhängig davon, ob er über SSO läuft, wer ihn beschafft hat oder ob ihn noch jemand nutzt. Auch die Preiserhöhung von 79 auf 89 €, die niemand geprüft hat.
Der blinde Fleck: alles, was nicht über das Firmenkonto läuft. Vor allem Abos auf privaten Karten, die per Auslagenerstattung abgerechnet werden — sie erscheinen als Erstattung an eine Person, nicht als wiederkehrender Empfänger. Und kostenlose Dienste, die zwar Daten verarbeiten, aber nichts kosten.
Yupana arbeitet auf dieser Ebene und holt Verträge, Lizenzen und die BWA in dieselbe Ansicht; die Systematik steht unter SaaS-Kosten im Griff.
4. Karten- und Ausgaben-Werkzeuge
Firmenkarten mit Ausgabensteuerung erfassen alles, was mit diesen Karten bezahlt wird — inklusive Beleg und Kategorie. Anbieter wie Pleo, Moss oder Circula bewegen sich hier, mit Einstiegspreisen zwischen etwa 11 und 45 € je Nutzer und Monat.
Was sie finden: die kartenbasierten Abos, sauber erfasst und zugeordnet, oft mit Limits je Person.
Der blinde Fleck: Lastschriften, Überweisungen und Altverträge — im Mittelstand regelmäßig der größere Teil der Software-Ausgaben. Die Einordnung steht unter Ausgabenmanagement-Software.
5. Die Umfrage: Menschen fragen
Der unterschätzteste Weg. Eine kurze Rundmail an alle Teams: Welche Werkzeuge nutzt ihr, die nicht über die IT laufen?
Was sie findet: Dienste, die keine Spur hinterlassen — kostenlose Konten, Testzugänge, Dinge, die jemand privat zahlt und nie abgerechnet hat.
Der blinde Fleck: alles, was niemand mehr erinnert. Und genau das ist der Kern des Problems: Zombie-Abos überleben, weil sich niemand zuständig fühlt. Wer sich nicht zuständig fühlt, antwortet auch nicht auf die Rundmail.
Die Kombination, die tatsächlich funktioniert
Kein Weg ist vollständig. Die praktikable Reihenfolge für den Mittelstand nutzt zwei Quellen, die sich gegenseitig ergänzen — und ist an einem Nachmittag machbar.
- Zwölf Monate Kontoauszug nach wiederkehrenden Empfängern durchsehen. Das findet alles, was bezahlt wird, unabhängig von Beschaffungsweg und Anmeldeverfahren.
- Auslagenabrechnungen desselben Zeitraums prüfen. Hier sitzen die Abos auf privaten Karten — der größte blinde Fleck der ersten Quelle.
- Nutzungsdaten aus dem Anmeldedienst dazulegen. Sie beantworten die zweite Frage: Wird das, was wir zahlen, überhaupt genutzt?
- Eine Rundmail an die Teams. Nicht als Kontrolle formuliert, sondern als Frage: Was braucht ihr, das nicht offiziell läuft? Die Antworten sind erfahrungsgemäß ehrlicher, als man erwartet.
Diese vier Schritte in dieser Reihenfolge finden mehr als jedes einzelne Werkzeug — und sie liefern die Liste, die jede spätere Software ohnehin als Erstes braucht.
Kostenlos herunterladen · Arbeitsheft (12 Seiten) + Excel-Arbeitsblatt
SaaS-Kosten-Inventur
Alle Software-Abos in 90 Minuten auf einer Liste
Was nach dem Finden kommt
Die Liste ist der Anfang, nicht das Ergebnis. Drei Schritte entscheiden darüber, ob aus der Inventur eine dauerhafte Kontrolle wird.
Zuordnung vor Entscheidung. Erst klären: Wer hat das beschafft, wofür war es gedacht, hängt etwas daran? Danach entscheiden. Wer beides zusammenlegt, bleibt bei der ersten Unklarheit stehen — und die Liste altert.
Eine benannte Person je Dienst. Nicht eine Abteilung, nicht ein Postfach. Dienste ohne persönlichen Verantwortlichen sind genau die, die überleben.
Eine Meldung bei jedem neuen wiederkehrenden Empfänger. Das ist der einzige Zeitpunkt, an dem ein Testzugang noch kostenlos endet — nach der Umstellung von kostenlos auf kostenpflichtig läuft die Kündigungsfrist. Wie sich das automatisch melden lässt, steht unter Anomalien erkennen.
Bei den großen Verträgen sind wir vorsichtig. Die kleinen laufen einfach — bis irgendwann jemand fragt, was das eigentlich ist, und niemand es beantworten kann.Jens Hagel, Geschäftsführer der hagel IT-Services GmbH
Die zweite Frage: Wird bezahlt, was genutzt wird?
Wenn die Liste steht, folgt die eigentlich interessante Auswertung — und sie hat drei Stufen.
Dienste ohne Nutzung. Zugewiesen, aber seit neunzig Tagen keine Anmeldung. Der offensichtliche Fall, und meist der kleinere Betrag.
Dienste mit zu vielen Plätzen. Zwölf Lizenzen für sieben Personen. Fällt in keiner Nutzungsstatistik auf, weil die sieben aktiv sind. Hier liegt in der Praxis mehr Geld als bei Stufe eins.
Dienste mit zu großer Ausstattung. Das hochwertige Paket für Personen, die nur Mail und Textverarbeitung nutzen. Der größte Hebel und der unsichtbarste — diese Konten sind aktiv, angemeldet und produktiv. Nur eben teurer als nötig.
Die Reihenfolge der Bearbeitung ist genau umgekehrt zur Sichtbarkeit: Stufe drei bringt am meisten und wird am seltensten geprüft. Details unter Lizenzmodelle verstehen.
Doppelte Werkzeuge: der Posten, der nie auffällt
Neben ungenutzten und überdimensionierten Diensten gibt es einen dritten Fall, der in keiner Nutzungsstatistik erscheint: zwei Werkzeuge für dieselbe Aufgabe.
Zwei Projektwerkzeuge, weil zwei Teams verschieden gestartet sind. Zwei Speicherdienste, weil einer historisch gewachsen ist und der andere mit einer Anwendung kam. Zwei Werkzeuge für Videokonferenzen, weil ein großer Kunde ein anderes verlangt hat.
Beide sind aktiv, beide werden genutzt, beide erscheinen in jeder Auswertung als berechtigt. Trotzdem zahlt der Betrieb zweimal für dieselbe Funktion.
Der Befund entsteht nur durch eine Zuordnung nach Zweck: Jeder Dienst bekommt eine Kategorie, und danach wird geprüft, wo zwei in derselben stehen. Das ist Handarbeit — kein Werkzeug weiß von allein, dass zwei Anbieter dasselbe Problem lösen.
Nicht jede Doppelung ist falsch. Wenn ein Großkunde ein bestimmtes System verlangt, ist die Doppelung der Preis für den Auftrag. Aber sie sollte eine Entscheidung sein und kein Zustand, den niemand bemerkt hat.
Budgets und Freigaben: die Prozessseite
Discovery findet den Bestand. Damit er nicht sofort wieder wächst, braucht es zwei einfache Regeln — und beide kommen ohne Genehmigungskette aus.
Ein Budget je Bereich statt Einzelfreigaben. Wer ein Jahresbudget für Werkzeuge hat, entscheidet selbst und verantwortet die Summe. Das ist schneller als jede Freigabe und erzeugt trotzdem Verantwortung — vorausgesetzt, jemand sieht die Summe auch.
Eine Meldung statt einer Sperre. Neue wiederkehrende Empfänger werden gemeldet, nicht verhindert. Wer beschaffen darf, beschafft weiter; es weiß nur jemand davon. Verglichen mit Sperren erzeugt das deutlich weniger Ausweichverhalten.
Für die Verlängerungen kommt ein dritter Punkt dazu: ein Kalender, der Fristen mit Vorlauf zeigt, und eine benannte Person je Eintrag. Ohne Namen wandert die Erinnerung ins Leere — die häufigste Ursache für eine Jahresverlängerung, die niemand wollte.
Schatten-IT: Kostenfrage oder Sicherheitsfrage?
Beides, und die zweite wiegt schwerer, als die Kostenrechnung vermuten lässt.
Ein Dienst, den die IT nicht kennt, hat keinen Auftragsverarbeitungsvertrag, keine geprüfte Rechtegrundlage und kein Verfahren für den Fall, dass jemand das Unternehmen verlässt. Der Zugang bleibt bestehen, weil niemand ihn kennt.
Der übliche Reflex — Verbote und Sperren — verlagert das Problem meist nur. Wer Werkzeuge braucht, um zu arbeiten, findet einen Weg; er wird nur unsichtbarer.
Der wirksamere Weg ist ein einfacher, schneller Beschaffungspfad plus die Meldung neuer Zahlungen. Wenn eine Freigabe zwei Tage dauert, wird sie eingehalten. Wenn sie zwei Wochen dauert, entsteht Schatten-IT — nicht aus Böswilligkeit, sondern weil es gerade schnell gehen musste.
Was zu welchem Betrieb passt
| Ausgangslage | Sinnvoller Weg | Wovon abzuraten ist |
|---|---|---|
| Bis 20 Beschäftigte, wenige Beschaffer | Kontoauszug plus Tabelle, halbjährlich | Spezialplattform — der Aufwand übersteigt den Nutzen |
| 20–100, viele eigenständige Beschaffer | Kontobewegungen automatisch plus Nutzungsdaten | Reines Karten-Tool, wenn Lastschriften überwiegen |
| Ab 100, eigene IT-Organisation | SaaS-Management-Plattform mit SSO-Anbindung | Manuelle Inventur — sie veraltet schneller, als sie fertig wird |
| Stark regulierte Branche | Discovery plus Rechte- und Vertragsnachweis | Werkzeuge ohne Auftragsverarbeitungsvertrag |
Die zweite Zeile ist der häufigste Fall im Mittelstand — und die, bei der am meisten falsch gekauft wird. Firmenkarten lösen ein reales Problem, aber selten das, welches die größten Beträge verursacht.
Was kein Werkzeug leistet
Es kündigt nicht. Kein System beendet einen Vertrag rechtswirksam. Es kann erinnern und vorbereiten; die Erklärung muss raus, fristgerecht und nachweisbar. Wie sich das Fenster berechnet, steht unter Kündigungsfristen verwalten.
Es entscheidet nicht, ob etwas gebraucht wird. Das ist eine fachliche Frage und gehört dorthin, wo die Leistung genutzt wird. Die brauchbare Prüffrage lautet nicht „nutzen wir das?“, sondern „würde jemand merken, wenn es morgen weg wäre?“.
Es findet nicht, was es nicht sehen kann. Jede Quelle hat ihren blinden Fleck — deshalb bleiben zwei Quellen besser als eine, auch wenn ein Werkzeug Vollständigkeit verspricht.
Die Auswahl entscheidet sich nicht an der Funktionsliste, sondern an der Frage, woher das Werkzeug weiß, dass ein Dienst existiert. Wer das beantwortet, kennt auch den blinden Fleck — und kann ihn bewusst mit einer zweiten Quelle schließen.
Wie der erste Durchgang praktisch abläuft, steht unter Zombie-Abos erkennen und Was Software wirklich kostet; die Lizenzseite unter Lizenzmanagement. Was eine Bereinigung im Jahr bringt, rechnet der Einsparrechner; die Preise gelten je Unternehmen.
Das Raster für den ersten Durchgang: zwölf Monate, drei Suchmuster, eine Liste — inklusive der Stellen, an denen die üblichen Quellen nichts finden.
SaaS-Inventur herunterladen- Microsoft Entra ID — Anmeldeprotokolle als Nutzungsquelle
- Microsoft Graph — gekaufte und zugewiesene Lizenzen abfragen
- Art. 28 DSGVO — Auftragsverarbeitung bei jedem Dienst
- § 675x BGB — Erstattung einer Lastschrift binnen acht Wochen
- § 309 BGB — Grenzen für Laufzeit- und Verlängerungsklauseln
- BSI IT-Grundschutz — Anforderungen an Cloud-Dienste
Preisangaben stammen aus Anbieterseiten und Vergleichsportalen, geprüft am 9. August 2026. Wettbewerber werden bewusst nicht verlinkt.
Häufige Fragen
- Was ist SaaS-Spend-Management?
- Die systematische Kontrolle über alle laufenden Software-Abonnements eines Unternehmens: welche es gibt, wer sie nutzt, was sie kosten und wann sie kündbar sind. Der Begriff wird oft mit reinem Lizenzmanagement verwechselt, umfasst aber mehr — vor allem das Auffinden von Diensten, die nie über die IT beschafft wurden. Genau dieses Auffinden ist der schwierige Teil, nicht die Verwaltung danach.
- Wie findet man alle SaaS-Anwendungen im Unternehmen?
- Über mehrere Quellen gleichzeitig, weil jede einzelne Lücken hat. Der Anmeldedienst zeigt, was per Single Sign-on läuft. Die Finanzdaten zeigen, was bezahlt wird. Der Browser oder das Netzwerk zeigen, was aufgerufen wird. Die Auslagenabrechnungen zeigen, was über private Karten läuft. Erst die Kombination ergibt ein vollständiges Bild — eine Quelle allein übersieht regelmäßig ein Drittel.
- Was kostet SaaS-Spend-Management-Software?
- Spezialisierte SaaS-Management-Plattformen richten sich überwiegend an größere Unternehmen und rechnen nach Zahl der Beschäftigten oder verwalteten Anwendungen; öffentliche Preise sind selten. Werkzeuge aus der Ausgaben- und Kartenwelt starten bei rund 11 bis 45 € je Nutzer und Monat. Lösungen, die aus den Kontobewegungen arbeiten, rechnen häufiger je Unternehmen. Stand: August 2026.
- Was ist Schatten-IT und warum ist sie ein Kostenproblem?
- Schatten-IT sind Anwendungen, die ohne Beteiligung der IT beschafft wurden — meist von einzelnen Personen oder Teams mit Kreditkarte. Das Kostenproblem entsteht nicht durch den einzelnen Betrag, sondern durch die Summe und die fehlende Zuständigkeit: Niemand kündigt, weil niemand zuständig ist. Dazu kommen Risiken bei Datenschutz und Zugriffsrechten, wenn Beschäftigte das Unternehmen verlassen.
- Reicht der Anmeldedienst zur SaaS-Erkennung?
- Nein, er zeigt nur, was tatsächlich per Single Sign-on angebunden ist. Genau die Dienste, die außerhalb der IT beschafft wurden, laufen selten über SSO — sie nutzen eine Mailadresse und ein eigenes Passwort. Der Anmeldedienst findet also verlässlich die verwaltete Landschaft und systematisch nicht die unverwaltete. Für den blinden Fleck braucht es die Zahlungsseite.
- Ab welcher Größe lohnt sich ein Werkzeug?
- Entscheidend ist nicht die Mitarbeiterzahl, sondern wie viele Personen eigenständig Software beschaffen dürfen. Sobald mehr als eine Handvoll Menschen Abos abschließen kann, übersteigt der Aufwand für den Überblick das, was eine Tabelle leistet. In der Praxis liegt dieser Punkt meist zwischen zwanzig und fünfzig Beschäftigten — bei technischen Betrieben früher.
- Was ist der Unterschied zwischen SaaS-Management und Lizenzmanagement?
- Lizenzmanagement fragt, ob genug Lizenzen für die Nutzung vorhanden sind — klassisch eine Compliance-Frage. SaaS-Management fragt umgekehrt, ob zu viele vorhanden sind und ob der Dienst überhaupt gebraucht wird. Bei gekaufter Software drohte eine Nachlizenzierung, bei Abonnements droht das Gegenteil: dauerhaft zu viel zu zahlen, ohne dass es jemandem auffällt.
- Wie fängt man ohne Werkzeug an?
- Mit zwölf Monaten Kontoauszug und drei Suchmustern: wiederkehrende Empfänger, Beträge unter einem Schwellwert ohne Zuordnung, und Empfänger, die vorher nie vorkamen. Dazu die Auslagenabrechnungen, weil dort die privat bezahlten Abos sitzen. Der erste Durchgang dauert einen Nachmittag und liefert die Liste, die jedes Werkzeug ohnehin als Erstes braucht.
