Microsoft 365 Lizenzaudit: Ablauf, Fristen, Vorbereitung

Ein Microsoft-365-Lizenzaudit ist eine vertraglich vereinbarte Prüfung, keine Behördenmaßnahme. Der Microsoft-Kundenvertrag erlaubt sie jederzeit mit 30 Tagen Ankündigung, auf Microsofts Kosten. Fehlen Lizenzen, müssen Sie binnen 30 Tagen nachbestellen. Ab 5 Prozent nicht lizenzierter Nutzung kommen die Prüfkosten und ein Aufschlag auf 125 Prozent des Preises hinzu. Für einen reinen Microsoft-365-Tenant liegt das Risiko allerdings woanders, als die meisten erwarten.

Diese vier Zahlen stehen wörtlich im Vertrag, werden in deutschsprachigen Ratgebern aber selten zitiert. Sie sind der Ausgangspunkt für alles Weitere, weil sie im Gegensatz zu den kursierenden Häufigkeitszahlen nachlesbar sind.

Wer prüft da eigentlich, und wo steht das in Ihrem Vertrag?

Unter dem Wort Audit laufen drei sehr verschiedene Vorgänge zusammen. Microsoft selbst spricht im Vertragstext von Verifikation und Selbstauskunft, spezialisierte Kanzleien nennen das SAM Engagement ein Audit unter anderem Namen. Wer die drei verwechselt, reagiert falsch.

Der praktische Unterschied ist kleiner, als er klingt. Ein SAM Engagement, das eine Lücke findet, führt in der Praxis ebenfalls zur Nachlizenzierung. Was einmal gefunden ist, lässt sich nicht zurücknehmen. Die vertragliche Nachkaufpflicht folgt aber aus der Prüfklausel, nicht aus dem freiwilligen Gespräch. Der Unterschied liegt in den Konditionen und im Verhandlungsspielraum.

Die Klausel steht nicht dort, wo die meisten suchen. Im Microsoft-Kundenvertrag trägt sie die Überschrift „Verifying compliance". Wer über Volumenlizenzen kauft, findet sie im Rahmenvertrag, dem Microsoft Business and Services Agreement, in den uns vorliegenden Fassungen unter Ziffer 8. Prüfen Sie die Nummerierung in Ihrem eigenen Exemplar, sie wandert zwischen Fassungen und Sprachversionen. Das Enterprise-Agreement-Formular selbst verweist auf diesen Rahmenvertrag als vorrangige Vereinbarung. Wer die Prüfklausel im EA sucht, sucht an der falschen Stelle.

Eine Einschränkung, die Sie kennen sollten: Vom Kundenvertrag kursieren mehrere Fassungen, die sich nach Region, Programm und Stand unterscheiden. Die im Juli 2026 von Microsoft ausgelieferte Fassung nennt ausschließlich einen unabhängigen Prüfer, eine Selbstauskunft kommt darin nicht vor. Der Volumenlizenz-Rahmenvertrag enthält sie dagegen ausdrücklich: Microsoft kann nach eigenem Ermessen verlangen, dass Sie selbst prüfen. Prüfen Sie deshalb Ihren eigenen Vertragstext, nicht den aus einem Blogbeitrag.

Wie läuft ein Microsoft-Lizenzaudit ab?

Die Ablaufbeschreibungen der spezialisierten Lizenzberater ähneln sich stark. Der Vorgang beginnt lange, bevor jemand Zahlen nennt.

1. Ankündigungsschreiben. Microsoft kündigt die Prüfung an. Der Kundenvertrag sagt dazu: jederzeit, mit 30 Tagen Vorlauf. Eine Beschränkung auf einmal pro Jahr steht dort nicht.
2. Kick-off. Der beauftragte Prüfer stellt Umfang, Zeitplan und Datenanforderungen vor.
3. Datenerhebung. Inventardaten, Vertrags- und Kaufnachweise, Tenant-Exporte.
4. Zwischenbericht. Der Prüfer legt eine erste Lizenzbilanz vor.
5. Stellungnahme. Sie widersprechen, ergänzen, korrigieren. Beratungen, die Audits begleiten, beschreiben diese Phase übereinstimmend als die entscheidende. Belastbare Zahlen dazu, wie oft sie ungenutzt bleibt, gibt es nicht.
6. Abschlussbericht und kommerzielle Klärung. Erst hier geht es um Geld, und hier verhandelt Microsoft, nicht der Prüfer.

Diese sechs Stufen stammen aus der Beraterliteratur, nicht von Microsoft. Microsoft veröffentlicht keinen Ablaufplan für Audits.

Was im Vertrag steht, hängt davon ab, welchen Vertrag Sie haben. Der Volumenlizenz-Rahmenvertrag sieht vor, dass die Prüfung während der normalen Geschäftszeiten stattfindet und der Prüfer sich nach besten Kräften bemüht, den Betrieb nicht zu stören. Dort dürfen Sie außerdem eine eigene Geheimhaltungsvereinbarung mit dem Prüfer verlangen. Sie muss binnen 14 Tagen nach Ihrem Verlangen abgeschlossen sein und darf den Prüfer nicht daran hindern, die Compliance festzustellen und das Ergebnis an Microsoft weiterzugeben. Im Kundenvertrag stehen diese drei Zusagen nicht.

Der Zwischenbericht ist ein Entwurf, kein Ergebnis. Ein Prüfer, der Ihre Umgebung nicht kennt, kann Sonderfälle nicht als solche erkennen: Testsysteme erscheinen produktiv, deaktivierte Konten aktiv, ein Nutzer mit zwei Konten doppelt. Was Sie nicht erklären, wird gezählt. Die Stellungnahme ist der letzte Zeitpunkt, an dem die Zahlenbasis noch beweglich ist. Wer den Entwurf ohne Gegenrede abzeichnet, verhandelt später über eine Zahl, die er selbst bestätigt hat.

Trennen Sie deshalb sauber zwischen den beiden Gegenübern. Der Prüfer stellt fest, Microsoft entscheidet über Geld und Vertrag. Wer mit dem Prüfer über Preise oder Paketgrößen spricht, redet mit der falschen Partei.

Häufig missverstanden: Die 30 Tage sind eine Mindestankündigungsfrist von Microsoft an Sie, bevor die Prüfung beginnt. Sie sind keine Abgabefrist für Ihre Daten. Ebenfalls im Umlauf ist die Angabe, Microsoft dürfe höchstens alle zwölf Monate prüfen. Im Kundenvertrag steht das nicht, die einzige Zwölf-Monats-Angabe dort betrifft die Haftungsobergrenze. Im Volumenlizenz-Rahmenvertrag gibt es eine Ruhefrist von einem Jahr, aber nur als Folge eines Prüfergebnisses ohne Beanstandung.

Was passiert, wenn Lizenzen fehlen?

Zuerst die Entwarnung, weil sie am besten belegt ist: Die vertragliche Rechtsfolge ist Nachkauf, nicht Strafe. Stellt die Prüfung nicht lizenzierte Nutzung fest, müssen Sie binnen 30 Tagen so viele Lizenzen bestellen, dass der Zeitraum abgedeckt ist. Die Prüfkosten trägt Microsoft.

Das ändert sich an einer Schwelle. Liegt die nicht lizenzierte Nutzung bei 5 Prozent oder mehr, müssen Sie Microsoft die Prüfkosten erstatten und die fehlenden Lizenzen zu 125 Prozent des dann gültigen Preises nachkaufen. Der Kundenvertrag setzt sich dabei selbst eine Grenze: Es gilt der niedrigere Wert aus 125 Prozent und dem, was nach anwendbarem Recht zulässig ist. Im Volumenlizenz-Rahmenvertrag fehlt diese Deckelung.

Achten Sie auf den Bezugspunkt der Schwelle. Der Vertragstext sagt „total use of all Products", sie bezieht sich also auf die Gesamtnutzung aller Produkte, nicht auf das beanstandete Produkt. Ein Unternehmen mit 300 Beschäftigten hält häufig deutlich mehr als 300 Lizenzen, sobald Add-ons, Einzeldienste und Serverprodukte dazukommen. Bei 900 Lizenzen läge die Schwelle rechnerisch nicht mehr bei 15 fehlenden Lizenzen, sondern bei etwa 45.

Diese Rechnung hat allerdings einen offenen Punkt, den kein Ratgeber erwähnt: Der Vertrag legt nicht fest, worin „total use" gemessen wird. In Lizenzstück, in Nutzern oder wertmäßig, davon hängt das Ergebnis ab. Nehmen Sie die Schwelle deshalb nicht als gesicherte Zahl, sondern klären Sie den Bezugspunkt im Kick-off. Und zählen Sie Ihren eigenen Bestand aus, statt von der Kopfzahl auszugehen.

Bei einer festen Fehlmenge gilt: Je breiter Ihr Bestand, desto kleiner fällt sie prozentual aus. Ob die Marke in der Praxis häufig oder selten gerissen wird, ist nicht erhoben. Microsoft veröffentlicht dazu nichts.

Für Deutschland kommen vier Punkte hinzu, die in keinem Vertrag stehen.

Einen zivilrechtlichen Strafzuschlag kennt das deutsche Recht nicht. Schadensersatz gleicht aus, er bestraft nicht. Wählt der Rechtsinhaber die Lizenzanalogie, eine von drei Berechnungsarten nach § 97 Abs. 2 UrhG neben konkretem Schaden und Verletzergewinn, bemisst sich der Ersatz danach, was vernünftige Vertragsparteien vereinbart hätten. Der Bundesgerichtshof hat 2020 entschieden, dass nach einer Verletzung vereinbarte Nachlizenzierungsentgelte dafür kein Maßstab sind, weil sie auf einen Verletzerzuschlag hinausliefen (I ZR 93/19 „Nachlizenzierung", es ging um Stadtpläne).

Der „doppelte Lizenzpreis" hat einen besonderen Grund. Er stammt aus der Rechtsprechung zu GEMA-Tarifen und gleicht dort die Überwachungskosten einer Verwertungsgesellschaft aus. Dieser Grund liegt bei einem Softwarehersteller nicht vor. Als allgemeine Rechengröße für Unternehmenssoftware taugt er nicht.

Ein gesetzliches Kontrollrecht ohne Anlass gibt es nicht. Unabhängig von jeder Vertragsklausel gewährt § 101a UrhG einen Besichtigungsanspruch, der eine hinreichende Wahrscheinlichkeit der Rechtsverletzung voraussetzt. Er ist gerichtlich durchzusetzen, nicht im Selbstvollzug, entfällt bei Unverhältnismäßigkeit, und das Gericht muss auf Geschäftsgeheimnisse Rücksicht nehmen. Der Maßstab geht auf die Faxkarte-Entscheidung des BGH von 2002 zurück, die den verwandten Anspruch noch aus § 809 BGB ableitete. Für Software hat der BGH die Maßstäbe 2012 in „UniBasic-IDOS" fortgeschrieben. Umgekehrt heißt das: Wer darauf setzt, eine Auditklausel sei nach AGB-Recht unwirksam, hat damit noch nicht gewonnen. Der gesetzliche Anspruch ist schmaler, aber er bleibt.

Persönlich haften kann die Geschäftsführung. Das Oberlandesgericht Karlsruhe ließ 2008 einen GmbH-Geschäftsführer mithaften, weil er keine Kontrollen angeordnet hatte (6 U 180/06). Merkblätter genügten dem Gericht nicht, technische Beschränkungen bei der Installation fehlten. Ausgelöst hatte den Fall ein ehemaliger Mitarbeiter: Die Business Software Alliance erstattete Anzeige, die Staatsanwaltschaft durchsuchte unangekündigt und fand auf 15 Rechnern über 20 unlizenzierte Programme. Strafrechtlich ist vorsätzliche unlizenzierte Nutzung ohnehin bewehrt, § 106 UrhG sieht bis zu drei Jahre Freiheitsstrafe vor. Praktisch relevant wird das nur bei Vorsatz.

Was Sie hier nicht finden werden, ist ein Urteil, das die 125-Prozent-Klausel für Deutschland bewertet. Uns ist keines bekannt, und höchstrichterlich ist die Wirksamkeit von Auditklauseln bislang überhaupt nicht geklärt. Wer ein Audit auf dem Tisch hat, holt sich anwaltlichen Rat, keine Blogmeinung.

Was tun in den ersten 72 Stunden?

Die 30 Tage sind reichlich Zeit, wenn Sie sie nutzen. Sie sind knapp, wenn die erste Woche mit Rückfragen vergeht.

1. Das Schreiben genau lesen. Welche juristische Person wird angeschrieben, welcher Vertrag ist referenziert, welche Produkte umfasst der angekündigte Umfang?
2. Verbundene Unternehmen mitdenken. Der Kundenvertrag erstreckt die Prüfung ausdrücklich auf Affiliates, für die Sie Produkte bestellt haben, und macht Sie für deren Vertragstreue haftbar. Nicht erfasst sind nur Gesellschaften, die unter einem eigenen Vertrag einkaufen.
3. Den eigenen Vertrag heraussuchen. Kundenvertrag oder Volumenlizenz-Rahmenvertrag, welche Fassung, welche Prüfklausel. Das ist die Grundlage jeder weiteren Entscheidung und liegt erfahrungsgemäß nicht griffbereit.
4. Ein Team benennen. IT, Einkauf, Recht, Datenschutz und, wo vorhanden, der Betriebsrat. Alle fünf Rollen werden gebraucht, der Betriebsrat spätestens dann, wenn nutzerbezogene Auswertungen das Haus verlassen sollen.
5. Einen einzigen Kommunikationskanal festlegen. Auskünfte aus der Fachabteilung an den Prüfer sind nicht zurückzuholen.
6. Umfang und Werkzeug klären, bevor Sie Daten übergeben. Und die Klärung dokumentieren, damit die Verzögerung nicht als Verweigerung gelesen wird.
7. Nutzungs- und Anmeldedaten sofort sichern. Das ist der Punkt mit der kürzesten Halbwertszeit, und er ist weiter unten erklärt.

Was kann in einem Cloud-Tenant überhaupt unterlizenziert sein?

Hier liegt der eigentliche Unterschied zur On-Premises-Welt, und er wird selten sauber erklärt.

In einem Rechenzentrum ist das Audit-Risiko ein Zählrisiko: Sie haben mehr installiert, als Sie gekauft haben. Genau das ist in Microsoft 365 im Normalbetrieb kaum möglich. Wer mehr Lizenzen zuweisen will als vorhanden, bekommt die Meldung, dass keine verfügbaren Lizenzen für das Produkt existieren. Eine Lücke bleibt: Wird ein Abonnement verkleinert oder läuft es aus, können mehr Zuweisungen bestehen als Lizenzen vorhanden sind. Microsoft weist das als Fehler „nicht genügend Lizenzen" aus.

Das Cloud-Risiko ist ein Regelrisiko. Sie haben genug Lizenzen gekauft, aber die falschen Personen oder die falschen Vorgänge nutzen sie. Die folgenden acht Fälle lassen sich aus den Microsoft-Regeln eindeutig ableiten. Eine Erhebung darüber, welcher davon am häufigsten auffällt, gibt es nicht.

Indirekte Nutzung. Ein Dienstkonto oder ein Fachverfahren zieht Daten aus Microsoft 365 und verteilt sie an Kollegen ohne eigene Lizenz. Microsofts Regel dazu ist eindeutig: Multiplexing senkt die Zahl der nötigen Lizenzen nicht. Wie viele technische Schichten dazwischen liegen, spielt keine Rolle. Entscheidend ist, wer am Ende auf das Produkt oder die von ihm verarbeiteten Daten zugreift, direkt oder indirekt. Dieser Fall entsteht aus einer nachvollziehbaren Absicht, einen Prozess zu vereinfachen, und fällt intern deshalb kaum jemandem auf. Wie er entsteht und wie er sauber gelöst wird, zeigt der Beitrag zu Multiplexing in Microsoft 365.

Freigegebene Postfächer. Ein Shared Mailbox ist bis 50 GB lizenzfrei. Für 100 GB braucht es eine Exchange-Online-Plan-2-Lizenz. Für Litigation Hold ebenfalls Plan 2, alternativ Plan 1 mit dem Add-on Exchange Online Archiving, was oft günstiger ist. Beide Grenzen werden im Betrieb überschritten, ohne dass jemand eine Entscheidung trifft: Das Postfach wächst, oder die Rechtsabteilung setzt einen Hold. Das Postfach selbst ist frei, jeder Mensch, der es liest oder darüber versendet, braucht eine eigene lizenzierte Mailbox. Details im Beitrag zur Shared-Mailbox-Lizenz.

Terminalserver und RDS. Microsoft 365 Apps lassen sich dort nur mit Shared Computer Activation betreiben. Microsoft schreibt ausdrücklich, dass diese Möglichkeit eine Berechtigung aus Business Premium ist und nicht generell zu Apps for business gehört. Wer seine RDS-Nutzer mit dem kleineren Plan ausgestattet hat, betreibt eine Installation, die der Plan nicht deckt. Der Befund lässt sich eindeutig belegen, und er wird regelmäßig übersehen, weil die Installation technisch funktioniert. Der Beitrag zur Terminalserver-Lizenzierung geht die Varianten durch.

Frontline-Lizenzen mit falschem Zuschnitt. Bei F1 und F3 hängt der Umfang der App-Rechte am Gerät. Die mobilen Apps sind für Geräte mit einem integrierten Bildschirm unter 10,9 Zoll vorgesehen, Desktop-Apps sind nicht enthalten, und F1 bringt keine Postfachrechte mit. Wer F3-Nutzern die mobilen Apps auf größeren Geräten bereitstellt oder Desktop-Apps erwartet, hat einen Befund. Die Web-Apps am Büroarbeitsplatz sind von der Geräteregel dagegen nicht erfasst. Prüfbar ist das ohnehin nur am Gerät, Bildschirmgrößen lassen sich über den Tenant nicht auslesen. Die Abgrenzung erklärt der Vergleich F1 gegen F3.

Dienst- und Funktionskonten. Sobald ein technisches Benutzerkonto sich anmeldet und einen lizenzpflichtigen Dienst nutzt, braucht es eine Lizenz. App-Registrierungen und Dienstprinzipale, die über Anwendungsberechtigungen zugreifen, brauchen dagegen keine Nutzerlizenz. Die Schwierigkeit liegt nicht in der Regel, sondern in der Inventur: Dienstkonten entstehen über Jahre, oft ohne Namenskonvention und ohne Eigentümer. Welche Konten lizenzfrei bleiben, steht im Beitrag zu Service-Accounts.

Gastkonten. Externe Nutzer werden über ein Modell nach monatlich aktiven Nutzern abgerechnet, mit einem Freikontingent, das Microsoft beweglich hält. Wer Governance-Funktionen für Gäste einsetzt, erzeugt Kosten, die in keiner Lizenzübersicht auftauchen. Hinzu kommt die Frage, ob Gäste für einzelne Dienste eigene Lizenzen brauchen. Die Antwort hängt am jeweiligen Dienst und gehört vor dem Einsatz geprüft. Der Beitrag zur Lizenzpflicht von Gastkonten ordnet das ein.

Neuzuweisung von Lizenzen. Microsofts Produktbedingungen untersagen die kurzfristige Neuzuweisung einer Lizenz innerhalb von 90 Tagen nach der letzten Zuweisung. Eine dauerhafte Neuzuweisung für die Restlaufzeit ist dagegen jederzeit möglich. Kurzfristig umbuchen dürfen Sie nur, um die vorübergehende Abwesenheit eines Nutzers zu überbrücken oder wenn ein Gerät außer Betrieb ist. Wer Lizenzen zwischen Schichten oder Projekten rotieren lässt, um Kosten zu senken, verstößt gegen genau diese Regel.

Vertragliche Mengengrenzen. Microsoft behält sich in der Leistungsbeschreibung ausdrücklich vor, die Grenze von 300 bereitgestellten Lizenzen über die gesamte Business-Familie hinweg durchzusetzen. Ob das technisch blockiert wird, sagt der Text nicht. Wachsende Unternehmen laufen deshalb sehenden Auges hinein und merken es erst, wenn jemand nachrechnet.

Ein Punkt fehlt in dieser Liste bewusst. Ein reiner Microsoft-365-Scan sieht Ihr Rechenzentrum nicht. Windows Server, SQL-Kerne, CAL-Zählung und lokal installierte Software liegen außerhalb dessen, was über die Graph-Schnittstelle sichtbar ist. Für den Anteil, den die Cloud-Seite am Gesamtergebnis eines Audits ausmacht, gibt es keine belastbare Quelle. Die Beraterberichte nennen Befunde auf beiden Seiten: Serverprodukte und CALs auf der einen, E5-Funktionen unter E3-Lizenz und abgelaufene Software Assurance auf der anderen. Ein Schwerpunkt lässt sich daraus nicht ableiten.

Welche Daten müssen Sie herausgeben?

Der Kundenvertrag verlangt Informationen und Unterlagen, die vernünftigerweise angefordert werden, sowie visuellen Zugriff auf Systeme, auf denen die Produkte laufen.

Daraus folgt weniger, als oft behauptet wird. Was der Vertrag nicht ausdrücklich nennt, sind Fernzugriff, ein Administratorkonto für den Prüfer oder das Ausführen fremder Skripte. Ein Automatismus zu Ihren Gunsten ist das aber nicht: Der Maßstab ist, was vernünftigerweise angefordert wird, und der Volumenlizenz-Rahmenvertrag zählt den sichtbaren Zugriff ausdrücklich nur beispielhaft auf. Wie weit die Mitwirkungspflicht reicht, ist damit Verhandlungssache und im Streitfall eine Auslegungsfrage. Klären Sie sie mit Ihrem Anwalt, bevor Sie etwas ablehnen.

Der Umfang der Erhebung ist trotzdem verhandelbar, und dafür gibt es gute Gründe. Ein Inventarisierungslauf über lokale Systeme erfasst nebenbei Verzeichnisstrukturen, Anwendungsnamen, Projektbezeichnungen und Kundennamen. Wie viel das ist, hängt vollständig am eingesetzten Werkzeug. Fragen Sie deshalb vor dem Lauf nach der Feldliste.

Die deutsche Fachliteratur zum Softwarelizenzaudit nennt drei Risikofelder: den Schutz von Geschäftsgeheimnissen, den Datenschutz und das Arbeitsrecht. Bei Berufsgeheimnisträgern wie Kanzleien, Praxen oder Steuerberatern kommt § 203 StGB hinzu. Seit 2017 dürfen sie externe Dienstleister einbinden, müssen sie aber schriftlich zur Verschwiegenheit verpflichten und über die Strafbarkeit belehren. Das ist eine Formanforderung, kein Riegel.

Der Betriebsrat. Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift bereits dann, wenn eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Eine Überwachungsabsicht ist nach der Rechtsprechung des Bundesarbeitsgerichts nicht erforderlich. Tenantseitige Nutzungs- und Anmeldeauswertungen erfüllen das regelmäßig, weil das System die Daten selbst erhebt. Oft deckt eine bestehende Rahmenbetriebsvereinbarung den Vorgang bereits ab. Wer erst im Audit daran denkt, verliert Wochen.

Der Datenschutz. Nutzerlisten mit Klarnamen und Anmeldeprotokolle sind personenbezogene Daten. Microsoft 365 zeigt in den Nutzungsberichten seit September 2021 standardmäßig pseudonymisierte Namen. Das Umschalten auf Klarnamen kann nur ein globaler Administrator, es wirkt auch auf die Graph-Schnittstelle und die Berichte in Power BI und Teams, und es wird im Purview-Audit-Log protokolliert. Wer für ein Audit umschaltet, erzeugt also selbst einen dokumentierten Vorgang.

Hier gibt es eine Lücke, die wir offenlegen: Die einschlägigen deutschen Fachbeiträge zum Datenschutz im Lizenzaudit argumentieren überwiegend noch auf Grundlage des alten Bundesdatenschutzgesetzes. Eine aktuelle, DSGVO-basierte Fachpublikation speziell zu diesem Fall haben wir nicht gefunden.

Wie prüfen Sie sich selbst, bevor es jemand anders tut?

Das Nützliche an dieser Frage: Die Antwort hilft Ihnen auch, wenn nie ein Audit kommt.

Eine Lizenzbilanz beantwortet drei Fragen. Was haben Sie gekauft? Was ist davon zugewiesen? Und wird das Zugewiesene tatsächlich benutzt? Der erste Teil kommt aus Verträgen und Rechnungen, die beiden anderen aus dem Tenant. Der Beschaffungsnachweis ist erfahrungsgemäß der brüchigste Teil. Bestellbestätigungen liegen beim Partner, Vertragsdokumente im Postfach eines Mitarbeiters, der das Haus verlassen hat. Wer nicht belegen kann, was er gekauft hat, diskutiert im Audit über die falsche Seite der Bilanz.

Für die Tenant-Seite reichen vier Bordmittel. Im Admin Center finden Sie unter Abrechnung und Lizenzen die zugewiesenen und freien Lizenzen je Produkt, die tatsächlich aktiven Benutzer stehen getrennt davon unter Berichte und Nutzung. Über die Graph-Schnittstelle liefert subscribedSkus je SKU die gekauften gegen die verbrauchten Einheiten inklusive der enthaltenen Dienstpläne. licenseDetails zeigt pro Benutzer, welche Lizenzen zugewiesen sind. Und signInActivity liefert die Anmeldeaktivität.

Bei der Anmeldeaktivität lauert die häufigste Fehlinterpretation. Ein leeres Datum der letzten Anmeldung bedeutet nicht „inaktiv". Es ist auch leer, wenn die letzte Anmeldung vor April 2020 lag oder nie eine stattfand, und es aktualisiert sich mit bis zu 24 Stunden Verzögerung. Wer auf dieser Grundlage Lizenzen entzieht, produziert Ausfälle. Das Feld setzt außerdem Entra ID P1 oder P2 voraus.

Zusammengesetzt ergibt das die Übersicht, die eine Lizenzbilanz braucht.

Die letzte Zeile ist die wichtigste. Jeder bewusst getroffene Sonderfall braucht eine Notiz, warum er so ist: das Dienstkonto ohne Lizenz, das Testkonto mit Befristung, das freigegebene Postfach mit Hold. Im Audit ist eine dokumentierte Entscheidung ein Argument. Eine undokumentierte ist ein Befund.

Der wichtigste Punkt an dieser Stelle ist die Haltbarkeit Ihrer Nachweise. Die Nutzungsberichte reichen maximal 180 Tage zurück. Die Anmelde- und Audit-Protokolle in Entra ID halten 7 Tage in der kostenfreien Stufe und 30 Tage mit P1 oder P2. Löschen Sie ein Benutzerkonto, entfernt Microsoft dessen Nutzungsdaten innerhalb von 30 Tagen aus der Detailansicht.

Wer im Audit nach der Nutzung der letzten zwei Jahre gefragt wird, kann sie mit den Standardeinstellungen nicht mehr belegen. Längere Zeiträume gibt es nur, wenn vorher aktiv archiviert wurde, etwa über Azure Monitor in ein Speicherkonto oder über Purview Audit Premium. Rückwirkend einschalten lässt sich das nicht. Wer die Lücke schließen will, muss die Daten regelmäßig exportieren und außerhalb der Standardaufbewahrung archivieren, ob per eigenem Export, per Log-Weiterleitung oder mit einem Werkzeug, das dauerhaft mitschreibt.

Ein Hinweis noch zum Werkzeugkasten: Das Microsoft Assessment and Planning Toolkit, das in älteren Anleitungen als Standardwerkzeug auftaucht, wird nicht mehr unterstützt. Microsoft schreibt das auf der eigenen Downloadseite und verweist auf Azure Migrate.

Wie oft passiert das in Deutschland?

Das weiß niemand. Wer Ihnen eine Zahl nennt, sollte die Erhebung dahinter benennen können: wer befragt wurde, wie viele, in welchen Größenklassen.

Wir haben bei Bitkom, techconsult, KPMG, Deloitte, den einschlägigen Lizenzberatern und der IT-Fachpresse gesucht und keine Erhebung gefunden, die die Audit-Häufigkeit für den deutschen Mittelstand gesondert ausweist. Was existiert, sind internationale Anbieterumfragen unter Großorganisationen.

Belegt ist dagegen, dass Microsoft in diesen Erhebungen konstant der am häufigsten genannte prüfende Hersteller ist, mit deutlichem Abstand vor dem Zweitplatzierten. Für die Frage, wie wahrscheinlich ein Audit bei 120 Mitarbeitern ist, sagt das nichts.

Zur Größenabhängigkeit widersprechen sich die Auswertungen sogar. Eine Unisphere-Auswertung von 2022 fand mittelgroße Unternehmen häufiger auditiert als die größten, 83 gegenüber 77 Prozent, und lief unter der Überschrift, dass mittelgroße Unternehmen ins Visier geraten. Andere Erhebungen zeigen das Gegenteil. Wer daraus eine Aussage über ein deutsches Unternehmen mit 120 Beschäftigten ableitet, extrapoliert weit über die Stichprobe hinaus, in welche Richtung auch immer.

Der einzige deutsche Massenvorgang, zu dem wir belastbare Berichterstattung gefunden haben, geht auf Anschreiben von Ende 2014 zurück. Das Magazin „Bilanz" berichtete, Microsoft habe rund 15.000 deutsche Mittelständler zur Offenlegung ihrer Lizenzen aufgefordert. Microsoft Deutschland widersprach öffentlich, die Zahl sei schlichtweg falsch, es handele sich um eine niedrige vierstellige Zahl. Beides gehört zusammen erzählt: Es belegt, dass auch der Mittelstand angeschrieben wurde, und es zeigt, wie schnell eine Zahl zum Selbstläufer wird.

Wichtiger als die Häufigkeit ist die Form. Wie viele formale Audits Microsoft pro Jahr durchführt, veröffentlicht das Unternehmen nicht, absolute Fallzahlen erhebt niemand. Was die Fachpresse beschreibt, ist eine Vorverlagerung: Hersteller sammeln Telemetrie über Cloud- und SaaS-Nutzung, lange bevor ein formales Schreiben eintrifft. Der Prüfbrief verschwindet dadurch nicht, aber wenn er kommt, kennt der Absender Ihre Nutzung bereits.

Für einen Microsoft-365-Kunden heißt das: Nicht nur der Auditbrief ist die Konfrontation, sondern jede Vertragsverlängerung. Die Verlängerung kommt mit Sicherheit, der Auditbrief nur vielleicht.

Was löst eine Prüfung aus?

Microsoft veröffentlicht keine Auslöser. Was existiert, ist Erfahrungswissen von Beratern, die Audits begleiten. Ihre Listen ähneln sich stark, was auch daran liegen kann, dass sie voneinander abschreiben und alle dasselbe verkaufen. Genau so ist die folgende Liste zu lesen.

• Fusionen und Zukäufe. Zwei Bestände wachsen zusammen, die Lizenzlage wird unübersichtlich.
• Starkes Wachstum ohne entsprechendes Lizenzwachstum. Die öffentlich sichtbare Mitarbeiterzahl steigt, die Bestellungen nicht.
• Auslaufende Verträge. Eine Prüfung kurz vor der Verlängerung verändert die Verhandlungsposition.
• Partnerwechsel. Ein Wechsel des Resellers unterbricht die gewachsene Beziehung, über die vieles informell geregelt war.
• Hinweise von außen. Ehemalige Mitarbeiter und Wettbewerber sind eine bekannte Quelle, wie der Karlsruher Fall zeigt.

Keiner dieser Punkte ist ein Grund zur Panik, und keiner lässt sich vermeiden. Der praktische Nutzen der Liste liegt woanders: Sie beschreibt die Zeitpunkte, zu denen eine aktuelle Lizenzbilanz besonders wenig Aufwand und besonders viel Wert hat.

Gibt es dokumentierte Fälle?

Kaum, und die Ausnahmen sind aufschlussreich. Wir haben in deutscher und englischer Sprache gesucht, über Presse, Rechtsprechungsdatenbanken, Börsenmeldungen und Rechnungshofberichte. Einen Fall, in dem ein deutsches Unternehmen nach einem formalen Microsoft-Audit mit Namen und Nachzahlungsbetrag öffentlich geworden wäre, haben wir nicht gefunden.

Was es gibt, sind Fälle aus dem öffentlichen Sektor, die über Parlament und Presse ans Licht kamen. Das österreichische Bundesheer zahlte 2007 rund 3,8 Millionen Euro nach, nachdem mehrere tausend Arbeitsplätze ohne gültige Lizenzen betrieben worden waren. Dazu kommen namentlich benannte Vergleiche wegen unlizenzierter Software, die Branchenverbände selbst veröffentlichen.

Der Unterschied ist kein Zufall. Für Unternehmen fehlt genau dieser Publizitätsdruck. Audits enden in Nachkäufen, die als normaler Lizenzumsatz gebucht werden, oder in Vergleichen unter Geheimhaltung. Deshalb stammen die Durchschnitts- und Schreckensbeträge, die im Netz kursieren, fast durchweg aus anonymisierten Berichten von Beratungen, die Audit-Verteidigung verkaufen. Eine kursierende Zahl nennt 3,4 Millionen US-Dollar je Vergleich, ohne Erhebungsmethode und ohne Stichprobe. Nachprüfbare Einzelbeträge gibt es fast nur dort, wo eine Behörde Rechenschaft ablegen musste.

Deshalb eine Korrektur zu dem Fall, der in fast jedem deutschen Beitrag als Schreckensbeispiel auftaucht. In der Sache SAP gegen Diageo entschied ein britisches Gericht 2017 über die Haftung dem Grunde nach und verwies die Bezifferung in ein gesondertes Verfahren. Die oft zitierten 54,5 Millionen Pfund waren die geforderte Summe, kein zugesprochener Betrag. Zu einem öffentlichen Urteil über die Höhe kam es nie, Fachkommentare berichten lediglich, der später geltend gemachte Betrag habe nur einen Bruchteil ausgemacht. Der Fall betraf außerdem SAP und indirekte Nutzung, nicht Microsoft. Als Lehrstück über indirekte Nutzung taugt er, als Beleg für Microsoft-Audit-Risiken nicht.

Was es dagegen gibt, ist eine amtliche deutsche Quelle zur Gegenrichtung. Der Bundesrechnungshof stellte 2014 fest, dass Behörden Lizenzen kauften, obwohl an anderer Stelle im Haus noch ungenutzte vorhanden waren, und gleichzeitig mehr Software installiert hatten, als Lizenzen vorlagen. Er benennt beide Richtungen als Fehler. Zur Ursache notierte er, die Bestandsverzeichnisse seien nicht revisionssicher gewesen und hätten häufig aus Tabellenkalkulationsblättern bestanden, bei denen nicht feststellbar war, wer Daten erfasst oder geändert hatte.

Das gilt für Behörden, nicht für Unternehmen. Wer die beschriebenen Symptome im eigenen Haus wiedererkennt, sollte den Befund trotzdem ernst nehmen.

Warum nur eine Richtung Folgen hat

Dieser Punkt kommt in den Ratgebern, die wir gesichtet haben, kaum vor. Das dürfte daran liegen, dass die meisten von Anbietern stammen, deren Leistung am Audit-Risiko hängt. Übrigens auch dieser hier.

Eine formale Prüfung endet dort, wo Sie zu wenig gezahlt haben. Für die Stellen, an denen Sie zu viel zahlen, gibt es keine Rechtsfolge und damit auch kein Interesse. Ungenutzte Lizenzen, überdimensionierte Pläne und doppelt bezahlte Funktionen sind im Auditbericht kein Befund. Wo ein SAM Engagement Optimierungspotenzial ausweist, entscheidet der Hersteller, was davon in eine Empfehlung mündet. Sie finden diese Stellen nur, wenn Sie selbst danach suchen.

Der zweite Effekt ist teurer als der erste. Wer unter Audit-Zeitdruck glattzieht, hat kaum Gelegenheit, sparsam zu kaufen. Unter Frist und Unsicherheit liegt das größere Paket nahe, weil es alles abdeckt. Ein Aufschlag von 25 Prozent auf eine kleine Fehlmenge bleibt überschaubar. Die ab derselben Schwelle fällige Erstattung der Prüfkosten hängt dagegen am Aufwand des Prüfers, nicht an der Größe der Lücke. Und ein dauerhaft zu großer Bestand für dreihundert Nutzer ist teurer als beides.

Die eigentliche Frage ist deshalb nicht, ob Sie geprüft werden. Sondern ob Sie Ihren eigenen Tenant so gut kennen wie Microsoft ihn kennt.

Wer hilft wobei?

Wenn Sie dieses Thema googeln, treffen Sie auf vier Gruppen mit sehr unterschiedlichen Interessen. Das gehört offengelegt.

Zur Ehrlichkeit gehört die eigene Einordnung. LessLicense deckt die Microsoft-365-Seite ab, nicht Ihr Rechenzentrum. Die Analyse liest, sie schreibt nicht: Sie inventarisiert über die Microsoft-Schnittstellen Lizenzzuweisungen, tatsächliche Nutzung, Dienstkonten, Gastkonten und Automatisierungen und rechnet aus, wo Sie zu viel zahlen. Welche Berechtigungen das Setup anlegt, legen wir vor dem Onboarding offen. Server-CALs, SQL-Kerne und lokale Installationen sieht sie nicht. Wer ein laufendes Audit über lokale Serverprodukte hat, braucht zuerst einen Anwalt und einen SAM-Berater.

Was die Analyse leistet, ist der Aufbau genau der Datenbasis, die ein Audit entspannt: eine laufende Lizenzbilanz, Nutzungsdaten, die über die 180-Tage-Grenze hinaus erhalten bleiben, dokumentierte Sonderfälle. Wie bei jeder Aufzeichnung gilt: Sie wirkt ab dem Tag der Einrichtung, nicht rückwirkend.

Sie läuft self-hosted auf Ihrer eigenen Infrastruktur, die Analysedaten Ihres Tenants bleiben dort. Das nimmt die Frage der Auftragsverarbeitung aus dem Weg, ersetzt aber nicht die Mitbestimmung: Eine personenbezogene Nutzungsauswertung ist mitbestimmungspflichtig, unabhängig davon, wo sie läuft.

Audit-Festigkeit ist ein Nebenprodukt guter Lizenzhygiene, kein eigenes Projekt. Dieselben Daten, mit denen Sie im Normalbetrieb ungenutzte Lizenzen und überdimensionierte Pläne abbauen, machen Sie im Prüfungsfall auskunftsfähig. So funktioniert die read-only Tenant-Analyse.

FAQ

Ist ein SAM Engagement freiwillig?

Formal ja, es wird als Optimierung angeboten und lässt sich ablehnen. Die praktische Wirkung kommt einer Prüfung nahe: Was einmal gefunden ist, lässt sich nicht zurücknehmen. Die vertragliche Nachkaufpflicht folgt allerdings aus der Prüfklausel, nicht aus dem Gespräch. Der Unterschied liegt in den Konditionen.

Wie viel Zeit habe ich nach dem Audit-Schreiben?

Der Kundenvertrag sieht 30 Tage Vorankündigung vor, bevor die Prüfung beginnt. Das ist eine Frist von Microsoft an Sie, keine Abgabefrist für Ihre Daten. Wird nicht lizenzierte Nutzung festgestellt, haben Sie 30 Tage, um die fehlenden Lizenzen zu bestellen.

Muss ich dem Prüfer Zugriff auf meine Systeme geben?

Der Vertrag verlangt Unterlagen, die vernünftigerweise angefordert werden, und visuellen Zugriff auf Systeme, auf denen die Produkte laufen. Fernzugriff, Administratorkonten oder das Ausführen fremder Skripte nennt er nicht ausdrücklich. Was vernünftigerweise angefordert ist, bleibt Verhandlungssache, und der Volumenlizenz-Rahmenvertrag zählt den Zugriff nur beispielhaft auf. Klären Sie Umfang und Werkzeug deshalb schriftlich, bevor Sie liefern.

Kann ich in Microsoft 365 überhaupt unterlizenziert sein?

Ja, aber anders als lokal. Mehr Lizenzen zuweisen als gekauft lässt das Admin Center im Normalfall nicht zu. Das Risiko liegt bei den Regeln: indirekte Nutzung über Dienstkonten, freigegebene Postfächer über 50 GB, Terminalserver ohne passenden Plan, Frontline-Lizenzen bei Nutzern, die Desktop-Apps oder große Geräte brauchen.

Was kostet eine Nachlizenzierung nach einem Audit?

Regulär den Preis der fehlenden Lizenzen für den betroffenen Zeitraum. Ab 5 Prozent nicht lizenzierter Nutzung, gemessen an der Gesamtnutzung aller Produkte, kommen die Prüfkosten und ein Aufschlag auf 125 Prozent hinzu. Zahlen zur durchschnittlichen Nachforderung kursieren zwar, stammen aber von Beratungen ohne Angabe von Methode und Stichprobe.

Wie oft prüft Microsoft ein Unternehmen?

Der Kundenvertrag nennt keine Obergrenze, er erlaubt die Prüfung jederzeit mit 30 Tagen Ankündigung. Im Volumenlizenz-Rahmenvertrag gibt es eine Ruhefrist von einem Jahr, allerdings nur nach einem Ergebnis ohne Beanstandung.