Seat- und Funktionsaudit-Agent: Lizenzen vor jeder Verlängerung belegbar prüfen

Softwarelizenzen werden im Mittelstand selten zentral verwaltet. Fachabteilungen buchen Werkzeuge per Kreditkarte, Projekte starten mit zusätzlichen Seats, und bei Austritten wird zwar das zentrale Konto gesperrt, die Lizenz beim Anbieter aber nicht freigegeben. Die Rechnung kommt jährlich, oft mit automatischer Verlängerung, und wird gegen das Budget gebucht, ohne dass jemand die Nutzerliste dahinter ansieht.

Das Problem ist weniger fehlender Wille als fehlende Zusammenführung. Die Information, dass jemand das Unternehmen verlassen hat, liegt im Personalsystem. Die Information, wann sich ein Konto zuletzt angemeldet hat, liegt im Identity Provider oder in der Admin-Konsole des Anbieters. Die Information, welcher Tarif bezahlt wird und bis wann gekündigt werden muss, liegt in Rechnung und Vertrag. Erst der Abgleich dieser Quellen ergibt eine belastbare Aussage über einzelne Lizenzen.

Der Agent arbeitet mit einem festen Satz von Prüfregeln, die vorab mit IT und Einkauf vereinbart werden. Die erste Regel betrifft verwaiste Konten: Eine Lizenz ist einer Person zugeordnet, die laut Personalsystem nicht mehr beschäftigt ist. Weitere Regeln betreffen Inaktivität über einen vereinbarten Zeitraum, doppelte Konten derselben Person, Funktionspakete, deren Zusatzfunktionen nicht genutzt werden, sowie Gast- und Testkonten ohne erkennbaren Zweck.

Wie lang ein Inaktivitätszeitraum sein sollte, hängt vom Unternehmen ab. Microsoft nennt in seiner Dokumentation zu Entra ID für viele Organisationen ein Fenster zwischen 90 und 180 Tagen als vernünftig und weist ausdrücklich auf legitime Gründe für fehlende Anmeldungen hin, etwa Urlaub. Elternzeit, Saisonarbeit oder Projektpausen gehören ebenso in die Ausnahmeliste. Der Agent wendet die Regel an, die Bewertung des Einzelfalls bleibt beim Owner.

Jeder Befund landet als eigener Eintrag in einer Prüfliste. Der Eintrag nennt Anwendung, Konto, Befundart, betroffene Rechnungsposition und die Belege, auf denen der Befund beruht: Austrittsdatum, Zeitpunkt der letzten Anmeldung, Tarifstufe. Dazu kommt ein Vorschlag, was mit der Lizenz geschehen soll, und der Owner, der darüber entscheidet.

Sortiert wird die Liste nach zwei Kriterien: Wie viel Lizenzwert hängt an dem Befund, und wie nah ist die Kündigungsfrist? So arbeiten Owner zuerst die Einträge ab, bei denen eine Entscheidung vor dem Stichtag viel bewirkt. Abgelehnte Vorschläge werden nicht gelöscht, sondern mit Begründung als Ausnahme gespeichert, damit sie beim nächsten Audit nicht erneut auftauchen.

Der Agent schreibt nichts in die Zielsysteme. Er entzieht keine Lizenz, sperrt kein Konto und kündigt keinen Vertrag. Diese Grenze ist bewusst hart gezogen, weil eine falsche Deprovisionierung Arbeitsausfälle verursachen kann, die schwerer wiegen als eine zu viel bezahlte Lizenz.

Die technische Hauptarbeit liegt im Zuordnen. Anbieter exportieren Nutzerlisten mit E-Mail-Adresse, Anzeigename oder eigener Kennung, das Personalsystem führt Personalnummern, der Identity Provider nutzt eigene Objekt-IDs. Der Agent verknüpft diese Kennungen und markiert Fälle, in denen die Zuordnung unsicher ist, etwa bei geänderten Namen oder geteilten Postfächern. Unsichere Zuordnungen werden nie als Befund gewertet, sondern als Klärungsfall ausgewiesen.

Wo Anbieter das standardisierte Protokoll SCIM für die Benutzerbereitstellung unterstützen, lassen sich Nutzerlisten strukturiert abrufen. Bei anderen Anwendungen reichen regelmäßige CSV-Exporte aus der Admin-Konsole. Für den Pilot genügt es, mit den drei bis fünf Verträgen zu beginnen, deren Verlängerung als nächstes ansteht.

Ein Lizenzaudit verarbeitet personenbezogene Daten von Beschäftigten: Austrittsdaten, Anmeldezeitpunkte und Nutzungsumfang. Zweck und Rechtsgrundlage gehören deshalb vor dem Start in die Datenschutzdokumentation, und der Zweck sollte eng gefasst sein: Ermittlung des Lizenzbedarfs, nicht Bewertung individueller Arbeitsleistung. Auswertungen werden auf das beschränkt, was für die Lizenzentscheidung nötig ist.

Weil Anmelde- und Nutzungsdaten grundsätzlich Rückschlüsse auf Verhalten zulassen, ist die frühe Einbindung von Datenschutzbeauftragten und, falls vorhanden, Betriebsrat sinnvoll. Eine klare Zweckbindung, aggregierte Berichte an die Geschäftsführung und Einzelfallansichten nur für Owner und IT-Administration schaffen Vertrauen und verhindern, dass das Audit als Leistungskontrolle wahrgenommen wird.