Prüfprogramm Software-Lizenzmanagement.
Wie Sie prüfen, ob eingesetzte Software vollständig erfasst, ordnungsgemäß lizenziert und wirtschaftlich genutzt wird und ob die Organisation auf ein Herstelleraudit vorbereitet ist.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation die Nutzung von Software und Cloud-Abonnements mit ihren erworbenen Rechten in Einklang hält: über Verantwortlichkeiten, ein vollständiges Inventar, einen nachgewiesenen Lizenzbestand und einen regelmäßigen Abgleich. Sie beurteilt außerdem, ob Beschaffung und Installation gesteuert werden und Lizenzen bei Wegfall der Nutzung zurückgewonnen werden.
Geltungsbereich
- Installierte Software auf Clients und Servern sowie Software in virtualisierten Umgebungen
- Cloud-Abonnements und nutzerbasierte Lizenzen
- Verträge, Lizenznachweise und Beschaffungsprozess für Software
- Nicht Gegenstand: die vertragsrechtliche Würdigung einzelner Lizenzbedingungen
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie regelt Verantwortung, Beschaffung, Nutzung und Nachweis von Softwarelizenzen. | ISO/IEC 27001:2022 Anhang A 5.32 | Richtlinie lesen und die benannten Verantwortlichen zu Abläufen und Werkzeugen befragen. | Richtlinie zum Lizenzmanagement, Rollenbeschreibung |
| 2 | Ein vollständiges Inventar zeigt installierte und genutzte Software einschließlich Cloud-Abonnements. | ISO/IEC 27001:2022 Anhang A 5.9; BSI APP.6 | Datenquellen des Inventars erfragen und die Abdeckung mit der Geräte- und Kontenzahl vergleichen. | Softwareinventar, Abdeckungsbericht des Erkennungswerkzeugs |
| 3 | Der Lizenzbestand mit Verträgen, Rechnungen und Lizenzschlüsseln ist zentral und vollständig nachgewiesen. | ISO/IEC 27001:2022 Anhang A 5.32 | Für fünf Hersteller den Lizenzbestand mit Kaufnachweisen abgleichen. | Lizenzverzeichnis, Verträge, Rechnungen |
| 4 | Bestand und Nutzung werden regelmäßig gegenübergestellt; Unter- und Überlizenzierung werden bereinigt. | ISO/IEC 27001:2022 Anhang A 5.32 | Letzte Lizenzbilanz für die wesentlichen Hersteller ansehen und den Umgang mit Fehlmengen nachvollziehen. | Lizenzbilanzen, Maßnahmenliste |
| 5 | Software wird nur über einen festgelegten Prozess beschafft, der Lizenzbedarf und Freigabe einschließt. | BSI APP.6 | Fünf Beschaffungen der letzten zwölf Monate von der Anforderung bis zur Lizenzerfassung nachvollziehen. | Beschaffungsanträge, Freigaben, Einträge im Lizenzverzeichnis |
| 6 | Nutzer können Software nicht eigenmächtig installieren; Installationen erfolgen über freigegebene Wege. | ISO/IEC 27001:2022 Anhang A 8.19 | Technische Einschränkungen auf Clients prüfen und nicht freigegebene Software im Inventar suchen. | Konfiguration der Softwareverteilung, Liste nicht freigegebener Software |
| 7 | Lizenzmetriken für Virtualisierung, Server und Cloud werden richtig angewendet. | ISO/IEC 27001:2022 Anhang A 5.32 | Für einen Hersteller mit Metriken nach Prozessorkernen oder Hosts die Berechnung nachvollziehen. | Berechnung der Lizenzposition, Infrastrukturübersicht |
| 8 | Lizenzbedingungen kostenloser und quelloffener Software werden vor dem Einsatz geprüft. | ISO/IEC 27001:2022 Anhang A 5.32 | Prüfverfahren für frei verfügbare Software ansehen und für drei Komponenten die Prüfung nachvollziehen. | Freigabeverfahren, Lizenzprüfungen, Komponentenliste |
| 9 | Die Organisation ist auf Herstelleraudits vorbereitet: Zuständigkeit, Ablauf und Datenbereitstellung sind geregelt. | ISO/IEC 27001:2022 Anhang A 5.32 | Ablauf für Herstelleraudits erfragen und Ergebnisse vergangener Audits mit Nachzahlungen ansehen. | Ablaufbeschreibung, Berichte vergangener Audits |
| 10 | Lizenzen werden bei Austritt, Rollenwechsel oder fehlender Nutzung zurückgewonnen. | ISO/IEC 27001:2022 Anhang A 5.11 | Zugewiesene Abonnements ohne Nutzung seit 90 Tagen auswerten und Rückgewinnung bei fünf Austritten prüfen. | Nutzungsbericht der Abonnements, Austrittschecklisten |
| 11 | Software ohne Herstellerunterstützung wird erkannt und abgelöst oder als Risiko behandelt. | BSI APP.6; ISO/IEC 27001:2022 Anhang A 8.8 | Liste der Software mit abgelaufener Unterstützung ansehen und Ablösepläne prüfen. | Liste abgekündigter Software, Ablösepläne, Risikoakzeptanzen |
| 12 | Die Leitung erhält regelmäßig Berichte zu Lizenzrisiken, Kosten und Einsparungen. | Praxisanforderung | Berichte der letzten zwölf Monate auf Inhalte und Maßnahmen prüfen. | Berichte zum Lizenzmanagement |
Unterlagen zur Anforderung
- Richtlinie zum Lizenzmanagement
- Softwareinventar mit Abdeckungsbericht
- Lizenzverzeichnis mit Verträgen und Kaufnachweisen
- Lizenzbilanzen der wesentlichen Hersteller
- Beschaffungsanträge und Freigaben der letzten zwölf Monate
- Nutzungsberichte der Cloud-Abonnements
- Liste abgekündigter Software
- Berichte vergangener Herstelleraudits
Typische Feststellungen
- Kaufnachweise für ältere Lizenzen sind nicht mehr auffindbar.
- Die Lizenzbilanz wird nur bei einem angekündigten Herstelleraudit erstellt.
- Nutzer installieren Software selbst, das Inventar ist lückenhaft.
- Lizenzmetriken für virtualisierte Server werden falsch berechnet.
- Abonnements ausgeschiedener Mitarbeitender werden weiter bezahlt.
- Abgekündigte Software läuft ohne Ablöseplan und ohne Risikobewertung.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen