- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Software Asset Management: Lizenzen, Nachweise und Kontrolle in der IT-Governance
Software Asset Management (SAM) ist das Kontrollsystem, mit dem eine Organisation belegt, welche Software sie einsetzt, auf welcher rechtlichen Grundlage das geschieht und wer für jedes Produkt verantwortlich ist. SAM ist Teil des IT Asset Management und deckt Installationen, Cloud-Dienste und die dazugehörigen Verträge ab.
Aus Governance-Sicht steht nicht die Einsparung im Vordergrund, sondern die Nachvollziehbarkeit. Prüfende fragen nach einem vollständigen Inventar, nach Nachweisen für Nutzungsrechte und nach kontrollierten Abläufen bei Beschaffung, Installation und Ausserbetriebnahme. Von Banken und Wertpapierhäusern verlangt die FINMA ein Inventar der IKT-Bestandteile, das ausdrücklich auch Software umfasst.
Das Wichtigste in Kürze
- Drei Nachweise: vollständiges Softwareinventar, belegte Nutzungsrechte, dokumentierte Verantwortlichkeiten je Produkt.
- Rechtsrahmen: Computerprogramme sind nach dem Urheberrechtsgesetz (URG) geschützte Werke. Für Banken und Wertpapierhäuser kommt das FINMA-Rundschreiben 2023/1 hinzu.
- Kontrollen: Freigabe neuer Software im Vier-Augen-Prinzip, periodische Rezertifizierung der Zuweisungen, geregelte Ausserbetriebnahme.
- Cloud: Bei SaaS-Diensten gehören Datenstandort und Auftragsbearbeitung nach DSG zur Prüfung, nicht nur die Lizenzzahl.
Stand: November 2026 · Fachlich abgeglichen mit Fedlex (URG, DSG), dem FINMA-Rundschreiben 2023/1, den CIS Controls und Microsoft Learn (Quellen am Ende des Artikels)
SAM als Kontrollsystem: Daten, Verantwortung, Nachweise
Ein SAM-Programm hält einer Prüfung stand, wenn drei Dinge zusammenkommen: ein Inventar, das vollständig und aktuell ist, Nachweise für jedes Nutzungsrecht und eine klare Zuordnung von Verantwortung. Fehlt eines davon, bleibt die Aussage «wir sind korrekt lizenziert» eine Behauptung.
Datenobjekte
- Softwareprodukt: Hersteller, Produkt, Version, Supportstatus, Freigabestatus
- Installation oder Konto: Gerät, Server, virtuelle Instanz oder SaaS-Benutzer, auf dem das Produkt genutzt wird
- Nutzungsrecht: Vertrag, Kaufbeleg, Lizenzmetrik, Menge, Laufzeit, Prüfrechte des Herstellers
- Verantwortung: Product Owner im Fachbereich, technische Betreuung, Budgetverantwortung
Führende Quellen festlegen
Für jedes Datenobjekt sollte feststehen, welches System führend ist. Installationsdaten stammen typischerweise aus der Inventarisierung oder dem Endgerätemanagement, Vertragsdaten aus Einkauf oder Vertragsverwaltung. Werden dieselben Angaben an zwei Orten gepflegt, entstehen Abweichungen, die sich in einer Prüfung kaum erklären lassen.
Normen als Bezugsrahmen
Die Normenreihe ISO/IEC 19770 beschreibt IT Asset Management als Managementsystem mit Anforderungen an Prozesse, Rollen und Verbesserung. Wer nach ISO/IEC 27001 zertifiziert ist, findet im Anhang A der Ausgabe 2022 die Massnahmen zum Inventar der Informationswerte (5.9), zu Rechten an geistigem Eigentum (5.32) und zur Installation von Software auf Systemen im Betrieb (8.19). Ein SAM-Programm liefert für alle drei die Belege.
Rechtliche und regulatorische Bezüge in der Schweiz
Eine allgemeine gesetzliche Pflicht, ein SAM-Programm zu betreiben, gibt es in der Schweiz nicht. Mehrere Regelwerke setzen aber voraus, dass eine Organisation ihre Software kennt und ihre Nutzungsrechte belegen kann. Die Übersicht zeigt die wichtigsten Bezüge.
| Regelwerk | Bezug zu SAM |
|---|---|
| URG Art. 2 Abs. 3 | |
| Programme gelten als Werke | Jede Nutzung braucht eine Grundlage, meist den Lizenzvertrag |
| URG Art. 12 Abs. 2 und Art. 24 Abs. 2 | |
| Weiterverkauf und Sicherungskopie | Veräusserte Programme dürfen weiterveräussert werden. Eine Sicherungskopie ist erlaubt. |
| FINMA-RS 2023/1, Rz 53 | |
| Inventar der IKT-Bestandteile | Hardware und Software, zeitnah verfügbar, regelmässig auf Vollständigkeit geprüft |
| DSG Art. 9 und Art. 16 | |
| Bearbeitung im Auftrag, Bekanntgabe ins Ausland | Bei SaaS mit Personendaten: Vertrag, Datensicherheit und Datenstandort prüfen |
| ISO/IEC 27001:2022, Anhang A | |
| 5.9, 5.32, 8.19 | Inventar, geistiges Eigentum, kontrollierte Installation |
Was der Weiterverkauf bedeutet
Nach Art. 12 Abs. 2 URG darf ein veräussertes Computerprogramm gebraucht und weiterveräussert werden. Ob ein konkreter Lizenzvertrag einen Kauf oder nur ein zeitlich begrenztes Nutzungsrecht darstellt, ist eine Frage des Vertrags und gegebenenfalls juristisch zu klären. Bei Abonnements und SaaS-Diensten wird in der Regel nichts veräussert, sie fallen deshalb meist nicht darunter.
Inventar nach FINMA
Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» verlangt im Abschnitt zum IKT-Betrieb ein oder mehrere Inventare der IKT-Bestandteile. Sie umfassen Hardware- und Software-Komponenten sowie Ablageorte kritischer Daten, berücksichtigen Abhängigkeiten und Schnittstellen zu wesentlichen externen Dienstleistern und werden regelmässig auf Vollständigkeit und Richtigkeit überprüft.
Kontrollierter Softwareprozess: beantragen, freigeben, belegen
Kontrollen wirken nur, wenn sie im Ablauf verankert sind. Ein Softwareprozess mit Governance-Anspruch hat vier Kontrollpunkte:
- Antrag mit Begründung: Fachbereich, Zweck, betroffene Daten und gewünschte Anzahl werden im Antrag erfasst.
- Freigabe im Vier-Augen-Prinzip: Neue Produkte werden fachlich und sicherheitstechnisch geprüft, bevor sie in den Katalog freigegebener Software aufgenommen werden. Bei SaaS gehören Vertragsprüfung und Datenstandort dazu.
- Dokumentierte Bereitstellung: Installation oder Lizenzzuweisung wird mit Datum, ausführender Stelle und Bezug zum Antrag festgehalten.
- Periodische Rezertifizierung: Product Owner bestätigen in einem festen Rhythmus, dass Zuweisungen noch benötigt werden. Nicht bestätigte Zuweisungen werden entzogen.
Beispiel: Schwachstelle in einer Fachanwendung
Angenommen, eine Privatbank in Zürich erfährt am Vormittag von einer kritischen Schwachstelle in einer bestimmten Version eines PDF-Werkzeugs. Mit einem gepflegten Inventar liegt nach kurzer Zeit eine Liste der betroffenen Geräte vor, mit Version, Standort und verantwortlicher Stelle. Das Update läuft als Change mit Freigabe, der Abschluss ist im Ticket dokumentiert. Fehlt das Inventar, beginnt dieselbe Arbeit mit einer Rundmail.
Datenhaltung bei Cloud-Diensten
Bei SaaS-Diensten mit Personendaten ist der Anbieter in der Regel Auftragsbearbeiter. Nach Art. 9 DSG muss sich der Verantwortliche vergewissern, dass dieser die Datensicherheit gewährleisten kann. Werden Daten ins Ausland bekanntgegeben, gelten die Voraussetzungen nach Art. 16 DSG. Ein SAM-Verzeichnis, das Datenstandort und Vertragsstatus je Dienst festhält, macht diese Prüfung wiederholbar.
Was ein ITSM-Werkzeug beiträgt
ky2help® bildet Asset- und Configuration Management ab, bietet Schnittstellen zu LOGINventory und Baramundi und dokumentiert Abläufe mit automatischer Historisierung und integriertem Daten-Audit. Anträge und Freigaben gestalten Sie im Prozessdesigner selbst. Betrieben wird ky2help® als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland oder On-Premises.
Risiken nach Priorität
Nicht jedes SAM-Risiko wiegt gleich. Die folgende Reihenfolge orientiert sich an der möglichen Auswirkung auf Sicherheit, Compliance und Kosten.
- Software ohne Herstellersupport: Sie erhält keine Sicherheitsupdates mehr. Ein Beispiel ist Windows 10, dessen Support am 14. Oktober 2025 endete; nur die LTSC-Versionen folgen einem eigenen Lebenszyklus. Die CIS Controls verlangen in Control 2, dass nur autorisierte Software installiert ist und läuft und dass nicht verwaltete Software gefunden wird.
- Cloud-Dienste ausserhalb des Verzeichnisses: Fachbereiche abonnieren Dienste direkt. Damit fehlen Vertragsprüfung, Datenstandort und Entzug beim Austritt.
- Unterlizenzierung: Prüfrechte in Lizenzverträgen erlauben dem Hersteller, die Nutzung zu kontrollieren. Ohne Belege sind Nachzahlungen kaum zu verhandeln.
- Lokale Administratorrechte: Wer selbst installieren darf, umgeht den Freigabeprozess. Das Inventar zeigt dann Software, die nie beantragt wurde.
- Datenqualität: Doppelte Gerätenamen, fehlende Verantwortliche und veraltete Verträge untergraben jede Auswertung. Eine jährliche Plausibilisierung mit Stichproben schafft Vertrauen in die Zahlen.
Prüfpunkte für die interne Revision
- Gibt es für jedes kostenpflichtige Produkt einen Product Owner und einen abgelegten Vertrag?
- Sind Abweichungen zwischen Inventar und Nutzungsrechten dokumentiert und begründet?
- Lassen sich Freigaben neuer Software einer Person und einem Datum zuordnen?
- Wird das Inventar nachweislich regelmässig auf Vollständigkeit geprüft?
Häufige Fragen zu Software Asset Management
Was versteht man unter Software Asset Management?
Software Asset Management umfasst Prozesse, Daten und Verantwortlichkeiten, mit denen eine Organisation ihre Software und Cloud-Dienste steuert. Es belegt, welche Produkte im Einsatz sind, auf welchen Nutzungsrechten das beruht und wer für jedes Produkt zuständig ist.
Ist Software Asset Management in der Schweiz Pflicht?
Ein Gesetz, das SAM allgemein vorschreibt, gibt es nicht. Das Urheberrechtsgesetz schützt Computerprogramme als Werke, deshalb braucht jede Nutzung eine Grundlage. Banken und Wertpapierhäuser müssen nach FINMA-RS 2023/1 ein Inventar der IKT-Bestandteile einschliesslich Software führen.
Welche Nachweise braucht es bei einem Lizenzaudit?
In der Regel werden Kaufbelege oder Verträge, die vereinbarte Lizenzmetrik und ein Inventar der Installationen oder Konten zum Stichtag verlangt. Was genau vorzulegen ist, regelt die Prüfklausel im jeweiligen Lizenzvertrag.
Wie oft sollte das Softwareinventar geprüft werden?
Das Inventar sollte bei jeder Installation und jeder Lizenzzuweisung aktualisiert werden. Zusätzlich empfiehlt sich eine periodische Prüfung auf Vollständigkeit und Richtigkeit. Das FINMA-RS 2023/1 verlangt für die erfassten Institute eine regelmässige Überprüfung, ohne einen festen Rhythmus vorzugeben.
Was gehört bei SaaS-Diensten zum Software Asset Management?
Neben der Zahl der Abonnements gehören Vertragslaufzeit, Datenstandort und die Rolle des Anbieters als Auftragsbearbeiter nach DSG dazu. Ausserdem muss feststehen, wer Konten beim Austritt entzieht.
Wie unterstützt ky2help kontrollierte Softwareprozesse?
ky2help® bildet Asset- und Configuration Management ab, bietet Schnittstellen zu LOGINventory und Baramundi und dokumentiert Abläufe mit automatischer Historisierung und integriertem Daten-Audit. Gern zeigen wir Ihnen das in einer Live-Demo.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über das Urheberrecht und verwandte Schutzrechte (URG)
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- FINMA: Rundschreiben 2023/1 Operationelle Risiken und Resilienz – Banken (PDF)
- Center for Internet Security: CIS Control 2: Inventory and Control of Software Assets
- Microsoft Learn: Lebenszyklus Windows 10 Enterprise und Education
- Microsoft Learn: Von Intune ermittelte Apps
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
