Zusammenfassung

Das Jahresende ist der beste Zeitpunkt, um deinen SaaS-Stack zu überprüfen. Vertragsverlängerungen häufen sich im Dezember und Januar, die Budgetplanung für das kommende Geschäftsjahr und automatische Verlängerungsklauseln, die dich still und leise für weitere 12 Monate binden, fallen alle in denselben wenigen Wochen zusammen. Dieser Leitfaden führt dich durch sechs Schritte: Erstellen einer vollständigen Bestandsaufnahme, Messen der tatsächlichen Nutzung, Entscheiden, was gestrichen oder beibehalten werden soll, Durchführen des sicherheitstechnischen Teils der Überprüfung, Verhandeln von Vertragsverlängerungen und Zuweisen von Verantwortlichkeiten, damit dein Stack übersichtlich bleibt. Der Gewinn: geringere Kosten, weniger verwaisten Konten und ein Software-Portfolio, das du bei der nächsten Budgetbesprechung tatsächlich verteidigen kannst.

Warum das Jahresende der richtige Zeitpunkt ist, um deinen SaaS-Stack zu prüfen

Ein großer Teil der SaaS-Verträge wird zu Beginn des Kalender- oder Geschäftsjahres unterzeichnet, wodurch ihre Verlängerung – und damit auch ihre Kündigungsfrist – in die letzten Wochen des Jahres fällt. Verpasst ihr im Oktober die 90-tägige Kündigungsfrist, seid ihr für ein weiteres volles Jahr gebunden (und zahlt weiter). Die Budgetplanung verstärkt den Druck noch: Die Finanzabteilung will für das nächste Jahr einen klaren Posten für Software, und den kannst du ihnen nicht liefern, wenn niemand weiß, welche Programme du tatsächlich nutzt.

Automatische Verlängerungen verschlimmern das Ganze noch. Anbieter gestalten sie so, dass sie unbemerkt ablaufen, oft mit einer eingebauten Preiserhöhung. Wenn du Verlängerungstermine als das Problem von jemand anderem betrachtest, hast du bei deinen Bemühungen zur Senkung der IT-Kosten schon einen Rückstand, noch bevor das neue Jahr überhaupt beginnt.

Was du brauchst, bevor du loslegst

Du brauchst keine spezielle SaaS-Management-Plattform, um diese Prüfung durchzuführen. Du brauchst drei Datenquellen und eine einfache Tabellenkalkulation.

• Buchhaltungs- oder Kreditkartenexporte: Rufe die Transaktionen der letzten 12 Monate ab und filtere nach wiederkehrenden Abbuchungen. So werden Tools erfasst, die monatlich, vierteljährlich und jährlich bezahlt werden.

• Dein Identitätsanbieter: Exportiere den App-Katalog aus Entra ID, Google Workspace oder welchem IdP auch immer du nutzt. Das zeigt zentral bereitgestellte Tools an, lässt aber alles außer Acht, was außerhalb der IT-Abteilung gekauft wurde.

• Eine kurze Teamumfrage: Frag jeden Abteilungsleiter: „Welche Software nutzt dein Team täglich oder wöchentlich, die nicht von der IT eingerichtet wurde?“ Hier kommt „Shadow IT“ zum Vorschein, nicht in deinen Buchhaltungsdaten.

Außerdem benötigst du Administratorzugriff auf die Konsolen deiner wichtigsten Tools, damit du in den folgenden Schritten die Anzahl der Lizenzen und Anmeldedaten abrufen kannst.

Schritt 1: Erstelle ein vollständiges SaaS-Inventar

Führe die Ergebnisse aus allen drei Quellen zu einer Liste zusammen. Duplikate fallen sofort ins Auge: dasselbe Tool, das sowohl auf einer Kreditkartenabrechnung als auch in deinem IdP unter einem leicht abweichenden Namen auftaucht. Auch Schattenabonnements kommen zum Vorschein – oft Tools, für die sich ein Team für eine kostenlose Testversion angemeldet hat, die still und leise in einen kostenpflichtigen Tarif umgewandelt wurde.

Erfasse für jedes Tool auf der Liste fünf Datenpunkte:

1. Verantwortlicher: Die Person oder das Team, das für das Tool zuständig ist.

2. Jährliche Kosten: Rechne die monatlichen Gebühren auf Jahresbeträge um, damit du Äpfel mit Äpfeln vergleichen kannst.

3. Bezahlte Lizenzen vs. aktive Lizenzen: Wie viele Lizenzen dir in Rechnung gestellt werden im Vergleich dazu, wie viele Personen sich tatsächlich einloggen.

4. Verlängerungsdatum und Kündigungsfrist: Der genaue Tag, an dem sich der Vertrag verlängert, und wie weit im Voraus du den Anbieter benachrichtigen musst, um zu kündigen oder die Bedingungen zu ändern.

5. Admin-Zugriffsberechtigte: Wer kann Einstellungen ändern, Nutzer hinzufügen oder Daten exportieren?

Eine Quelle, die bei den meisten Audits vergessen wird, sind die Geräte selbst. Dein Buchhaltungsexport zeigt dir, wofür du bezahlst, und dein IdP sagt dir, was du bereitgestellt hast, aber keiner der beiden sagt dir, was tatsächlich auf einem Laptop gelandet ist. In deeploi gibt es auf jeder Geräteseite einen Reiter „Software“, der die Apps aus dem Bundle dieses Geräts auflistet und angibt, ob jede einzelne installiert ist – zusammen mit dem Datum, an dem sie auf dem Gerät gelandet ist. Du kannst nach einer einzelnen App suchen, anstatt zu scrollen, und die Installation des Pakets auf diesem Gerät erneut auslösen, falls etwas nicht übernommen wurde. Durch einen Abgleich mit deiner Abrechnungsliste findest du so die Lizenz, die du für ein Tool verlängert hast, das niemand je erhalten hat. Diese Bestandsaufnahme ist die Grundlage für jeden folgenden Schritt.

Schritt 2: Miss die tatsächliche Nutzung pro Tool

Kostendaten sagen dir, was du bezahlst. Nutzungsdaten sagen dir, was du tatsächlich nutzt. Du brauchst beides, bevor du Entscheidungen triffst.

Fang mit den einfachsten Anhaltspunkten an:

• Zeitstempel der letzten Anmeldung: Die meisten Admin-Konsolen zeigen an, wann sich jeder Nutzer zuletzt angemeldet hat. Konten ohne Aktivität seit 60 oder mehr Tagen sind gute Kandidaten für die Löschung.

• SSO-Anmelprotokolle: Wenn ein Tool mit deinem IdP verbunden ist, rufe die Authentifizierungsprotokolle ab, um die Häufigkeit zu ermitteln – nicht nur, ob die letzte Anmeldung erst kürzlich erfolgte.

• Berichte der Admin-Konsole: Einige Tools (insbesondere Projektmanagement- und CRM-Plattformen) bieten integrierte Nutzungs-Dashboards, die nicht nur Anmeldungen, sondern auch die Nutzung der Funktionen anzeigen.

Was ist mit Tools ohne Nutzungsberichte? Das kommt öfter vor, als du denkst. Greife in diesem Fall auf Indizien zurück. Überprüfe, ob in letzter Zeit Dateien oder Datensätze erstellt wurden, oder führe eine kurze Umfrage mit fünf Fragen durch, in der du das Team fragst: „Wann hast du dieses Tool zuletzt genutzt und wofür?“ Wenn niemand diese Frage sicher beantworten kann, hast du dein Indiz. Eine solide IT-Dokumentation macht diese Art der Überprüfung in jedem Zyklus schneller.

Schritt 3: Wende das „Cut, Downgrade, Consolidate or Keep“-Framework an

Mit den Bestands- und Nutzungsdaten in der Hand bewertest du jedes Tool anhand von vier Optionen:

• Streichen: Keine sinnvolle Nutzung, keine einzigartige Funktion. Vor der nächsten Verlängerung kündigen.

• Herabstufen: Das Tool wird genutzt, aber die meisten Nutzer verwenden nur die Grundfunktionen. Wechselt zu einem niedrigeren Tarif.

• Konsolidieren: Zwei oder drei Tools dienen demselben Zweck (Projektmanagement, elektronische Signaturen, Dateispeicherung). Wähle eines aus und migrieren. Die Standardisierung des Tool-Sets pro Team statt pro Person verhindert, dass sich Überschneidungen wieder ausbreiten – so funktionieren rollenbasierte Software-Pakete.

• Behalten: Wird aktiv genutzt, richtig gestaffelt, keine Überschneidungen. Verlängern, aber trotzdem verhandeln.

Die Erkennung von Überschneidungen ist hier der wertvollste Schritt. Es kommt häufig vor, dass das Marketing ein Projektmanagement-Tool nutzt, die Technik ein anderes und der Betrieb ein drittes. Drei Abonnements, drei Verwaltungsaufwände, drei Datensätze, die nie miteinander verknüpft werden. Das gleiche Muster zeigt sich bei Tools für elektronische Signaturen, Analyseplattformen und Notiz-Apps.

Dieser Schritt ist ein Entscheidungsschritt, kein Analyseschritt. Jede Zeile in deiner Bestandsliste sollte mit einem klaren Urteil und dem Namen der Person enden, die für die Umsetzung verantwortlich ist.

Schritt 4: Führe den Sicherheitsteil des Audits durch

Kosteneinsparungen machen zwar Schlagzeilen, doch die Sicherheitsbefunde eines SaaS-Audits sind oft dringlicher. Drei Dinge, auf die du achten solltest:

Verwaiste Konten ehemaliger Mitarbeiter. Wenn jemand das Unternehmen verlässt und seine Konten nicht deaktiviert werden, bleiben diese Zugangsdaten aktive Einfallstore in eure Systeme. Etwa 91 % der ehemaligen Mitarbeiter behalten nach ihrem Ausscheiden Zugriff auf mindestens eine Unternehmensdatei oder -anwendung, und bei 31 % der Unternehmen hat ein ehemaliger Mitarbeiter nach seinem Ausscheiden tatsächlich auf in einer SaaS-Anwendung gespeicherte Daten zugegriffen (Security Magazine). Das ist kein theoretisches Risiko, sondern ein nachweisbares.

Tools ohne SSO oder MFA. Jede Anwendung, die außerhalb deines Identitätsanbieters läuft und keine Multi-Faktor-Authentifizierung bietet, ist ein Schwachpunkt. Wenn das Tool Kundendaten, interne Dokumente oder Finanzunterlagen enthält, stellt dieser Schwachpunkt ein Risiko dar. Ein Team-Passwortmanager in Kombination mit einer erzwungenen MFA schließt diese Lücke bei Tools, die SSO nicht nativ unterstützen.

Nicht genehmigte OAuth-App-Berechtigungen. Mitarbeiter erteilen regelmäßig Drittanbieter-Apps (insbesondere KI-Tools) Zugriff auf ihr Google Workspace- oder Microsoft 365-Konto. Diese Berechtigungen bleiben noch lange bestehen, nachdem der Mitarbeiter sie längst vergessen hat. SaaS-Sicherheit hat mittlerweile für 86 % der Unternehmen hohe Priorität, wobei 76 % ihre Budgets für die Erkennung von Bedrohungen und das Management der SaaS-Sicherheitslage aufstocken (Cloud Security Alliance).

Lücken beim Offboarding treten fast immer hier zutage und nicht bei der Kostenüberprüfung. Die Verknüpfung der Lizenzdeaktivierung mit deinem Offboarding-Workflow schließt den Kreis: Wenn die Personalabteilung jemanden als ausscheidend markiert, werden dessen Konten und Zugriffsrechte termingerecht gesperrt – und nicht erst Wochen später, wenn sich jemand daran erinnert. deeploi, die All-in-One-IT-Management-Plattform, lässt sich direkt mit Personio, HiBob, BambooHR oder anderen HR-Tools verbinden, sodass das Austrittsdatum den gesamten Austrittsprozess steuert. Der Zugriff auf den Arbeitsbereich wird automatisch an dem von dir gewählten Tag gesperrt, und die SaaS-Konten des Mitarbeiters sowie die dazugehörigen Lizenzen werden im selben Vorgang deaktiviert. Die Konfiguration eines Austritts dauert zwei bis fünf Minuten statt der zwei bis drei Stunden, die es in Anspruch nimmt, jedes Tool manuell durchzuarbeiten – weshalb verwaisten Konten gar nicht erst mehr in deinem Audit auftauchen.

Schritt 5: Verlängerungen aushandeln und ordnungsgemäß kündigen

Mit den tatsächlichen Nutzerzahlen und Nutzungsdaten bist du am Verhandlungstisch in einer viel stärkeren Position. So nutzt du diesen Vorteil:

• Beginne mit der Anzahl der aktiven Lizenzen. Wenn du für 50 Lizenzen bezahlst, aber nur 30 aktiv sind, sollte dein Verlängerungsangebot 30 widerspiegeln (plus eine kleine Reserve für Wachstum). Anbieter bieten diese Anpassung selten von sich aus an.

• Fordere vor der Kündigung Datenexporte an. Sobald du kündigst, schränken manche Anbieter den Zugriff auf historische Daten sofort ein. Exportiere alles, was du möglicherweise noch brauchst, bevor du auf „Kündigen“ klickst.

• Achte auf Fallstricke bei Kündigungsfristen. Eine 90-tägige Kündigungsfrist bei einem Jahresvertrag bedeutet, dass du drei Monate vor Vertragsverlängerung handeln musst, nicht drei Wochen. Richte dir für jeden Vertrag Kalendererinnerungen 120 Tage im Voraus ein.

• Verhandle zum Quartalsende. Vertriebsteams, die im März, Juni, September und Dezember unter Quotendruck stehen, sind bei Preisen und Konditionen flexibler.

Wenn du eine Kündigungsfrist bereits versäumt hast, bist du noch nicht hilflos. Kontaktiere den Anbieter und verhandle eine kürzere Verlängerungslaufzeit oder eine reduzierte Anzahl an Lizenzen für das Zwischenjahr. Viele werden dem zustimmen, besonders wenn du es als Gespräch zur Kundenbindung und nicht als Beschwerde darstellst.

Schritt 6: Weise Verantwortlichkeiten zu, damit die Systemlandschaft übersichtlich bleibt

Ein Audit liefert nur dann dauerhaften Nutzen, wenn du verhinderst, dass die Softwareumgebung wieder in den Zustand vor dem Audit zurückfällt. Drei Dinge sorgen dafür:

1. Ein Verantwortlicher pro Tool. Für jede Anwendung sollte es eine bestimmte Person geben, die die weiteren Ausgaben rechtfertigt und die Lizenzanzahl verwaltet. Wenn niemand die Verantwortung übernimmt, ist dieses Tool ein heißer Kandidat für die Entfernung.

2. Ein schlanker Antrags- und Genehmigungsweg. Bevor jemand ein neues Abonnement abschließt, prüft er, ob ein bestehendes Tool den Anwendungsfall bereits abdeckt. Dieser eine Schritt verhindert, dass das Problem der Überschneidungen erneut auftritt.

3. Lizenzänderungen im Zusammenhang mit Ein- und Austritten. Wenn ein neuer Mitarbeiter eintritt, erhält er genau das App-Paket, das seine Rolle erfordert. Wenn jemand das Unternehmen verlässt, werden diese Konten und Lizenzen im Rahmen des Austritts geschlossen. deeploi erledigt das durch die Synchronisierung mit deinem HRIS: Ein neuer Mitarbeiterdatensatz löst die Bereitstellung aus dem von dir einmal definierten Rollenpaket aus, und ein Austrittsdatum plant die Deaktivierung, sodass deine Lizenzanzahl korrekt bleibt, ohne dass jemand Tool für Tool nachverfolgen muss.

Ohne kontinuierliche Kontrolle kehrt die SaaS-Wildwucherung innerhalb weniger Monate zurück. Eine vierteljährliche Überprüfung der Nutzerzahlen und neuen Abonnements, zusätzlich zur umfassenden jährlichen Prüfung, hält das Problem im Griff. Wenn du in diesen Rhythmus solide Cybersicherheitspraktiken und Grundlagen der IT-Sicherheit einbaust, erkennst du sowohl Kosten- als auch Risikoprobleme, bevor sie sich verschlimmern.

Behebung häufiger Probleme

Tool ohne Admin-Konsole oder Nutzungsdaten. Greif auf die SSO-Anmelprotokolle zurück. Wenn das Tool nicht mit deinem IdP verbunden ist, führe eine kurze Teamumfrage durch und frage, wann jede Person es zuletzt genutzt hat und zu welchem Zweck. Wenn sich niemand daran erinnern kann, betrachte das als Hinweis auf Nichtnutzung.

Der Anbieter weigert sich, die Lizenznutzung offenzulegen. Eskaliere das an deinen Kundenbetreuer oder schau direkt im Abrechnungsportal nach. Die meisten Abrechnungs-Dashboards zeigen zumindest die Anzahl der Anmeldungen oder die Zahl der aktiven Nutzer an, auch wenn die Haupt-Admin-Konsole diese Daten nicht anzeigt.

Die Kündigungsfrist wurde versäumt. Wende dich sofort an den Anbieter. Verhandle eine kürzere Verlängerungslaufzeit (sechs Monate statt zwölf) oder eine reduzierte Anzahl an Lizenzen für die Übergangszeit. Richte das Gespräch auf die zukünftige Kundenbindung aus: Anbieter passen lieber die Konditionen an, als dich beim nächsten Kündigungstermin komplett zu verlieren.

FAQ

Wie oft sollten wir unseren SaaS-Stack überprüfen?

Führe einmal im Jahr ein vollständiges Audit durch, idealerweise zeitlich auf deinen Budgetzyklus abgestimmt, damit die Ergebnisse direkt in den Plan für das nächste Jahr einfließen. Ergänze dies durch eine weniger umfangreiche vierteljährliche Überprüfung: Überprüfe die Anzahl der Lizenzen, kennzeichne neue Abonnements, die seit der letzten Überprüfung hinzugekommen sind, und vergewissere dich, dass beim Offboarding die Konten tatsächlich wie erwartet deaktiviert wurden.

Was ist, wenn wir kein SSO oder keinen Identitätsanbieter haben?

Nutze Kreditkarten- und Rechnungsauszüge als Hauptquelle und ergänze diese durch eine Umfrage in den einzelnen Teams. Die Lücke selbst ist schon ein Befund: Ohne zentralisiertes Identitätsmanagement kannst du nicht zuverlässig nachverfolgen, wer Zugriff auf was hat. Betrachte das Audit als Ansporn, einen Identitätsanbieter (IdP) einzuführen – das wird jedes zukünftige Audit schneller und genauer machen.

Wie viel kann ein SaaS-Audit zum Jahresende realistisch gesehen einsparen?

Die Einsparungen hängen davon ab, wie lange es seit deiner letzten Überprüfung her ist; betrachte einzelne Vergleichswerte daher mit Vorsicht. Ein strukturiertes Lizenzmanagement allein senkt die Softwareausgaben in der Regel um bis zu 30 %, und der Großteil davon stammt aus drei Bereichen: Lizenzen, die niemand nutzt, Tarife, die höher sind, als es die Arbeit erfordert, und zwei Tools, die dieselbe Aufgabe erfüllen. Die Kündigung ungenutzter Abonnements ist meist der schnellste Erfolg. Downgrades, Konsolidierungen und neu verhandelte Verlängerungen kommen dann noch hinzu.

Wer sollte für den SaaS-Audit-Prozess verantwortlich sein?

Die besten Ergebnisse erzielt eine kleine, funktionsübergreifende Gruppe: jemand aus der IT oder dem Betrieb, der sich mit den Tools auskennt, jemand aus der Finanzabteilung, der die Ausgaben im Blick hat, und ein Abteilungsleiter, der weiß, was die Teams tatsächlich tagtäglich nutzen. In kleineren Unternehmen, in denen eine Person alle drei Rollen übernimmt, ist diese Person der natürliche Verantwortliche.