Schritt-für-Schritt-Anleitung zur Prüfung und Rückgewinnung ungenutzter SaaS-Lizenzen in Ihrem gesamten Stack

Ihr SSO-Dashboard erzählt Ihnen eine Geschichte. Die Kreditkartenabrechnung Ihres Finance-Teams erzählt eine andere. Dazwischen liegt der Bereich, in dem Ihre verschwendeten SaaS-Lizenzen leben - und für die meisten wachsenden Unternehmen ist dieser Bereich enorm.

Laut dem SaaS Management Index 2025 von Zylo verschwenden Unternehmen im Durchschnitt jährlich 21 Millionen US-Dollar für ungenutzte SaaS-Lizenzen - ein Plus von 14,2 % gegenüber dem Vorjahr. Auch in kleinerem Maßstab verlieren kleine Unternehmen im Schnitt rund 2 Millionen US-Dollar pro Jahr durch ungenutzte Lizenzen. Und das Problem: Die meisten Teams prüfen nur die Applikationen, die ihr SSO überhaupt kennt. Das sind typischerweise 30-40 % von allem, was im Unternehmen läuft.

Die anderen 60-70 % - Tools, die über Abteilungs-Kreditkarten gekauft wurden, Applikationen ohne SCIM-Support, Konten ehemaliger Mitarbeiter, die jeden Monat still weiter abgerechnet werden - tauchen in Ihren SSO-Reports nie auf. Sie werden nicht geprüft. Sie werden einfach weiter fakturiert.

Diese Anleitung führt Sie Schritt für Schritt durch einen praxisnahen Prozess: wie Sie jede Applikation in Ihrem Stack identifizieren, jede verwaiste und inaktive Lizenz aufspüren, Ihr rückgewinnbares Budget berechnen und eine laufende Lizenzrückgewinnung automatisieren, damit sich die Verschwendung nicht wieder aufbaut. Genau hier entsteht echte SaaS-Lizenzverwaltung, nicht nur ein einmaliges Aufräumprojekt.

Das Audit, das die meisten Unternehmen bereits fahren (und warum es nicht reicht)

Die meisten IT-Teams führen irgendeine Form von Lizenzprüfung durch. Sie ziehen einen Report aus Okta oder Entra, schauen sich die pro Applikation bereitgestellten User an, markieren offensichtliche Ausreißer - und erklären das Thema für erledigt.

Das ist immer noch besser als gar nichts. Aber dieser Ansatz hat einen strukturellen Blindspot: Er sieht nur Applikationen, die an Ihr SSO angebunden sind. Alles, was manuell provisioniert wurde, außerhalb des IT-Freigabeprozesses gekauft wurde oder auf einem Plan ohne SCIM-Support läuft, taucht schlicht nicht auf.

Shadow-IT ist weiter verbreitet, als die meisten IT-Leiter erwarten. Im Jahr 2024 sind 42 % der eingesetzten SaaS-Applikationen Schatten-IT - sie laufen außerhalb der Kontrolle der IT, 65 % der Applikationen bleiben offiziell nicht genehmigt. Mehr als ein Drittel der Applikationen eines Unternehmens sind Schatten-IT, und 67 % der IT-Verantwortlichen nennen eigenmächtige Softwarekäufe als eine ihrer größten SaaS-Herausforderungen.

Das Ergebnis: Sie fahren ein Audit, fühlen sich sicher, übersehen zwei Drittel Ihrer tatsächlichen Exponierung - und wundern sich beim nächsten Renewal, warum die SaaS-Rechnung weiter steigt. SaaS-Kostenmanagement sieht anders aus.

Ein vollständiges Audit geht von der Annahme aus, dass die IT nicht bereits alles weiß. So setzen Sie eine Prüfung auf, die dieser Realität gerecht wird und echte SaaS-Lizenzoptimierung ermöglicht.

Der 7-stufige Prozess für SaaS-Lizenz-Audit und Lizenzrückgewinnung

Schritt 1: Jede Applikation in Ihrem Stack entdecken (inklusive Schatten-IT)

Bevor Sie Lizenzen prüfen können, müssen Sie wissen, was Sie überhaupt prüfen. Klingt trivial - ist aber genau der Punkt, an dem die meisten Teams zu früh aufhören.

Ziehen Sie jede Datenquelle heran, auf die Sie Zugriff haben:

• SSO-Provider (Okta, Microsoft Entra, Google Workspace): Exportieren Sie alle angebundenen Applikationen und deren provisionierte User. Das ist Ihr Startpunkt, nicht das vollständige Bild.
• HRIS (Workday, BambooHR, Rippling): Welche Tools tauchen in Onboarding-Checklisten auf? Welche sind in rollenbasierten Zugriffspaketen hinterlegt?
• Spesenabrechnungen und Kreditkartenumsätze: Filtern Sie nach wiederkehrenden SaaS-Abbuchungen - monatliche und jährliche Subscriptions, unbekannte Vendor-Namen, Software-Ausgaben auf Abteilungsebene.
• Kreditorenbuchhaltung (Accounts Payable): Jahresverträge und Rechnungen mit Software-Vendoren liegen oft hier - insbesondere bei mehrjährigen Deals.
• Mitarbeiterbefragungen oder Interviews mit Fachbereichen: Fragen Sie Teamleads, welche Tools ihre Leute tatsächlich täglich nutzen. Hier tauchen Applikationen auf, von denen die IT noch nie gehört hat.

Das Ziel ist ein vollständiges Applikationsinventar - jedes Tool, für das bezahlt wird, nicht nur das, welches die IT aktiv verwaltet. Rechnen Sie mit Überraschungen. Genau an dieser Stelle zahlt sich "Schatten-IT erkennen" als aktiver Prozess aus.

Schritt 2: Jedes Konto einer realen Person zuordnen - oder als verwaist markieren

Sobald Ihre Applikationsliste steht, ziehen Sie für jedes Tool die User- bzw. Account-Liste. Danach gleichen Sie diese mit der aktuellen Mitarbeiterliste aus Ihrem HRIS ab.

Für jedes Konto stellen Sie sich drei Fragen:

• Arbeitet diese Person noch im Unternehmen? Wenn nicht, handelt es sich um ein verwaistes Konto - eine Zombie-Lizenz, die für einen Ex-Mitarbeiter weiter monatlich abgerechnet wird.
• Handelt es sich um einen Freelancer, Berater oder externen Kollaborateur? Diese Accounts fallen oft aus dem Standard-Offboarding und werden leicht übersehen.
• Ist es ein Service-Account, Bot oder KI-Agent? Nicht-menschliche Identitäten brauchen ebenso Governance. Eine ungenutzte API-Integration oder ein stillgelegter Bot kann dauerhaft in einem kostenpflichtigen Tier hängen bleiben.

Jedes Konto, das sich weder einem aktiven Mitarbeiter noch einer dokumentierten, begründeten nicht-menschlichen Identität zuordnen lässt, ist ein Kandidat für Lizenzrückgewinnung. Markieren Sie konsequent alles - die Priorisierung folgt in Schritt 5.

Hier zeigt sich besonders deutlich, wo ein reines SSO-Audit an seine Grenzen stößt. 31 % der Unternehmen haben erlebt, dass ehemalige Mitarbeiter nach ihrem Austritt weiterhin auf Assets in SaaS-Applikationen zugegriffen haben - weil das Entfernen aus dem SSO nicht automatisch die direkten Logins in eigenständig eingerichteten Applikationen oder in Tools ohne erzwungenes SSO entfernt.

Schritt 3: Nutzungsmuster analysieren - letzter Login, Frequenz, Aktivität

Ein Konto, das einem aktiven Mitarbeiter zugewiesen ist, ist nicht automatisch ein aktiv genutztes Konto. Rollen ändern sich, Projekte laufen aus, Tools geraten in Vergessenheit.

Für jede Applikation ziehen Sie:

• Letztes Login-Datum pro User
• Login-Frequenz der letzten 60-90 Tage
• Feature-Nutzung, sofern die API der Applikation diese Daten liefert (z. B. GitHub-Commits, Figma-Dateiänderungen, Notion-Seitenaktivität)

Allgemeine Schwellenwerte, die Sie anwenden können:

• Daily-Use-Tools (Slack, Jira, GitHub, Linear): Kein Login in 30 Tagen -> als inaktiv markieren
• Kollaborationstools (Figma, Miro, Notion): Kein Login in 60 Tagen -> als inaktiv markieren
• Periodisch genutzte Tools (Reporting, Analytics, HR-Tools): Kein Login in 90 Tagen -> als inaktiv markieren

Inaktive Seats, die noch aktiven Mitarbeitern zugeordnet sind, sind ebenfalls Kandidaten für Lizenzrückgewinnung. Sie können diese Personen kurz kontaktieren, um zu klären, ob der Zugriff wirklich noch benötigt wird, ggf. auf einen günstigeren Plan downgraden oder deprovisionieren und bei Bedarf wieder bereitstellen. So entsteht schrittweise strukturierte SaaS-Lizenzverwaltung.

Schritt 4: Ihr rückgewinnbares Budget pro Applikation berechnen

Jetzt kommt die Zahl, die wirklich zählt: Wie viel Geld können Sie realistisch zurückholen?

Für jede Applikation ist die Berechnung simpel:

Rückgewinnbares Budget = verwaiste/inaktive Seats × jährliche Kosten pro Seat

Führen Sie diese Rechnung für jede Applikation in Ihrem Inventar durch. Die Tabelle unten zeigt ein Beispiel für ein Unternehmen mit 200 Mitarbeitern und einem typischen SaaS-Stack:

Einige Punkte, die Sie zusätzlich zur reinen Seat-Kalkulation einbeziehen sollten:

• Enterprise-Plan-Aufschläge nur für SCIM: Wenn Sie primär auf einem Enterprise-Plan sind, um automatisierte Provisionierung zu bekommen - nicht wegen der eigentlichen Enterprise-Features -, zahlen Sie die sogenannte SCIM-Steuer. Berechnen Sie die Differenz zwischen Ihrem aktuellen Plan und dem Tier, das Sie fachlich benötigen würden ohne SCIM-Anforderung. Diese Differenz wird zu rückgewinnbarem Budget, sobald Sie Governance über universelle Konnektoren abbilden können.
• Doppelte Tools: Das durchschnittliche Unternehmen hat 15 redundante Online-Training-Apps, 11 Projektmanagement-Tools und 10 Team-Kollaborations-Apps. Die Konsolidierung solcher Dopplungen gehört zu den Maßnahmen mit dem höchsten ROI im Rahmen von SaaS-Lizenzoptimierung.
• Automatisch verlängerter Shelfware: Die meisten SaaS-Verträge enthalten Auto-Renewal-Klauseln mit Preisaufschlägen - wenn Sie die tatsächliche Nutzung nicht aktiv monitoren, verlängern Sie leere Seats und zahlen jährlich mehr dafür.

Nutzen Sie den interaktiven Rechner unten, um Ihr eigenes rückgewinnbares Budget zu schätzen:

Schritt 5: Nach den teuersten und am wenigsten genutzten Applikationen priorisieren

Sie haben nun eine Liste von Kandidaten für Lizenzrückgewinnung über Ihren gesamten Stack hinweg. Versuchen Sie nicht, alles gleichzeitig zu bearbeiten - priorisieren Sie hart.

Sortierkriterium: Jährliche Verschwendung pro Tool (absteigend)

Ihre Quick-Wins sind Applikationen, bei denen

• die Kosten pro Seat hoch sind (z. B. Design-Tools, Dev-Plattformen, Business-Intelligence),
• die Anzahl inaktiver/verwaister Seats groß ist und
• das Tool nicht tief in tägliche Kernprozesse eingebettet ist (geringeres Risiko für Störungen).

Ihre sekundären Ziele sind:

• Tools auf Enterprise-Plänen primär wegen SCIM/SSO, bei denen ein universeller Konnektor es erlauben würde, auf einen günstigeren Plan zu wechseln,
• doppelte Tools, die funktional dasselbe leisten wie eine Applikation, für die Sie ohnehin bereits zahlen.

Was Sie in dieser Welle tendenziell auslassen können:

• Günstige Tools mit sehr wenig Verschwendung (< 500 US-Dollar/Jahr), sofern kein Sicherheitsrisiko besteht,
• Applikationen in laufenden Verträgen ohne vorzeitige Ausstiegsklausel (für Maßnahmen zum Renewal-Termin vormerken).

Schritt 6: Lizenzrückgewinnung umsetzen - deprovisionieren, downgraden oder kündigen

Mit Ihrer priorisierten Liste geht es in die Umsetzung. Für jedes markierte Konto oder Tool gilt:

Verwaiste Konten (Ex-Mitarbeiter):

• Sofort deprovisionieren. Keine Approval-Runde - hier geht es um Sicherheit, nicht nur um Kosten.
• Sicherstellen, dass das Konto vollständig entfernt und nicht nur "deaktiviert" ist, wenn der Vendor aktive Accounts abrechnet.

Inaktive Seats (aktive Mitarbeiter):

• Versenden Sie eine kurze Abfrage: "Wir führen eine Lizenzprüfung durch. Nutzt du [Tool] aktuell aktiv? Wenn wir in 5 Tagen nichts hören, deprovisionieren wir - bei Bedarf kannst du den Zugriff jederzeit neu anfordern."
• So fangen Sie Sonderfälle (z. B. längere Abwesenheit, saisonale Nutzung) ab, ohne die Verschwendung einfach laufen zu lassen.

Tool-Konsolidierung:

• Migrieren Sie User vom weniger genutzten Tool auf die primäre Plattform.
• Kündigen oder downgraden Sie die redundante Subscription vor dem nächsten Renewal.

Plan-Downgrades (SCIM-Steuer zurückholen):

• Wenn ein Tool ausschließlich wegen SCIM auf Enterprise-Level läuft, prüfen Sie, ob Ihre Identity-Governance-Plattform dieses Tool auf einem Standard-Plan anbinden kann. Wenn ja, downgraden Sie nach bestätigter Konnektor-Abdeckung.

Schritt 7: Laufende Lizenzrückgewinnung automatisieren, damit das Problem nicht zurückkommt

Genau diesen Schritt lassen die meisten Teams aus - und deshalb kehrt Lizenzverschwendung immer wieder zurück. Ein einmaliges Audit ist eine Momentaufnahme. Mit der nächsten Einstellung, der nächsten Kündigung, dem nächsten Toolkauf eines Teams beginnt sich die Verschwendung erneut aufzubauen.

Nachhaltige "Hygiene" in der SaaS-Lizenzverwaltung braucht automatisierte, ereignisbasierte Lizenzrückgewinnung:

• Offboarding-Trigger: Sobald ein Mitarbeiter im HRIS als ausgeschieden markiert ist, werden seine Accounts über alle Applikationen im Stack hinweg automatisch deprovisioniert - nicht nur in den SSO-angebundenen Tools.
• Rollenwechsel-Trigger: Wenn jemand die Abteilung wechselt, wird automatisch das Zugriffsprofil der neuen Rolle angewendet und nicht mehr benötigte Berechtigungen entzogen.
• Inaktivitätsschwellen: Führen Sie kontinuierliche Access-Checks gegen Ihre definierten 30/60/90-Tage-Schwellen durch. Markieren Sie inaktive Seats zur automatischen Prüfung oder Deprovisionierung.
• Erkennung neuer Applikationen: Lassen Sie sich benachrichtigen, wenn in Spesenreports oder SSO-Logs ein neues Tool auftaucht - so erkennen Sie Schatten-IT beim ersten Auftreten, nicht Monate später.

Der entscheidende Punkt: Diese Automatisierung funktioniert nur, wenn Ihre Governance-Plattform jede Applikation in Ihrem gesamten Stack erreicht - nicht nur die Tools mit SCIM-Support.

Tools, die nur SCIM-angebundenen Applikationen automatisieren, lassen den Long Tail - und damit den Großteil Ihrer Verschwendung - komplett unangetastet. Analysen gängiger SaaS-Tools zeigen: 57 % bieten überhaupt keinen SCIM-Support auf irgendeinem Tarif, und nur 9 Applikationen stellen SCIM unterhalb der Enterprise-Preise bereit. Wenn Ihre Lifecycle-Automatisierung auf SCIM angewiesen ist, bleibt der Großteil Ihres Stacks zwangsweise manuell - und Ihre Lizenzverschwendung baut sich zwischen den Audits immer wieder neu auf.

Genau aus diesem strukturellen Grund hält sich die 30-%-Coverage-Falle: Automatisierung deckt die einfache 20-40-%-Spitze ab - der Rest des Stacks bleibt ein manueller, kosten- und risikotreibender Blindspot.

Warum Ihr Audit nur so gut ist wie Ihre Applikationsabdeckung

Ein manuelles Full-Stack-Audit ist anstrengend. Aber die Automatisierung mit einem SSO-only-Tool löst das Problem nicht - sie automatisiert nur den Teil, der ohnehin einfacher zu lösen war.

Der Vergleich, der wirklich zählt:

Die universellen Konnektoren von Iden schließen diese Lücke. Anstatt SCIM-Support im Enterprise-Plan eines Vendors vorauszusetzen, verbindet Iden sich über native APIs mit Applikationen - und mit Tools ganz ohne API - und liefert identische Discovery-, Provisionierungs- und Deprovisionierungs-Abdeckung über Ihren gesamten Stack. Das bedeutet konkret:

• Shadow-IT-Applikationen werden in dem Moment in die Governance gezogen, in dem sie entdeckt werden.
• Non-SCIM-Tools (also die Mehrheit Ihres Stacks) erhalten denselben automatisierten Identity-Lifecycle wie Okta-angebundene Applikationen.
• Verwaiste Konten in jeder Applikation werden beim Offboarding automatisch gefunden und entfernt - nicht nur in den Tools, an die die IT gerade denkt.
• Lizenzrückgewinnung läuft kontinuierlich, nicht nur, wenn jemand daran denkt, ein Audit zu starten.

Gleichzeitig zahlen Sie die SCIM-Steuer nicht mehr. Wenn Ihr aktuelles Identity-Governance-Setup Enterprise-Upgrades für Tools wie Notion, Figma oder Asana erzwingt, nur um automatisierte Provisionierung zu bekommen, beseitigen die Standard-Plan-Konnektoren von Iden genau diesen Aufschlag. Volle Automatisierung ohne Enterprise-Tarif.

Das Ergebnis für einen typischen Mid-Market-Stack: bis zu 30 % weniger SaaS-Verschwendung durch automatisierte Lizenzrückgewinnung - plus den Sicherheitsgewinn durch das Eliminieren verwaister Konten und Zombie-Lizenzen, die Ihre Angriffsfläche vergrößern.

Damit es bleibt: Der Reclamation-Lifecycle

Ein einmaliges Audit plus eine Deprovisionierungs-Welle ist ein guter Start. Aber Sie brauchen einen Prozess, der dauerhaft läuft. In der Praxis sieht das so aus:

• Monatlich: Inaktivitätsreports prüfen. Seats, die durch Ihre 30/60/90-Tage-Schwellen fallen, deprovisionieren oder begründet bestätigen.
• Bei jedem Offboarding: Vollständige, automatisierte Deprovisionierung über den gesamten Stack, ausgelöst durch das HRIS. Keine Checkliste, kein manuelles Ticket. Abschluss prüfen.
• Zu jedem Renewal: 60-90 Tage vor jedem Verlängerungstermin Nutzungsdaten ziehen. Auf Basis aktiver Seats verhandeln - nicht auf Basis bloßer Provisionierung.
• Quartalsweise: Shadow-IT-Alerts für neue ungemanagte Tools prüfen. Entweder in die Governance ziehen oder blockieren.
• Jährlich: Vollständige Neubewertung des rückgewinnbaren Budgets. Vergleich mit dem Vorjahr. Reclamation-ROI für Finance-Stakeholder ausweisen.

Wenn Sie unseren Leitfaden zur Berechnung des echten ROI von Identity-Automatisierung kennen, sehen Sie, wie Lizenzrückgewinnung direkt in die Säule "SaaS-Ausgaben" Ihrer Business-Case-Rechnung einzahlt. Der Effekt skaliert schnell - insbesondere, wenn Auto-Renewals und jährliche Preisaufschläge im Spiel sind.

FAQ

Fazit

SaaS-Lizenzverschwendung ist kein Wissensproblem - die meisten IT-Teams wissen sehr genau, dass es sie gibt. Es ist ein Problem von Abdeckung und Automatisierung. Die Applikationen, die die meiste Verschwendung erzeugen, sind genau jene, die Ihre aktuellen Tools nicht erreichen: Schatten-IT, Non-SCIM-Tools, Long-Tail-SaaS, die außerhalb des Blickfelds der IT gekauft wurden.

Das Playbook ist überschaubar:

1. Alles entdecken - über SSO hinaus: Spesen, Kreditoren, Mitarbeiterfeedback einbeziehen.
2. Jedes Konto zuordnen - mit dem HRIS abgleichen; verwaist = sofortige Lizenzrückgewinnung.
3. Nutzung analysieren - letztes Login und Aktivitätsdaten nach Tool-Typ auswerten.
4. Rückgewinnbares Budget berechnen - pro Seat × pro App, einschließlich SCIM-Steuer-Aufschlägen.
5. Nach Impact priorisieren - zuerst hohe Kosten bei geringer Nutzung.
6. Reclamation umsetzen - deprovisionieren, downgraden, kündigen oder konsolidieren.
7. Den Lifecycle automatisieren - damit sich die Verschwendung nicht zwischen Audits neu aufbaut.

Der letzte Schritt trennt eine einmalige Aktion von einer strukturellen Lösung. Und er funktioniert nur, wenn Ihre Governance-Plattform 100 % Ihres Stacks abdeckt - nicht nur die 30-40 %, die Ihr SSO ohnehin bereits sieht.

Genau hier treffen saubere SaaS-Lizenzverwaltung, effizientes SaaS-Kostenmanagement und systematische SaaS-Lizenzoptimierung zusammen.