Oracle Soft Audit: die E-Mail zu auffälligen Downloads

Ein Oracle-Audit beginnt nicht immer mit einem Audit-Brief. Oft steht am Anfang eine formlose E-Mail: Man habe ungewöhnliche Downloads registriert und wolle dazu kurz sprechen. Viele Empfänger denken an ein Sicherheitsproblem und stimmen dem Termin zu. Im Call wird Oracle dann sehr konkret. Es geht um VirtualBox oder Java, die Downloads seien lizenzpflichtig, und dem Unternehmen wird vorgerechnet, was es nun zu kaufen habe. ProLicense, die unabhängige Lizenzberatung, ordnet ein, was an dieser Stelle wirklich gilt.

Wie der Einstieg abläuft

Der Ablauf folgt einem Muster. Oracle protokolliert Downloads von seinen Portalen, samt IP-Adresse und Menge, und leitet daraus einen Verdacht ab. Die erste Kontaktaufnahme kommt nicht von einem Auditor, sondern aus dem Vertrieb, im Ton freundlich und hilfsbereit. Das Wort Audit fällt nicht. Genau das ist der Punkt: Was freiwillig gesagt oder geliefert wird, unterliegt nicht den Grenzen eines formellen Audits. Aus einem netten Gespräch wird so eine Forderung.

Ein Download ist noch keine Lizenzpflicht

Entscheidend ist der Vertragswortlaut. Lizenzpflichtig ist, was installiert und/oder betrieben wird. Ein Download allein ist noch keine Nutzung und noch keine Lizenzpflicht. Unternehmen müssen an dieser Stelle auch nichts beweisen, weder dass VirtualBox nie kommerziell eingesetzt wurde, noch dass eine Java-Version nur zu Testzwecken lag. Die Beweislast liegt nicht beim Kunden. Es gibt eine Vielzahl von Verteidigungsmöglichkeiten, und sie beginnen damit, die Behauptung von Oracle nicht ungeprüft zu übernehmen.

„Ein Download ist kein Deployment. Im Vertrag steht installiert und/oder betrieben, nicht heruntergeladen. Der Kunde muss auch nicht beweisen, dass er die Software nicht eingesetzt hat. Wer diese Umkehr der Beweislast mitmacht, verhandelt am Ende über Geld, das er gar nicht schuldet“, sagt Sören Reimers, Rechtsanwalt und Geschäftsführer der ProLicense.

Niemand muss diesem Gespräch zustimmen

Solange Oracle sich nicht auf die vertragliche Auditklausel beruft, gibt es keine Mitwirkungspflicht. Niemand muss einem Call zustimmen, Daten liefern oder Skripte laufen lassen. Ein Unternehmen kann sich schlicht auf den Vertrag zurückziehen. Erst wenn ein echter Audit-Brief kommt, greift die Auditklausel, und dann gilt genau das, was dort vereinbart ist, nicht mehr. Rein rechtlich muss der Kunde gar nicht reagieren.

Und wenn man doch spricht: die richtigen Fragen

Wer sich für ein Gespräch entscheidet, dreht die Richtung um und fragt zuerst zurück:

• Um welche Downloads geht es konkret, mit Datum, Version und Zuordnung?
• Wie wurden diese Daten ermittelt?
• Auf welcher Grundlage hat Oracle sie erhoben und gespeichert?

Gerade hier gibt es rechtlich erhebliche Angriffspunkte, unter anderem nach der DSGVO. Daten dürfen nicht beliebig gesammelt und ausgewertet werden. Diese Fragen zu stellen, statt sie zu beantworten, verändert die Verhandlungslage.

Sofort ProLicense einschalten

Die größte Gefahr liegt am Anfang. Wer im ersten Call zu viel sagt oder freiwillig Daten liefert, kann das später kaum zurückholen. Wer eine solche Anfrage erhält, sollte deshalb sofort ProLicense kontaktieren. ProLicense klärt die rechtliche Position, was ein Unternehmen muss und was nicht, prüft die Grundlage der Forderung und steuert die Kommunikation, damit nur das aus dem Haus geht, was vertraglich geschuldet ist. Wird daraus ein formelles Oracle-Audit, steht ProLicense ebenfalls auf Kundenseite.

„Die Fehler passieren in den ersten Tagen, nicht am Ende. Ein freundlicher Anruf über auffällige Downloads ist der Beginn eines Audits, auch wenn das Wort nicht fällt. Wer eine solche Mail bekommt, sollte sofort mit uns sprechen, bevor er antwortet“, sagt Markus Oberg von ProLicense.

Ziel bleibt in jedem Fall dasselbe: minimale Kosten bei voller Compliance. Wer eine Download-Anfrage von Oracle erhalten hat, erreicht ProLicense unter +49 (0) 40-228 6828-0.