Auditnachweis erstellen: Lizenzbericht für eine Prüfung erzeugen, lesen und übergeben

Bei einer Lizenzprüfung fragt der Hersteller oder Ihre interne Prüfung: Wie viele Lizenzen hatten Sie, wie viele haben Sie genutzt, und welche Verstöße kannten Sie? Die Übersicht der Lizenzbilanz beantwortet das nur für den Moment, und sie ändert sich mit jeder neuen Angabe. Für eine Prüfung brauchen Sie einen festen Stand, der sich später nicht mehr ändert.

Dafür erzeugt knooing im Abschnitt Auditnachweis einen Bericht zu einem Programm. Er hält den Stand eines Zeitpunkts fest, mit den Tagesständen, Lizenzfunden und Vorwarnungen. knooing legt den Bericht ab, versieht ihn mit einer Prüfsumme und ändert ihn nie wieder. Am Ende haben Sie eine Datei und ihre Prüfsumme, die Sie dem Prüfer übergeben. Die kurze Fassung steht in Lizenzbilanz auswerten, Schritt 4. Hier geht es um den Inhalt und um die Übergabe.

Die wichtigsten Begriffe

• Bericht: ein fester Stand zu genau einem Programm. Jeder Klick auf Bericht erzeugen legt einen neuen Bericht an. Einen Bericht kann niemand ändern oder löschen.
• Stichtag: Datum und Uhrzeit, zu denen der Bericht erzeugt wurde. Alle Zahlen darin gelten für diesen Moment. Einen früheren Zeitpunkt können Sie nicht wählen. Stichtag und Erzeugung fallen also zusammen.
• Prüfsumme: eine Folge aus 64 Ziffern und Buchstaben, die aus dem Inhalt der Datei berechnet wird. Ändert sich auch nur ein Zeichen der Datei, ergibt sich eine andere Prüfsumme. Die Liste zeigt in der Spalte Hash die ersten 12 Zeichen. Die volle Prüfsumme steht im aufgeklappten Bericht unter „Prüfsumme (SHA-256) der Berichtsdatei:“.
• Tagesstand: der Stand der Übersicht an einem Tag, also gekaufte und genutzte Lizenzen und der Zustand. Je Programm speichert knooing einen Tagesstand für jeden Tag, an dem es die Übersicht berechnet. Rechnet es an einem Tag mehrmals, gilt die letzte Berechnung. Im Bericht heißt die Liste Tagesschnappschuss-Verlauf.
• Lizenzfund: ein Verstoß, es fehlen Lizenzen. Er steht im Reiter Autorisierung unter Lizenz-Überhang. Im Bericht heißt er Über-Deployment-Fund.
• Vorwarnung: ein Hinweis, bevor Lizenzen fehlen, siehe Lizenz-Vorwarnungen nutzen. Im Bericht heißt sie Compliance-Vorwarnung.
• Nachweiskette: die Liste der Wiedereröffnungen eines Lizenzfundes oder einer Vorwarnung. Jeder Eintrag trägt seine eigene Prüfsumme und die des vorigen Eintrags. Einträge lassen sich nicht ändern. Fehlt ein Eintrag oder ist einer verändert, passt die Kette nicht mehr zusammen.
• JSON: ein Textformat für Daten. Prüfwerkzeuge lesen es, und jeder Texteditor öffnet es.

Schritt 1: Den Bericht erzeugen

Öffnen Sie in der Seitenleiste Konfigurationsverwaltung und darin Bestand. Wählen Sie oben den Reiter Lizenzbilanz. Scrollen Sie ans Ende der Seite zum Abschnitt Auditnachweis. Tragen Sie unter Hersteller (Slug) und Produkt (Slug) die Schreibweise aus der Übersicht ein, abgetippt oder kopiert. Klicken Sie auf Bericht erzeugen (1). Aktualisieren daneben lädt nur die Liste neu.

Danach steht der neue Bericht oben in der Liste (2). Die Zeile nennt Hersteller, Produkt, Stichtag, Zeilen und Hash. Darunter öffnet sich der Inhalt des Berichts. Die Liste zeigt nur Berichte zu den beiden eingetragenen Werten, solange sie in den Feldern stehen. Im Bild stehen darunter zwei frühere Berichte zum selben Programm.

12

Warum am Tag der Anforderung? Der Bericht gilt für den Moment, in dem Sie ihn erzeugen. Erzeugen Sie ihn deshalb, sobald der Prüfer den Stand verlangt, und nicht erst Tage später. Einen Bericht für einen früheren Tag kann knooing nicht erzeugen. Was Sie dann tun können, steht in Auditnachweis wiederfinden unter „Einen Tag ohne eigenen Bericht belegen“.

Beispiel: Muster Datenbank kündigt eine Lizenzprüfung für die Datenbank der Warenwirtschaft an. Julia Beispiel trägt muster-datenbank und datenbank-enterprise ein und klickt auf Bericht erzeugen.

Schritt 2: Den Bericht lesen

Lesen Sie den geöffneten Bericht von oben nach unten. Ist er zugeklappt, klicken Sie auf seine Zeile. Danach steht der Inhalt unter der Zeile. Ganz oben steht in kleiner grauer Schrift die volle Prüfsumme: „Prüfsumme (SHA-256) der Berichtsdatei:“ und 64 Zeichen. Sie brauchen sie in Schritt 4. Markieren Sie sie mit der Maus und kopieren Sie sie. Darunter folgen fünf Teile:

• Aktuelle Position (Stichtag …): der Zustand und „Berechtigt: …, Verbraucht: …“ zum Stichtag (1).
• Tagesschnappschuss-Verlauf: wie viele Tagesstände der Bericht enthält. Die Werte selbst stehen nur in der Datei.
• Über-Deployment-Funde: die Zahl der Lizenzfunde zu diesem Programm (2). Darunter steht jeder Lizenzfund mit seinem Status und „Defizit … (…), erkannt …“. Das Defizit ist die Zahl der fehlenden Lizenzen, bei „Keine Lizenz erfasst“ die Zahl der Geräte. Wurde der Lizenzfund wieder geöffnet, folgt „…x wiedereröffnet“.
• Compliance-Vorwarnungen: die Zahl der Vorwarnungen. Darunter steht jede mit Status, Art und „erkannt …“.
• Nachweiskette: die Wiedereröffnungen. Gab es keine, steht dort „keine Einträge (bislang keine Wiedereröffnung)“.

Der Bericht nennt jeden Lizenzfund und jede Vorwarnung, auch geschlossene. Den Status zeigt er als englischen Systemwert. Die deutschen Namen aus dem Reiter Autorisierung sind:

• raised: Gemeldet. Noch niemand hat den Lizenzfund in Bearbeitung genommen. Bei einer Vorwarnung heißt es: Sie ist offen.
• dispatched: In Bearbeitung.
• accepted: Bestätigt, der Verstoß ist als echt bestätigt.
• verified: Behoben (verifiziert). knooing hat den Lizenzfund oder die Vorwarnung selbst geschlossen, weil der Grund entfallen ist.
• rejected: Kein echter Verstoß.

Sie dürfen den Bericht übergeben, auch wenn er einen offenen Lizenzfund zeigt. Der Prüfer will genau sehen, welche Verstöße Sie kannten.

Die Zahl in der Spalte Zeilen zählt Tagesstände, Lizenzfunde, Vorwarnungen und Einträge der Nachweiskette zusammen. Was Sie bei einem offenen Lizenzfund tun, steht in Nicht lizenzierte Software erkennen.

12

Warum auch geschlossene Lizenzfunde? Ein Prüfer will nicht nur den heutigen Zustand sehen. Er will wissen, ob Sie Verstöße kannten und wie Sie damit umgegangen sind. Der Bericht zeigt deshalb jeden Lizenzfund und jede Vorwarnung mit Status und Zeitpunkt.

Beispiel: Im Bericht steht „Aktuelle Position (Stichtag 2.10.2026):“, dann Unterlizenziert und „Berechtigt: 128, Verbraucht: 144“. Unter „Über-Deployment-Funde: 1“ steht raised mit „Defizit 16 (per_core), erkannt …“. Der Beispiel GmbH fehlen also 16 Kerne, und noch niemand hat den Lizenzfund übernommen. Vorwarnungen gab es keine, die Nachweiskette ist leer.

Schritt 3: Den Bericht herunterladen

Klicken Sie ganz rechts in der Zeile des Berichts auf das kleine Download-Symbol, den Pfeil über einem Strich. Halten Sie die Maus darüber, zeigt der Browser „Bericht herunterladen“. Der kleine Pfeil daneben klappt den Bericht auf und zu.

Danach speichert Ihr Browser eine Datei, meist im Ordner Downloads. Ihr Name beginnt mit lizenz-auditnachweis-, dann folgen Hersteller, Produkt und eine Kennung des Berichts. Die Datei enthält den ganzen Bericht als JSON, auch die Werte jedes Tagesstands. Was darin steht, erklärt der Abschnitt „Was in der Datei steht“ weiter unten.

Warum eine Datei? Die Ansicht in knooing ist für Sie gedacht. Der Prüfer braucht eine Datei, die er in seinen Unterlagen ablegen und selbst auswerten kann. Lädt jemand den Bericht später erneut herunter, bekommt er genau dieselbe Datei.

Beispiel: Julia Beispiel lädt den Bericht zur Datenbank herunter. Die Datei heißt lizenz-auditnachweis-muster-datenbank-datenbank-enterprise-<Kennung>.json. Julia legt sie im Ordner der Lizenzprüfung ab.

Schritt 4: Die Prüfsumme festhalten und übergeben

Übergeben Sie dem Prüfer die Datei, die volle Prüfsumme aus dem aufgeklappten Bericht und den Stichtag aus der Liste. Notieren Sie Prüfsumme und Stichtag auch für sich.

Als Gegenprobe rechnen Sie die Prüfsumme der heruntergeladenen Datei selbst aus. Beide Prüfsummen müssen gleich sein. Groß- und Kleinschreibung spielt dabei keine Rolle.

Unter Windows: Öffnen Sie den Ordner der Datei im Explorer. Tippen Sie oben in die Adresszeile powershell und drücken Sie die Eingabetaste. Tippen Sie im neuen Fenster Get-FileHash .\lizenz und drücken Sie die Tabulatortaste: PowerShell ergänzt den Dateinamen. Tippen Sie dahinter -Algorithm SHA256 und drücken Sie die Eingabetaste. Die Zeile sieht dann so aus:

Get-FileHash .\lizenz-auditnachweis-muster-datenbank-datenbank-enterprise-<Kennung>.json -Algorithm SHA256

Unter Hash steht die Prüfsumme in Großbuchstaben.

Unter macOS: Öffnen Sie das Programm Terminal. Tippen Sie shasum -a 256 und ein Leerzeichen, ziehen Sie die Datei in das Fenster und drücken Sie die Eingabetaste. Die Zeile sieht dann so aus:

shasum -a 256 /Users/…/lizenz-auditnachweis-muster-datenbank-datenbank-enterprise-<Kennung>.json

Die Prüfsumme steht vorn in der Ausgabe, in Kleinbuchstaben.

Unter Linux: wie unter macOS, nur heißt der Befehl sha256sum statt shasum -a 256.

Warum die Prüfsumme? Mit ihr kann der Prüfer selbst nachprüfen, dass die Datei unverändert ist, ohne knooing vertrauen zu müssen. Rechnet er später dieselbe Prüfsumme aus, ist es dieselbe Datei.

Beispiel: Julia Beispiel rechnet die Prüfsumme in PowerShell aus. Sie stimmt mit der vollen Prüfsumme im aufgeklappten Bericht überein. Sie schickt dem Prüfer von Muster Datenbank die Datei und schreibt Stichtag und volle Prüfsumme in die Nachricht.

Was in der Datei steht

Diesen Abschnitt brauchen nur Prüfwerkzeuge, Sie können ihn überspringen. Öffnen Sie die Datei in einem Texteditor, schadet das nicht, solange Sie nicht speichern. Die wichtigsten Felder:

• generatedAt und asOf: Zeitpunkt der Erzeugung und Stichtag. Alle Zeiten der Datei stehen in Weltzeit (UTC), die Liste in knooing zeigt Ihre Ortszeit.
• vendorSlug und productSlug: Hersteller und Produkt in ihrer Schreibweise.
• currentPosition: der Stand zum Stichtag. entitlementCount sind die gekauften Lizenzen, consumedCount die genutzten, metric die Preismetrik, status der Zustand. null heißt Unbekannt.
• snapshotHistory: die Tagesstände, der neueste zuerst, höchstens 400 Tage. Jeder Eintrag hat snapshotDate, gekaufte und genutzte Lizenzen und status.
• overDeploymentFindings: die Lizenzfunde mit status, deficitCount (fehlende Lizenzen), createdAt (erkannt), resolvedAt (geschlossen) und reopenCount (Wiedereröffnungen).
• complianceWarnings: die Vorwarnungen mit warningType, status, detail und denselben Zeitfeldern.
• evidenceTrail: die Nachweiskette. Jeder Eintrag hat hash, seine eigene Prüfsumme, und prevHash, die des vorigen Eintrags.

Die Zustände heißen in der Datei under_licensed (Unterlizenziert), over_licensed (Überlizenziert), balanced (Ausgeglichen) und unknown (Unbekannt). Die Arten der Vorwarnung heißen entitlement_expiring (Berechtigung läuft aus) und approaching_cap (Nähert sich der Grenze).

Wenn etwas nicht klappt

• „Hersteller und Produkt sind Pflichtfelder.“ Sie haben auf Bericht erzeugen geklickt, ohne beide Felder auszufüllen. Tragen Sie beide Schreibweisen ein.
• „Noch kein Auditnachweis-Bericht erzeugt für diese Angaben.“ Zu dieser Schreibweise gibt es noch keinen Bericht. Die Liste sucht genau nach dem eingetragenen Wort, ein Teil des Namens genügt nicht. Vergleichen Sie die Schreibweise mit der Übersicht oder klicken Sie auf Bericht erzeugen.
• Der Bericht zeigt Unbekannt. Für das Programm fehlt ein Los oder eine Angabe zum Verbrauch. Der Bericht hält dann fest, dass die Angabe fehlte. Tragen Sie sie nach, siehe Lizenzbilanz auswerten, Schritt 3, und erzeugen Sie einen neuen Bericht. Der alte bleibt in der Liste.
• Der Bericht zeigt eine Ablesung nicht, die Sie gerade erfasst haben. Er rechnet nur mit gültigen Werten. Eine Ablesung, die noch unter Wartet auf Freigabe steht, zählt nicht. Lassen Sie sie freigeben, siehe Ablesung freigeben oder ablehnen, und erzeugen Sie dann einen neuen Bericht.
• Versehentlich mehrere Berichte erzeugt. Berichte lassen sich nicht löschen, jeder bleibt in der Liste. Das schadet nicht. Nennen Sie dem Prüfer den Stichtag des Berichts, den Sie übergeben.
• Die selbst gerechnete Prüfsumme stimmt nicht mit der vollen Prüfsumme im aufgeklappten Bericht überein. Haben Sie die Datei in einem Editor geöffnet und gespeichert, hat sich ihr Inhalt geändert. Oder es ist die Datei eines anderen Berichts, denn jeder hat seine eigene Prüfsumme. Laden Sie die Datei aus der richtigen Zeile erneut herunter und rechnen Sie, ohne sie vorher zu öffnen.
• PowerShell meldet, der Pfad sei nicht gefunden. Der Dateiname stimmt nicht, oder das Fenster steht in einem anderen Ordner. Öffnen Sie PowerShell wie beschrieben aus dem Ordner der Datei und lassen Sie den Namen mit der Tabulatortaste ergänzen.
• PowerShell oder Terminal lässt sich nicht öffnen. Ihr Rechner sperrt es. Die Gegenprobe ist freiwillig. Übergeben Sie die Prüfsumme aus knooing.
• „Der Auditnachweis-Bericht ließ sich nicht erzeugen.“ Versuchen Sie es nach einem Moment erneut. Bleibt die Meldung, wenden Sie sich an die Personen, die knooing in Ihrem Unternehmen betreuen.
• „Das Berichtsdetail konnte nicht geladen werden.“ beim Aufklappen. Klicken Sie daneben auf Erneut versuchen.
• „Die erzeugten Auditnachweis-Berichte ließen sich nicht laden.“ Laden Sie die Seite neu.
• „Der Bericht konnte nicht heruntergeladen werden.“ oder „Berichtsdatei nicht gefunden.“ Versuchen Sie es erneut. Bleibt die Meldung, wenden Sie sich an die Personen, die knooing in Ihrem Unternehmen betreuen. Eine schon heruntergeladene Datei bleibt mit ihrer Prüfsumme gültig.