User-CAL oder Device-CAL: Was Sie wirklich brauchen

Ein gekaufter Windows Server läuft – und trotzdem ist die Lizenzierung noch nicht abgeschlossen. Das Betriebssystem darf installiert werden, der Zugriff darauf ist damit aber nicht abgedeckt. Dafür sorgen Client Access Licenses, kurz CALs. Wer hier falsch plant, zahlt entweder zu viel oder steht bei einer Lizenzprüfung schlecht da. Die Frage, an der sich fast jede Beschaffung entscheidet: User-CAL oder Device-CAL? Die Antwort hängt weniger vom Budget ab als vom Verhältnis zwischen Mitarbeitenden und Geräten – und davon, ob Remote-Desktop-Sitzungen im Spiel sind.

Was ist eine CAL bei Windows Server überhaupt?

Eine CAL ist ein Zugriffsrecht, keine Software. Sie berechtigt einen Nutzer oder ein Gerät dazu, die Dienste eines Windows Servers zu verwenden: Anmeldung an Active Directory, Dateifreigaben, Druckdienste, DHCP, DNS. Die Serverlizenz selbst deckt nur die Installation und den Betrieb des Betriebssystems ab. Beides zusammen ergibt erst eine vollständige Lizenzierung.

Der Unterschied zu klassischer Software fällt vielen Einkäufern erst spät auf: Eine Basis-CAL wird nirgends eingespielt und nirgends aktiviert. Sie ist ein Dokument über ein Recht. Nur RDS-CALs werden tatsächlich auf einem Lizenzserver hinterlegt und ausgegeben.

Warum reicht die Windows-Server-Lizenz allein nicht aus?

Weil Microsoft Serverbetrieb und Serverzugriff getrennt lizenziert. Die Server-Lizenz wird nach Prozessorkernen berechnet – mindestens 16 Kerne pro Server, mindestens 8 pro Prozessor. Diese Kernlizenzen sagen nichts darüber aus, wie viele Menschen oder Geräte den Server anschließend nutzen. Genau diesen Teil regeln die CALs.

Praktisch heißt das: Ein Server 2025 Standard mit 16 Kernen ist vollständig bezahlt, aber sobald sich der erste Mitarbeiter an der Domäne anmeldet oder eine Freigabe öffnet, wird eine CAL fällig. Technisch blockiert nichts – der Server prüft die Basis-CALs nicht. Die Verpflichtung besteht trotzdem, und bei einem Audit ist die Beweislast beim Kunden. Wer nur die Serverlizenz kauft und den Rest ignoriert, betreibt eine unvollständig lizenzierte Umgebung, die im Ernstfall teuer nachlizenziert werden muss.

Was ist der Unterschied zwischen User-CAL und Device-CAL?

Die User-CAL lizenziert eine Person, die von beliebig vielen Geräten zugreifen darf. Die Device-CAL lizenziert ein Gerät, das von beliebig vielen Personen genutzt werden darf. Beide decken denselben Funktionsumfang ab – der Unterschied liegt ausschließlich in der Zählweise.

• User-CAL: Mitarbeiter mit Notebook, Smartphone und Homeoffice-PC benötigt eine einzige CAL.
• Device-CAL: Ein Kassenterminal, an dem sich über den Tag zwölf Personen abwechseln, benötigt eine einzige CAL.

Die Rechnung ist damit simpel: mehr Geräte als Nutzer spricht für User-CALs, mehr Nutzer als Geräte spricht für Device-CALs.

Wann ist die User-CAL die günstigere Wahl?

In jedem Büro, in dem eine Person mehrere Endgeräte bedient. Das ist inzwischen der Normalfall: Notebook plus Smartphone plus gelegentlich ein privates Gerät im VPN. Drei Geräte, eine Person, eine CAL. Bei Device-Lizenzierung wären es drei.

Ebenso sinnvoll bei mobilen Außendiensten, hybriden Arbeitsmodellen und BYOD-Strategien. Ein weiterer Vorteil im Alltag: Die Zählung bleibt stabil, weil sie an die Personalliste gekoppelt ist. Neue Hardware verändert den Lizenzbedarf nicht.

Microsoft Server 2025 User CAL

Server 2025 User CAL ansehen

Wann lohnt sich die Device-CAL?

Überall dort, wo Hardware geteilt wird. Produktion im Schichtbetrieb, Callcenter mit Wechselarbeitsplätzen, Kassensysteme, Werkstattterminals, Schulungsräume, Kiosksysteme in der Logistik. Drei Schichten an einem Terminal bedeuten drei Nutzer – aber nur eine Device-CAL.

Die Device-Variante hat noch einen zweiten, oft unterschätzten Vorteil: Sie ist leichter nachweisbar. Geräte lassen sich inventarisieren, Personalfluktuation verändert die Zählung nicht. In Betrieben mit hoher Mitarbeiterrotation oder vielen Aushilfskräften ist das ein echtes Verwaltungsargument.

Microsoft Server 2025 Device CAL

Server 2025 Device CAL kaufen

Darf man User-CALs und Device-CALs mischen?

Ja. Microsoft erlaubt beide Typen in derselben Umgebung, und in gewachsenen Unternehmen ist die Mischung häufig die wirtschaftlichste Lösung: Device-CALs für die geteilten Terminals in der Fertigung, User-CALs für Verwaltung und Vertrieb.

Der Preis dafür ist Dokumentationsaufwand. Es muss klar sein, welche Zugriffe über welche CAL-Art abgedeckt sind – und jeder Zugriff braucht genau eine gültige Zuordnung. Ohne saubere Aufstellung wird die Mischform bei einer Prüfung zur Schwachstelle. Kleine Umgebungen fahren mit einem einheitlichen Modell meist besser.

Wie viele CALs braucht man – pro Server oder pro Netzwerk?

Pro Netzwerk. CALs werden nicht je Server gezählt. Ein Mitarbeiter, der auf Dateiserver, Domänencontroller und Printserver zugreift, benötigt eine User-CAL, nicht drei. Das ist einer der Punkte, an dem Unternehmen regelmäßig zu viel einkaufen.

Entscheidend ist stattdessen die Version: Maßgeblich ist der neueste Windows Server im Netz. Steht irgendwo ein Server 2025, müssen alle CALs auf dem Stand 2025 sein – auch für Nutzer, die ausschließlich mit dem alten 2019er arbeiten.

Welche CAL passt zu welchem Einsatzszenario?

Die folgende Übersicht stellt die vier Lizenztypen gegenüber. Basis-CALs und RDS-CALs sind dabei keine Alternativen zueinander, sondern bauen aufeinander auf – der Vergleich zeigt vor allem, welche Rechte jeweils enthalten sind und welche nicht.

Eigenschaft	User CAL	Device CAL	RDS User CAL	RDS Device CAL
Lizenziert	Person	Gerät	Person	Gerät
Basiszugriff (Datei, Druck, AD)	✓	✓	✕	✕
Remote-Desktop-Sitzungen	✕	✕	✓	✓
Zusätzliche Basis-CAL nötig	✕	✕	✓	✓
Auf Lizenzserver installiert	✕	✕	✓	✓
Mehrere Geräte je Person	✓	✕	✓	✕
Mehrere Personen je Gerät	✕	✓	✕	✓
Schichtbetrieb, geteilte PCs	Limited	✓	Limited	✓
Mobile Nutzer, BYOD	✓	Limited	✓	Limited
Downgrade auf ältere Server	✓	✓	✓	✓
Editionsunabhängig	✓	✓	✓	✓
Dauerlizenz, kein Abo	✓	✓	✓	✓
Nachweis im Audit	Depends	Depends	See note	See note

Zu den Einschränkungen: „Limited“ bedeutet, dass die Lizenzart im jeweiligen Szenario funktioniert, aber wirtschaftlich ungünstig ist – User-CALs für ein Schichtterminal sind zulässig, kosten jedoch pro Schicht eine weitere Lizenz. „Depends“ steht für den Aufwand im Nachweis: Bei Basis-CALs hängt er davon ab, wie sauber Personal- und Geräteinventar geführt werden, da keine technische Zählung existiert. „See note“ bei RDS-CALs bedeutet, dass die Zuweisung im RD-Lizenzierungsmanager protokolliert wird und dadurch technisch nachvollziehbar ist – die kaufmännische Zuordnung muss trotzdem dokumentiert sein.

Was ist eine RDS-CAL und warum reicht die normale CAL dafür nicht?

Sobald Anwender per Remote Desktop auf einem Server arbeiten – ganze Desktops oder einzelne veröffentlichte Anwendungen – greift eine zweite Lizenzebene. Die Basis-CAL deckt den Zugriff auf Dateidienste und Verzeichnis ab, nicht aber das Starten einer Sitzung auf dem Server selbst.

Für Terminalserver-Umgebungen gilt also: Basis-CAL plus RDS-CAL, pro Nutzer oder pro Gerät. Wer diesen Posten in der Kalkulation vergisst, unterschätzt die Lizenzkosten einer RDS-Farm regelmäßig um die Hälfte. Die RDS-User-CAL passt zu Beratern, Außendienst und Homeoffice-Nutzern, die von wechselnden Geräten aus dieselbe Sitzung aufrufen.

Microsoft Server 2025 RDS User CAL

Server 2025 RDS User CAL ansehen

Wie werden RDS-CALs technisch verwaltet?

Anders als Basis-CALs sind RDS-CALs echte, installierbare Lizenzen. Sie werden auf einer Rolle namens Remotedesktop-Lizenzierung aktiviert und dort vom Lizenzserver an Verbindungen ausgegeben. Der Lizenzmodus wird pro Bereitstellung festgelegt – entweder „Pro Benutzer“ oder „Pro Gerät“. Eine spätere Umstellung ist möglich, aber unbequem, weil die vorhandenen CALs nicht einfach umgewandelt werden.

Zwei Punkte sorgen im Betrieb regelmäßig für Rückfragen:

• Ohne konfigurierten Lizenzserver läuft eine Bereitstellung in einer befristeten Karenzphase und verweigert danach neue Sitzungen.
• Pro-Benutzer-CALs erscheinen im Manager mit einer 60-Tage-Angabe, die sich bei jeder Anmeldung verlängert. Das ist ein Nachverfolgungsmechanismus, kein Ablaufdatum der gekauften Lizenz.

Im Geräte-Modus werden die CALs an die Hardware gebunden und im Verzeichnis nachgehalten – die passende Wahl für Thin Clients und feste Arbeitsplätze im Schichtbetrieb.

Microsoft Server 2025 RDS Device CAL

Server 2025 RDS Device CAL kaufen

Muss die CAL-Version zur Server-Version passen?

Die Regel läuft in eine Richtung: Eine neuere CAL deckt ältere Server mit ab, eine ältere CAL berechtigt nicht zum Zugriff auf einen neueren Server. Eine CAL für Server 2025 erlaubt damit auch den Zugriff auf 2022, 2019 und 2016. Eine 2022er CAL genügt für einen 2025er Server nicht.

Für gemischte Umgebungen ist das eine planerische Erleichterung: Statt Lizenzen je Serverversion zu stückeln, richtet man den gesamten Bestand am neuesten System aus. Bei RDS-CALs gilt dieselbe Logik gegenüber dem Sitzungshost.

Sind CALs Produktschlüssel, die man installiert?

Bei Basis-CALs nicht. Es gibt keine Installation, keine Aktivierung, keinen Dialog im Server-Manager, in dem die Zahl der Zugriffslizenzen hinterlegt würde. Der Server prüft sie schlicht nicht. Was bleibt, ist der Kaufbeleg und die eigene Dokumentation – genau die beiden Dinge, die bei einer Prüfung verlangt werden.

RDS-CALs sind der Gegenentwurf: Sie werden aktiviert, auf dem Lizenzserver hinterlegt und technisch ausgegeben. Wer beides zum ersten Mal beschafft, sollte diesen Unterschied kennen, sonst entsteht der Eindruck, eine gekaufte Basis-CAL sei „nicht angekommen“.

Was gilt für externe Nutzer, Kunden und Partner?

Externe Zugriffe – etwa Kunden, die ein Portal auf einem eigenen Server nutzen, oder Partner in einem Extranet – lassen sich auf zwei Wegen abdecken: über einzelne CALs pro Person oder Gerät, oder über einen External Connector je Server, der unbegrenzt viele externe Nutzer einschließt.

Die Entscheidung ist reine Mathematik. Bei wenigen benannten Externen sind einzelne CALs günstiger, bei anonymen oder stark schwankenden Nutzergruppen rechnet sich der External Connector schnell. Wichtig ist die Abgrenzung: Eigene Mitarbeiter und Auftragnehmer, die im Namen des Unternehmens arbeiten, gelten nicht als externe Nutzer.

Zählen indirekte Zugriffe über eine Zwischenanwendung auch?

Ja. Dieser Punkt wird bei Audits häufig teuer. Wenn eine Warenwirtschaft, ein Webportal oder ein Middleware-Dienst die Verbindung zum Server herstellt und dahinter fünfzig Anwender sitzen, reduziert das den CAL-Bedarf nicht. Multiplexing und Connection Pooling ändern die Zählung nicht – lizenzpflichtig ist der Mensch beziehungsweise das Gerät am Ende der Kette.

Wer Applikationsserver, Zeiterfassungssysteme oder mobile Apps mit Server-Backend betreibt, sollte diese Zugriffswege im Lizenzkonzept ausdrücklich aufführen.

Gilt das alles auch für Windows Server Essentials?

Essentials ist der Sonderfall. Diese Edition richtet sich an kleine Umgebungen und bringt eine feste Nutzerobergrenze mit, dafür entfällt der separate CAL-Kauf. Für Betriebe unterhalb dieser Grenze ist das die einfachste Konstellation überhaupt.

Der Haken zeigt sich beim Wachstum: Wird die Grenze überschritten, führt kein Weg an einem Wechsel auf Standard vorbei – und ab dann werden CALs für sämtliche Zugriffe fällig, nicht nur für die zusätzlichen. Wer absehbar wächst, kalkuliert diesen Sprung besser gleich mit ein.

Welche Fehler fallen bei einer Lizenzprüfung auf?

Die Klassiker wiederholen sich in fast jedem Prüfbericht:

• Server gekauft, CALs vergessen – der häufigste Einzelfall.
• CAL-Version niedriger als die neueste Serverversion im Netz.
• RDS-Betrieb ohne separate RDS-CALs, nur mit Basis-CALs.
• Dienstkonten, Scanner, Multifunktionsgeräte und Zeiterfassungsterminals nicht mitgezählt.
• Indirekte Zugriffe über Anwendungen nicht berücksichtigt.
• Keine belastbare Dokumentation, weil Basis-CALs technisch nicht sichtbar sind.

Eine schlichte Tabelle mit Kaufbelegen, CAL-Art, Anzahl, Version und zugeordneten Nutzern oder Geräten erspart im Prüfungsfall erheblichen Aufwand. Sie sollte gepflegt werden, solange die Umgebung läuft – nicht erst, wenn die Anfrage auf dem Tisch liegt.

Wie plant man CALs beim Upgrade auf Windows Server 2025?

Reihenfolge und Zeitpunkt entscheiden über die Kosten. Sobald der erste 2025er Server produktiv geht, müssen alle zugreifenden Nutzer oder Geräte über CALs der Version 2025 verfügen – auch diejenigen, die weiterhin nur mit dem alten Server arbeiten. Ein schrittweiser Rollout verschiebt den Lizenzbedarf also nicht, er zieht ihn vor.

Vor der Beschaffung lohnen vier Kontrollpunkte:

• Wie viele Personen und wie viele zugreifende Geräte gibt es tatsächlich?
• Welches Modell ergibt beim heutigen Verhältnis die kleinere Zahl?
• Gibt es RDS-Nutzung, und wenn ja, in welchem Umfang?
• Bestehen externe Zugriffe, die über einen External Connector günstiger wären?

Wer diese Zahlen hat, kann die Beschaffung in einem Durchgang erledigen statt in mehreren Nachkäufen.

Kann man CALs auch später nachkaufen?

Ja, CALs lassen sich jederzeit ergänzen, und sie sind Dauerlizenzen ohne Laufzeit. Ein Nachkauf bei Personalwachstum ist der Normalfall und verursacht keinen technischen Umbau, solange der Lizenztyp gleich bleibt.

Schwieriger wird ein Wechsel des Modells. Von Device- auf User-CALs umzustellen bedeutet nicht Umwandlung, sondern Neubeschaffung – die alten Lizenzen bleiben bestehen, decken aber nur ihre bisherige Zählweise ab. Deshalb sollte die Grundsatzentscheidung zwischen Nutzer- und Gerätelizenzierung vor dem ersten größeren Einkauf fallen.

Sind günstige CALs aus Volumenlizenzverträgen rechtlich unbedenklich?

Der Handel mit bereits in Verkehr gebrachten Lizenzen ist innerhalb der EU und in der Schweiz zulässig, wenn bestimmte Voraussetzungen erfüllt sind: Die Software muss mit Zustimmung des Rechteinhabers gegen Entgelt und zeitlich unbegrenzt im europäischen Wirtschaftsraum in Verkehr gebracht worden sein, und der Erstkäufer darf seine eigenen Kopien nicht weiter nutzen. Damit greift der Erschöpfungsgrundsatz.

Für Einkäufer heißt das praktisch: Auf nachvollziehbare Belege achten, auf unbenutzte und nicht aktivierte Schlüssel bestehen und die Dokumentation zusammen mit der eigenen CAL-Übersicht ablegen. Bei Basis-CALs ist der Beleg ohnehin der einzige Nachweis, den es gibt.

Welche Empfehlung passt zu welchem Betrieb?

Kurz zusammengefasst nach Betriebstyp:

• Büro, Agentur, Kanzlei: User-CALs. Jede Person nutzt mehrere Geräte, die Zählung folgt der Gehaltsliste.
• Produktion, Logistik, Handel mit Schichtbetrieb: Device-CALs für die geteilten Terminals, User-CALs für Verwaltung.
• Terminalserver-Umgebungen: Basis-CAL plus RDS-CAL, Modus zu Beginn festlegen und beibehalten.
• Selbständige und Kleinstbetriebe: Essentials prüfen, solange die Nutzerzahl darunter liegt.
• Umgebungen mit Kunden- oder Partnerzugriff: External Connector gegen Einzel-CALs durchrechnen.

Der entscheidende Schritt bleibt derselbe: erst zählen, dann kaufen. Zwei Zahlen – Personen und zugreifende Geräte – beantworten die Frage nach dem richtigen CAL-Modell in den meisten Fällen bereits eindeutig.

---