Software Escrow: Quellcode-Hinterlegung, die im Ernstfall trägt

© KI-generiert (TenMedia)

Wann Software Escrow die richtige Absicherung ist

Im Jahr 2025 registrierten die deutschen Amtsgerichte 24 064 beantragte Unternehmensinsolvenzen, der höchste Stand seit 2014. Escrow ist das englische Wort für Treuhand: Ein neutraler Dritter verwahrt etwas und gibt es erst heraus, wenn eine vereinbarte Bedingung eintritt.

Software Escrow ist die Hinterlegung des Quellcodes einer Software samt Dokumentation bei einem neutralen Treuhänder, dem Escrow Agent. Hersteller, Anwender und Treuhänder schließen dazu einen gemeinsamen Vertrag. Der Treuhänder gibt das Material nur in den dort festgelegten Fällen an den Anwender heraus, etwa wenn der Hersteller die Pflege einstellt. Bis dahin bleibt der Code vor fremden Blicken geschützt.

Software, deren Quellcode beim Hersteller bleibt

Bei gekaufter Branchensoftware, bei einer angepassten Standardlösung oder bei einer gemieteten SaaS-Anwendung erhält der Anwender ein Nutzungsrecht, aber keinen Code. Solange der Hersteller pflegt, fällt das nicht auf. Stellt er die Pflege ein, bekommt die Software keine Sicherheitsupdates mehr, und Schnittstellen zu anderen Systemen brechen nach und nach weg. Bei eigener Software lässt sich dieser Vendor Lock-in vermeiden, weil der Code von Anfang an dem Auftraggeber gehören kann. Bei gekaufter Software ist dieser Weg verschlossen, und Software Escrow setzt genau dort an, wo der Code nie übergeben wird.

Zugriff auf den Quellcode statt Wechselfreiheit

Beim Anbieterwechsel in der Cloud ist diese Bindung messbar: 59 Prozent der Unternehmen, die Cloud Computing nutzen, nennen Lock-in-Effekte als größtes Hindernis (Bitkom, Cloud Report 2026, 2026). Eine Hinterlegung löst diese Bindung nicht auf. Sie verschafft im Ernstfall lediglich den Zugriff auf den Quellcode, und ob der Ernstfall eintritt, bestimmt allein der Vertrag. Welche Ereignisse dort als Auslöser taugen, klärt der Abschnitt zu den Herausgabefällen der Escrow-Vereinbarung. Der Code ist dabei nur eine von mehreren Bindungen. Auch Daten, Betrieb und Wissen halten ein Unternehmen bei seinem Anbieter. Erst zusammen zeigen sie, wie weit die digitale Souveränität tatsächlich reicht.

Wann lohnt sich Software Escrow für ein KMU?

Lohnend ist die Hinterlegung bei Anwendungen, ohne die der Betrieb stillsteht, etwa die Warenwirtschaft oder die Auftragsabwicklung. Ein Treuhänder nennt als Richtwert unternehmenskritische Software und Lizenzverträge ab etwa 50.000 Euro (Deposix, FAQ zu Escrow und Quellcode-Hinterlegung, 2026). Ob eine Anwendung in diese Klasse fällt, klären vier Prüffragen:

❓ Steht der Betrieb still, wenn die Anwendung eine Woche ausfällt?
❓ Lässt sich eine Ersatzlösung in wenigen Wochen einführen?
❓ Hängt die Software an einem kleinen Hersteller ohne Nachfolger?
❓ Gibt es einen Partner, der fremden Code übernehmen kann?

Je öfter die Antwort ungünstig ausfällt, desto eher rechnet sich Software Escrow. Rechtsanwalt Jens Ferner, Fachanwalt für IT-Recht, beschreibt den Anwendungsbereich so: „Software-Escrow ist eine wichtige Sicherheitsmaßnahme für Unternehmen, die in erheblichem Maße auf Softwarelösungen angewiesen sind.“ (Anwaltskanzlei Ferner Alsdorf, Software-Escrow, 2025). Die letzte Prüffrage entscheidet über den Nutzen, denn ohne einen Partner für Softwarebetrieb und Wartung bleibt herausgegebener Code ein Archiv.

Wenn die Übergabe des Quellcodes näher liegt

Ein Escrow für Software ist nicht der einzige Weg zum Code. Als insolvenzfeste Alternative nennt die Kanzlei Kramer und Partner eine Kaufoption auf Quellcode und Bearbeitungsrechte gegen eine angemessene Summe. Bei Individualsoftware, die im Auftrag entsteht, kann der Quellcode samt Nutzungsrechten sogar von Anfang an beim Auftraggeber liegen. Ein Escrow bei Individualsoftware ist deshalb vor allem dann nötig, wenn der Vertrag die Übergabe ausschließt. Die Tabelle stellt Software-Treuhand und direkte Übergabe nebeneinander:

Source Code Escrow: was in die Hinterlegung gehört

Beim Source Code Escrow entscheidet das hinterlegte Material darüber, ob aus dem Code im Ernstfall wieder eine lauffähige Anwendung wird. Neben dem Quelltext gehören Build-Skripte und Abhängigkeiten dazu, und ihre Vollständigkeit wird geprüft statt nur quittiert. Bei gemieteter Software kommt die Frage hinzu, was mit den Daten geschieht, denn die liegen nicht im Code.

Quellcode allein reicht nicht

Ein Entwicklungsteam, das den Code zum ersten Mal sieht, braucht mehr als die Quelldateien. Nach Einschätzung der Kanzlei Kramer und Partner fehlt dem Quellcode im Normalfall eine technische Dokumentation, mit der sich ein fremder Programmierer schnell einarbeiten kann. Die Kanzlei srd Rechtsanwälte zählt deshalb auch alle Skripte und Konfigurationsdateien für Build und Deployment zum Material. Eine vollständige Hinterlegung von Software umfasst:

• Quellcode aller Module in der ausgelieferten Version
• Build-Skripte und Konfigurationsdateien
• Bibliotheken und Abhängigkeiten mit Versionsangabe
• Datenbankschema und Migrationsskripte
• technische Dokumentation zu Architektur und Schnittstellen
• Zugänge zur Betriebsumgebung, soweit vereinbart

Verifikation statt Eingangsbestätigung

Ob das Material einer Quellcode-Hinterlegung taugt, zeigt erst ein Nachbau. Der Treuhänder Deposix beschreibt als umfassende Verifizierung, die Software auf neutralen Rechnern aus dem hinterlegten Material neu zu erstellen. Erst eine solche Verifikation prüft, ob der hinterlegte Code tatsächlich lauffähig und vollständig ist. Ein Escrow Service sollte deshalb vor Vertragsschluss offenlegen, welche Prüfstufe im Preis enthalten ist.

SaaS Escrow: Code ohne Kundendaten

Bei einer SaaS-Anwendung nützt der Quellcode allein wenig, weil die Software in der Betriebsumgebung des Anbieters läuft. Ein SaaS Escrow muss deshalb auch Deployment, Build-Prozesse und eine Beschreibung der Infrastruktur umfassen. Die Kundendaten erfasst ein klassischer Source Code Escrow trotzdem nicht, denn sie liegen in der Datenbank des Anbieters. Einige Treuhänder bieten dafür eine eigene Datenhinterlegung an. Unabhängig davon sichern regelmäßige Exporte in offenen Formaten die Datenportabilität, auf die es beim Wechsel ankommt.

Herausgabefälle und Nutzungsrechte im Vertrag

Die Escrow-Vereinbarung, oft schlicht Software-Escrow-Vertrag genannt, ist ein eigener Vertrag zwischen Hersteller, Anwender und Escrow Agent. Sie legt fest, wann das Material herausgegeben wird und welche Rechte der Anwender danach am Code hat. Über ihren Wert entscheiden zwei Punkte: Herausgabefälle, die sich im Streit belegen lassen, und ein Lizenzvertrag, der dazu passt.

Welche Herausgabefälle braucht die Escrow-Vereinbarung?

Ein Herausgabefall ist das vertraglich beschriebene Ereignis, bei dem der Treuhänder das Material an den Anwender aushändigt. Je genauer er beschrieben ist, desto weniger Streit entsteht im entscheidenden Moment. In Verträgen zum Source Code Escrow tauchen vor allem diese Fälle auf:

• Einstellung der Pflege oder des Produkts
• Geschäftsaufgabe des Herstellers
• anhaltende Nichterfüllung des Pflegevertrags
• Insolvenz des Herstellers

Für die Nichterfüllung empfiehlt die Kanzlei Kramer und Partner messbare Merkmale statt einer pauschalen Formel. Ein Beispiel ist eine Software, die trotz Aufforderung über einen längeren Zeitraum kein Update erhalten hat. Solche Merkmale lassen sich an die Leistungen knüpfen, die ein Wartungsvertrag ohnehin beschreibt.

Insolvenz als Herausgabefall ist umstritten

Ob die Herausgabe des Quellcodes bei Insolvenz des Herstellers trägt, ist in der juristischen Literatur umstritten. Die Kanzlei srd Rechtsanwälte nennt die Insolvenz des Anbieters den wichtigsten Fall, vor dem die Hinterlegung schützen soll. Die Kanzlei Kramer und Partner hält eine kostenfreie Herausgabe in der Insolvenz dagegen für angreifbar, weil sie die übrigen Gläubiger benachteiligen kann. Wie belastbar eine Klausel ist, prüft eine Fachanwaltskanzlei vor der Unterschrift.

Lizenzvertrag und Escrow-Vereinbarung abstimmen

Der Code nützt nur, wenn der Anwender ihn nach der Herausgabe auch bearbeiten darf. Der Händlerbund rät deshalb, Lizenzbedingungen und Escrow-Vereinbarung zu synchronisieren. Sonst wird der Quellcode zwar herausgegeben, der Lizenzvertrag räumt aber nicht die nötigen Nutzungsrechte ein. Nach Einschätzung von Kramer und Partner verweisen manche Hinterlegungsvereinbarungen nur auf die gesetzlichen Rechte zur Fehlerkorrektur, die eine Weiterentwicklung nicht abdecken. Ausdrücklich geregelt sein sollte, ob Dritte den Code weiterentwickeln dürfen.

Software Escrow im Ernstfall: Code wieder in Betrieb

Mit der Herausgabe aus dem Source Code Escrow beginnt die eigentliche Arbeit. Der Anwender hält dann Quellcode und Unterlagen in der Hand, aber keine laufende Anwendung und kein Team, das sie kennt. Die Kanzlei Lex Futura weist darauf hin, dass viele Kunden weder die Ressourcen noch das Fachwissen haben, um herausgegebenen Code effektiv zu nutzen. Der Weg zurück in den Betrieb führt deshalb über eine technische Prüfung und einen Partner, der die Anwendung übernimmt.

Code-Audit und erster Build

Zuerst wird geprüft, ob sich aus dem Material genau die Version übersetzen lässt, die beim Anwender läuft. Eine verifizierte Hinterlegung zahlt sich an dieser Stelle aus, weil der erste Build dann schon einmal gelungen ist. Danach klärt ein Code-Audit, wie alt die eingesetzten Bibliotheken sind und welche Sicherheitslücken offen stehen. Aus diesem Befund ergibt sich, ob die Anwendung weiterläuft oder schrittweise abgelöst wird.

Wer übernimmt den Code nach der Herausgabe?

Weiterentwickeln kann den Code die eigene IT, ein freier Entwickler oder ein Dienstleister, der fremde Codebasen übernimmt. Voraussetzung ist, dass die Nutzungsrechte das erlauben und der neue Partner die eingesetzte Technik beherrscht. Leichter fällt die Übernahme, wenn die Anwendung auf offenen Komponenten aufbaut, wie es eine Open-Source-Strategie vorsieht. Je früher dieser Partner feststeht, desto kürzer bleibt die Zeit ohne Updates. TenMedia übernimmt fremdentwickelte Software nach einem Code-Audit, bringt sie auf einen wartbaren Stand und betreut sie danach im laufenden Betrieb. So wurde etwa eine SaaS-Anwendung für Betreuungsdienste im laufenden Betrieb übernommen und mit einem Refactoring erneuert.