Lizenzschlüssel

Ein Lizenzschlüssel (auch: Schlüsselcode, Produktschlüssel, CD-Key oder Produkt-Key) ist ein Buchstaben- oder Zahlencode, welcher bei der Installation oder beim ersten Start von proprietärer Software eingegeben werden muss, um Teile deren Funktionsumfangs oder die ganze Software freizuschalten.^[1][2] Oftmals kann ein solcher Lizenzschlüssel auch nachträglich noch eingegeben werden.

Die Lizenz, die mit dem Schlüssel erteilt wird, ist eine Nutzungslizenz, die der Hersteller der Software kontrolliert. Der Hersteller bestimmt mit der Lizenz, wann und wie die Software in welchem Umfang von Benutzern verwendet werden darf. Eingeschränkt oder gar verboten wird dem Benutzer die Installation und Verwendung der Software auf mehreren Geräten durch verschiedene Benutzer, was der Lizenzschlüssel sicherstellen soll. Benutzer erwerben mit dem Schlüssel kein Eigentum an der Software.

Das Verfahren basiert darauf, dass nur der Hersteller der Software weiß, wie ein gültiger Lizenzschlüssel erzeugt wird und dass der Benutzer seinen Lizenzschlüssel als Eigentum schützt. Der Hersteller kann fast beliebig viele gültige Lizenzschlüssel für seine Software erzeugen und die ausgegebenen Schlüssel auch verwalten. Auf diese Weise ist es dem Hersteller möglich, Kopien seiner proprietären Software zu autorisieren und diesen Service zu vermarkten. Gleichzeitig wird dem Anwender die Herstellung legaler Sicherheitskopien ermöglicht, da die Verwendung der Kopie nur mit dem Lizenzschlüssel möglich ist.

Ein Lizenzschlüssel besteht in der Regel aus einer Abfolge von Buchstaben und Zahlen, die in mehrere Blöcke unterteilt ist.^[1][2] Die Programmdateien einer Software, die durch einen Lizenzschlüssel geschützt sind, können zwar auf einfache Weise kopiert werden, die Software kann aber ohne den Lizenzschlüssel nicht oder nicht vollständig benutzt werden. Dies soll die nicht lizenzierte Nutzung von Software verhindern.

Der Lizenzschlüssel wurde zunächst als CD-Key einem physischen Datenträger (CD-ROM/-DVD-ROM) beigelegt. Auch bei Software, die ohne Datenträger vertrieben wird (insbesondere Shareware und vorinstallierte Betriebssysteme), wird zuweilen ein Lizenzschlüssel verwendet. Inzwischen wurde die Nutzung von Lizenzschlüsseln, insbesondere die Notwendigkeit ihrer manuellen Eingabe, durch Online-Produktaktivierung abgelöst.

Häufig wird der Begriff Seriennummer als Synonym für Lizenzschlüssel verwendet. Aus rein technischer Sicht kann man die Zuordnung eines Lizenzschlüssels zu einer Softwarekopie als Seriennummer verstehen. Jedoch gibt es Lizenzen, die die Verwendung des gleichen Schlüssels für mehrere Installationen erlauben. Je nach Komplexität des Prozesses zur Erzeugung und Vergabe von Lizenzschlüsseln verwenden einige Hersteller von Software-Produkten die Seriennummern verbauter Hardware, die nur selten zur gleichen Gelegenheit getauscht wird.^[3]

Software kann allerdings auch eine tatsächliche, eigene Seriennummer bekommen. Diese richtet sich häufig nach der Installation, sodass diese pro Installation generiert wird und offen eingesehen werden kann. Seltener wird eine Seriennummer der Kopie selbst zugeordnet, da der Vervielfältigungsprozess von Datenträgern, wie CD-ROMs, eine geringfügige Abweichung der Fertigung (wie die Prägung einer durch Software auslesbaren Seriennummer) nicht vorsieht. Während die Seriennummer häufig im installierten Produkt angezeigt werden kann, wird der Lizenzschlüssel meistens geheim gehalten, um eine Mehrfachverwendung oder Weitergabe zu erschweren. Daher wird der Lizenzschlüssel oftmals nur auf der Produktverpackung, Produktbeilage oder in einer Bestätigungs-E-Mail mit geliefert. Alleine aus der Seriennummer lässt sich der Lizenzschlüssel nicht ableiten.

Um einen gültigen Lizenzschlüssel zu erzeugen oder um zu überprüfen, ob ein Lizenzschlüssel gültig ist, wird ein vom Hersteller geheim gehaltener Algorithmus eingesetzt. Dieser ist im Programmcode der Software enthalten, so dass diese selbstständig Lizenzschlüssel auf ihre Gültigkeit überprüfen kann. Der Algorithmus für die Erzeugung und Überprüfung ist derselbe.

Der Algorithmus lässt sich nur sehr aufwändig aus dem Programmcode extrahieren. Trotzdem muss das geschützte Programm den Algorithmus zur Überprüfung eines Lizenzschlüssels enthalten, was einen Angriffspunkt für den Schutz darstellt. Dadurch, dass die Anzahl der gültigen Lizenzschlüssel deutlich geringer ist als die Gesamtzahl aller theoretisch durch Permutation möglichen Lizenzschlüssel, ist auch die Chance deutlich geringer, rein zufällig einen gültigen Lizenzschlüssel zu finden.^[4]

Um zu verhindern, dass funktionierende Lizenzschlüssel von unerlaubter Seite erzeugt oder gefunden werden können, muss der Algorithmus zu deren Erzeugung geheim gehalten werden oder zumindest Teile davon, wie z. B. ein kryptografischer Schlüssel zur Erzeugung von Lizenzschlüsseln. Gleichzeitig muss aber die automatische Überprüfung eines Lizenzschlüssels mit dem Programmcode ermöglicht werden.

In einigen (internetgestützten) Verfahren wird ein asymmetrisches Verschlüsselungsverfahren eingesetzt, bei dem der private Schlüssel nicht Teil der ausgelieferten Software ist und der Algorithmus ohne diesen Schlüssel dem Benutzer gegenüber offengelegt werden kann.^[5] Andere nutzen auf Primzahlen und Prüfziffern basierende Verfahren, ein symmetrisches Verfahren wie paralleles Hashing, Verfahren der diskreten Mathematik auf Zufallswerte oder eine Kombination. Kryptografische Verfahren haben die verwendeten Algorithmen zunehmend verstärkt.

Ist der Schutz der Software nicht zusätzlich durch eine Herstellerüberprüfung des Schlüssels abgesichert, in der auch formal gültige Schlüssel als ungültig erkannt werden können, sind alle Verfahren sehr leicht angreifbar.^[4] Eine solche Überprüfung findet heute meist online statt; bei der Markteinführung der Produktaktivierung gab es auch die Möglichkeit der Überprüfung per Telefon-Hotline.^[6]

Da die Software den Algorithmus zur Erzeugung gültiger Schlüssel kennen muss, damit sie diese überprüfen kann, besteht eine nicht zu behebende Angriffsmöglichkeit für Cracker und andere Interessierte, Kenntnis von dem Algorithmus zur Erzeugung gültiger Lizenzschlüssel zu erhalten. Sie können sogenannte Key-Generatoren (kurz: Keygen) programmieren, die auf Knopfdruck funktionierende Schlüssel erzeugen.^[1] Zudem können funktionierende Schlüssel für mehrere Installationen verwendet werden. Die mit Key-Generatoren erzeugten Schlüssel sind vom Hersteller nicht autorisiert und sie enthalten in den meisten Fällen die Nachbildung des geheim gehaltenen, urheberrechtlich geschützten Algorithmus, wodurch sie illegal sind.

Aus diesen Gründen zählt heute die Ausstellung und Überprüfung von Lizenzschlüsseln über das Internet, die Verwaltung von Lizenzen über Netzwerke, sowie die Verwendung von Hardware-Dongles zu den gängigen Industrieverfahren zum Schutz von proprietärer Software.

Das Windows-Betriebssystem verknüpft einen Lizenzschlüssel mit der Hardware, auf dem er verwendet wird: das Betriebssystem kann seine Installation anhand spezifischer Hardwaremerkmale verifizieren, sodass ein Hersteller die unautorisierte Verwendung einer Einzelplatzlizenz leichter erkennen kann. PC-Systeme mit UEFI können mit einem vorinstallierten Schlüssel in der Funktionsweise eines Software-Dongles ausgestattet werden. Der Schlüssel repräsentiert eine bestimmte Lizenz, hindert den Benutzer aber nicht an der Nutzung eigener Lizenzen, sodass ihm der Erwerb einer höherwertigen Lizenz zu einem beliebigen Zeitpunkt ermöglicht wird.

Andere Hersteller verknüpfen einen Schlüssel mit einem Kundenkonto, bei dem sich der Benutzer zur Nutzung der Software oder zum Bezug von Updates anmelden muss. Für hochwertige Softwarepakete geben Hersteller auch Lizenzserver oder Hardware-Dongles aus, mit denen Unternehmenskunden die autorisierte Verwendung von Software in geschlossenen Netzwerken selbst verwalten können. Solche Lösungen werden oder wurden von Autodesk, Microsoft, SAP und Adobe für ihre Software angeboten.^[7][8][9]

• hardwaregebunden: Oftmals wird die Seriennummer einer mitgelieferten Hardware verwendet, um daraus Lizenzschlüssel zu erzeugen und damit die Software gezielt an eine bestimmte Hardware zu binden. Dies kommt vor allem bei sogenannten Appliance-Lösungen vor. Die zu lizenzierende Software überprüft, ob die im Lizenzschlüssel enthaltene Seriennummer mit der Seriennummer der Hardware übereinstimmt und aktiviert die geschützten Funktionen nur bei Übereinstimmung. Bei dem Hersteller von Netzwerkkomponenten Cisco wird ein solcher Lizenzschlüssel Product Authorization Key genannt.^[3]
• funktionsgebunden: Bei ein und derselben Software können durch unterschiedliche Lizenzschlüssel unterschiedliche Funktionen freigeschaltet werden. Der nutzbare Funktionsumfang der Software bestimmt sich durch den Lizenzschlüssel, sodass unterschiedliche Preisstufen mit der gleichen Kopie vermarktet werden können. Typische Beispiele hierfür sind Shareware-Programme oder das Windows-Betriebssystem, die ohne Schlüssel nur mit geringerem Funktionsumfang und gegebenenfalls auch zeitlich befristet ausführbar sind. Der Hersteller von Shareware eröffnet dem Benutzer so die Möglichkeit, die Software zu testen, bevor er sich zum Erwerb der Vollversion entschließt. Zum Erwerb der Vollversion wird der Benutzer durch Erinnerungen auf Splash Screens und durch Countdowns motiviert. Auch die Verwendung von Funktionen der Vollversion führt statt zum gewünschten Ergebnis zu einem Werbehinweis auf den Erwerb der Vollversion.
• zeitgebunden: Lizenzschlüssel können nach einer bestimmten Zeit ungültig werden und müssen dann durch neue ersetzt werden. Hierfür kann der Hersteller erneut eine Gebühr verlangen, im Gegensatz zu permanenten Schlüsseln, die immer gültig bleiben.^[3]

Schlüssel für Microsoft Windows 95, die an Endverbraucher vertrieben wurden, hatten die Form NNN-NNNNNNN und bestanden ausschließlich aus Zahlen. Um zu ermitteln, ob ein Schlüssel gültig ist, führt das Betriebssystem die folgenden Prüfungen durch:^[10]

• Die ersten drei Zeichen dürfen keine der folgenden Gruppen sein: 333, 444, 555, 666, 777, 888 oder 999.
• Die nächsten sieben Zeichen müssen Zahlen von 0-8 sein.
• Die Quersumme der letzten sieben Zahlen muss restlos durch 7 teilbar sein.
• Das vierte Zeichen wird nicht geprüft.

Der Produktschlüssel ist valide, wenn alle vier Prüfungen erfolgreich durchlaufen wurden.

OEM-Versionen von Windows 95, die vorinstalliert wurden, hatten die Form NNNNN-OEM-NNNNNNN-NNNNN.

• Die ersten drei Zeichen sind eine Zahl zwischen 0 und 366, bei weniger als drei Stellen geführt von 0.
• Die folgenden zwei Zeichen sind eine Zahl zwischen 04 bis 93.
• Die folgenden drei Zeichen sind OEM.
• Die Quersumme der nächsten sieben Zeichen muss durch 7 ohne Rest teilbar sein.
• Die restlichen Zeichen werden nicht geprüft.

Windows XP nutzt eine Installationsidentifikationsnummer, eine Produktidentifikationsnummer und einen Produktschlüssel zur Aktivierung.^[11][12] Die Installations-ID, Produkt-ID und der Produktschlüssel machen dem Hersteller gegenüber transparent, wie der Produktschlüssel verwendet wird.

Die Installations-ID ist eine 50 Ziffern lange Dezimalzeichenkette, die in fünf Gruppen von je sechs Ziffern unterteilt wird, mit zwei Ziffern am Ende, und hat die Form XXXXXP-XXXXXP-XXXXXP-XXXXXP-XXXXXP-XXXXXP-XXXXXP-XP Die Installations-ID wird neu generiert, wenn die Microsoft Out Of Box Experience, das Einrichtungsprogramm von Windows XP, ausgeführt wird.

Die Installations-ID enthält Prüfziffern am Ende jeder Gruppe. Jede Prüfziffer berechnet sich aus der Summe der anderen fünf Ziffern in der Gruppe, zu der alle Ziffern an den geraden Positionen der Gruppe addiert, durch 7 dividiert und davon der Rest genommen wird.

Die Prüfziffern ausgenommen, erweist sich die Installations-ID als eine 41 Ziffern lange, dezimal codierte 136 Bit lange, multipräzise Ganzzahl, die als Byte Array in Little Endian-Ordnung gespeichert ist. Die unteren 16 Byte sind verschlüsselt, wobei das höchste Byte im Klartext behalten wird. Die Verschlüsselung erfolgt in einem proprietären Vier-Runden-Feistelchiffre, mit einem SHA-1 Message Digest-Algorithmus als Rundungsfunktion.

Die Installations-ID verschlüsselt Informationen über die verwendete Hardware und die aus dem Produktschlüssel generierte Produkt-ID. Auf diese Weise ist für den Hersteller leicht zu erkennen, ob der Produktschlüssel auf einem anderen System verwendet wird.

Die Produkt-ID besteht aus fünf Gruppen dezimaler Ziffern im Format AAAAA-BBB-CCCCCCC-DDEEE. Die Zuordnung zwischen der Produkt-ID in ihrer dezimalen Form und ihrer Binärcodierung in den Datenworten doppelter Länge P1, P2, sowie dem byte P3 lautet wie folgt:

Wie schon seit Windows 98 besteht der Produktschlüssel in der Form XXXXX-XXXXX-XXXXX-XXXXX-XXXXX. Jedes Zeichen ist eines der folgenden 24 Buchstaben und Zahlen: B C D F G H J K M P Q R T V W X Y 2 3 4 6 7 8 9. Die Encodierung wird daher als Base 24 bezeichnet. (siehe Base64 für eine Encodierung mit einem Alphabet von 64 Zeichen)

Die insgesamt 25 Zeichen eines Produktschlüssels bilden eine Base 24-Encodierung der Binärdarstellung des Produktschlüssels. Der Produktschlüssel ist eine mehrfach genaue Ganzzahl von etwa 115 Bits, die in Little Endian-Ordnung als Feld von 15 Bytes gespeichert sind. Von diesen 15 Bytes enthalten die niederwertigsten vier den Rohschlüssel in Little Endian-Ordnung. Das niederwertigste Bit wird durch ein Schub des 32-Bit-Wertes um eine Position nach links entfernt. Die elf verbleibenden Bytes bilden eine digitale Signatur, mit der die Echtheit des Produktschlüssels durch einen fest einprogrammierten öffentlichen Schlüssel überprüft werden kann.

Um die CCCCCCC-Komponente der Produkt-ID zu erhalten, wird eine Prüfziffer angehangen. Die Summer aller Ziffern, inklusive der Prüfziffer, muss durch 7 teilbar sein. Um einen Produktschlüssel zu verifizieren, stehen mehr als ein öffentlicher Schlüssel zur Verfügung, die nacheinander durchprobiert werden. Die DD-Komponente der Produkt-ID ist die Nummer des öffentlichen Schlüssels, der erfolgreich zur Verifikation verwendet werden konnte.

Demzufolge erhalten Installationen ohne gültigen Produktschlüssel keine Produkt-ID.

Mit der Entstehung des Marktes kommerziell vermarkteter Software seit den 1980er Jahren kam auch das Problem auf, dass Kopien kommerzieller Software verbreitet wurden, ohne dass der Hersteller diese Kopien kontrollierte. Durch diese als Raubkopie bezeichnete Vervielfältigung entgingen dem Hersteller der Software die durch ihren Vertrieb beabsichtigten Umsätze. Verbesserte Rechenleistung und ausreichend verfügbarer Speicherplatz auf Medien ermöglichten Herstellern zu Beginn der 1990er Jahre die Einführung von Schutzfunktionen gegen unkontrollierte Kopien. Software, die seit den 1970er Jahren als freies Zubehör zur Verwendung von Rechenanlagen geteilt wurde, entwickelte sich durch die Einführung von Schutzsystemen für ihren kommerziellen Vertrieb endgültig zu geistigem Eigentum.

Gegen unkontrollierte Kopien von Microsoft Windows 3.1, dem ersten in Breite erfolgreichen Betriebssystem von Microsoft, kam der Hersteller wegen unzureichender Schutzsysteme in seinem Produkt zunächst nicht an. Mit dem Nachfolger, Windows 95, schützte sich Microsoft erstmals gegen unkontrollierte Kopien seines Produkts mit der Verwendung von Lizenzschlüsseln.^[1] Das Beispiel von Microsoft sollte auf dem Markt für proprietäre Software schnell Nachahmer finden. Presseprodukte, die den PC-Markt publizistisch begleiteten und denen CD-ROMs mit Software beigelegt waren, entwickelten sich zu Vertriebskanälen für Shareware. Microsoft führte Lizenzschlüssel für weitere Produkte aus seinem Portfolio wie Microsoft Office, Microsoft Visual Studio, aber auch für Spiele wie Age of Empires ein.

Mit zunehmendem Erfolg des Betriebssystems wurde die Gestaltung der Windows-Lizenzaufkleber auf PCs und Produkten immer aufwändiger. Microsoft führte gegen Produktfälschungen Sicherheitsmerkmale ein, die denen von Banknoten gleichkamen.

Die Maßnahmen Microsofts verschafften dem Konzern gegen „Raubkopierer“ aber stets nur kurzfristigen Vorsprung. Der Erfolg des Betriebssystems führte schnell zur Veröffentlichung gültiger Lizenzschlüssel in einschlägigen Internetforen, auf Mailboxen oder im Usenet. In Windows XP führte Microsoft erstmals die Produktaktivierung ein, bei der ein Lizenzschlüssel beim Hersteller für die legitime Nutzung autorisiert werden musste. Dennoch war die Produktaktivierung nicht in jedem Installationsszenario für Windows XP durchführbar. Beispielsweise erweist sich die Produktaktivierung bei einer Verteilung im Unternehmensumfeld als unpraktikabel. Darum hat Microsoft auch Lizenzschlüssel herausgegeben, die eine Umgehung der Produktaktivierung ermöglichten; so genannte Corporate License Keys. Bekanntheit erlangte der (mittlerweile ungültige) Schlüssel, der mit der Gruppe FCKGW beginnt^[13][14] und der 2001 mit der finalen Version von Windows XP auf einem Warez-Forum verteilt wurde, 35 Tage vor dem offiziellen Release.^[15] Die einmalig stattfindende Produktaktivierung bei der Installation erwies sich als unzureichende Maßnahme für die Absichten Microsofts, was zur Einführung des Windows Genuine Advantage (deutsch: Windows-Echtheitsvorteil) genannten Programms führte, bei dem die Installation zur Gelegenheit von Updates des Betriebssystems regelmäßig neu überprüft wurde. Über dieses Programm wurde der Schlüssel erst 2004 zurückgezogen.

Produktaktivierung und cloudbasierte Lizenzierung, teilweise im Abonnement, drängte die Verwendung von Lizenzschlüsseln immer weiter in den Hintergrund. Windows-Installationen ist heute noch ein Lizenzschlüssel zugeordnet, aber die manuelle Eingabe eines Schlüssels ist heute meistens nicht mehr erforderlich. Andere Softwarehersteller sind ebenfalls zu cloudbasierter Lizenzierung übergegangen.

• Florian Faust: Softwareschutz durch Produktaktivierung. In: Kommunikation & Recht. 2002, S. 583 ff.
• Christian Runte: Produktaktivierung – Zivilrechtliche Aspekte der "Aktivierung" von Software. In: Computer und Recht. 2001, S. 657 ff.

1. ↑ ^{a b c d} Andreas Bergler: Was ist ein Lizenzschlüssel? IT-Business, 27. Februar 2019, abgerufen am 30. August 2021. 
2. ↑ ^{a b} Windows 10 Key auslesen: Wann es nötig ist und wie es funktioniert. IONOS, 22. September 20, abgerufen am 30. August 2021. 
3. ↑ ^{a b c} Product Authorization Key Licensing. In: CLI Configuration Guide – Cisco ASA 5500-X Series Firewalls. Cisco Systems, abgerufen am 30. August 2021 (englisch). 
4. ↑ ^{a b} Wie generiere und validiere ich einen Softwarelizenzschlüssel? In: qastack.com.de. Abgerufen am 30. August 2021. 
5. ↑ Key Verification -. In: Docs & Support for Licensing and Payments. Cryptolens, abgerufen am 30. August 2021 (englisch). 
6. ↑ Produktaktivierung für Windows. Microsoft, abgerufen am 30. August 2021. 
7. ↑ Einrichten und Verifizieren von Lizenzservern | Administratoren | Autodesk-Support. (autodesk.com [abgerufen am 2. Juli 2025]). 
8. ↑ Volume Licensing Service Center. Abgerufen am 2. Juli 2025. 
9. ↑ SAP Help Portal - SAP Online Help. Abgerufen am 2. Juli 2025. 
10. ↑ Saket Upadhyay: Reversing Microsoft’s Windows95 Product Key Check Mechanism. 29. Mai 2022, abgerufen am 3. Juli 2025 (englisch). 
11. ↑ Kevin Purdy: Green hills forever: Windows XP activation algorithm cracked after 21 years. In: Ars Technica. 26. Mai 2023, abgerufen am 29. Juni 2024 (amerikanisches Englisch). 
12. ↑ Rudower Chaussee: Inside Windows Product Activation. In: Licenturion. Juli 2001, abgerufen am 28. Juni 2024. 
13. ↑ Microsoft outlines Vista piracy plans | bit-tech.net. Abgerufen am 3. Juli 2025 (englisch). 
14. ↑ Die Nerd Enzyklopädie 14 - FCKGW-RHQQ2-YXRKT-8TG6W-2B7Q8. 4. April 2023, abgerufen am 3. Juli 2025 (deutsch). 
15. ↑ [iSONEWS] KMSAuto Lite – Microsoft Windows 10 Activator. Archiviert vomOriginal am 22. Juni 2018; abgerufen im 1. Januar 1.