Eine der grundlegendsten Fragen der Informationssicherheit klingt erstaunlich einfach:

Welche IT-Systeme besitzen wir eigentlich?

In der Praxis lässt sie sich jedoch häufig gar nicht so leicht beantworten. Neben klassischen Servern und Arbeitsplatzcomputern gehören heute virtuelle Maschinen, Netzwerkkomponenten, Smartphones, Tablets, Cloud-Dienste, SaaS-Anwendungen, Container, Fachverfahren und zahlreiche weitere Komponenten zur IT-Landschaft einer Organisation.

Hinzu kommen Systeme, die irgendwann einmal installiert wurden, inzwischen aber niemand mehr richtig zuordnen kann.

Für die Informationssicherheit ist das ein erhebliches Problem. Denn ein System, von dessen Existenz niemand weiß, wird möglicherweise weder gepatcht noch überwacht oder in Risikoanalysen berücksichtigt.

Deshalb gehört ein strukturiertes Asset Management zu den grundlegenden Bausteinen einer funktionierenden NIS-2-Sicherheitsorganisation.

In Teil 6 unserer Serie zeigen wir, wie Hardware, Software, Cloud-Dienste, Netzwerkgeräte und mobile Geräte systematisch erfasst, klassifiziert und über ihren gesamten Lebenszyklus verwaltet werden können.

Was ist ein Asset?

Der Begriff Asset lässt sich mit Vermögenswert übersetzen.

Im Zusammenhang mit Informationssicherheit ist die Definition jedoch deutlich weiter gefasst. Ein Asset ist grundsätzlich alles, was für die Organisation einen schützenswerten Wert besitzt oder für den Betrieb wichtiger Prozesse erforderlich ist.

Dazu können beispielsweise gehören:

• physische Server
• virtuelle Maschinen
• Arbeitsplatzcomputer
• Notebooks
• Smartphones und Tablets
• Firewalls
• Switches und Router
• Access Points
• Drucker
• Anwendungen
• Betriebssysteme
• Datenbanken
• Fachverfahren
• Cloud-Dienste
• SaaS-Anwendungen
• virtuelle Netzwerke
• Backup-Systeme
• Zertifikate
• Informationen und Daten
• Kommunikationsverbindungen

Asset Management bedeutet somit erheblich mehr als eine Inventarliste für Computer.

Warum ist Asset Management für NIS-2 wichtig?

Viele Sicherheitsmaßnahmen setzen voraus, dass die vorhandene Infrastruktur bekannt ist.

Einige einfache Beispiele zeigen das Problem.

Wie soll ein Patchmanagement funktionieren, wenn unbekannt ist, welche Server betrieben werden?

Wie sollen kritische Sicherheitslücken bewertet werden, wenn nicht bekannt ist, auf welchen Systemen die betroffene Software installiert ist?

Wie kann ein Sicherheitsvorfall untersucht werden, wenn niemand weiß, welchem Fachbereich eine auffällige IP-Adresse gehört?

Und wie soll eine Risikoanalyse durchgeführt werden, wenn kritische Cloud-Dienste überhaupt nicht erfasst wurden?

Deshalb gilt ein grundlegender Sicherheitsgrundsatz:

Was wir nicht kennen, können wir nicht angemessen schützen.

Hardware systematisch inventarisieren

Der klassische Ausgangspunkt des Asset Managements ist die Hardware.

Dazu gehören zunächst offensichtliche Geräte wie:

• Server
• Desktop-PCs
• Notebooks
• Workstations
• Speichersysteme

Doch eine vollständige Bestandsaufnahme geht weiter.

Auch folgende Geräte sollten berücksichtigt werden:

• Thin Clients
• Drucker
• Scanner
• Multifunktionsgeräte
• VoIP-Telefone
• Videokonferenzsysteme
• USV-Anlagen
• IoT-Geräte
• industrielle Steuerungssysteme
• Zugangskontrollsysteme

Je nach Organisation können noch zahlreiche weitere Gerätetypen hinzukommen.

Welche Informationen sollten zu Hardware gespeichert werden?

Für jedes Gerät sollten mindestens einige grundlegende Informationen vorhanden sein.

Dazu können gehören:

• eindeutige Asset-ID
• Gerätetyp
• Hersteller
• Modell
• Seriennummer
• Standort
• IP-Adresse
• MAC-Adresse
• Betriebssystem
• verantwortliche Organisationseinheit
• technischer Verantwortlicher
• Benutzer oder Besitzer
• Beschaffungsdatum
• Garantiezeitraum
• Supportstatus
• Sicherheitsklassifizierung
• Status

Der Status könnte beispielsweise lauten:

Produktiv, Test, Lager, Reparatur oder außer Betrieb.

Damit lässt sich wesentlich leichter feststellen, welche Geräte tatsächlich verwendet werden.

Automatische Inventarisierung nutzen

Eine rein manuelle Inventarisierung stößt bei größeren Umgebungen schnell an ihre Grenzen.

Deshalb können technische Systeme die Bestandsaufnahme unterstützen.

Beispielsweise können Informationen gewonnen werden aus:

• Active Directory
• Mobile-Device-Management
• Endpoint-Management
• Monitoring
• Netzwerkmanagement
• DHCP
• DNS
• Schwachstellenscannern
• Virtualisierungsplattformen
• Cloud-Plattformen

Eine Kombination aus automatischer Erkennung und organisatorischer Pflege ist häufig besonders sinnvoll.

Denn ein Scanner kann zwar erkennen, dass ein Gerät existiert. Er weiß aber möglicherweise nicht, welcher Geschäftsprozess davon abhängt oder wer fachlich verantwortlich ist.

Software vollständig erfassen

Hardware allein reicht nicht.

Auf einem einzigen Server können zahlreiche Softwarekomponenten installiert sein, von denen jede einzelne Sicherheitslücken enthalten kann.

Deshalb sollte auch Software inventarisiert werden.

Dazu gehören beispielsweise:

• Betriebssysteme
• Serveranwendungen
• Desktopsoftware
• Datenbanksysteme
• Webserver
• Middleware
• Fachverfahren
• Browser
• Laufzeitumgebungen
• Sicherheitssoftware

Besonders wichtig ist die verwendete Version.

Die Information

„Apache Webserver vorhanden“

ist aus Sicherheitssicht nur begrenzt hilfreich.

Wesentlich interessanter ist beispielsweise:

Welche Version läuft auf welchem System?

Nur dann kann eine neu veröffentlichte Schwachstelle schnell den tatsächlich betroffenen Systemen zugeordnet werden.

Abhängigkeiten nicht vergessen

Moderne Anwendungen bestehen häufig aus zahlreichen Komponenten.

Eine Webanwendung kann beispielsweise verwenden:

• Linux
• Nginx
• PHP
• PostgreSQL
• Redis
• JavaScript-Bibliotheken
• Container
• externe APIs

Eine Sicherheitslücke in nur einer dieser Komponenten kann Auswirkungen auf das gesamte System haben.

Deshalb gewinnt neben dem klassischen Softwareinventar auch die Betrachtung von Softwareabhängigkeiten zunehmend an Bedeutung.

In der Softwareentwicklung können hierbei beispielsweise Software Bills of Materials (SBOM) helfen.

Eine SBOM beschreibt vereinfacht, aus welchen Softwarekomponenten eine Anwendung besteht.

Cloud-Dienste gehören ebenfalls ins Asset Management

Ein besonders häufiger blinder Fleck sind Cloud-Dienste.

Vielleicht besitzt die IT-Abteilung eine hervorragende Übersicht über alle Server im eigenen Rechenzentrum.

Gleichzeitig verwenden verschiedene Fachbereiche jedoch eigenständig:

• SaaS-Anwendungen
• Online-Speicher
• Projektmanagement-Plattformen
• Kollaborationslösungen
• Marketingdienste
• KI-Dienste
• Cloud-Datenbanken

Diese Dienste können wichtige oder vertrauliche Daten verarbeiten.

Deshalb müssen auch sie in das Asset Management aufgenommen werden.

Welche Informationen sollten zu Cloud-Diensten erfasst werden?

Sinnvolle Informationen sind beispielsweise:

• Name des Dienstes
• Anbieter
• verantwortlicher Fachbereich
• technischer Ansprechpartner
• Vertragsverantwortlicher
• verarbeitete Daten
• Schutzbedarf
• Administratoren
• Authentifizierungsmethode
• MFA-Status
• Vertragslaufzeit
• Speicher- beziehungsweise Verarbeitungsort
• Schnittstellen
• Abhängigkeiten
• Backup- und Exportmöglichkeiten
• Exit-Strategie

Gerade der letzte Punkt wird häufig vergessen.

Was passiert mit den Daten, wenn der Anbieter gewechselt wird oder seinen Dienst einstellt?

Shadow IT erkennen

Cloud-Dienste führen zu einem weiteren Problem:

Shadow IT.

Damit sind Systeme und Dienste gemeint, die ohne ausreichende Beteiligung oder Kenntnis der zentralen IT genutzt werden.

Ein Fachbereich benötigt beispielsweise kurzfristig eine Projektplattform und registriert selbstständig einen Cloud-Dienst.

Technisch funktioniert alles.

Aus Sicht der Informationssicherheit entstehen jedoch Fragen:

• Welche Daten werden dort gespeichert?
• Wer besitzt Administratorrechte?
• Wird MFA verwendet?
• Gibt es Backups?
• Wie werden Benutzer entfernt?
• Welche vertraglichen Regelungen bestehen?
• Wie werden Sicherheitsvorfälle gemeldet?

Ein gutes Asset Management hilft dabei, solche unbekannten Abhängigkeiten sichtbar zu machen.

Netzwerkgeräte erfassen

Netzwerkkomponenten bilden das Rückgrat praktisch jeder IT-Infrastruktur.

Deshalb gehören sie zwingend in das Asset Management.

Zu erfassen sind beispielsweise:

• Firewalls
• Router
• Switches
• WLAN-Controller
• Access Points
• VPN-Gateways
• Load Balancer
• Proxy-Systeme
• Netzwerkmanagementsysteme

Auch hier sollten wichtige technische Informationen dokumentiert werden.

Dazu gehören:

• Hersteller
• Modell
• Firmware-Version
• Management-IP
• Standort
• Verantwortlicher
• Supportstatus
• Wartungsvertrag
• Konfigurationsbackup
• letzter Patchstand

Gerade Netzwerkgeräte werden im Patchmanagement gelegentlich übersehen.

Eine Firewall schützt das Netzwerk jedoch nur dann zuverlässig, wenn auch die Firewall selbst sicher betrieben wird.

Mobile Geräte berücksichtigen

Smartphones und Tablets besitzen heute Zugriff auf zahlreiche geschäftliche Informationen.

Darauf befinden sich beispielsweise:

• E-Mails
• Kontakte
• Dokumente
• Kalenderdaten
• Zugangsdaten
• Authentifizierungs-Apps
• VPN-Zugänge

Mobile Geräte sollten deshalb genauso konsequent verwaltet werden wie klassische Arbeitsplatzcomputer.

Zu erfassen sind beispielsweise:

• Gerät
• Benutzer
• Betriebssystem
• Betriebssystemversion
• Eigentumsmodell
• Verschlüsselungsstatus
• MDM-Status
• Patchstand
• Sicherheitsstatus

Besonders wichtig ist die Frage, was bei Verlust oder Diebstahl geschieht.

Ein Mobile-Device-Management kann beispielsweise ermöglichen:

• Richtlinien durchzusetzen
• Geräte zu sperren
• Daten aus der Ferne zu löschen
• Verschlüsselung zu kontrollieren
• veraltete Betriebssysteme zu erkennen

Virtuelle Systeme nicht vergessen

Ein physischer Server kann heute Dutzende virtuelle Maschinen oder Container betreiben.

Deshalb reicht die Inventarisierung des Hosts nicht aus.

Auch virtuelle Ressourcen müssen berücksichtigt werden.

Beispiele sind:

• virtuelle Maschinen
• Container
• Kubernetes-Cluster
• virtuelle Switches
• virtuelle Firewalls
• Cloud-Instanzen
• virtuelle Datenträger

Gerade virtuelle Systeme können sehr schnell erstellt werden.

Ebenso schnell geraten sie allerdings in Vergessenheit.

Ein alter Testserver, der weiterhin erreichbar ist und seit Monaten keine Sicherheitsupdates erhalten hat, kann zu einem attraktiven Angriffsziel werden.

Assets klassifizieren

Nicht jedes Asset besitzt dieselbe Bedeutung.

Ein öffentliches Informationsdisplay benötigt beispielsweise ein anderes Sicherheitsniveau als ein zentraler Authentifizierungsserver.

Deshalb sollten Assets klassifiziert werden.

Eine einfache Klassifizierung könnte lauten:

Normal

Der Ausfall verursacht begrenzte Auswirkungen.

Hoch

Der Ausfall beeinträchtigt wichtige Prozesse erheblich.

Sehr hoch

Der Ausfall verursacht schwerwiegende Auswirkungen auf zentrale oder kritische Prozesse.

Die Klassifizierung sollte sich aus der Schutzbedarfsfeststellung und Risikoanalyse ableiten.

Schutzziele berücksichtigen

Dabei sollten insbesondere die bereits aus Teil 4 bekannten Schutzziele betrachtet werden:

Vertraulichkeit

Welche Folgen hätte eine unberechtigte Offenlegung der Daten?

Integrität

Welche Folgen hätte eine Manipulation?

Verfügbarkeit

Wie lange darf das System ausfallen?

Je nach Organisation können weitere Anforderungen wie Authentizität und Nachvollziehbarkeit hinzukommen.

Kritikalität und Schutzbedarf unterscheiden

Ein Asset kann aus unterschiedlichen Gründen besonders relevant sein.

Ein Datenarchiv besitzt beispielsweise möglicherweise einen sehr hohen Schutzbedarf hinsichtlich der Vertraulichkeit, während ein zentraler Netzwerkdienst vor allem eine extrem hohe Verfügbarkeit benötigt.

Deshalb ist eine differenzierte Klassifizierung sinnvoll.

Ein pauschales Etikett wie „kritisch“ liefert allein häufig zu wenig Informationen.

Abhängigkeiten zwischen Assets dokumentieren

Besonders wertvoll wird das Asset Management, wenn Abhängigkeiten sichtbar werden.

Ein Fachverfahren benötigt beispielsweise:

Fachanwendung

↓

Datenbankserver

↓

Virtualisierungsplattform

↓

Storage

↓

Netzwerk

↓

Stromversorgung

Zusätzlich benötigt die Anwendung vielleicht:

• Active Directory
• DNS
• Internetzugang
• einen externen Cloud-Dienst

Fällt eine dieser Komponenten aus, kann das Fachverfahren ebenfalls nicht mehr funktionieren.

Solche Abhängigkeiten sind für Risikoanalysen, Business Continuity und Notfallplanung von großer Bedeutung.

Verantwortliche für Assets bestimmen

Jedes wichtige Asset sollte einen Verantwortlichen besitzen.

Dabei kann zwischen verschiedenen Rollen unterschieden werden.

Ein technischer Verantwortlicher kümmert sich beispielsweise um Betrieb, Updates und Konfiguration.

Ein fachlicher Verantwortlicher beziehungsweise Asset Owner entscheidet dagegen über:

• Schutzbedarf
• fachliche Anforderungen
• zulässige Nutzung
• notwendige Verfügbarkeit
• Zugriffsberechtigungen

Diese Trennung ist besonders bei Fachverfahren sinnvoll.

Die IT betreibt das System.

Der Fachbereich weiß jedoch, welche Bedeutung das System für den Geschäftsprozess besitzt.

Der Lebenszyklus eines Assets

Asset Management beginnt nicht mit der Installation eines Geräts und endet nicht, wenn es ausgeschaltet wird.

Stattdessen sollte der gesamte Lebenszyklus betrachtet werden.

Ein typischer Asset-Lebenszyklus besteht aus:

Planung → Beschaffung → Inbetriebnahme → Betrieb → Veränderung → Außerbetriebnahme → Entsorgung

Jede Phase besitzt eigene Sicherheitsanforderungen.

Phase 1: Planung und Beschaffung

Informationssicherheit sollte bereits bei der Auswahl neuer Systeme berücksichtigt werden.

Zu prüfen sind beispielsweise:

• Wie lange stellt der Hersteller Updates bereit?
• Unterstützt das Produkt MFA?
• Können Logs zentral ausgewertet werden?
• Gibt es sichere Administrationsschnittstellen?
• Werden Sicherheitsupdates regelmäßig veröffentlicht?
• Bestehen bekannte Sicherheitsprobleme?
• Wie lange läuft der Herstellersupport?

Damit wird Sicherheit Bestandteil der Beschaffung und nicht erst nachträglich hinzugefügt.

Phase 2: Inbetriebnahme

Vor dem produktiven Einsatz sollte ein System sicher konfiguriert werden.

Dazu können gehören:

• Standardpasswörter ändern
• unnötige Dienste deaktivieren
• Sicherheitsupdates installieren
• sichere Konfiguration herstellen
• Logging aktivieren
• Monitoring einrichten
• Backup konfigurieren
• Verantwortliche dokumentieren
• Asset im Inventar registrieren

Ein Gerät sollte möglichst nicht produktiv eingesetzt werden, bevor diese grundlegenden Schritte abgeschlossen sind.

Phase 3: Betrieb

Während des Betriebs muss das Asset kontinuierlich gepflegt werden.

Dazu gehören:

• Patchmanagement
• Monitoring
• Backup
• Schwachstellenmanagement
• Berechtigungsmanagement
• Konfigurationsmanagement
• regelmäßige Überprüfung

Veränderungen sollten ebenfalls nachvollziehbar dokumentiert werden.

Phase 4: Veränderungen

Systeme bleiben selten über Jahre unverändert.

Beispielsweise ändern sich:

• Hardware
• Betriebssysteme
• Softwareversionen
• IP-Adressen
• Standorte
• Benutzer
• Verantwortlichkeiten
• Schnittstellen

Diese Veränderungen müssen auch im Asset Management nachvollzogen werden.

Andernfalls verliert das Inventar zunehmend seine Aussagekraft.

Phase 5: Außerbetriebnahme

Die Außerbetriebnahme wird häufig unterschätzt.

Ein Server wird abgeschaltet – und damit scheint die Sache erledigt.

Doch zuvor müssen beispielsweise Fragen geklärt werden:

• Werden die Daten noch benötigt?
• Gibt es gesetzliche Aufbewahrungsfristen?
• Müssen Backups erhalten bleiben?
• Sind DNS-Einträge zu entfernen?
• Müssen Firewallregeln gelöscht werden?
• Sind Zertifikate zurückzuziehen?
• Müssen Benutzerkonten deaktiviert werden?
• Müssen Cloud-Ressourcen gelöscht werden?

Nur so verschwindet ein System tatsächlich kontrolliert aus der Infrastruktur.

Phase 6: Sichere Entsorgung

Speichermedien können sensible Daten enthalten.

Deshalb dürfen beispielsweise Festplatten und SSDs nicht einfach zusammen mit normalem Elektroschrott entsorgt werden.

Abhängig vom Schutzbedarf müssen Daten sicher gelöscht oder Datenträger fachgerecht vernichtet werden.

Auch dieser Vorgang sollte bei relevanten Systemen nachvollziehbar dokumentiert werden.

End-of-Life-Systeme erkennen

Ein besonders wichtiges Thema sind Systeme, deren Herstellersupport ausgelaufen ist.

Beispiele sind:

• alte Betriebssysteme
• nicht mehr unterstützte Netzwerkgeräte
• veraltete Anwendungen
• alte Smartphones
• proprietäre Fachverfahren

Erhält ein System keine Sicherheitsupdates mehr, steigt das Risiko erheblich.

Das Asset Management sollte deshalb Informationen zum End of Support beziehungsweise End of Life enthalten.

Idealerweise wird bereits vor Ablauf des Supports eine Migration geplant.

CMDB, Inventarsystem oder Tabellenkalkulation?

Für das Asset Management existieren zahlreiche technische Lösungen.

Eine CMDB – Configuration Management Database – kann beispielsweise Systeme, Konfigurationen und Abhängigkeiten zentral verwalten.

Auch spezialisierte Asset-Management- und Netzwerkdokumentationslösungen können eingesetzt werden.

Für kleinere Organisationen kann zu Beginn sogar eine strukturierte Tabellenkalkulation ausreichen.

Entscheidend ist weniger das Werkzeug als die Qualität der Informationen.

Ein perfekt gepflegtes einfaches Inventar ist wertvoller als eine teure CMDB, deren Daten seit zwei Jahren nicht aktualisiert wurden.

Automatisierung und organisatorische Informationen kombinieren

Besonders wirkungsvoll ist eine Kombination verschiedener Datenquellen.

Technische Systeme liefern beispielsweise automatisch:

• Hostnamen
• IP-Adressen
• Betriebssystemversionen
• Softwarestände
• Geräteinformationen

Menschen ergänzen dagegen Informationen wie:

• fachlicher Verantwortlicher
• Geschäftsprozess
• Schutzbedarf
• Kritikalität
• Standort
• organisatorische Zuordnung

Dadurch entsteht ein wesentlich vollständigeres Bild der Infrastruktur.

Regelmäßig gegen die Realität prüfen

Ein Asset-Inventar sollte regelmäßig überprüft werden.

Eine interessante Methode besteht darin, das dokumentierte Inventar mit tatsächlich erkannten Geräten abzugleichen.

Das Netzwerk zeigt beispielsweise 850 aktive Geräte.

Im Asset Management sind jedoch nur 790 Geräte registriert.

Damit stellt sich unmittelbar die Frage:

Was sind die übrigen 60 Geräte?

Genau solche Abweichungen können auf vergessene Systeme, Shadow IT oder Fehler in den Prozessen hinweisen.

Asset Management und andere NIS-2-Prozesse

Ein gut gepflegtes Asset Management unterstützt zahlreiche weitere Sicherheitsprozesse.

Risikomanagement

Welche Systeme besitzen den höchsten Schutzbedarf?

Patchmanagement

Welche Systeme benötigen ein bestimmtes Sicherheitsupdate?

Schwachstellenmanagement

Welche Assets sind von einer CVE betroffen?

Incident Response

Welchem System gehört eine auffällige IP-Adresse?

Business Continuity

Welche Systeme müssen zuerst wiederhergestellt werden?

Lieferkettensicherheit

Welche Dienste hängen von welchem Anbieter ab?

Berechtigungsmanagement

Wer ist für ein bestimmtes System verantwortlich?

Asset Management bildet damit eine gemeinsame Datengrundlage für zahlreiche Bereiche der Informationssicherheit.

Praktische Checkliste für das Asset Management

Für eine erste Bestandsaufnahme können folgende Fragen helfen:

• Sind alle physischen Server erfasst?
• Sind virtuelle Maschinen und Container erfasst?
• Sind Arbeitsplatzcomputer und Notebooks erfasst?
• Sind Smartphones und Tablets berücksichtigt?
• Sind Firewalls, Router, Switches und Access Points dokumentiert?
• Sind Betriebssysteme und Softwareversionen bekannt?
• Sind Fachverfahren erfasst?
• Sind Cloud- und SaaS-Dienste dokumentiert?
• Sind externe Abhängigkeiten bekannt?
• besitzt jedes wichtige Asset einen Verantwortlichen?
• Ist der Schutzbedarf klassifiziert?
• Sind kritische Abhängigkeiten dokumentiert?
• Ist der Patch- und Supportstatus bekannt?
• Werden End-of-Life-Systeme rechtzeitig erkannt?
• Gibt es einen geregelten Prozess für neue Assets?
• Gibt es einen geregelten Prozess für die Außerbetriebnahme?
• Werden Datenträger sicher gelöscht oder vernichtet?
• Wird das Inventar regelmäßig mit der tatsächlichen Infrastruktur abgeglichen?

Wer bei mehreren dieser Punkte mit Nein antworten muss, hat bereits konkrete Ansatzpunkte für die Verbesserung des Asset Managements.

Typische Fehler beim Asset Management

In der Praxis treten immer wieder ähnliche Probleme auf:

• Inventarlisten werden nur einmal erstellt.
• Virtuelle Systeme fehlen.
• Cloud-Dienste werden nicht berücksichtigt.
• Softwareversionen sind unbekannt.
• Netzwerkgeräte werden vergessen.
• Fachbereiche betreiben unbekannte Shadow IT.
• Verantwortliche fehlen.
• Abhängigkeiten sind nicht dokumentiert.
• End-of-Life-Systeme werden zu spät erkannt.
• Ausgemusterte Systeme bleiben im Inventar.
• Neue Geräte gelangen ohne Registrierung in den produktiven Betrieb.

Ein weiteres Problem entsteht, wenn verschiedene Abteilungen voneinander unabhängige Listen führen.

Die IT besitzt eine Geräteliste, der Einkauf eine Inventarliste, das Finanzwesen eine Abschreibungsliste und der Informationssicherheitsbeauftragte wiederum eine eigene Übersicht.

Diese Daten sollten möglichst zusammengeführt oder zumindest eindeutig miteinander verknüpft werden.

Ein pragmatischer Einstieg

Eine Organisation muss nicht sofort eine perfekte CMDB aufbauen.

Ein pragmatischer Einstieg kann beispielsweise folgendermaßen aussehen:

1. Kritische Geschäftsprozesse bestimmen

Welche Dienstleistungen müssen funktionieren?

2. Zentrale Systeme zuordnen

Welche IT-Systeme werden dafür benötigt?

3. Verantwortliche festlegen

Wer ist fachlich und technisch zuständig?

4. Schutzbedarf bestimmen

Wie kritisch sind die Systeme und Informationen?

5. Technische Inventarisierung erweitern

Welche weiteren Geräte und Anwendungen existieren?

6. Cloud- und externe Dienste ergänzen

Welche externen Abhängigkeiten bestehen?

7. Prozesse definieren

Wie gelangen neue Assets hinein und alte wieder heraus?

8. Regelmäßig überprüfen

Stimmen Dokumentation und Realität noch überein?

So entsteht Schritt für Schritt ein belastbares Asset Management.

Asset Management ist ein Prozess, keine Liste

Der wichtigste Punkt lautet:

Asset Management ist keine Excel-Datei.

Eine Tabelle kann das Werkzeug dafür sein. Das eigentliche Asset Management besteht jedoch aus den Prozessen dahinter.

Es muss geregelt sein:

• wie neue Assets erfasst werden,
• wer Informationen pflegt,
• wer Verantwortlichkeiten festlegt,
• wie Änderungen übernommen werden,
• wie Assets klassifiziert werden,
• wie veraltete Systeme erkannt werden,
• wie die Außerbetriebnahme erfolgt.

Erst dadurch bleibt das Inventar langfristig zuverlässig.

Ein vollständiges und aktuelles Asset Management ist eine grundlegende Voraussetzung für eine wirksame NIS-2-Umsetzung. Organisationen müssen wissen, welche Hardware, Software, Cloud-Dienste, Netzwerkkomponenten und mobilen Geräte Bestandteil ihrer Infrastruktur sind.

Doch eine reine Inventarliste reicht nicht aus.

Assets müssen klassifiziert, Verantwortlichen zugeordnet und während ihres gesamten Lebenszyklus kontrolliert werden – von der Beschaffung über den produktiven Betrieb bis zur sicheren Außerbetriebnahme und Entsorgung.

Besonders wichtig sind dabei Cloud-Dienste, virtuelle Systeme und Softwareabhängigkeiten. Sie werden in klassischen Inventarlisten leicht übersehen und können dadurch zu erheblichen blinden Flecken in der Sicherheitsorganisation führen.

Ein gut gepflegtes Asset Management beantwortet im Ernstfall innerhalb weniger Minuten entscheidende Fragen:

Was ist betroffen?

Wo befindet es sich?

Wer ist verantwortlich?

Wie kritisch ist es?

Wovon hängt es ab?

Und genau diese Informationen bilden die Grundlage für Risikomanagement, Schwachstellenmanagement, Incident Response und Business Continuity – und damit für einen großen Teil der weiteren NIS-2-Umsetzung.