IT-Grundschutz.net einfach erklärt

Grundschutz++ Asset-Management: die Praktik Informationen und Assets (ASST)

Grundschutz++ erklärt6 Min. Lesezeit

Grundschutz++ Asset-Management verständlich: was die Praktik ASST zu Inventar, Klassifizierung, Wartung und Löschen verlangt und wie KMU starten.

Beim Grundschutz++ Asset-Management geht es um eine einfache Frage: Wissen Sie, welche Informationen, Geräte und Programme Ihr Betrieb hat, wer dafür zuständig ist und was mit ihnen am Ende passiert? Die Praktik «Informationen und Assets» (Kürzel ASST) im neuen IT-Grundschutz des BSI regelt Inventar, Gebrauch, Weitergabe, Wartung sowie Löschen und Vernichten.

Warum das wichtig ist

Was Sie nicht kennen, können Sie nicht schützen. Ein vergessener Laptop, eine nicht mehr gepflegte Software oder eine alte Festplatte im Elektroschrott sind typische Einfallstore für Datenverluste. Eine aktuelle Übersicht ist außerdem die Grundlage für fast alle anderen Sicherheitsmaßnahmen, vom Update bis zum Notfallplan.

Was verbindlich ist

Verpflichtend sind die Grundlagen: Ihr Betrieb braucht festgelegte Abläufe für den Umgang mit Informationen und den zugehörigen Geräten und Programmen, diese müssen aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft werden. Empfohlen sind unter anderem Inventare für Informationen, IT-Systeme und Anwendungen, eine Einstufung der Daten nach Schutzbedarf und geregeltes Löschen nach Ablauf von Aufbewahrungsfristen.

Der erste Schritt

Erstellen Sie eine Liste Ihrer Geräte und Programme mit Bezeichnung, Standort, Version und zuständiger Person. Ergänzen Sie, welche wichtigen Daten Sie verarbeiten und wie schutzbedürftig sie sind. Legen Sie fest, wie ausgemusterte Geräte gelöscht oder vernichtet werden.

Die Praktik «Informationen und Assets» (ASST) ist die erste organisatorische Praktik im Anwenderkatalog Grundschutz++. Dieser Artikel erklärt das Grundschutz++ Asset-Management anhand des Katalogstands vom 22. Oktober 2026: Ziel, Gruppen, Anforderungen, Nachweise und einen praxistauglichen Einstieg.

Ziel der Praktik

Laut Katalog stellt das Asset Management sicher, dass IT-Komponenten erfasst und inventarisiert werden, mit einer Übersicht über Server, Clients, Netzwerkkomponenten und Datenträger sowie deren Verantwortlichkeiten, Besitzer und Produktlebenszyklus. Auch die Ist-Dokumentation der Komponenten, etwa Konfiguration, Patch-Level und Kritikalität, soll erfasst werden. Die Praktik Konfiguration betrachtet dagegen die Parameter einzelner Komponenten. Nach der Erläuterung zu ASST.1.1 umfasst das Informationsmanagement den Umgang mit Informationen über den gesamten Lebenszyklus, von der Erhebung bis zur Löschung und Vernichtung.

Aufbau: sieben Gruppen, 58 Anforderungen

Gruppe Inhalt
ASST.1 Grundlagen Verfahren und Regelungen, Dokumentation, Zuständigkeiten, Bekanntgabe, Überprüfung
ASST.2 Inventarisierung Inventare für Informationen, IT-Systeme und Anwendungen, SBOM, unautorisierte Systeme aufdecken, Klassifizierung
ASST.3 Regelungen zum Gebrauch Nutzungsregeln, Weitergabe nur bei Erforderlichkeit, Kennzeichnung, Autorisierung von Datenlokationen, Systemen und Peripherie, Lagerung und Reserve
ASST.4 Regelungen zum Transfer Vertraulichkeit und Integrität beim Transport, Autorisierung von Veröffentlichungen, Vereinbarungen zum Austausch
ASST.5 Wartung Wartungsbedarf, geregelte Wartungen, Wartungsfenster, Dokumentation
ASST.6 Rücknahme von Assets Abhandenkommen, Rückkehr, Zurücksetzen in einen Ausgangszustand
ASST.7 Löschen und Vernichten Deinstallation, Aufbewahrungs- und Löschfristen, Löschverfahren, Vernichtung, Veräußerung

Die MUSS-Anforderungen

Die fünf MUSS-Anforderungen stehen in ASST.1 und betreffen das Verfahren selbst:

ASST.1.1 «Informationen und Assets MUSS Verfahren und Regelungen zum Management von Informationen und damit verbundener Assets verankern.»

ASST.1.1.1 «Informationen und Assets MUSS die Verfahren und Regelungen dokumentieren.»

ASST.1.1.2 «Informationen und Assets MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»

ASST.1.1.3 «Informationen und Assets MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»

ASST.1.2 «Informationen und Assets MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»

Dieses Muster haben alle organisatorischen und technischen Praktiken gemeinsam. Die inhaltliche Ausgestaltung ist überwiegend als SOLLTE formuliert. Von SOLLTE-Anforderungen dürfen Sie laut Definition der Bibliothek nur abweichen, wenn das sorgfältig abgewogen und stichhaltig begründet ist.

Wichtige SOLLTE-Anforderungen

Inventare und Klassifizierung

ASST.2.1 «Informationen und Assets SOLLTE ein Inventar der Informationen und damit verbundener Assets dokumentieren.»

ASST.2.2 «Informationen und Assets SOLLTE ein Inventar der IT-Systeme einschließlich Identifikationsbezeichnung und letztem bekannten Verbleib dokumentieren.»

ASST.2.3 «Informationen und Assets SOLLTE ein Inventar der Anwendungen einschließlich Produktname, Versionsstand, Herkunft und Lizenzierung dokumentieren.»

ASST.2.4 «Informationen und Assets für Daten SOLLTE diese einer Schutzbedarfsklasse zuweisen.»

Die Erläuterung zu ASST.2.2 zählt zu den IT-Systemen neben Endgeräten auch Hostsysteme, virtuelle Systeme, IoT-Geräte, Funkgeräte und Fahrzeuge, wenn sie Daten des Informationsverbunds verarbeiten. Bei Anwendungen sind lokal installierte ebenso gemeint wie Cloud-Dienste. Der Detaillierungsgrad des Informationsinventars soll sich laut Erläuterung zu ASST.2.1 nach Schutzbedarf und Risikoprofil richten.

Löschen und Vernichten

ASST.7.2 «Informationen und Assets für Daten SOLLTE die Aufbewahrung für eine bestimmte Frist verankern.»

ASST.7.3 «Informationen und Assets für Daten SOLLTE diese bei Erreichen der Aufbewahrungs- und Löschfrist durch kryptografisches löschen, überschreiben oder vernichten des Speichermediums löschen.»

ASST.7.6 «Informationen und Assets SOLLTE Veräußerungen von Assets durch eine zuständige Person oder Rolle autorisieren.»

Sicheres Löschen bedeutet laut Erläuterung, Daten so zu entfernen, dass sie mit vertretbarem Aufwand, auch forensisch, nicht mehr rekonstruierbar sind. Gemeint sind auch Datenträger in Notebooks und Fahrzeugen.

Normale und erhöhte Sicherheitsstufe

42 Anforderungen gehören zum Niveau normal (Stand der Technik): fünf MUSS und 37 SOLLTE. 16 Anforderungen gehören zum Niveau erhöht und sind alle als KANN formuliert. Beispiele für die erhöhte Stufe:

  • automatisierte Software Discovery zur Aktualisierung des Anwendungsinventars (ASST.2.3.2.1)
  • Markierung von Daten zur Wiedererkennung, Pseudonymisierung und Anonymisierung vor der Weitergabe (ASST.3.5, ASST.3.7, ASST.3.8)
  • Autorisierung von Schnittstellen für den Informationsaustausch und Nachweis des Zugangs (ASST.4.1, ASST.4.4)
  • Beaufsichtigung externer Wartung ohne Sicherheitsüberprüfung durch internes Personal (ASST.5.6)
  • Löschen mit einer vom BSI zugelassenen Löschanwendung und Test des Löscherfolgs (ASST.7.3.3, ASST.7.4)

KANN bedeutet nach der Definition der Bibliothek keine generelle Verpflichtung, sondern eine Maßnahme, die je nach Situation, also nach Risikoanalyse, sinnvoll sein kann.

Typische Nachweise

Die häufigsten im Feld «Dokumentation» genannten Nachweise sind die Arbeitsanweisung (23 Anforderungen) und das IT-Betriebskonzept (20). Dazu kommen das Inventar Informationen, Inventar IT-Systeme und Inventar Anwendungen, das Betriebshandbuch für Wartungen, der Geschäftsverteilungsplan für Zuständigkeiten, der Übungs- und Prüfplan, die Konfigurationshistorie, ein Audit Log und Verträge für Vereinbarungen zum Austausch.

Betroffene Zielobjekte

41 der 58 Anforderungen sind Zielobjektkategorien zugeordnet. Am häufigsten sind Daten (20 Anforderungen) und IT-Systeme (10). Weitere Kategorien sind Informationen, Anwendungen, Nutzende, Netze, Administrierende, Mitarbeitende und Standorte. 17 Anforderungen haben keine Kategorie und werden einmal je Geltungsbereich modelliert. Über die Vererbung gelten Anforderungen für IT-Systeme zum Beispiel auch für Mobile Endgeräte und Hostsysteme, solche für Informationen auch für Daten.

Vergleich mit dem Kompendium Edition 2023

Im bisherigen IT-Grundschutz waren die Inhalte auf mehrere Stellen verteilt, etwa die Strukturanalyse nach BSI-Standard 200-2, Teile des Bausteins OPS.1.1.1 Allgemeiner IT-Betrieb und das Löschen im Baustein CON.6 Löschen und Vernichten. Grundschutz++ fasst den Lebenszyklus von Informationen und Assets in einer Praktik zusammen. Neu und ausdrücklich genannt ist die Software Bill of Materials (SBOM) für Anwendungen (ASST.2.3.2).

Umsetzungstipps für kleine und mittlere Unternehmen

  • Ein Inventar für alles: Eine Tabelle oder ein Inventarwerkzeug mit Bezeichnung, eindeutiger Kennung, Standort, Version, Lizenz und Zuständigem deckt ASST.2.2 und ASST.2.3 ab.
  • Daten in drei Klassen: Eine einfache Einteilung wie öffentlich, intern, vertraulich genügt für den Einstieg in die Klassifizierung. Der Katalog nennt solche Kategorien als Beispiel.
  • Aufbewahrung und Löschung koppeln: Halten Sie zu jeder Datenkategorie Aufbewahrungs- und Löschfristen fest und legen Sie fest, wie gelöscht wird.
  • Ausmusterung regeln: Geräte vor Verkauf oder Entsorgung löschen, Beschriftungen mit Bezug zum Betrieb entfernen und die Veräußerung freigeben lassen.
  • Unbekannte Geräte finden: Ein Netzscan oder die Geräteliste des Routers hilft, unautorisierte Systeme im Netz zu erkennen (ASST.2.2.1).

Häufige Fragen

Muss ich ein Inventar führen?

Die Inventare für Informationen, IT-Systeme und Anwendungen sind SOLLTE-Anforderungen (ASST.2.1 bis ASST.2.3). Sie dürfen nur mit sorgfältiger Abwägung und stichhaltiger Begründung darauf verzichten. In der Praxis ist ein Inventar außerdem Voraussetzung für die Strukturmodellierung.

Was ist eine SBOM?

Eine Software Bill of Materials, also eine Stückliste der Bestandteile einer Software. ASST.2.3.2 sieht vor, sie für Anwendungen zu dokumentieren. Bei Beschaffungen sieht BES.7.4.4.1 als KANN-Anforderung vor, für jede gelieferte Software die SBOM zu dokumentieren.

Wie müssen Daten gelöscht werden?

ASST.7.3 nennt kryptografisches Löschen, Überschreiben oder Vernichten des Speichermediums. Für die Vernichtung bei Veräußerung soll ein standardisiertes Verfahren nach einem anerkannten Standard verankert sein (ASST.7.3.1).

Gelten die Anforderungen auch für Cloud-Anwendungen?

Ja. Laut Erläuterung zu ASST.2.3 gehören auch Anwendungen auf Cloud-Servern oder in verteilten Diensten ins Inventar der Anwendungen.

Quellen