IT-Inventar: wissen, was man hat

Warum die IT-Inventarisierung die Grundlage ist

Im IT-Grundschutz beginnt jede Absicherung mit der Erfassung der Zielobjekte. Der BSI-Standard 200-2 beschreibt dafür die Strukturanalyse: Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Netzverbindungen werden erfasst und in Beziehung gesetzt. Erst danach lassen sich Bausteine zuordnen und Anforderungen prüfen. Auch für Patch-Management, Datensicherung, Berechtigungen und Notfallplanung ist eine aktuelle Übersicht Voraussetzung. Für Einrichtungen, die unter NIS-2 fallen, nennt Artikel 21 der Richtlinie das Management von Anlagen ausdrücklich als Teil der Risikomanagementmaßnahmen.

Was ein IT-Inventar enthält

Hardware

• Arbeitsplatzrechner, Laptops, Thin Clients,
• Server, auch virtuelle Maschinen und Hypervisor,
• Smartphones und Tablets,
• Netzwerkgeräte: Router, Firewall, Switches, WLAN-Zugangspunkte,
• Speicher: NAS, externe Sicherungsmedien,
• Drucker, Multifunktionsgeräte, Scanner,
• Telefonanlage, IP-Telefone,
• IoT und Sondergeräte: Kameras, Zutrittssysteme, Maschinensteuerungen, Medizingeräte.

Software und Dienste

• Betriebssysteme mit Version,
• Anwendungen und Fachsoftware mit Version und Lizenz,
• Cloud-Dienste, auch kostenlose und von einzelnen Mitarbeitenden gebuchte,
• Website, Shop, Hosting,
• Domains und DNS.

Zugänge und Verträge

• Administrative Zugänge zu Cloud-Diensten, Domainverwaltung, Hosting, Banking-Portalen,
• Verträge mit IT-Dienstleistern und deren Leistungsumfang,
• Support- und Wartungsverträge mit Laufzeit.

Welche Angaben je Eintrag

Für kleine Betriebe genügen wenige Felder:

1. eindeutige Bezeichnung oder Inventarnummer,
2. Art und Modell,
3. Standort oder Einsatzort, bei Cloud-Diensten der Anbieter,
4. verantwortliche Person oder Nutzerin,
5. Betriebssystem oder Version,
6. Ende der Herstellerunterstützung für Updates,
7. wichtige Daten auf dem System und ob sie gesichert werden,
8. Datum der Anschaffung und gegebenenfalls Garantie.

Optional, aber nützlich: Seriennummer, IP-Adresse, Schutzbedarf, Abhängigkeiten zu anderen Systemen.

IT-Inventarisierung in der Praxis

Erstaufnahme

Starten Sie mit dem, was ohnehin vorhanden ist: Rechnungen, Verwaltungskonsolen von Cloud-Diensten, Virenschutz und Geräteverwaltung, die Geräteliste im Router. Gehen Sie anschließend einmal durch alle Räume. Häufig tauchen dabei Geräte auf, die niemand mehr auf dem Schirm hatte, etwa ein alter Server im Abstellraum oder ein vergessener WLAN-Zugangspunkt.

Cloud-Dienste finden

Cloud-Dienste werden oft ohne Absprache gebucht. Hinweise liefern Abrechnungen von Kreditkarten und Konten, Anmeldungen mit Firmen-Mailadressen und Rückfragen bei den Teams. Jeder gefundene Dienst bekommt eine verantwortliche Person, sonst wird er beim Austritt der Nutzerin oder des Nutzers vergessen.

Werkzeuge

Für wenige Geräte reicht eine gepflegte Tabelle. Ab einer zweistelligen Zahl von Geräten lohnt eine automatische Erfassung, wie sie viele Geräteverwaltungs- und Fernwartungslösungen ohnehin mitbringen. Netzwerkscans helfen, unbekannte Geräte im Netz zu finden. Das Werkzeug ist zweitrangig, entscheidend ist eine Person, die für die Pflege verantwortlich ist.

Aktuell halten

Die Liste veraltet, wenn sie nur einmal angelegt wird. Bewährt hat sich:

• Neuanschaffungen werden vor Inbetriebnahme eingetragen,
• Ausmusterungen werden mit Datum und Art der Datenlöschung dokumentiert,
• Ein- und Austritte von Mitarbeitenden lösen eine Prüfung der zugeordneten Geräte und Zugänge aus,
• einmal im Jahr wird die gesamte Liste mit der Wirklichkeit abgeglichen.

Betreut ein IT-Dienstleister Ihre Systeme, sollte vertraglich geregelt sein, dass er das Inventar für die von ihm verwalteten Geräte pflegt und Ihnen jederzeit eine aktuelle Fassung zur Verfügung stellt. Die Verantwortung für die Vollständigkeit bleibt trotzdem im Betrieb.

Das Inventar im Ernstfall

Bei einem Sicherheitsvorfall zählt jede Stunde. Mit einem aktuellen Inventar lässt sich schnell beantworten, welche Systeme betroffen sein können, welche Daten dort liegen, wer zuständig ist und welcher Dienstleister angerufen werden muss. Für den Notfall sollte deshalb eine ausgedruckte oder offline verfügbare Fassung vorliegen, denn bei einem Angriff sind die Systeme, auf denen die Liste liegt, womöglich selbst nicht erreichbar. Gleiches gilt für den Wiederanlauf: Wer weiß, welche Systeme voneinander abhängen, kann sie in der richtigen Reihenfolge wiederherstellen.

Vom Inventar zum Schutzbedarf

Ist das Inventar vollständig, lässt sich in einem zweiten Schritt festhalten, wie wichtig die einzelnen Systeme und Daten für den Betrieb sind. Diese Einschätzung des Schutzbedarfs hilft zu entscheiden, wo zuerst investiert wird. Ein Buchhaltungsserver mit Kundendaten verdient mehr Aufmerksamkeit als ein Rechner für die Zeiterfassung. Für die Basis-Absicherung ist dieser Schritt zunächst nicht nötig, beim Ausbau zur Standard-Absicherung aber fester Bestandteil.

Nutzen über die Sicherheit hinaus

Ein gutes IT-Inventar spart Geld: Doppelte Lizenzen und ungenutzte Abos fallen auf, Ersatzbeschaffungen lassen sich planen, Garantien werden genutzt. Bei einem Dienstleisterwechsel ist die Übergabe deutlich einfacher, und im Schadensfall hilft die Liste gegenüber Versicherungen.

Schutz des Inventars selbst

Eine vollständige Übersicht über Systeme, Versionen und Zugänge ist auch für Angreifer wertvoll. Das Inventar sollte deshalb nur für berechtigte Personen zugänglich sein. Zugangsdaten gehören nicht in die Inventarliste, sondern in den Passwortmanager; die Liste verweist nur darauf. Wird das Inventar in einem Cloud-Werkzeug geführt, gelten dafür dieselben Regeln wie für andere wichtige Konten, einschließlich zweitem Faktor.