IT-Inventar: Vorlage für Geräte, Software und Dienste

Control 1 der CIS Controls v8.1 verlangt, alle Unternehmensgeräte aktiv zu verwalten, also zu inventarisieren, nachzuverfolgen und zu korrigieren: Endgeräte, Netzwerkgeräte, IoT-Geräte und Server, ob physisch, virtuell, per Fernzugriff oder in der Cloud angebunden. Ziel ist, genau zu wissen, was zu überwachen und zu schützen ist, und nicht autorisierte Geräte zu finden; Control 2 fordert dasselbe für Software. Im NIST Cybersecurity Framework 2.0 ist das die Kategorie Asset Management (ID.AM); ihre Unterkategorien greift diese Vorlage in den Abschnitten 02 bis 07 auf.

Für wesentliche und wichtige Einrichtungen ist das Inventar Pflicht: § 32 Abs. 4 lit. i NISG 2026 verlangt das Management von Anlagen. Für sie gilt der Anhang der DVO (EU) 2024/2690: für die in Art. 1 DVO genannten Anbieter wie Cloud- und verwaltete Dienste unmittelbar, für alle übrigen seit Oktober 2026 über § 2 NISV 2026. Nach Nr. 12.4 führen sie ein vollständiges, genaues, aktuelles und kohärentes Inventar ihrer Betriebsabläufe und Dienste sowie der Systeme und Werte, die sie unterstützen, und erfassen Änderungen nachvollziehbar. Für alle Unternehmen sind CIS, NIST und BSI anerkannte Empfehlungen; für NIS2-Einrichtungen ist zusätzlich der DVO-Anhang verbindlich.

Mustertext für den Geltungsbereich: „Das IT-Inventar umfasst alle Geräte, Systeme, Programme, Dienste und Daten von [Unternehmen] an den Standorten [Standorte], einschließlich Telearbeitsplätzen und der Cloud-Dienste laut Abschnitt 06. Verantwortlich ist [Name, Funktion], Vertretung [Name, Funktion].“

• Vorhandene Quellen nutzen: Übersichten zur Inventarisierung oder zum Konfigurationsmanagement (BSI-Standard 200-2, Kap. 8.1), Geräteverwaltung (MDM) und DHCP-Protokolle (CIS-Safeguards 1.1 und 1.4).
• Gruppen bilden: gleichartige Objekte mit gleichem Schutzbedarf zusammenfassen und die Anzahl vermerken (Kap. 8.1.1); für Wartung und Fehlersuche ist dennoch eine vollständige Erfassung der Systeme notwendig (Kap. 8.1.5). Auch nach Nr. 12.4.2 DVO richtet sich die Granularität nach dem Bedarf.
• Kennungen vergeben und verknüpfen: jedes Objekt eindeutig kennzeichnen, im BSI-Beispiel etwa GP002 für Prozesse und A003 für Anwendungen, und Anwendungen den Prozessen, Systeme den Anwendungen zuordnen (Kap. 8.1.2 bis 8.1.5).

Umsetzen lässt sich die Vorlage in einer Tabellenkalkulation, mit einem Tabellenblatt je Abschnitt 02 bis 06 und den Feldern als Spalten, oder in einem Inventarisierungswerkzeug (BSI-Standard 200-2, Kap. 8.1.3); automatische Erkennung sehen die CIS Controls ab Implementierungsgruppe IG2 vor (Safeguards 1.3 und 2.4). Spalte Mindestfeld: „ja“ heißt, die Quelle nennt das Feld als Mindestangabe (CIS „must“ oder „ensure“, BSI MUSS, SOLLTE oder „sollten“); „empfohlen“, sie nennt es nur bei Bedarf oder TOMORIS ergänzt es. Gesetzlich verpflichtend ist nur, was „(NIS2)“ trägt, und nur für NIS2-Einrichtungen. Werte in eckigen Klammern ersetzen Sie.

Der Zusammenhang zwischen Geschäftsprozessen und Anwendungen muss immer dargestellt werden (BSI-Standard 200-2, Kap. 8.1.3). Erfassen Sie Hauptprozesse mit ihren wichtigsten Teilprozessen; fehlen Beschreibungen, helfen Geschäftsverteilungspläne oder kurze Workshops mit den Fachverantwortlichen (Kap. 8.1.2). Für personenbezogene Daten ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO ein Startpunkt, mit Zwecken, Datenkategorien, Empfängern, Drittlandübermittlungen und wenn möglich Löschfristen (vgl. Kap. 8.1.2).

Im Dateninventar stehen nach CIS mindestens die sensiblen Daten; es wird mindestens jährlich geprüft (Safeguard 3.2, IG1). Was wann zu löschen ist, regeln nach BSI die Fachverantwortlichen je Geschäftsprozess, unter Beachtung gesetzlicher Aufbewahrungsfristen und bei personenbezogenen Daten abgestimmt mit dem oder der Datenschutzbeauftragten (CON.6.A1).

Erfassen Sie alle Geräte, die Daten speichern oder verarbeiten können, auch solche, die regelmäßig mit Ihrem Netz verbunden sind, ohne unter Ihrer Kontrolle zu stehen (CIS-Safeguard 1.1). Leicht übersehen werden Netzdrucker, TK-Anlagen, Gebäudesteuerung, Warnmelder oder mitgebrachte Smartwatches; das BSI rät, die Räume nach Geräten abzugehen, die Strom brauchen und vernetzt sein könnten (BSI-Standard 200-2, Kap. 8.1.5 und 8.1.7).

Für Mobilgeräte helfen MDM-Werkzeuge (CIS 1.1). Wechseldatenträger wie USB-Sticks oder Sicherungsdatenträger erfassen Sie als Gruppe, soweit sie Daten mit Mindestschutzbedarf tragen (BSI-Standard 200-2, Kap. 8.1.3); NIS2-Einrichtungen brauchen dafür ein Konzept (Anhang Nr. 12.3 DVO (EU) 2024/2690).

Die Zuordnung virtueller Systeme zu ihren physischen Hosts muss nachvollziehbar sein (BSI-Standard 200-2, Kap. 8.1.4). Der Netzplan zeigt IT-Systeme, Netzkomponenten und Netzverbindungen samt VLANs und VPNs sowie Außenanbindungen mit Anbieter und Art der Leitung, etwa MPLS, Mietleitung oder VPN. CIS verlangt ab IG2 Architekturdiagramme mit jährlicher Prüfung (Safeguard 12.4), NIS2-Einrichtungen dokumentieren ihre Netzarchitektur verständlich und aktuell (Anhang Nr. 6.7.2 lit. a DVO (EU) 2024/2690). Erfassen Sie auch Räume mit Systemen oder schutzbedürftigen Informationen samt Akten (Kap. 8.1.8).

Nach CIS-Safeguard 2.1 (IG1) dokumentiert das Softwareinventar jede lizenzierte Software mit Titel, Hersteller, erstem Installations- oder Nutzungsdatum und geschäftlichem Zweck, wo angebracht auch mit URL, App-Store, Version, Bereitstellungsweg, Außerbetriebnahme und Lizenzanzahl. Das Bestandsverzeichnis nach BSI zeigt, auf welchen Systemen Software unter welcher Lizenz läuft, und soll anlassbezogen aktualisiert werden, insbesondere bei jeder Installation (APP.6.A9). Standardsoftware wie E-Mail und Büroprogramme erfassen Sie als Paket (BSI-Standard 200-2, Kap. 8.1.3).

Zugelassen ist nach CIS-Safeguard 2.2 nur Software, die der Hersteller noch unterstützt; ist sie unverzichtbar, dokumentieren Sie eine Ausnahme mit ausgleichenden Maßnahmen und Annahme des Restrisikos. Lizenzen sollen Einsatzzweck und Vertrag entsprechen und den gesamten Nutzungszeitraum abdecken (APP.6.A9). NIS2-Einrichtungen legen beim Erwerb sicherheitsrelevanter IKT-Produkte und -Dienste Anforderungen an Sicherheitsupdates über die gesamte Lebensdauer oder an den Ersatz nach Supportende fest (Anhang Nr. 6.1.1 und 6.1.2 lit. b DVO (EU) 2024/2690).

Jeder Cloud-Dienst braucht eine Service-Definition, und die Verantwortungsbereiche zwischen Anbieter und Unternehmen müssen klar abgegrenzt und dokumentiert sein (Basis-Anforderungen OPS.2.2.A3 und A4); alle geplanten und genutzten Cloud-Dienste sollen dokumentiert werden (OPS.2.2.A3). Im Vertrag soll stehen, wo der Anbieter die Leistung erbringt, wie Daten sicher gelöscht werden und wie gekündigt wird (OPS.2.2.A9). CIS-Safeguard 15.1 (IG1) verlangt ein Dienstleisterinventar mit Klassifizierung und interner Ansprechperson, Safeguard 5.1 ein Kontoinventar samt Admin-Konten.

NIS2-Einrichtungen führen zusätzlich ein Verzeichnis ihrer direkten Anbieter mit Kontaktstellen und bereitgestellten IKT-Produkten und -Diensten (Anhang Nr. 5.2 DVO (EU) 2024/2690).

Der BSI-Standard 200-2 kennt drei Schutzbedarfskategorien: „normal“, wenn die Schadensauswirkungen begrenzt und überschaubar sind, „hoch“, wenn sie beträchtlich sein können, und „sehr hoch“, wenn sie ein existenziell bedrohliches, katastrophales Ausmaß erreichen können (Kap. 8.2.1). Bewerten Sie Vertraulichkeit, Integrität und Verfügbarkeit getrennt. IT-Systeme erben den Schutzbedarf der Anwendungen, die auf ihnen laufen oder deren Daten sie transportieren; laufen viele Anwendungen auf einem System, kann er steigen (Kumulationseffekt), bei Redundanz oder nur unwesentlichen Teilen einer Anwendung sinken (Verteilungseffekt). Der Gesamtschutzbedarf ist das Maximum der Grundwerte und zu begründen (Kap. 8.2.2 und 8.2.4).

NIS2-Einrichtungen ordnen allen Anlagen und Werten eine Klassifizierungsstufe zu, die auf Vertraulichkeits-, Integritäts-, Authentizitäts- und Verfügbarkeitsanforderungen beruht; ergänzen Sie dafür die Authentizität als vierten Wert (Anhang Nr. 12.1.2 lit. b DVO (EU) 2024/2690). Ihr Konzept deckt den Lebenszyklus von Erwerb, Verwendung, Speicherung und Transport bis zur Entsorgung ab (Nr. 12.2.2). Das BSI sieht vor dem Einsatz Prüf- und Genehmigungsverfahren und Bestandsverzeichnisse vor (ORP.1.A8); beim Austritt sind alle Geräte einzuziehen (ORP.2.A2). NIS2-Einrichtungen dokumentieren dann Abgabe, Rückgabe oder Löschung der Geräte und Daten, die das Personal verwahrt; ist das nicht möglich, dürfen diese nicht mehr auf ihre Systeme zugreifen (Nr. 12.5).

Mindestverfahren nach CON.6.A12 (Auszug): unverschlüsselte wiederbeschreibbare Datenträger vollständig mit Zufallswerten überschreiben, verschlüsselte durch sicheres Löschen des Schlüssels; eingebaute Datenträger etwa in Druckern über die Gerätefunktion löschen, sonst ausbauen und löschen oder nach E-3 bzw. H-3 vernichten; Smartphones und IoT-Geräte auf Werkseinstellung setzen, bei IoT danach alle Zugangsdaten ändern; Papier nach P-3, optische Datenträger nach O-3 vernichten (ISO/IEC 21964-2). Externe Entsorger müssen mindestens Ihre internen Anforderungen erfüllen (CON.6.A11).

CIS definiert „bi-annually“ im Glossar der Controls v8.1 als „every six months“; nach wesentlichen Änderungen, etwa einem Hardwaretausch oder einer Übernahme, ist die Prüfung zu wiederholen. Empfehlung von TOMORIS: Änderungen zusätzlich laufend eintragen, bei Beschaffung, Ausgabe, Rückgabe und Entsorgung. Die DVO nennt keine Frist, sondern verlangt eine regelmäßige Überprüfung.

• Erkennen: Geräte und Software, die nicht im Inventar stehen, finden sich in Netzscans, DHCP-Protokollen, Geräteverwaltung oder Softwareinventur; das BSI rät zu regelmäßigen Netzscans nach nicht zuzuordnenden Geräten (BSI-Standard 200-2, Kap. 8.1.7), CIS zu Erkennungswerkzeugen ab IG2 (Safeguards 1.3 bis 1.5, 2.4).
• Zuordnen: klären, wem Gerät oder Software gehört und wofür sie gebraucht wird; erst mit Inventar und Fachbereichen abgleichen, dann entfernen (Empfehlung von TOMORIS).
• Entscheiden: Geräte aus dem Netz entfernen, Fernzugang verweigern oder in Quarantäne setzen (CIS 1.2) oder zulassen und inventarisieren; Software entfernen oder eine dokumentierte Ausnahme erteilen (CIS 2.3).
• Dokumentieren: Fund, Entscheidung, Zuständige und Datum festhalten, Ausnahmen befristen (Empfehlung von TOMORIS); NIS2-Einrichtungen erfassen Änderungen im Inventar nachvollziehbar (Anhang Nr. 12.4.1 DVO (EU) 2024/2690).

Technisch verhindern lässt sich nicht genehmigte Software mit Allowlisting (CIS-Safeguard 2.5, IG2; NIST PR.PS-05); NIS2-Einrichtungen schützen ihre Systeme vor nicht genehmigter Software (Anhang Nr. 6.9 DVO (EU) 2024/2690).