Asset Management: Die Grundlage der Informationssicherheit

Die digitale Landschaft wandelt sich stetig, und damit nehmen auch die Herausforderungen für die Unternehmenssicherheit zu. Daten gelten als elementare strategische Ressource, doch die Bedrohung durch Cyberkriminalität ist real. In Deutschland bezifferte der Bitkom den jährlichen Gesamtschaden bereits 2023 auf rund 206 Mrd. € („Wirtschaftsschutz 2023“); 2024 stieg er auf 266,6 Mrd. € („Wirtschaftsschutz 2024“) und 2025 weiter auf 289,2 Mrd. € („Wirtschaftsschutz 2025“). Die Betroffenheit von Unternehmen ist entsprechend hoch: Laut Bitkom waren 81 % der Unternehmen im Jahr 2024 betroffen (weitere 10 % vermuten Vorfälle) und 87 % im Jahr 2025. Das BSI bewertet die IT-Sicherheitslage in Deutschland im Lagebericht 2024 als „besorgniserregend“.

In dieser komplexen Umgebung ist Überblick der eigenen Vermögenswerte (Assets) der erste Schritt zum effektiven Schutz. Genau hier setzt das Asset Management an und bildet das unverzichtbare Fundament für eine robuste Informationssicherheit. Nur durch eine vollständige Inventarisierung ist eine lückenlose Risikobewertung und priorisierte Absicherung geschäftskritischer Systeme möglich.

1. Asset Management: Definition & Nutzen

Das Asset-Management ist ein systematischer Ansatz zur Identifizierung, Überwachung und Verwaltung der IT-Vermögenswerte eines Unternehmens, um deren vollständige Einhaltung der Sicherheitsrichtlinien zu gewährleisten. Es handelt sich dabei um den Prozess der Verfolgung, Verwaltung und Wartung der Assets über deren gesamten Lebenszyklus hinweg – von der Anschaffung bis zur Entsorgung. Assets sind dabei alle technologischen Komponenten – ob Hardware, Software, Daten oder digitale Ressourcen – die eine Organisation besitzt oder nutzt.

Der Unterschied zwischen ITAM und CSAM

ITAM (IT Asset Management) umfasst Praktiken und Strategien zur Überwachung, Verwaltung und Optimierung unternehmenseigener IT-Systeme, Hardware, Prozesse und Daten. Es betrachtet den Lebenszyklus von Assets, um Gesamtkosten zu erfassen und deren Nutzung zu verbessern. ITAM unterscheidet zwischen verschiedenen Typen von Assets, darunter Hardware (PCs, Server), Software (Lizenzen, Compliance) und Cloud-Ressourcen (SaaS, IaaS, PaaS).

CSAM (Cybersecurity Asset Management) ist ein Rahmenwerk im Bereich der Cybersicherheit, das die Identifizierung, Klassifizierung und effektive Verwaltung der IT-Ressourcen (einschließlich Hardware, Software und IoT-Geräten) in den Vordergrund stellt, um sich gezielt gegen Sicherheitsbedrohungen abzusichern. CSAM integriert Risikobewertung, Compliance und proaktive Sicherheitsmaßnahmen und zielt darauf ab, potenzielle Risiken zu mindern und die allgemeine Sicherheit zu stärken.

Auswirkungen auf die Informationssicherheit

Ein effektives Asset Management bietet zahlreiche Vorteile für die Informationssicherheit:

1. Risikominderung und erhöhte Sicherheit: Es ermöglicht eine proaktive Verwaltung der Assets. Durch die Inventarisierung und regelmäßige Überwachung aller Assets können Sicherheitsteams Schwachstellen frühzeitig erkennen, Patches anwenden und die gesamte Angriffsfläche im Netzwerk reduzieren. Organisationen, die effektives CSAM implementieren, können ihre Angriffsfläche erheblich verkleinern.
2. Verbesserte Entscheidungsfindung: Das Wissen um den Bestand und Zustand der Assets ist entscheidend für das Risikomanagement und eine intelligentere Ressourcenverteilung. In Hochrisikoszenarien können Entscheidungen basierend auf der Kritikalität der Assets priorisiert werden.
3. Bessere Compliance: Zahlreiche Vorschriften, darunter die DSGVO und ISO 27001, fordern die genaue Verfolgung und Verwaltung von IT-Assets. Genaue Asset-Aufzeichnungen vereinfachen den Nachweis der Einhaltung bei Audits.
   

2. Asset Management in der Praxis

Beim Aufbau eines Asset Managements ist es erforderlich, die Unternehmenswerte systematisch zu identifizieren, klassifizieren, bewerten und schützen. Unternehmen sollten ein Register führen, in dem neue Hardwarekomponenten erfasst und deren Leistung und Sicherheit überwacht werden.

Laut der TÜV Cybersecurity Studie 2025 wird in drei von vier der befragten Unternehmen eine systematische Erfassung aller IT- und Kommunikationsgeräte durchgeführt. Dabei ist die kontinuierliche Überwachung, Aktualisierung und Wartung aller Anlagen unerlässlich.

Der Lebenszyklus eines Assets

Der Lebenszyklus eines IT-Assets umfasst mehrere entscheidende Phasen, von der Entstehung bis zur Außerbetriebnahme:

1. Planung und Beschaffung: Bedürfnisse werden identifiziert und die Assets zur Unterstützung strategischer Ziele beschafft.
2. Bereitstellung (Deployment): Assets werden installiert, konfiguriert und in das Netzwerk integriert. Hier werden auch anfängliche Sicherheitskontrollen eingerichtet.
3. Wartung und Überwachung: Assets werden regelmäßig aktualisiert und überwacht, um funktionsfähig und sicher zu bleiben. Dies umfasst Patch-Management und Sicherheitsüberwachungen.
4. Stilllegung und Entsorgung (End-of-Life): Assets werden ausgemustert und veräußert. In dieser Phase müssen Organisationen Daten sicher entfernen, Geräte außer Betrieb nehmen und Assets gesetzeskonform entsorgen oder recyceln, um Datenlecks zu vermeiden. Es muss spezielle Datenbereinigungssoftware verwendet werden, da das einfache Löschen von Dateien die vollständige Vernichtung nicht garantiert.

Umgang mit Schatten-IT

Unter Schatten-IT versteht man nicht offiziell erfasste Geräte, Anwendungen oder Online-Services. Unbekannte, vergessene oder veraltete IT-Geräte werden von Cyberkriminellen gerne als Einfallstor in die Unternehmensinfrastruktur genutzt.

Die Nutzung nicht registrierter IT-Geräte stellt laut der TÜV Cybersecurity Studie 2025 für knapp jedes zehnte Unternehmen ein mögliches Einfallstor für Cyberangriffe dar. Hardware wie Smartphones oder Router sowie Software wie Apps, Browser-Erweiterungen oder nicht zugelassene Messenger können Probleme verursachen.

Die systematische Geräteerfassung ist ein Beitrag zur Sicherheit, da sie hilft, veraltete Geräte zu identifizieren. Allerdings suchen nur wenige Unternehmen regelmäßig nach nicht registrierten oder alten Geräten. Ein klarer Asset Management Prozess (insbesondere CSAM) kann dazu beitragen, Risiken zu mindern, die mit nicht verwalteten Ressourcen verbunden sind.

Asset Management und Lieferkettensicherheit

Cyberangriffe erfolgen häufig nicht direkt, sondern nehmen den Umweg über Zulieferer oder Kunden. Ein Zehntel der befragten Unternehmen in der TÜV Cybersecurity Studie 2025 hat bereits Angriffe festgestellt, die über diese Wege erfolgt sind.

Das Asset Management spielt eine wichtige Rolle bei der Stärkung der Lieferkettensicherheit, da es Unternehmen ermöglicht, genau zu bestimmen, welche IT/OT-Assets in ihrer Lieferkette vorhanden sind. Dies erlaubt eine gezielte Identifikation von Schwachstellen in der Hard- oder Software von Dritten. Es ist jedoch eine Herausforderung: Nur wenige Unternehmen stellen laut aktueller Studien bereits Anforderungen an die Cybersicherheit ihrer Geschäftspartner in der Lieferkette, wenn dies nicht gesetzlich vorgeschrieben ist (siehe bspw. NIS-2, KRITIS, DORA).

3. Klassifizierung & Schutzbedarf

Sobald Assets identifiziert sind, müssen sie klassifiziert werden, um ihren jeweiligen Schutzbedarf zu bestimmen. Diese Klassifizierung legt fest, welche Sicherheitsmaßnahmen angemessen sind.

Die Einstufung des Schutzbedarfs erfolgt typischerweise anhand der Schutzziele der Informationssicherheit:

• Vertraulichkeit (Confidentiality): Sicherstellung, dass nur autorisierte Personen Zugriff auf Informationen haben.
• Integrität (Integrity): Gewährleistung der Richtigkeit und Vollständigkeit der Assets und ihrer Verarbeitung.
• Verfügbarkeit (Availability): Sicherstellung, dass Assets bei Bedarf für autorisierte Benutzer zugänglich sind.
  

Auf Grundlage dieser Kriterien kann eine Risikobewertung durchgeführt werden. Dabei werden potenzielle Bedrohungen und Schwachstellen identifiziert. Die Risikobewertung kann qualitativ (subjektive Einstufungen wie niedrig, mittel, hoch) oder quantitativ (Bewertung von Wahrscheinlichkeit und Schadenshöhe anhand konkreter Zahlen) erfolgen.

Das Ergebnis der Klassifizierung und Bewertung ist die Ableitung zentraler Kontrollen und klarer Handlungsregeln. Je höher das ermittelte Risiko, desto umfangreicher sollten die Schutzmaßnahmen sein. Dies umfasst die Definition von klaren Regeln und Verfahren für den Umgang mit den Assets, welche den gesamten Lebenszyklus – von der Erstellung über die Nutzung bis zur Entsorgung – abdecken müssen. Zudem ist die Implementierung robuster Zugriffskontrollmaßnahmen unerlässlich, um sicherzustellen, dass nur autorisierte Personen Zugriff auf vertrauliche Informationen haben.

4. Auswirkungen auf das Incident Management

Das IT-Asset-Management (ITAM) ist entscheidend, um im Falle eines Sicherheitsvorfalls schnell, zuversichtlich und effektiv reagieren zu können. Durch einen zuverlässigen Katalog aller Geräte, Software und Verbindungen, einschließlich ihrer Konfigurationen, können kritische Schritte beschleunigt werden:

1. Schnellere Identifizierung und Eindämmung: Mit sofortigem Zugriff auf Asset-Daten können gefährdete Systeme oder kompromittierte Endpunkte innerhalb von Sekunden identifiziert und isoliert werden. Die schnelle Isolierung minimiert die laterale Ausbreitung von Bedrohungen wie Ransomware oder Malware und reduziert so die Wahrscheinlichkeit weitreichender Geschäftsunterbrechungen. Die Verfügbarkeit dieser Informationen auf einen Blick beschleunigt den Identifizierungs- und Eindämmungsprozess.
2. Priorisierung und Entscheidungshilfe: Asset-Management-Tools ermöglichen es, Reaktionen basierend auf der Kritikalität des Assets zu priorisieren. Dies ist entscheidend, um die Bemühungen auf den Schutz der besonders hochwertigen Systeme zu fokussieren. Ohne ITAM wird die Reaktion oft zu einem verlängerten, ineffizienten und fehleranfälligen Prozess.
3. Analyse und Forensik: Bei einem Vorfall kann ITAM sofort nachvollziehen, welche Assets miteinander interagiert oder sensible Informationen enthalten haben. Wenn ein hochpriorisierter Server Anzeichen einer Kompromittierung zeigt, kann ITAM schnell aufzeigen, mit welchen anderen Assets er kommuniziert hat, um potenzielle Bedrohungsvektoren zu verfolgen.
   

Darüber hinaus können Asset-Daten in spezifische Incident-Response-Workflows integriert werden. Durch die Verknüpfung von dieser Daten mit Sicherheitstools und -prozessen kann die Effektivität der Incident Response Maßnahmen maximiert werden.

• Vorbereitung durch Playbooks: Incident Response Playbooks, die ITAM-Daten integrieren, werden strukturierter und effektiver. Sie können spezifische Eindämmungsschritte für verschiedene Asset-Typen festlegen, was den Response-Workflow vereinfacht.
• Automatisierung und Zentralisierung: Automatisierte Tracking-Tools ermöglichen die Integration mit anderen IT-Systemen wie Schwachstellenmanagement-Systemen und Konfigurationsmanagement-Datenbanken (CMDB). Automatisierung kann die Reaktionszeiten weiter beschleunigen, da automatische Reaktionen, wie Quarantänemaßnahmen für Endpunkte mit verdächtigen Aktivitäten, festgelegt werden können. Dies reduziert manuelle Schritte und vermeidet unnötige Verzögerungen während kritischer Vorfälle.
• Schwachstellenmanagement: ITAM unterstützt das Schwachstellenmanagement, indem es veraltete oder ungepatchte Systeme identifiziert, die anfällig für Cyberbedrohungen sein könnten. Organisationen können ihre Angriffsfläche erheblich reduzieren, indem sie sicherstellen, dass alle Vermögenswerte genau inventarisiert und überwacht werden.
  

Fazit

In einer zunehmend komplexen und gefährlichen digitalen Welt ist das Asset Management weit mehr als eine administrative Aufgabe; es ist ein strategischer Einflussfaktor. Ein strukturiertes Asset Management ist für Unternehmen unverzichtbar, um Sicherheitsrisiken zu minimieren und die operative Effizienz sowie die Widerstandsfähigkeit (Resilienz) gegenüber Cyberbedrohungen zu steigern.

Ob es darum geht, die wachsenden Herausforderungen der Schatten-IT zu bewältigen, Schwachstellen in der Lieferkette zu erkennen oder im Ernstfall eine schnelle und zielgerichtete Reaktion zu ermöglichen: Der Schutz vor Cyberangriffen wird durch ein effizientes Asset Management nachhaltig unterstützt.