Kurzdefinition: Asset-Management ist die möglichst vollständige und aktuelle Erfassung relevanter IT-Werte eines Unternehmens — Hardware, Software, Daten, Dienste und deren Abhängigkeiten. Es ist eine zentrale Grundlage jeder Risikobewertung: Was man nicht kennt, kann man kaum wirksam schützen.
Was ist Asset-Management?
Die systematische Inventarisierung aller schützenswerten IT-Werte samt Verantwortlichkeiten und Schutzbedarf. Es hält fest, welche Systeme existieren, wo sie stehen, wer sie verantwortet und wie kritisch sie sind.
Warum ist es die Grundlage der Sicherheit?
Weil Risikoanalyse und wirksame Maßnahmen ein aktuelles und hinreichend vollständiges Bild der Werte voraussetzen. Ohne aktuelles Inventar bleiben Schatten-IT und ungepatchte Systeme unsichtbar — und damit ungeschützt.
Was gehört zu einem guten Asset-Inventar?
Hard- und Software, Cloud-Dienste, Daten und ihre Klassifizierung, Netzwerkkomponenten, Verantwortliche und der jeweilige Schutzbedarf. Wichtig ist die laufende Aktualität, nicht die einmalige Liste.
Wie hängt Asset-Management mit NIS-2 zusammen?
Eng. Ohne Inventar lassen sich die Risikomanagementmaßnahmen nach § 30 BSIG nicht verhältnismäßig planen und nicht belegen. Es ist die Basis der gesamten Pflichtenerfüllung.
Wer sollte es verantworten?
Eine klar benannte Stelle mit Rückhalt der Leitung. Asset-Management ist Daueraufgabe, kein Projekt — es braucht Prozesse und Zuständigkeiten.
Häufige Fehlannahmen
- „Eine einmalige Liste genügt.“ Nein. Das Inventar muss laufend aktuell gehalten werden.
- „Nur Server sind relevant.“ Nein. Auch Endgeräte, Cloud-Dienste, Daten und Netzkomponenten zählen.
- „Schatten-IT ist ein Randthema.“ Nein. Unerfasste Systeme sind ein Hauptrisiko.
- „Asset-Management ist reine Technik.“ Nein. Verantwortlichkeiten und Schutzbedarf sind organisatorisch.
- „Ohne Inventar geht Sicherheit auch.“ Nein. Was man nicht kennt, kann man nicht schützen.
Was die Geschäftsleitung tun sollte
- Inventar aufbauen. Alle IT-Werte vollständig erfassen.
- Aktuell halten. Prozesse für Änderungen etablieren.
- Schutzbedarf zuordnen. Kritikalität je Wert festlegen.
- Verantwortliche benennen. Zuständigkeiten klären.
Für die Geschäftsleitung
Asset-Management ist das Fundament jeder Cybersicherheit: Nur wer seine IT-Werte vollständig und aktuell kennt, kann Risiken bewerten und Maßnahmen nach § 30 BSIG verhältnismäßig und belegbar umsetzen.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
