IT Asset Management, kurz ITAM, pflegt verlässliche Informationen zu Technologien, die ein Unternehmen besitzt, betreibt oder benötigt. Dazu gehören Geräte, Server, Anwendungen, Lizenzen, Domains, Cloud-Workloads und externe Dienste. Nützliche Datensätze verbinden jedes Asset mit Verantwortlichem, Zweck, Ort, Lebenszyklus und Sicherheitsrelevanz.
Sicherheitsteams können unbekannte Systeme weder patchen noch überwachen oder abschalten. ITAM unterstützt deshalb Vulnerability Management und reduziert Shadow IT, während EASM die Außensicht auf internet-erreichbare Assets ergänzt.
Was macht einen Asset-Bestand nützlich?
- - Erkennung automatisieren, aber menschliche Verantwortung und Geschäftskontext zuweisen.
- - Daten aus Endpoint-, Netzwerk-, Cloud- und Beschaffungsquellen abgleichen.
- - Unterstützte Versionen, Abhängigkeiten und geplante Abschaltung verfolgen.
- - Veraltete Datensätze entfernen und unbekannte Assets untersuchen, statt sie auszublenden.
Reicht eine Tabelle?
In einer kleinen stabilen Umgebung kann eine Tabelle genügen. Sie scheitert, wenn sich Assets schneller ändern als die Liste gepflegt wird. Entscheidend sind Aktualität, Verantwortung und Einbindung in operative Prozesse, nicht der Produktname.
Welche Informationen gehören zu einem Asset?
| Information | Nutzen für die Sicherheit |
|---|---|
| Kennung und Typ | Funde verschiedener Werkzeuge lassen sich demselben System zuordnen. |
| Verantwortlicher und Geschäftszweck | Risiken, Wartungsfenster und Abschaltung können entschieden werden. |
| Standort, Netz und Erreichbarkeit | Exposition und notwendige Segmentierung werden sichtbar. |
| Version, Supportstatus und Abhängigkeiten | Patches und End-of-Life-Risiken lassen sich priorisieren. |
| Datenklasse und Kritikalität | Schutzbedarf und mögliche Auswirkungen fließen in Entscheidungen ein. |
| Lebenszyklusstatus | Geplante, aktive und stillgelegte Assets werden unterschiedlich behandelt. |
Der Asset-Lebenszyklus
ITAM beginnt vor der Inbetriebnahme: Beschaffung, Architektur und Verantwortung werden dokumentiert, bevor ein Asset produktiv wird. Während des Betriebs gleichen Discovery-Systeme die erwartete Liste mit der Realität ab. Bei der Stilllegung werden Daten gesichert oder gelöscht, Zugänge und Zertifikate widerrufen sowie DNS-, Cloud- und Lieferantenressourcen entfernt. Gerade dieser letzte Schritt verhindert verwaiste Systeme und Subdomain Takeover.
Sinnvolle Qualitätskennzahlen sind der Anteil eindeutig verantworteter Assets, die Zeit bis zur Aufnahme neuer Systeme und die Differenz zwischen Inventar, Cloud-Konten, Endpoint-Management und externer Sicht. Eine hohe Datensatzanzahl allein sagt wenig aus.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.