IT-Asset-Inventar: Grundlage für den IKT-Minimalstandard im KMU

Wer nicht weiss, was in seiner IT-Infrastruktur steckt, kann sie nicht schützen. Der IKT-Minimalstandard verlangt von Unternehmen ein vollständiges und aktuelles Inventar aller IT- und OT-Betriebsmittel – nicht als bürokratische Pflichtübung, sondern als strategische Grundlage für ein wirksames Sicherheitsmanagement. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist dieses Inventar der erste und entscheidende Schritt, um Risiken zu erkennen, Compliance sicherzustellen und die eigene Infrastruktur gezielt zu steuern.

Was ist ein IT-Asset-Inventar – und warum ist es so wichtig?

Ein IT-Asset-Inventar ist eine vollständige, aktuelle Liste aller IT- und OT-Betriebsmittel eines Unternehmens: Server, Netzwerkgeräte, Cloud-Systeme, Produktionsanlagen und alles, was mit dem Netzwerk verbunden ist.

Der IKT-Minimalstandard – verbindlich für Unternehmen der kritischen Infrastruktur in der Schweiz – fordert genau diesen Überblick. Doch auch für KMU ausserhalb dieser Pflicht gilt: Wer kein vollständiges Inventar hat, hat blinde Flecken. Und blinde Flecken sind Einfallstore für Angreifer.

Ein aktuelles Inventar ermöglicht drei wesentliche Dinge:

• Risiken frühzeitig erkennen: Schwachstellen in der Infrastruktur werden sichtbar, bevor sie ausgenutzt werden.

• Compliance nachweisen: Regulatorische Anforderungen lassen sich nur erfüllen, wenn bekannt ist, was vorhanden ist.

• Ressourcen gezielt einsetzen: Unnötige Ausgaben werden vermieden, weil die Nutzung der IT-Mittel transparent ist.

Was sind die häufigsten Schwachstellen beim Inventarmanagement?

In der Praxis sehe ich bei KMU immer wieder dieselben Probleme: Das Inventar ist veraltet, unvollständig oder existiert nur als Excel-Tabelle, die niemand mehr pflegt. Besonders kritisch ist die sogenannte Schatten-IT – Geräte und Systeme, die im Betrieb genutzt werden, aber nirgends erfasst sind. Ein Mitarbeitender, der einen privaten Router ans Firmennetz anschliesst, oder ein vergessener Cloud-Dienst aus einem abgeschlossenen Projekt: Solche Lücken bleiben oft jahrelang unentdeckt.

Das Risiko ist real. Ein nicht erfasstes System erhält keine Sicherheitsupdates, wird nicht überwacht und kann jederzeit als Einstiegspunkt für einen Angriff dienen.

Welche Anforderungen stellt der IKT-Minimalstandard an das Inventar?

Der IKT-Minimalstandard definiert vier klare Anforderungen an ein wirksames Inventarmanagement:

• Vollständigkeit: Jedes IT- und OT-Betriebsmittel muss erfasst sein – ob lokaler Server, Cloud-Dienst oder Netzwerkgerät.

• Aktualität: Das Inventar wird bei jeder Installation, Aktualisierung oder Änderung sofort angepasst.

• Eindeutigkeit: Jedes Gerät erhält eine eindeutige Kennung, zum Beispiel eine Seriennummer oder ein Asset-Tag, damit Verwechslungen ausgeschlossen sind.

• Verantwortlichkeit: Es ist klar geregelt, wer das Inventar pflegt und wer bei Änderungen informiert werden muss.

Diese vier Punkte klingen einfach – in der Praxis scheitern viele KMU jedoch bereits an der Vollständigkeit, weil kein strukturierter Prozess dahintersteht.

Wie setzt man ein vollständiges IT-Asset-Inventar konkret um?

Die Umsetzung muss nicht komplex sein. Vier Schritte helfen, einen soliden Prozess aufzubauen:

1. Zentrales Inventar einführen: Eine dedizierte Inventarsoftware oder ein strukturiertes Tool erfasst alle Betriebsmittel an einem Ort. Das verhindert Insellösungen und Datenverluste.

2. Eindeutige Identifikation sicherstellen: Jedes Gerät erhält eine eindeutige Kennung. Netzwerk-Scanner können dabei helfen, Geräte automatisch zu erkennen und ins Inventar aufzunehmen.

3. Aktualisierung automatisieren: Prozesse werden so gestaltet, dass Änderungen – neue Geräte, Abgänge, Updates – automatisch oder nach einem festen Rhythmus ins Inventar einfliessen.

4. Verantwortlichkeiten klar zuweisen: Eine Person oder ein Team ist explizit für die Pflege des Inventars zuständig. Ohne klare Verantwortung bleibt das Inventar früher oder später liegen.

Praxisbeispiel: Energieversorger

Ein Energieversorger mit rund 80 Mitarbeitenden stellte im Rahmen einer Sicherheitsüberprüfung fest, dass sein bestehendes Inventar nur rund 60 Prozent der tatsächlich genutzten Systeme abdeckte. Mehrere OT-Geräte in der Leitstelle waren nie erfasst worden – darunter ein älteres Steuerungssystem, das seit Jahren keine Sicherheitsupdates mehr erhalten hatte.

Mit einem strukturierten Inventarisierungsprozess, einem Netzwerk-Scanner und klar definierten Verantwortlichkeiten konnte das Unternehmen innerhalb weniger Wochen ein vollständiges Inventar aufbauen. Das Ergebnis: bekannte Risiken, priorisierte Massnahmen und eine deutlich verbesserte Ausgangslage für die Erfüllung des IKT-Minimalstandards.

Jetzt den ersten Schritt machen

Prüfen Sie heute, ob Ihr Unternehmen ein vollständiges und aktuelles Inventar aller IT- und OT-Betriebsmittel hat. Wenn nicht: Starten Sie mit einer einfachen Bestandsaufnahme und legen Sie fest, wer dafür verantwortlich ist. Dieser eine Schritt ist die Grundlage für alles, was danach kommt.

Bereit, Ihre IT-Sicherheit auf ein solides Fundament zu stellen?

Ich unterstütze KMU dabei, den IKT-Minimalstandard pragmatisch und ohne unnötigen Aufwand umzusetzen – von der ersten Bestandsaufnahme bis zum vollständigen ISMS. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Ihr Unternehmen heute steht.

Häufige Fragen zum IT-Asset-Inventar

Was gehört alles in ein IT-Asset-Inventar?
Alle IT- und OT-Betriebsmittel: Server, Computer, Netzwerkgeräte, Cloud-Dienste, Produktionsanlagen und alle weiteren Systeme, die mit dem Unternehmensnetzwerk verbunden sind oder geschäftskritische Daten verarbeiten.

Wie oft muss das Inventar aktualisiert werden?
Das Inventar sollte bei jeder Änderung sofort angepasst werden – also bei Neuinstallationen, Abgängen oder Systemaktualisierungen. Zusätzlich empfiehlt sich eine regelmässige Gesamtprüfung, mindestens einmal pro Jahr.

Was ist Schatten-IT und warum ist sie gefährlich?
Schatten-IT bezeichnet Geräte oder Systeme, die im Betrieb genutzt werden, aber nicht offiziell erfasst oder genehmigt sind. Diese Systeme erhalten keine Sicherheitsupdates und werden nicht überwacht – sie sind damit ein erhebliches Sicherheitsrisiko.

Gilt der IKT-Minimalstandard auch für kleine KMU?
Der IKT-Minimalstandard ist in der Schweiz verbindlich für Betreiber kritischer Infrastrukturen, zum Beispiel Energieversorger. Für andere KMU ist er eine anerkannte Orientierungshilfe – und ein vollständiges Inventar ist unabhängig von der Grösse des Unternehmens eine sinnvolle Grundlage für jede Sicherheitsstrategie.