Die meisten Sicherheitslücken sind keine spektakulären Zero-Days. Es sind Dinge, von denen im Unternehmen niemand mehr wusste, dass es sie gibt.
Ein Server, den ein Projektteam vor zwei Jahren für einen Test aufgesetzt und nie abgeschaltet hat. Ein SaaS-Tool, das die Marketingabteilung mit der Firmenkreditkarte selbst abonniert hat. Ein Konto von jemandem, der letzten Sommer gegangen ist und dessen Zugang nie deaktiviert wurde.
Jedes dieser Dinge ist ein offenes Fenster. Und man kann kein Fenster schliessen, von dem man nicht weiss, dass es existiert.
Warum das Inventar die Nummer eins ist
Sicherheit hat eine unbequeme Reihenfolge. Bevor du etwas schützen kannst, musst du wissen, dass es da ist.
Das klingt banal. In der Praxis ist es der Punkt, an dem viele Sicherheitsprogramme leise scheitern. Die Vulnerability-Scans laufen, aber nur über die Systeme, die jemand eingetragen hat. Das Patch-Management ist sauber, aber nur für die Geräte, die das Team kennt. Die Firewall-Regeln sind gepflegt, aber der vergessene Testserver hängt in einem Segment, an das seit Monaten niemand mehr gedacht hat.
Die grossen Sicherheitsframeworks stellen das Inventar deshalb an den Anfang. In den CIS Critical Security Controls ist «Inventory and Control of Enterprise Assets» die Control Nummer eins, gefolgt von der Inventarisierung der Software. Die Begründung von CIS lässt sich in einem Satz zusammenfassen: Ein Unternehmen kann nicht verteidigen, was es nicht kennt.
Die Zahlen dahinter sind unangenehm konkret. Rund ein Drittel der Geräte in Firmennetzwerken läuft ausserhalb der Kontrolle der IT. Und 74 Prozent der Organisationen hatten bereits einen Sicherheitsvorfall, der auf so ein unbekanntes oder nicht verwaltetes Asset zurückging.
Das ist keine Frage der Firmengrösse. Bei einem Betrieb mit 80 Mitarbeitenden sieht der blinde Fleck anders aus als beim Konzern, aber er ist da. Die Marketingabteilung mit ihren fünf SaaS-Abos, die Produktion mit ihren alten Steuerungsrechnern, das Home-Office mit privaten Geräten.
Der Fehler, mit dem fast alle anfangen
Wenn ein Unternehmen beschliesst, endlich ein Inventar zu bauen, läuft das meistens so: Man behandelt es als reine IT-Aufgabe, kauft ein Scan-Tool, lässt es übers Netzwerk laufen und bekommt eine Liste mit 400 IP-Adressen.
Das fühlt sich nach Fortschritt an. Ist es aber nur halb.
Ein Netzwerk-Scan findet, was am Netzwerk hängt. Er findet nicht das SaaS-Abo, das nie den Firmenrouter berührt, weil die Mitarbeiterin es direkt vom Browser aus nutzt. Er findet nicht den kritischen Prozess, der an einem externen Dienstleister hängt, den niemand als Teil der eigenen IT betrachtet. Er findet die kurzlebige Cloud-Instanz nicht, die morgen wieder verschwunden ist. Und vor allem sagt er dir nicht, welches der 400 gefundenen Geräte du zuerst schützen musst.
Am Ende hast du eine lange, flache Liste ohne Rangfolge. Das ist besser als nichts, aber es beantwortet nicht die einzige Frage, die im Ernstfall zählt: Was davon darf auf keinen Fall ausfallen oder in falsche Hände geraten? Diese Frage lässt sich nicht mit einem Scanner beantworten, sondern nur, wenn du beim Geschäft anfängst.
Der bessere Weg: bei den Geschäftsprozessen anfangen
Ein Inventar wird erst nützlich, wenn du weisst, was wichtig ist. Und Wichtigkeit ergibt sich nicht aus einer Geräteliste, sondern aus deinen Geschäftsprozessen.
Diese Reihenfolge ist keine ODCUS-Erfindung. Sie steht so in den anerkannten Frameworks. Das NIST Cybersecurity Framework verlangt, Assets nach ihrer Bedeutung für die Unternehmensziele zu priorisieren. Die Crown Jewels Analysis von MITRE zerlegt zuerst die Mission des Unternehmens und leitet daraus die kritischen Assets ab, nicht umgekehrt. Und die Business Impact Analysis nach NIST SP 800-34 startet bei den Geschäftsprozessen und arbeitet sich zu den Systemen vor, die sie tragen.
Übersetzt in einen Ablauf, mit dem ein KMU bei null starten kann, sind das fünf Schritte.
1. Liste deine kritischen Prozesse
Was macht deine Firma tatsächlich, Tag für Tag? Welche fünf bis zehn Abläufe würden am meisten wehtun, wenn sie morgen stillstünden? Auftragsannahme, Produktion, Lohnlauf, Fakturierung, Kundensupport. Für jeden Betrieb sieht diese Liste anders aus, und sie ist kürzer, als die meisten denken. Das ist deine Prioritätenliste, und sie steht, bevor du auch nur ein einziges Gerät angeschaut hast.
Wenn dir dieser Schritt bekannt vorkommt: Er ist die Grundlage der Kronjuwel-Analyse, über die wir separat geschrieben haben. Das Prinzip ist dasselbe. Fokus auf das, was wirklich zählt, statt alles gleich zu behandeln.
2. Häng an jeden Prozess, wovon er abhängt
Nimm jeden kritischen Prozess und schreib auf, worauf er angewiesen ist: welche Anwendungen, welche Daten, welche Systeme, welche Personen, welche externen Dienstleister.
Genau hier tauchen die Dinge auf, die ein Scan nie sieht. Die Fakturierung hängt an einem Cloud-Tool, das nur eine Person bedient. Die Produktion hängt an einer Maschinensteuerung mit einem Windows-Stand, den niemand mehr anfassen will. Der Support hängt an einem Postfach, auf das drei ehemalige Mitarbeitende noch Zugriff hatten. Das ist die eigentliche Arbeit, und sie passiert im Gespräch mit den Fachabteilungen, nicht im Tool.
3. Gib jedem Asset einen Besitzer
Jedes Asset auf deiner Liste braucht eine Person, die dafür zuständig ist. Nicht «die IT», sondern ein Name.
Das ist der Schritt, der über Leben und Tod eines Inventars entscheidet. Ohne Besitzer veraltet jede Liste, weil sich niemand verantwortlich fühlt, sie zu pflegen. ISO 27001 verlangt in Anhang A 5.9 die benannte Eigentümerschaft ausdrücklich. Und das Beste daran: Dieser Schritt kostet nichts und braucht kein Werkzeug. Er braucht nur eine Entscheidung.
4. Jetzt scannst du
Erst an diesem Punkt kommt die Technik ins Spiel. Jetzt lässt du das technische Discovery laufen, oder du ziehst die Daten aus Systemen, die du oft schon hast: Microsoft 365 zeigt dir, wer sich wann angemeldet hat, Intune kennt deine verwalteten Geräte, dein Verzeichnisdienst kennt deine Konten.
Der Scan hat jetzt eine klare Aufgabe. Er füllt die Lücken deiner geschäftsgetriebenen Liste und findet, was die Fachabteilungen vergessen haben. Er ersetzt die Liste nicht, er vervollständigt sie. Der Unterschied ist entscheidend: Du kommst mit einer Rangfolge zum Scan, nicht mit einer leeren Tabelle.
5. Mach es laufend, nicht einmalig
Ein Inventar vom letzten Jahr ist Fiktion. Am Tag, an dem du es abspeicherst, beginnt es zu veralten, weil neue Geräte dazukommen, alte verschwinden und Abos gekündigt oder abgeschlossen werden.
CIS verlangt für Control 1 deshalb ausdrücklich eine aktive, laufende Pflege, nicht die einmalige Momentaufnahme. Für ein KMU heisst das nicht rund um die Uhr, sondern eine feste Kadenz und einen Verantwortlichen für die Liste selbst. Ein fixer Termin im Quartal, an dem jemand die Diskrepanzen abgleicht, reicht oft schon.
Die häufigsten Stolpersteine
Wir sehen in Projekten immer wieder dieselben Muster, an denen Inventare scheitern. Am häufigsten ist die einmalige Momentaufnahme, die danach niemand mehr aktualisiert. Dazu kommt die Excel-Tabelle, die in fünf Versionen über verschiedene Abteilungen driftet, bis keine mehr stimmt. Ein Klassiker ist das fehlende Eigentum, bei dem alle davon ausgehen, dass jemand anderes zuständig sei. Oft wird auch zuerst ein Discovery-Tool gekauft, bevor überhaupt klar ist, was als Asset zählt und wofür man es braucht. Und wer versucht, alles auf einmal zu erfassen, erlebt, wie die Genauigkeit einbricht und keiner der Liste mehr traut.
Der gemeinsame Nenner ist immer derselbe: zu früh bei der Technik, zu spät beim Geschäft. Wer mit den kritischen Prozessen und einem klaren Besitzer startet, umgeht die meisten dieser Fallen von allein.
Der doppelte Nutzen
Ein Asset-Inventar ist eine der wenigen Sicherheitsmassnahmen, die sich zweimal auszahlt.
Auf der Sicherheitsseite wird plötzlich alles andere möglich. Du kannst gezielt patchen, weil du weisst, welche Systeme es gibt. Du kannst sinnvoll überwachen, weil du weisst, was normal ist. Und im Notfall reagierst du schnell, weil du nicht erst herausfinden musst, was betroffen ist. Das Inventar ist der stille Faktor hinter fast jeder guten Incident Response.
Auf der Kostenseite passiert etwas, das viele überrascht. Sobald du auflistest, was du hast, siehst du auch, wofür du zahlst, ohne es zu nutzen. Firmen nutzen im Schnitt nur rund die Hälfte der Software-Lizenzen, für die sie bezahlen. Karteileichen, doppelte Tools für denselben Zweck, Premium-Stufen für Gelegenheitsnutzer.
Derselbe Prozess, der deine Sicherheit verbessert, senkt also deine Rechnung. Das ist kein netter Nebeneffekt, sondern oft das Argument, mit dem sich das Projekt intern überhaupt durchsetzt. Wer über die richtige Verteilung des Security-Budgets nachdenkt, fängt sinnvollerweise hier an.
Warum das für Schweizer Firmen doppelt zählt
Für Unternehmen in der Schweiz kommt eine regulatorische Seite dazu. Das revidierte Datenschutzgesetz verlangt in vielen Fällen ein Verzeichnis der Bearbeitungstätigkeiten. Im Kern ist das ein Daten-Inventar. Du kannst es nicht ausfüllen, ohne zu wissen, welche Personendaten du wo hältst und wer darauf zugreift.
Kleinere Firmen mit risikoarmer Bearbeitung sind von der formalen Pflicht teils ausgenommen. Die Arbeit dahinter machst du trotzdem, sobald du irgendetwas ernsthaft schützen willst. Und wer ohnehin Richtung ISO 27001 oder ein pragmatisches ISMS geht, wird ohne Inventar keine drei Schritte weit kommen. Es ist die Grundlage, auf der alles Weitere aufbaut.
Fang klein an, aber fang richtig an
Du brauchst kein Budget, kein Tool und keinen Berater, um mit deinem Asset-Inventar zu starten. Du brauchst ein leeres Blatt und die Frage, welche fünf Prozesse deine Firma am Laufen halten.
Schreib die auf. Häng die Systeme, Daten und Personen daran. Gib jedem einen Besitzer. Erst dann lohnt sich der Blick auf Werkzeuge, die den Rest automatisieren.
Ein Inventar, das bei der Technik anfängt, gibt dir eine lange Liste. Ein Inventar, das beim Geschäft anfängt, gibt dir eine Rangfolge und damit eine Grundlage, auf die du bauen kannst.
Wenn du unsicher bist, wo bei euch die Kronjuwelen liegen und welche Abhängigkeiten ihr übersehen könntet, schauen wir uns das in einem Erstgespräch gemeinsam an. Der erste Schritt ist immer derselbe: sichtbar machen, was da ist.
Quellen
- CIS Critical Security Controls, Control 1 (Inventory and Control of Enterprise Assets): cisecurity.org
- Trend Micro / Sapio Research, 2025 (74 Prozent der Vorfälle durch unbekannte oder nicht verwaltete Assets): newsroom.trendmicro.com
- Palo Alto Networks, 2025 Device Security Threat Report (rund ein Drittel der Geräte ausserhalb der IT-Kontrolle): paloaltonetworks.com
- Zylo 2024 SaaS Management Index (rund die Hälfte der Lizenzen ungenutzt): zylo.com
