Ein IT-Inventar, das sich selbst pflegt

Es gibt eine Frage, an der sich der Reifegrad einer IT-Organisation in zwei Minuten ablesen lässt: Wie viele Arbeitsplatzgeräte sind im Unternehmen im Einsatz, wie alt ist das älteste davon, und wie viele davon sind noch unter Garantie? Wo die Antwort ein Schätzwert ist, sind alle darauf aufbauenden Entscheidungen ebenfalls Schätzwerte – die Ersatzplanung, der Lizenzbedarf, die Bewertung einer Sicherheitsmeldung.

Ein Inventar zu führen gilt als Verwaltungsarbeit, und in der Form, in der es viele Unternehmen versucht haben, ist es das auch: eine Tabelle, die einmal mit großem Aufwand gefüllt und danach nie wieder angefasst wurde. Nach anderthalb Jahren steht darin ein Gerätebestand, den es nicht mehr gibt. Der Fehler liegt nicht im Vorhaben, sondern in der Annahme, dass Menschen eine Liste pflegen, die ihnen im Alltag nichts zurückgibt.

Abgrenzung: Inventar ist nicht Dokumentation

Beides wird häufig verwechselt, obwohl es zwei verschiedene Dinge sind. Die IT-Dokumentation beschreibt in Worten, wie etwas funktioniert und warum es so aufgebaut ist: Zweck eines Systems, Abhängigkeiten, Reihenfolge beim Wiederanlauf, Abweichungen vom Standard. Sie wird von Menschen geschrieben und von Menschen gelesen.

Das Inventar dagegen ist eine strukturierte Liste von Gegenständen mit Eigenschaften – Geräte, Lizenzen, Verträge, virtuelle Maschinen, Netzkomponenten – und im besten Fall maschinell erzeugt. Es antwortet auf Fragen mit Filtern, nicht mit Prosa: Welche Geräte laufen noch mit einer Betriebssystemversion ohne Unterstützung? Welche Verträge enden im nächsten Quartal? Wo ist dieses eine Programm installiert? Die Konfigurationsverwaltung ergänzt das Inventar um die Beziehungen zwischen den Einträgen: Diese Anwendung läuft auf jenem Server, dieser hängt an jenem Speicher. Die Regel dazu ist schlicht: Was sich abfragen lässt, gehört ins Inventar; was erklärt werden muss, in die Dokumentation. Und die Dokumentation verweist auf das Inventar, statt seine Listen von Hand abzuschreiben.

Welche Felder wirklich nötig sind

Der zweite klassische Fehler ist ein zu breites Schema. Wer vierzig Felder je Gerät vorsieht, bekommt vierzig unvollständige Spalten. Sinnvoll ist ein kleiner Kern, der jede Zeile beantwortbar hält, und der Grundsatz, dass jedes Feld eine Frage bedienen muss, die wirklich gestellt wird:

Das letzte Feld ist das am häufigsten fehlende und das nützlichste. Es verwandelt eine Geräteliste in eine Risikoliste. Ohne es sind alle 120 Zeilen gleich wichtig, und die Frage, was bei einer neuen Schwachstelle zuerst geprüft werden muss, bleibt eine Ermessensfrage.

Zu klären ist außerdem, was überhaupt als Eintrag gilt. Die Gerätesicht allein greift zu kurz, seit ein erheblicher Teil der Systemlandschaft gemietet ist. Virtuelle Maschinen, Cloud-Abonnements, Domänen und Zertifikate, Mobilfunkverträge und Fernzugänge für Dienstleister sind ebenfalls Bestandteile, die enden, verlängert werden oder ausfallen können. Gerade bei Zertifikaten und Domänen ist das Ablaufdatum der häufigste Grund für eine Störung, die vollständig vermeidbar gewesen wäre. Wer diese Einträge aufnimmt, braucht dafür kein zweites System, sondern nur dieselben Felder mit anderer Typbezeichnung.

Pflege ohne Zusatzarbeit

Ein Inventar bleibt nur aktuell, wenn es überwiegend nicht von Hand gefüllt wird. Die technischen Merkmale – Modell, Seriennummer, Betriebssystemstand, installierte Programme, Verschlüsselung – liefern die Verwaltungswerkzeuge selbst. In der Geräteverwaltung von Microsoft Intune etwa werden Hardware- und Softwareinventar regelmäßig aktualisiert, nach Herstellerangabe alle sieben Tage ab dem Zeitpunkt der Registrierung, und die gefundenen Anwendungen je Gerät getrennt ausgewiesen. Das ist zugleich der ehrliche Hinweis auf die Grenze solcher Daten: Sie sind aktuell im Rahmen ihres Aktualisierungsrhythmus, nicht sekundengenau.

Von Hand bleiben damit nur die Angaben, die kein System kennt: Standort, Nutzerzuordnung, Kostenstelle, Vertragsbezug, Schutzbedarf. Diese entstehen ohnehin an zwei Punkten im Alltag – beim Einrichten eines neuen Geräts und beim Ein- oder Austritt einer Person. Genau dort gehören sie in die Arbeitsschritte eingebaut. Ein Gerät gilt erst als übergeben, wenn der Eintrag steht; ein Austritt gilt erst als abgeschlossen, wenn die Zuordnung geändert ist.

Dazu kommt eine kurze, regelmäßige Gegenprobe, weil auch automatisch erzeugte Bestände Lücken haben: Geräte, die nie in die Verwaltung aufgenommen wurden, erscheinen dort nicht. Nützlich ist ein Vergleich aus mehreren Richtungen – Anmeldungen am Verzeichnisdienst, Geräte in der Verwaltungsplattform, Adressvergabe im Netz, Anlagenbuchhaltung. Wo eine Liste ein Gerät kennt, das die andere nicht hat, liegt entweder ein Pflegefehler oder ein unbekanntes Gerät vor. Beides will man wissen.

Der Nutzen zeigt sich bei Lizenzen und Garantien

Bei Lizenzen arbeitet ein Inventar in zwei Richtungen. Es verhindert Unterdeckung, weil erkennbar ist, wo eine Software tatsächlich installiert ist. Und es verhindert Überdeckung, weil sichtbar wird, wo Lizenzen auf Geräte oder Konten laufen, die es nicht mehr gibt. Die zweite Richtung ist die häufigere: Abonnements für ausgeschiedene Beschäftigte und Lizenzen auf ersetzter Hardware laufen weiter, weil niemand sie zurückgibt. Die Verbindung von Lizenz und Inventareintrag macht das bei jeder Vertragsverlängerung sichtbar.

Bei Garantien und Wartungsverträgen ist der Nutzen noch unmittelbarer. Der Unterschied zwischen einem Server mit gültigem Servicevertrag und einem ohne ist im Störfall keine Frage des Preises, sondern der Wiederherstellungszeit. Ein Inventar mit Garantieenddaten liefert eine einfache monatliche Auswertung: Welche kritischen Systeme verlieren in den nächsten sechs Monaten ihre Abdeckung? Diese eine Liste reicht aus, um die unangenehme Kombination aus Ausfall und abgelaufenem Vertrag weitgehend zu vermeiden.

Sicherheit: Ohne Bestand keine Bewertung

Jede Schwachstellenmeldung endet mit derselben Frage: Betrifft uns das? Ohne Inventar beginnt an dieser Stelle eine Suche, die Stunden dauert und deren Ergebnis niemand garantieren kann. Mit Inventar ist es eine Abfrage. Der gleiche Zusammenhang gilt für Zugriffsrechte, für die Verschlüsselung mobiler Geräte und für die Frage, welche Systeme überhaupt in die Überwachung eingebunden sind – die Fläche, die geschützt werden soll, muss bekannt sein, bevor über Maßnahmen gesprochen wird.

Dieselbe Grundlage verlangt die Regulierung. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen Maßnahmen und nennt dabei unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Konzepte zur Zugriffskontrolle. Alle diese Maßnahmen setzen voraus, dass bekannt ist, welche Systeme und Komponenten es gibt. Auch die Methodik des IT-Grundschutzes des BSI beginnt aus diesem Grund mit der Erfassung des Informationsverbunds, bevor über Anforderungen entschieden wird.

Zwei Fehler kehren dabei regelmäßig wieder. Der erste ist das zweite Inventar: Neben dem zentralen Bestand entsteht eine Tabelle für die Garantien, eine weitere für die Lizenzen und eine dritte in der Anlagenbuchhaltung. Sobald es mehr als eine gültige Quelle gibt, widersprechen sie sich, und man diskutiert über Listen statt über Geräte. Der zweite Fehler ist die fehlende Austragung: Ausgemusterte Geräte bleiben als Zeile stehen, weil niemand zuständig ist. Ein Inventar braucht deshalb nicht nur einen Weg hinein, sondern auch einen definierten Weg hinaus – einschließlich des Nachweises, dass Datenträger gelöscht oder vernichtet wurden.

Einstieg in vier Schritten

Erstens: automatisch erfassbare Daten aus den vorhandenen Werkzeugen zusammenführen, statt eine Tabelle neu anzulegen. Zweitens: die wenigen Felder von Hand ergänzen, beginnend bei den kritischen Systemen und nicht bei den Bildschirmen. Drittens: die Pflege in die beiden Alltagsvorgänge Geräteausgabe und Personalwechsel einbauen. Viertens: zwei feste Auswertungen einrichten – auslaufende Garantien und Systeme ohne Herstellerunterstützung – und diese monatlich ansehen.

Unsere Einordnung: Ein Inventar ist kein Verwaltungsvorgang, sondern eine Entscheidungsgrundlage. Es wird nur dann gepflegt, wenn es im Alltag Fragen beantwortet, die ohnehin gestellt werden – und es hört in dem Moment auf zu leben, in dem es zur Pflichtübung ohne Leser wird. Der Umfang ist deshalb kleiner zu halten, als es sich im ersten Entwurf anfühlt.

Verwandte Themen: Wer hier weiterdenkt, liest bei IT-Dokumentation, IT-Budget und SaaS-Management weiter.