Asset-Management8. Juli 2026 · 5 Min. Lesezeit

Asset-Inventar als Sicherheitsbasis: Tools und einfache Prozesse

Einleitung

„Du kannst nicht schützen, was du nicht kennst“ ist die abgenutzte Floskel des Asset-Managements – und sie stimmt trotzdem. Ohne aktuelles Asset-Inventar fehlt dir die Grundlage für Patch-Management, Schwachstellen-Priorisierung und Incident Response. Dieser Artikel zeigt, wie du mit Open-Source-Tools und einem schlanken Prozess ein verlässliches Inventar aufbaust.

Warum das Thema wichtig ist

Asset-Management klingt nach Verwaltung. Tatsächlich ist es das Fundament jeder Security-Disziplin: Wenn du nicht weißt, dass ein Server existiert, patchst du ihn nicht. Wenn du nicht weißt, welche Software wo läuft, kannst du im Schwachstellenscan nichts priorisieren. Wenn du nicht weißt, wer für ein System verantwortlich ist, dauert die Incident-Eskalation Stunden statt Minuten. CIS Control 1 und 2 (Inventory of Enterprise Assets / Software Assets) stehen aus gutem Grund ganz oben.

In KMU scheitert Asset-Management meistens nicht an Tools, sondern an Pflege. Ein Inventar ist nur so gut wie sein Aktualisierungsstand.

Was gehört in ein Asset-Inventar?

Pro Asset mindestens:

Eindeutige ID (z. B. Hostname oder Inventarnummer)
Kategorie (Server, Workstation, Netzwerkgerät, Mobile, IoT)
OS / Firmware mit Version
IP-Adresse(n) und MAC-Adresse
Standort (physisch oder virtuell – Rechenzentrum, Cloud-Provider, Region)
Owner (technisch verantwortliche Person/Team)
Business Owner (fachlich verantwortliche Person)
Kritikalität (z. B. low / medium / high / critical)
Lifecycle-Status (in production / testing / decommissioned)
End-of-Support-Datum (für OS und kritische Software)

Optional, aber wertvoll:

Installierte Software (für Schwachstellen-Mapping)
Datenklassifikation (was liegt drauf?)
Compliance-Anforderungen (DSGVO, ISO 27001, NIS2)

Tools für KMU

1. GLPI – die solide Standard-Wahl

GLPI ist eine Open-Source-IT-Asset-Management- und ITSM-Plattform. PHP-basiert, läuft auf jedem LAMP-Stack.

Installation (Docker):

# docker-compose.yml
services:
  glpi:
    image: diouxx/glpi
    ports:
      - "80:80"
    volumes:
      - ./glpi:/var/www/html/glpi
    depends_on:
      - db
  db:
    image: mariadb:10
    environment:
      MYSQL_ROOT_PASSWORD: changeme
      MYSQL_DATABASE: glpi

Für automatische Asset-Erfassung: FusionInventory oder GLPI Agent als Plugin. Agent läuft auf Endgeräten und meldet Hardware/Software an GLPI.

2. OCS Inventory NG – schlank, fokussiert

OCS Inventory NG ist auf Inventarisierung spezialisiert und kann Daten an GLPI weiterreichen. Agent für Windows, Linux, macOS verfügbar.

Stärken: Sehr leichtgewichtig, gute SNMP-Discovery für Netzwerkgeräte.

3. Snipe-IT – moderne UI

Snipe-IT ist optisch ansprechender als GLPI, aber funktional schlanker. Eignet sich gut, wenn du primär Hardware-Asset-Tracking machst und keine vollwertige ITSM-Lösung brauchst.

4. Wazuh – Asset-Inventar als Nebeneffekt

Wenn du Wazuh als SIEM/EDR im Einsatz hast, bekommst du Asset-Daten gratis dazu: Der Agent inventarisiert Hardware, OS und installierte Pakete, sichtbar im Wazuh-Dashboard unter „Inventory Data“.

5. Microsoft Intune / Azure Arc

Wer ohnehin im Microsoft-Stack arbeitet, hat in Intune (Endgeräte) und Azure Arc (Server – auch on-prem) bereits ein Asset-Inventar mit Compliance-Reporting. Lizenzkosten beachten.

Discovery: Was du nicht kennst, kannst du nicht inventarisieren

Asset-Management beginnt mit Discovery. Drei Ebenen:

Aktive Discovery

Nmap-Scan über alle Subnetze:

# Schneller Sweep über das gesamte interne Netz
nmap -sn 192.168.0.0/16 -oG live_hosts.txt

# Tiefer Scan für gefundene Hosts
nmap -A -T4 -iL <(grep "Up" live_hosts.txt | cut -d' ' -f2) -oA detailed_scan

Passive Discovery

Tools wie Zeek (ehemals Bro) oder Suricata beobachten Netzwerk-Traffic und erkennen aktive Hosts ohne aktives Scannen. Vorteil: Findet auch Geräte, die ICMP/TCP-Probes blocken.

Discovery aus bestehenden Quellen

DHCP-Leases
DNS-Records
Active Directory Computer-Objekte
Switch-MAC-Tabellen (per SNMP abfragen)
Cloud-APIs (AWS Resource Inventory, Azure Resource Graph)

Faustregel: Die Wahrheit liegt im Schnittmengen-Diagramm aller Quellen. Wenn ein Gerät in nur einer Quelle auftaucht, lohnt sich ein zweiter Blick.

Der schlanke Prozess: 4 Schritte

Schritt 1: Erstinventur

Einmalig, mit Discovery-Sweep + manueller Validierung. Plane einen Tag pro 100 Geräte.

Schritt 2: Automatisierte Datenquellen einbinden

Agent-basierte Erfassung (GLPI Agent, Wazuh) auf Endgeräten
SNMP-Polling für Netzwerkgeräte
Cloud-API-Sync für Cloud-Assets
AD-Sync für Computer-Objekte

Schritt 3: Pflege-Routine

Wöchentlich: Discovery-Sweep, Delta-Analyse („neue Geräte seit letzter Woche?“)
Monatlich: Asset-Owner-Review (sind alle Assets korrekt zugewiesen?)
Quartalsweise: End-of-Life-Check (welche Systeme erreichen demnächst EOS?)

Schritt 4: Onboarding/Offboarding-Prozesse

Die meisten Inventare verrotten, weil Geräte ohne Inventar-Eintrag in Betrieb gehen oder bei Stilllegung nicht ausgetragen werden. Hartes Gegenmittel: kein Netzwerkzugang ohne Inventar-Eintrag (802.1X kann das technisch erzwingen).

Asset-Klassifizierung als Multiplikator

Ein flaches Inventar reicht nicht. Klassifiziere nach Kritikalität:

Klasse	Kriterium	Patch-SLA	Backup-SLA
Critical	Geschäftsausfall bei Ausfall	24 h	RPO ≤ 1 h
High	Wichtige Funktion, aber Workaround möglich	7 Tage	RPO ≤ 24 h
Medium	Standard-Workstations, Test-Server	30 Tage	RPO ≤ 7 Tage
Low	Nice-to-have, schnell ersetzbar	90 Tage	optional

Diese Klassen steuern Patch-Priorisierung, Backup-Strategie und Detection-Tuning.

Praxis-Checkliste

Fazit

Asset-Management scheitert in KMU selten am Werkzeug. Die Tools sind verfügbar und kostenlos. Es scheitert an der Pflege – am fehlenden Prozess, am unklaren Owner, am Fehlen einer Konsequenz, wenn ein Gerät ohne Inventar-Eintrag im Netz auftaucht. Bau das Inventar einmal sauber auf, automatisiere die Erfassung, und etabliere eine wöchentliche Review-Routine. Alles andere im Security-Programm baut darauf auf.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete Setups – von Asset-Discovery bis Detection. Trag dich ein.

← Zurück zur Übersicht