Fragt man einen CIO, wie viele Server, Notebooks oder Softwarelizenzen sein Unternehmen besitzt, erhält man meist innerhalb weniger Minuten eine präzise Antwort. Moderne Discovery-Lösungen, CMDBs und Asset-Management-Werkzeuge liefern diese Informationen nahezu auf Knopfdruck. Die technische Infrastruktur ist inventarisiert, dokumentiert und bis ins Detail beschrieben.
Doch sobald sich die Perspektive von der Technik auf den eigentlichen Unternehmenswert verschiebt, wird es erstaunlich ruhig. Welche Informationen sind für das Überleben des Unternehmens kritisch? Welche Daten unterliegen regulatorischen Anforderungen? Wo befinden sich diese Informationen? Wer trägt die Verantwortung dafür? Und welche Geschäftsprozesse hängen unmittelbar von ihnen ab?
Auf diese Fragen gibt es in vielen Organisationen keine klaren oder konsistenten Antworten.
Genau dort beginnt das eigentliche Problem.
Wir verwalten Dinge statt Werte
In den vergangenen Jahren haben Unternehmen erhebliche Summen in IT Asset Management, CMDBs, Discovery-Lösungen und Inventarisierung investiert. Hardware wird inventarisiert, Software katalogisiert, Lizenzen optimiert und Cloud-Ressourcen automatisch entdeckt. Alles scheint unter Kontrolle.
Doch bei genauerem Hinsehen wird deutlich, dass meist nur die Träger der Informationen verwaltet werden – nicht die Informationen selbst.
Dabei existieren Unternehmen heute längst nicht mehr wegen ihrer Server, Netzwerke oder Speicherplattformen. Ihr eigentlicher Wert liegt in ihrem Wissen, ihren Kundendaten, ihren Verträgen, ihren Forschungsdaten, ihren Produktionsinformationen oder ihren Finanzdaten.
Ein Server kann ersetzt werden.
Verlorene Informationen häufig nicht.
Der grösste Irrtum im Asset Management
Der Ursprung dieses Problems liegt häufig bereits im Verständnis des Begriffs Asset. Viele Organisationen setzen ihn nahezu automatisch mit Hardware oder Software gleich. Tatsächlich bezeichnet ein Asset jedoch einen Vermögenswert.
Und die wertvollsten Vermögenswerte moderner Unternehmen sind längst nicht mehr physische Geräte, sondern Informationen.
Genau deshalb sprechen ISO 27001, COBIT und andere moderne Governance-Modelle ausdrücklich von Informationswerten. Nicht ohne Grund.
Denn Risiken entstehen nicht dadurch, dass ein Server ausfällt. Risiken entstehen dadurch, dass geschäftskritische Informationen verloren gehen, manipuliert werden oder nicht mehr verfügbar sind.
Eine CMDB weiss nicht, was wichtig ist
Eine CMDB kann Beziehungen hervorragend darstellen. Sie kennt Server, Applikationen, Services, Netzwerke und deren gegenseitige Abhängigkeiten. Genau das ist ihre Aufgabe – und genau deshalb ist sie ein unverzichtbarer Bestandteil eines professionellen IT-Betriebs.
Doch eine entscheidende Frage beantwortet sie nicht:
Welche Informationen befinden sich eigentlich auf diesen Systemen?
Denn zwei technisch identische Datenbanken können aus Sicht der Infrastruktur völlig gleich aussehen. Die eine enthält Testdaten. Die andere sämtliche Kundendaten des Unternehmens. Technisch unterscheiden sich beide kaum. Geschäftlich liegen Welten dazwischen.
Genau deshalb reicht Configuration Management allein nicht aus. Configuration Management beschreibt Beziehungen zwischen Configuration Items und macht technische Abhängigkeiten sichtbar. Asset Management steuert den wirtschaftlichen Lebenszyklus dieser Assets. Erst die Ergänzung um Informationsklassifizierung und Informationswerte macht sichtbar, welche Komponenten für das Unternehmen tatsächlich kritisch sind. Genau diese unterschiedlichen Perspektiven beschreiben auch die ITIL-4-Practices für IT Asset Management und Service Configuration Management.
Regulatoren verlangen längst mehr
Noch vor wenigen Jahren konnte man argumentieren: “Wir haben doch alle Systeme inventarisiert.”
Heute genügt das nicht mehr.
ISO 27001 fordert die Identifikation und Klassifizierung von Informationen. NIS2 verlangt die Identifikation kritischer Assets und ihrer Risiken. DORA fordert die Kenntnis kritischer Geschäftsfunktionen sowie deren ICT-Abhängigkeiten. Datenschutzgesetze verlangen den angemessenen Schutz personenbezogener Informationen.
Die gemeinsame Botschaft aller dieser Regelwerke ist eindeutig:
Nicht jedes Asset besitzt den gleichen Wert.
Und deshalb darf auch nicht jedes Asset gleich behandelt werden.
Der eigentliche blinde Fleck
In vielen Organisationen existieren heute hervorragende Inventare für Server, Clients, Netzwerkkomponenten, Cloud-Ressourcen, Software und Lizenzen.
Ein gleichwertiges Inventar der eigentlichen Unternehmenswerte sucht man dagegen häufig vergeblich.
Geschäftskritische Informationen, vertrauliche Dokumente, personenbezogene Daten, regulatorisch relevante Informationen, Forschungs- und Entwicklungsdaten, geistiges Eigentum oder Geschäftsgeheimnisse sind oftmals weder vollständig identifiziert noch eindeutig klassifiziert oder einem Verantwortlichen zugeordnet.
Dabei entscheidet genau dieses Wissen darüber, welche Systeme nach einem Cyberangriff zuerst wiederhergestellt werden müssen, welche Backups tatsächlich kritisch sind, welche Risiken akzeptabel sind, welche Sicherheitsmassnahmen angemessen sind und welche regulatorischen Anforderungen überhaupt gelten.
Ohne Informationswerte gibt es keine Resilienz
Business Continuity beginnt nicht bei Servern.
Sie beginnt bei Informationen.
Cyber Security schützt keine Firewalls.
Sie schützt Informationen.
Datenschutz schützt keine Datenbanken.
Er schützt personenbezogene Informationen.
Und Governance steuert keine Infrastruktur.
Sie steuert Unternehmenswerte.
Wer Informationen nicht identifizieren, klassifizieren und mit Geschäftsprozessen, Business Services, Anwendungen und technischen Komponenten verknüpfen kann, wird weder Resilienz noch Compliance nachhaltig beherrschen.
Was ein reifes Asset Management ausmacht
Ein modernes Asset Management endet deshalb nicht bei Hardware oder Software. Es verbindet unterschiedliche Sichten zu einem integrierten Informationsmodell.
Geschäftsprozesse werden mit Business Services verknüpft. Diese wiederum mit Anwendungen, Infrastruktur und Configuration Items. Ergänzt werden sie um Informationswerte, Datenklassifizierungen, Schutzbedarfe, Verantwortlichkeiten und regulatorische Anforderungen.
Erst diese durchgängige Sicht ermöglicht es, Auswirkungen von Störungen, Risiken oder Cyberangriffen wirklich zu beurteilen.
Denn nicht der Server wird kritisch.
Die Information macht ihn kritisch.
Die unbequeme Wahrheit
Viele Unternehmen wissen heute erstaunlich genau, wie viele Notebooks sie besitzen.
Aber sie können nicht beantworten, welche Informationen ihr Unternehmen morgen auf keinen Fall verlieren darf.
Das ist kein technisches Problem.
Es ist ein Governance-Problem.
Und vielleicht die grösste Schwäche moderner IT-Organisationen.
Denn wer seine Informationen nicht kennt, kann sie weder klassifizieren noch angemessen schützen oder regulatorisch sauber nachweisen.
Asset Management beginnt deshalb nicht bei Hardware.
Es beginnt bei einer viel grundlegenderen Frage:
Was ist für unser Unternehmen wirklich wertvoll?
