Wer seine Systeme nicht kennt, kann sie nicht schützen

Die größte Sicherheitslücke in Unternehmen ist häufig nicht eine ungepatchte Software, sondern die fehlende Übersicht über die eigene IT-Landschaft. Während Cloud-Dienste, vernetzte Produktionsanlagen und digitale Identitäten die Angriffsfläche kontinuierlich vergrößern, bleiben viele Assets außerhalb der zentralen Sicherheitsüberwachung. Ein aktuelles Whitepaper von Timly zeigt, warum ein strukturiertes Asset-Register zur strategischen Grundlage für Cybersecurity, Risikomanagement und NIS2-Compliance wird.

Wachsende Angriffsflächen treffen auf unvollständige Inventare

Die digitale Infrastruktur von Unternehmen wird zunehmend komplexer. Neben klassischen IT-Komponenten wie Servern, Laptops und Netzwerkgeräten müssen Sicherheitsteams heute auch Cloud-Ressourcen, SaaS-Anwendungen, digitale Identitäten, externe Dienstleister sowie IoT- und OT-Systeme berücksichtigen. Insbesondere in der Industrie entstehen durch die zunehmende Vernetzung von Maschinen, Steuerungen und Sensoren zusätzliche Angriffsflächen.

Das Problem: Viele dieser Assets sind zwar irgendwo dokumentiert, tauchen jedoch nicht in einer zentralen, sicherheitsorientierten Bestandsübersicht auf. Dadurch fehlt häufig die Grundlage, um Schwachstellen systematisch zu bewerten, Sicherheitsmaßnahmen zu priorisieren oder auf Cybervorfälle angemessen zu reagieren.

Wie kritisch diese Transparenzlücke sein kann, verdeutlichen aktuelle Untersuchungen. Laut dem „Data Breach Investigations Report 2025 “ von Verizon waren 46 Prozent der kompromittierten Systeme mit möglichen Unternehmenszugangsdaten in einem untersuchten Datensatz nicht in die zentrale Verwaltung der jeweiligen Organisation eingebunden.

Der „Cost of a Data Breach Report 2026 “ von IBM zeigt zudem, dass die Identifikation und Eindämmung von Datenpannen, die mehrere Umgebungen betreffen, durchschnittlich 283 Tage dauert.

Beide Ergebnisse unterstreichen, wie schwierig die Absicherung komplexer IT-Landschaften wird, wenn Unternehmen keinen ausreichenden Überblick über ihre Systeme und deren Sicherheitsstatus besitzen.

Das eigentliche Problem ist nicht der Datenmangel

Das Whitepaper „Cybersecurity Asset Management & Compliance “ von Timly Software ( Autorin: Angela Pohl , Senior Content Marketing Managerin) untersucht die Herausforderungen einer fragmentierten Asset-Verwaltung und beschreibt einen praxisorientierten Ansatz zur Verbesserung der Transparenz.

Die zentrale Erkenntnis: In vielen Unternehmen fehlen nicht die Informationen, sondern deren strukturierte Zusammenführung.

Configuration Management Databases (CMDBs), Discovery-Lösungen, Cloud-Portale, Excel-Listen und weitere Verwaltungssysteme liefern zwar zahlreiche Daten, bilden jedoch selten eine konsistente Gesamtsicht.

Damit bleiben grundlegende Fragen für das Sicherheitsmanagement unbeantwortet: Welche Assets befinden sich tatsächlich im Unternehmen? Wer trägt die Verantwortung? Welche Systeme sind geschäftskritisch? Und welche Schwachstellen oder Sicherheitsrisiken bestehen?

Ein sicherheitsorientiertes Asset-Register soll diese Informationen konsolidieren und mit den notwendigen Kontextdaten verbinden. Erst durch diese Verknüpfung entsteht eine belastbare Grundlage für die Bewertung und Priorisierung von Cyberrisiken.

NIS2 und ISO 27001 erhöhen den Handlungsdruck

Eine transparente Asset-Verwaltung ist längst nicht mehr ausschließlich eine Frage der operativen IT-Sicherheit. Sie spielt auch bei der Erfüllung regulatorischer und normativer Anforderungen eine zentrale Rolle.

Die internationale Norm ISO/IEC 27001 adressiert in Annex A, Maßnahme 5.9, die Inventarisierung von Informationen und zugehörigen Assets einschließlich der Festlegung entsprechender Verantwortlichkeiten.

Auch im Kontext von NIS2 gewinnt das Asset-Management an Bedeutung. Die Richtlinie und ihre nationale Umsetzung verlangen von betroffenen Einrichtungen angemessene und verhältnismäßige technische sowie organisatorische Maßnahmen zur Beherrschung von Cyberrisiken.

Ohne eine nachvollziehbare Übersicht über Systeme, Dienste, Abhängigkeiten und Verantwortlichkeiten lassen sich viele dieser Anforderungen kaum wirksam umsetzen.

Ein strukturiertes Asset-Register unterstützt Unternehmen deshalb nicht nur bei der Identifikation potenzieller Sicherheitslücken, sondern auch bei der Dokumentation von Schutzmaßnahmen, der Risikobewertung und der Vorbereitung auf Audits.

Entscheidend ist dabei, dass die Bestandsdaten aktuell bleiben und tatsächlich in die Sicherheitsprozesse einfließen. Eine einmalige Inventur reicht dafür nicht aus.

In 90 Tagen zum sicherheitsorientierten Asset-Register

Wie Unternehmen diese Transparenz systematisch aufbauen können, beschreibt Timly anhand eines 90-Tage-Blueprints.

Der Ansatz verfolgt bewusst nicht das Ziel, innerhalb kürzester Zeit sämtliche Assets vollständig zu erfassen. Stattdessen sollen zunächst die besonders sicherheitskritischen Bereiche identifiziert und schrittweise in ein gemeinsames Datenmodell überführt werden.

Der Fahrplan umfasst fünf aufeinander aufbauende Phasen:

• Woche 1–2: Definition des Geltungsbereichs, der Sicherheitsziele und relevanter Kennzahlen.
• Woche 3–4: Identifikation und Anbindung vorhandener Datenquellen.
• Woche 5–6: Entwicklung eines einheitlichen Mindestdatenmodells.
• Woche 7–9: Durchführung der initialen Inventur und Bereinigung vorhandener Datensätze.
• Woche 10–11: Festlegung von Verantwortlichkeiten und Integration in bestehende Prozesse.

Ab der zwölften Woche soll das Asset-Register kontinuierlich im operativen Sicherheitsmanagement genutzt und weiterentwickelt werden.

Besondere Aufmerksamkeit gilt dabei geschäftskritischen Systemen, privilegierten Benutzerkonten und produktionsnahen OT-Komponenten.

Das Timly Customer Success Team beschreibt den pragmatischen Ansatz folgendermaßen:

„Wichtig ist am Anfang nicht Vollständigkeit, sondern Anschlussfähigkeit. Ein einfacher Datensatz mit Owner, Standort und Kritikalität reicht oft aus, um sofort Security-Mehrwert zu erzeugen.“

Vom statischen Inventar zur aktiven Cyberabwehr

Der eigentliche Sicherheitsgewinn entsteht erst, wenn das Asset-Register mit operativen Prozessen verknüpft wird.

Dazu zählen beispielsweise das IT-Service-Management, das Schwachstellenmanagement, die Beschaffung, die Instandhaltung und die Incident Response.

Wird eine kritische Sicherheitslücke bekannt, können Security-Teams mithilfe eines entsprechend gepflegten Registers schneller feststellen, welche Systeme betroffen sind, welche Software- oder Firmware-Versionen eingesetzt werden und wer für die jeweiligen Assets verantwortlich ist.

Auch bei verdächtigen Zugriffen oder einem laufenden Cyberangriff kann diese Transparenz entscheidend sein. Anstatt Informationen aus unterschiedlichen Verwaltungssystemen zusammenzutragen, lassen sich betroffene Assets nach Kritikalität, Standort oder Verantwortlichkeit priorisieren.

Gerade in industriellen Umgebungen ist dieser Zusammenhang besonders relevant. Dort können Sicherheitsvorfälle nicht nur IT-Systeme beeinträchtigen, sondern auch Produktionsprozesse unterbrechen und erhebliche wirtschaftliche Schäden verursachen.

Ein Praxisbeispiel aus dem Whitepaper verdeutlicht das Potenzial: Ein Fertigungsunternehmen mit mehreren Produktionsstandorten konnte den Anteil seiner Anlagen mit unbekannten Firmware-Ständen auf unter fünf Prozent reduzieren. Dadurch wurde erstmals eine systematische Priorisierung der Schwachstellenanalyse möglich.

Asset-Transparenz wird zur strategischen Sicherheitsaufgabe

Die zunehmende Vernetzung von IT, Cloud und Operational Technology verändert die Anforderungen an das Asset-Management grundlegend. Was früher vor allem der kaufmännischen Inventarisierung und technischen Verwaltung diente, entwickelt sich zu einem zentralen Bestandteil der Cybersecurity-Architektur.

Für Unternehmen bedeutet das einen Perspektivwechsel: Nicht die möglichst vollständige Sammlung von Inventardaten steht im Vordergrund, sondern deren Sicherheitsrelevanz, Aktualität und operative Nutzbarkeit.

Ein Asset-Register allein verhindert zwar keine Cyberangriffe. Es schafft jedoch die notwendige Transparenz, um Risiken frühzeitig zu erkennen, Verantwortlichkeiten eindeutig zuzuordnen und Schutzmaßnahmen zielgerichtet umzusetzen.

Damit wird Asset-Management auch für die NIS2-Compliance zu einem wichtigen Baustein eines nachvollziehbaren und wirksamen Cyberrisikomanagements.

Das Whitepaper von Timly enthält neben dem 90-Tage-Blueprint ein Reifegradmodell, konkrete KPI-Beispiele und Praxisfälle aus Produktion, Bauwesen, Facility Management und IT.