ISMS · Asset-Management
Asset-Management im ISMS: Informationswerte erfassen und bewerten
Lesezeit etwa 6 Minuten · Stand September 2026
Asset-Management im ISMS bedeutet, alle schützenswerten Informationswerte systematisch zu erfassen, einem Verantwortlichen zuzuordnen und nach ihrem Schutzbedarf zu bewerten. Dieses Inventar ist die Grundlage jeder Risikoanalyse. Dieser Ratgeber zeigt, was als Asset zählt, wie ein Inventar nach ISO 27001 entsteht und wie Sie den Schutzbedarf bestimmen.
Man kann nur schützen, was man kennt. Ohne vollständiges Asset-Inventar bleibt jede Risikoanalyse Stückwerk.
Was ist Asset-Management im ISMS?
Asset-Management im ISMS ist der Prozess, alle Werte eines Unternehmens zu erfassen, zu bewerten und zu schützen, die für die Informationssicherheit relevant sind. Ein Asset, auf Deutsch ein Informationswert, ist alles, was für die Organisation einen Wert hat und deshalb Schutz braucht.
Im Informationssicherheits-Managementsystem (ISMS) bildet das Asset-Management das Fundament. Erst wenn klar ist, welche Werte existieren und wie wichtig sie sind, lassen sich Risiken sinnvoll bewerten und Maßnahmen priorisieren. Die ISO/IEC 27001:2022 verlangt dieses Inventar im Control A.5.9.
Was zählt als Asset im ISMS?
Ein Asset ist jeder Wert, der für die Informationssicherheit eine Rolle spielt. Dazu gehören nicht nur IT-Systeme, sondern auch die Informationen selbst, Software, Menschen mit ihrem Wissen und immaterielle Werte wie der Ruf des Unternehmens.
| Asset-Typ | Beispiele |
|---|---|
| Informationen | Kundendaten, Verträge, Rezepturen, Quellcode |
| Software | Anwendungen, Betriebssysteme, Lizenzen |
| Hardware | Server, Notebooks, Netzwerktechnik, Mobilgeräte |
| Dienste | Cloud-Dienste, Kommunikation, Stromversorgung |
| Personen | Wissensträger, Administratoren, Schlüsselrollen |
| Immaterielle Werte | Ruf, Marke, Vertrauen der Kunden |
Diese breite Sicht ist wichtig, weil Informationen unabhängig von ihrer Form geschützt werden müssen. Ein Vertrag auf Papier braucht ebenso Schutz wie dieselbe Information in einer Datenbank. Deshalb spricht die ISO 27001 bewusst von Informationen und zugehörigen Werten, nicht nur von IT-Technik.
Wie erstellt man ein Asset-Inventar nach ISO 27001?
Das Asset-Inventar entsteht in 3 Schritten: erfassen, einem Verantwortlichen zuordnen und klassifizieren. Control A.5.9 der ISO 27001 verlangt ein aktuelles Verzeichnis aller Informationswerte, Control A.5.12 ergänzt die Klassifizierung nach Schutzbedarf.
Erfassen und gruppieren
Zuerst werden die Werte im gewählten Geltungsbereich zusammengetragen. Statt jede Schraube einzeln zu führen, gruppiert man sinnvoll, etwa alle Notebooks eines Typs zu einer Position. Ein zu granulares Inventar wird schnell unpflegbar und veraltet. Der Geltungsbereich des ISMS gibt dabei vor, welche Werte überhaupt erfasst werden.
Verantwortliche und Klassifizierung
Jedes Asset erhält einen Verantwortlichen, den Asset-Owner. Er entscheidet über Klassifizierung und Zugriff und ist für den Schutz zuständig. Ohne klaren Owner bleibt Verantwortung diffus. Zuletzt wird jedes Asset klassifiziert, meist in Stufen wie öffentlich, intern und vertraulich. Die Regeln für Kennzeichnung nach A.5.13 und zulässige Nutzung nach A.5.10 knüpfen an diese Klassen an.
Wo steht Ihr ISMS heute?
Ein sauberes Asset-Inventar ist der erste Schritt zu einem belastbaren Reifegrad. Der Reifegrad-Check zeigt in wenigen Minuten, wie weit Ihr ISMS ist und wo die nächsten Schritte liegen.
Wie bestimmt man den Schutzbedarf eines Assets?
Der Schutzbedarf ergibt sich aus den 3 Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit. Für jedes Asset wird gefragt, wie hoch der Schaden wäre, wenn eines dieser Ziele verletzt würde. Aus der Antwort folgt die Schutzbedarfskategorie.
| Schutzziel | Leitfrage | Beispiel bei Verletzung |
|---|---|---|
| Vertraulichkeit | Wer darf die Information sehen? | Kundendaten gelangen an Unbefugte |
| Integrität | Muss die Information korrekt sein? | Preise werden unbemerkt verändert |
| Verfügbarkeit | Wann wird die Information gebraucht? | Produktion steht durch Systemausfall |
Der BSI IT-Grundschutz kennt dafür 3 Kategorien: normal, hoch und sehr hoch. Je höher der Schutzbedarf, desto strenger fallen die Maßnahmen aus. Diese Bewertung sollte der Asset-Owner vornehmen, weil er den Wert am besten einschätzen kann. Wichtig ist das Prinzip der Vererbung: Ein System erbt den höchsten Schutzbedarf der Informationen, die es verarbeitet.
Warum ist die Klassifizierung von Informationen wichtig?
Die Klassifizierung übersetzt den Schutzbedarf in klare Handlungsregeln. Sie legt fest, wie eine Information gekennzeichnet, gespeichert, übertragen und gelöscht werden darf. Ohne diese Einstufung behandeln alle jede Information gleich, was entweder zu viel Aufwand für Unwichtiges oder zu wenig Schutz für Sensibles bedeutet.
In der Praxis genügen wenige Stufen, oft drei wie öffentlich, intern und vertraulich. Entscheidend ist, dass zu jeder Stufe konkrete Regeln gehören und dass die Mitarbeiter diese Regeln kennen. Die Controls A.5.12 und A.5.13 der ISO 27001 verlangen genau das: eine nachvollziehbare Einstufung und eine passende Kennzeichnung. So wird aus einer abstrakten Bewertung ein gelebter Schutz im Alltag.
Wie hängt Asset-Management mit Risiko und Schwachstellen zusammen?
Das Asset-Inventar ist der Ausgangspunkt für Risikoanalyse und Schwachstellenmanagement. Ohne bekannte Werte lässt sich weder ein Risiko bewerten noch eine Schwachstelle einer kritischen Anlage zuordnen. Asset-Management liefert also die Basis, auf der beide Prozesse aufsetzen.
In der Risikoanalyse der Informationssicherheit wird jedem Asset seine Bedrohung mit Eintrittswahrscheinlichkeit gegenübergestellt. Das Schwachstellenmanagement nach ISO 27001 priorisiert Schwachstellen wiederum danach, wie schützenswert das betroffene Asset ist. In VANTARIS ist das Inventar deshalb direkt mit Risiken und Schwachstellen verknüpft, sodass eine Änderung am Asset sofort in beiden Prozessen sichtbar wird.
Welche Fehler treten beim Asset-Management häufig auf?
Der häufigste Fehler ist ein Inventar, das einmal erstellt und dann nie gepflegt wird. Es veraltet schnell und verliert seinen Wert. Ebenso verbreitet ist ein zu detailliertes Verzeichnis, das im Alltag niemand aktuell halten kann.
Ein dritter Klassiker sind fehlende Verantwortliche. Ohne Asset-Owner weiß niemand, wer über Schutz und Klassifizierung entscheidet. Wer diese Fehler vermeidet, ein schlankes Inventar führt und es regelmäßig aktualisiert, hat die Grundlage für ein wirksames ISMS gelegt.
Ein lebendes Asset-Inventar statt Excel-Liste
In VANTARIS pflegen Sie Ihre Informationswerte an einer Stelle, verknüpfen sie mit Risiken und Maßnahmen und halten den Schutzbedarf jederzeit aktuell. Sehen Sie in einer Demo, wie das im Alltag funktioniert.
Häufige Fragen zum Asset-Management im ISMS
Was ist ein Asset im ISMS?
Ein Asset, auf Deutsch ein Informationswert, ist alles, was für die Informationssicherheit eines Unternehmens einen Wert hat. Dazu zählen Informationen, Software, Hardware, Dienste, Personen mit ihrem Wissen und immaterielle Werte wie der Ruf. Alles, was Schutz braucht, gehört ins Asset-Inventar.
Welches Control der ISO 27001 verlangt ein Asset-Inventar?
Control A.5.9 der ISO/IEC 27001:2022 verlangt ein Verzeichnis der Informationen und zugehörigen Werte samt Verantwortlichen. Ergänzend regeln A.5.10 die zulässige Nutzung, A.5.12 die Klassifizierung und A.5.13 die Kennzeichnung. Zusammen bilden sie den Rahmen für ein vollständiges Asset-Management.
Was ist ein Asset-Owner?
Der Asset-Owner ist der Verantwortliche für einen Informationswert. Er entscheidet über dessen Klassifizierung und die zulässigen Zugriffe und sorgt für angemessenen Schutz. Ohne klar benannten Owner bleibt unklar, wer für ein Asset zuständig ist. Deshalb verlangt die ISO 27001 diese Zuordnung ausdrücklich.
Wie bestimmt man den Schutzbedarf eines Assets?
Der Schutzbedarf ergibt sich aus den 3 Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit. Man fragt für jedes Ziel, wie hoch der Schaden bei einer Verletzung wäre. Der BSI IT-Grundschutz kennt dafür die 3 Kategorien normal, hoch und sehr hoch. Ein System erbt den höchsten Schutzbedarf seiner Informationen.
Was ist der Unterschied zwischen Asset-Inventar und Risikoregister?
Das Asset-Inventar listet die Werte auf, die geschützt werden sollen. Das Risikoregister bewertet die Gefahren für diese Werte. Das Inventar ist die Grundlage, das Risikoregister die Analyse darauf. Ohne vollständiges Inventar bleibt das Risikoregister lückenhaft, weil Werte übersehen werden.
Wie oft sollte man das Asset-Inventar aktualisieren?
Das Inventar sollte fortlaufend aktuell gehalten und mindestens einmal jährlich vollständig überprüft werden. Bei größeren Änderungen wie neuen Systemen, Umzügen oder organisatorischen Umbauten ist eine sofortige Anpassung nötig. Ein veraltetes Inventar verliert seinen Wert für Risikoanalyse und Schutzbedarf schnell.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Norm-Control Inventar | ISO/IEC 27001:2022, Annex A 5.9 (iso.org) |
| Klassifizierung und Umgang | Annex A 5.10, A.5.12, A.5.13 |
| 3 Schutzziele | Vertraulichkeit, Integrität, Verfügbarkeit |
| Schutzbedarfskategorien | normal, hoch, sehr hoch (BSI IT-Grundschutz, Standard 200-2) |
| Grundprinzip | Nur bekannte Werte lassen sich schützen und bewerten |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.