Gewachsene IT übernehmen: die Bestandsaufnahme

Eine Bestandsaufnahme gewachsener IT läuft in drei Schritten ab: zuerst wird erfasst, was überhaupt vorhanden ist – Geräte, Software, Zugänge, Verträge –, dann wird bewertet, welches Risiko von welchem Teil ausgeht, und erst danach wird in einer sinnvollen Reihenfolge saniert. Der Fehler, der die meiste Zeit kostet, ist, mit der Sanierung zu beginnen, bevor überhaupt klar ist, was alles am Netz hängt. Wer zuerst umbaut und erst dabei entdeckt, was er übersehen hat, baut doppelt.

Was wird bei einer IT-Bestandsaufnahme inventarisiert?

Am Anfang steht eine vollständige Erfassung aller aktiven Geräte im Netz: Switches, Firewalls, Access Points, Server, Arbeitsplatzrechner, Drucker, Kameras und alles andere, das eine IP-Adresse hat. Dazu kommt die Software-Seite – welche Systeme laufen, in welcher Version, mit welchen Lizenzen, und wer sie eigentlich betreut. Genauso wichtig wie die Technik sind die Zugänge: Wer hat administrative Rechte auf welche Systeme, welche Passwörter existieren noch aus früheren Mitarbeiterverhältnissen, welche Fernzugänge sind eingerichtet und von wem genutzt. Und schließlich die vertragliche Seite: Wartungsverträge, Lizenzlaufzeiten, Domain- und Zertifikatsinhaber – Dinge, die niemand vermisst, bis eine Domain abläuft oder ein Zertifikat plötzlich ungültig ist.

• Alle aktiven Netzwerkgeräte mit Standort, Hersteller, Modell und aktueller Firmware-Version
• Alle eingesetzte Software mit Version, Lizenzstatus und verantwortlicher Person
• Alle administrativen Zugänge, inklusive Alt-Accounts ehemaliger Mitarbeiter oder externer Dienstleister
• Verträge, Domains, Zertifikate und deren Laufzeiten an einer zentralen, für mehrere Personen einsehbaren Stelle

Wie geht man mit undokumentierten Systemen um?

In fast jeder gewachsenen Infrastruktur gibt es Geräte oder Systeme, zu denen es keine Dokumentation mehr gibt – aufgebaut von jemandem, der das Unternehmen längst verlassen hat, oder als Provisorium gedacht, das nie wieder angefasst wurde. Der sichere Weg ist, ein solches System nicht sofort abzuschalten oder zu verändern, sondern zuerst zu beobachten: welchen Netzwerkverkehr erzeugt es, mit welchen anderen Geräten kommuniziert es, wer greift wie oft darauf zu. Erst wenn klar ist, wozu ein System tatsächlich dient, lässt sich sicher entscheiden, ob es ersetzt, dokumentiert oder abgeschaltet werden kann. Ein blindes Abschalten eines unbekannten Systems kann an einem Produktionstag mehr Schaden anrichten als das Risiko, das von dem System selbst ausgeht.

• Unbekannte Systeme zuerst beobachten (Netzwerkverkehr, Zugriffe), bevor sie verändert oder abgeschaltet werden
• Bei jedem Gerät klären: wird es noch gebraucht, von wem, und wofür genau
• Ergebnis der Prüfung dokumentieren, auch wenn die Antwort „unklar, weiter beobachten” lautet
• Abschaltung nur außerhalb kritischer Betriebszeiten und mit Rückfallmöglichkeit

Wie wird das Risiko der einzelnen Systeme bewertet?

Nicht jede Lücke ist gleich dringend. Ein zentraler Kriterien-Satz hilft, die Reihenfolge festzulegen: Wie exponiert ist das System – hängt es direkt am Internet oder nur im internen Netz? Wie kritisch ist es für den laufenden Betrieb, fällt bei einem Ausfall die Produktion still oder nur eine Nebenfunktion? Und wie einfach wäre eine Ausnutzung – ein veraltetes System mit bekannten, öffentlich dokumentierten Schwachstellen ist dringlicher als eines mit theoretischen Risiken. Aus diesen drei Fragen ergibt sich meist von selbst, was zuerst angegangen werden muss und was warten kann, bis die dringenderen Punkte erledigt sind.

In welcher Reihenfolge wird gewachsene Infrastruktur saniert?

Nach der Bestandsaufnahme und Risikobewertung folgt die Sanierung typischerweise in dieser Reihenfolge: zuerst Zugänge bereinigen, weil das am wenigsten Aufwand kostet und das größte Risiko am schnellsten senkt – Alt-Accounts sperren, Standardpasswörter ändern, Fernzugänge auf das Nötige einschränken. Danach folgen exponierte Systeme mit direktem Internetzugang, weil sie das größte Angriffsfenster bieten. Erst danach kommen strukturelle Themen wie Netzwerksegmentierung, Erneuerung veralteter Hardware und der Aufbau einer vollständigen Dokumentation, die den aktuellen Stand hält, statt am Tag der Übernahme schon wieder zu veralten.

1. 01Administrative Zugänge bereinigen: Alt-Accounts sperren, Passwörter erneuern, Fernzugänge einschränken
2. 02Exponierte, direkt aus dem Internet erreichbare Systeme absichern oder ersetzen
3. 03Netzwerk segmentieren, um die Ausbreitung eines möglichen Vorfalls zu begrenzen
4. 04Veraltete Hardware und Software planmäßig ersetzen, priorisiert nach Kritikalität
5. 05Laufende Dokumentation etablieren, die bei jeder Änderung mitgepflegt wird

Wer sollte die Bestandsaufnahme durchführen?

Eine gewachsene Infrastruktur wird am ehesten vollständig erfasst, wenn jemand von außen darauf schaut, der keine Vorannahmen aus der Entstehungsgeschichte mitbringt. Wer selbst Teil der Historie war, übersieht eher, was inzwischen selbstverständlich geworden ist, obwohl es das eigentlich nicht sein sollte. Das heißt nicht, dass internes Wissen nicht gebraucht wird – im Gegenteil, wer den Betrieb kennt, weiß am besten, was wirklich kritisch ist und was nur historisch gewachsen, aber längst überflüssig ist. Die beste Bestandsaufnahme kombiniert beides: den externen, unvoreingenommenen Blick auf die Technik mit dem internen Wissen über den tatsächlichen Betriebsablauf.

Wie lange dauert eine Bestandsaufnahme, und wen sollte man vorher informieren?

Wie lange eine Bestandsaufnahme dauert, hängt stark von der Größe und dem Dokumentationsstand der bestehenden Infrastruktur ab – ein gut dokumentierter Standort ist in wenigen Tagen erfasst, ein über Jahre gewachsenes Netz ohne jede Dokumentation kann deutlich länger brauchen, gerade wenn erst beobachtet werden muss, wozu einzelne Systeme dienen. Wichtig ist, die Mitarbeiter vor Beginn zu informieren, warum jemand plötzlich Geräte prüft, Netzwerkverkehr mitschneidet oder nach Zugangsdaten fragt – ohne diese Information entsteht schnell der Eindruck einer Kontrolle, und genau die Personen, die am meisten Wissen über gewachsene Systeme mitbringen, werden weniger offen mit dem, was sie wissen. Eine kurze, offene Ankündigung im Vorfeld erspart beiden Seiten unnötige Reibung.