IT-Inventarisierung: Überblick über Ihre IT-Infrastruktur

Nur wer das Wichtigste kennt, kann es auch schützen

In jedem größeren Gebäude hängt im Eingangsbereich ein Feuerwehrplan. Darauf steht, wo der Hauptschalter sitzt, wo die Gasleitung abgedreht wird und welche Räume im Notfall zuerst geräumt werden. Niemand liest ihn im Alltag. Wenn es brennt, entscheidet er über Minuten.

Für die IT fehlt dieser Plan in vielen Unternehmen. Wir fragen bei Erstgesprächen regelmäßig, wie viele Geräte im Firmennetz hängen. Die Antwort lautet meist „so um die 40“. Der erste Netzwerkscan findet dann 63 aktive Systeme, darunter zwei Notebooks ausgeschiedener Mitarbeiter, einen alten Netzwerkdrucker mit Werkspasswort und einen Server, von dem niemand mehr sagen kann, welche Anwendung darauf läuft.

Genau diese Lücke ist das Problem. Sicherheitsmaßnahmen wirken nur auf Systeme, von denen Sie wissen. Ein Gerät, das in keiner Liste steht, wird nicht gepatcht, nicht gesichert und im Ernstfall auch nicht wiederhergestellt. In diesem Artikel geht es darum, wie ein belastbares IT-Inventar entsteht, welche Informationen es enthalten muss und wie Sie es aktuell halten, ohne wöchentlich eine Excel-Tabelle zu pflegen.

Was steckt hinter einem IT-Inventar?

Ein IT-Inventar ist die vollständige Aufstellung aller Systeme, die Daten Ihres Unternehmens verarbeiten, speichern oder übertragen. Dazu gehören Server und Arbeitsplätze, Notebooks im Homeoffice, Firewalls, Switches, Access Points, Drucker, Kassensysteme, Maschinensteuerungen, Smartphones und Tablets. Ebenso zählen Cloud-Dienste dazu, etwa Microsoft 365, ein CRM oder das Buchhaltungsportal beim Steuerberater.

Im Fachjargon heißt diese Sammlung Asset Management, die dazugehörige Datenbank oft CMDB (Configuration Management Database). Der Name spielt keine Rolle. Entscheidend ist, dass zu jedem Eintrag mehr steht als nur der Gerätename. Sinnvoll sind Standort, verantwortliche Person, Betriebssystem und Patchstand, Kaufdatum und Garantieende, Lizenzen sowie die Frage, welche Daten das System verarbeitet.

Erst diese Zusatzinformationen machen aus einer Geräteliste eine Entscheidungsgrundlage. Sie sehen dann nicht nur, dass ein Server existiert, sondern auch, dass darauf die Warenwirtschaft läuft, dass acht Mitarbeiter täglich damit arbeiten und dass der Support des Betriebssystems in vierzehn Monaten endet.

Was passiert, wenn der Überblick fehlt

Die häufigste Folge sind Backup-Lücken. Ein Systemhaus richtet die Sicherung für die bekannten Server ein, während der Notebook-Bestand oder eine Fachanwendung auf einem separaten Rechner in der Produktion außen vor bleibt. Auffällig wird das erst bei der Wiederherstellung, wenn die Daten fehlen und niemand sagen kann, seit wann.

Ähnlich verhält es sich mit Updates. Nach Angaben des BSI zählen ungepatchte Systeme weiterhin zu den häufigsten Einstiegspunkten bei Angriffen auf mittelständische Unternehmen. Ein Gerät ohne Eintrag im Inventar bekommt keine Updates, weil niemand von seiner Existenz weiß.

Hinzu kommt die regulatorische Seite. Das NIS2-Umsetzungsgesetz ist in Deutschland seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist, und betrifft rund 29.500 Unternehmen. Zu den geforderten Risikomanagementmaßnahmen gehört eine dokumentierte Risikoanalyse. Diese setzt zwingend voraus, dass Sie Ihre Systeme kennen. Auch Cyberversicherer fragen im Antrag inzwischen nach Anzahl und Art der Endpunkte, und falsche Angaben können den Versicherungsschutz kosten.

Nicht zuletzt zahlen Unternehmen ohne Inventar oft für Lizenzen, die niemand nutzt. Bei einem Kunden mit 55 Arbeitsplätzen fanden wir elf Microsoft-365-Lizenzen, die seit über einem Jahr auf ausgeschiedene Mitarbeiter liefen.

Sechs Schritte zu einem belastbaren Überblick

1. Alle Systeme erfassen, auch die unbequemen

Beginnen Sie mit einem automatisierten Netzwerkscan und ergänzen Sie ihn um alles, was nicht dauerhaft im Netz hängt: Notebooks im Außendienst, Ersatzgeräte im Schrank, Geräte in Zweigstellen. Fragen Sie zusätzlich die Fachabteilungen. Erfahrungsgemäß tauchen dort Systeme auf, die in der IT-Abteilung niemand kennt.

2. Cloud-Dienste mit aufnehmen

Ein Großteil der Geschäftsdaten liegt heute nicht mehr im Serverraum. Listen Sie jeden genutzten Dienst mit Anbieter, Zweck, Anzahl der Konten und Vertragslaufzeit. Prüfen Sie dabei auch, wer administrativen Zugriff hat. Alte Adminkonten in Cloud-Portalen sind ein verbreitetes Einfallstor.

3. Kritikalität bewerten

Nicht jedes System ist gleich wichtig. Ordnen Sie jedem Eintrag zu, wie lange Ihr Betrieb ohne dieses System auskommt: eine Stunde, einen Tag, eine Woche. Aus dieser Einordnung ergibt sich, wo Sie in Redundanz investieren und welche Wiederherstellungszeiten Sie mit Ihrem Dienstleister vereinbaren sollten.

4. Abhängigkeiten dokumentieren

Systeme hängen voneinander ab. Fällt der Domaincontroller aus, melden sich Anwender nicht mehr an, selbst wenn der Fileserver einwandfrei läuft. Halten Sie fest, welches System welches braucht. Diese Information entscheidet im Notfall über die Reihenfolge der Wiederherstellung.

5. Lebenszyklus im Blick behalten

Notieren Sie zu jedem Gerät Kaufdatum, Garantieende und das Supportende des Betriebssystems. So planen Sie Ersatzbeschaffungen über zwei bis drei Jahre im Voraus statt kurzfristig nach einem Ausfall. Der Windows-10-Support endete im Oktober 2025, und wir betreuen bis heute Unternehmen, die einzelne Altgeräte übersehen haben.

6. Das Inventar automatisch aktuell halten

Ein händisch gepflegtes Inventar ist nach drei Monaten veraltet. Mit einem RMM-System (Remote Monitoring and Management) melden sich Geräte selbst und liefern Patchstand, Hardwaredaten und installierte Software fortlaufend. Sie prüfen dann nur noch die Ausnahmen statt die ganze Liste.

Typische Fehler aus der Praxis

In der Praxis begegnen uns immer wieder die gleichen Muster. Am häufigsten existiert ein Inventar, das jemand vor Jahren angelegt hat und das seit dem letzten Serverwechsel niemand mehr angefasst hat. Es vermittelt Sicherheit, ohne die Realität abzubilden.

Ebenso oft fehlt die Zuordnung von Verantwortlichkeiten. In der Liste steht das Gerät, aber nicht die Person, die entscheidet, ob es ersetzt oder abgeschaltet wird. Wenn dann ein Gerät als überflüssig erscheint, traut sich niemand, es vom Netz zu nehmen.

Der dritte Punkt betrifft die Ablage. Wir haben Inventarlisten gefunden, die ausschließlich auf dem Fileserver lagen, der im Ernstfall selbst verschlüsselt war. Bewahren Sie eine aktuelle Kopie außerhalb der eigenen Infrastruktur auf, zusammen mit Ihrem Notfallplan und den Kontaktdaten Ihres Dienstleisters.

Betreuung in Südostbayern

Wir betreuen Unternehmen, Schulen und öffentliche Einrichtungen in Mühldorf am Inn, Altötting, Rottal-Inn, Rosenheim, Traunstein, Landshut, Erding und Passau. Die Bestandsaufnahme steht am Anfang jeder Zusammenarbeit: Wir erfassen Ihre Systeme, bewerten Kritikalität und Patchstand und legen daraus die Prioritäten für Backup, Monitoring und Absicherung fest. Für Schulen kommt die Besonderheit hinzu, dass Geräte aus Digitalpakt-Beschaffungen häufig über mehrere Räume und Ausleihkoffer verteilt sind und eigene Erfassungsregeln brauchen.

Fazit

Ein IT-Inventar ist keine Verwaltungsaufgabe für die Ablage, sondern die Grundlage für jede weitere Sicherheitsentscheidung. Backup-Konzepte, Patchmanagement, Notfallpläne und Versicherungsnachweise setzen alle voraus, dass Sie wissen, was Sie besitzen und wie wichtig es ist.

Der Aufwand für die erste Erhebung liegt bei einem mittelständischen Betrieb erfahrungsgemäß bei einem bis zwei Tagen. Danach hält ein RMM-System den Bestand aktuell, und Sie schauen nur noch auf Abweichungen. Wer seine wichtigsten Systeme benennen kann, trifft bei Investitionen und im Störfall die schnelleren Entscheidungen.

Möchten Sie wissen, was tatsächlich in Ihrem Netzwerk läuft? Lassen Sie uns gemeinsam Ihre IT-Infrastruktur aufnehmen und bewerten, welche Systeme Ihren Betrieb wirklich tragen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch!

Termin direkt buchen: https://m-itsysteme.de/kostenlose-erstberatung