ISO 27001 Asset Management

Q: Was gehört in ein ISO-27001-Asset-Register?

Ein ISO-27001-Asset-Register gibt einen Überblick über alle relevanten Werte im ISMS-Scope. Neben ID, Typ und Standort sollten auch Asset-Owner, Klassifizierung, betroffene Geschäftsprozesse und relevante Sicherheitsmaßnahmen dokumentiert werden.

Q: Wie erfolgt die Klassifizierung nach Vertraulichkeit, Integrität und Verfügbarkeit?

Die Klassifizierung bewertet jedes Asset entlang der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Eine Website kann zum Beispiel bei Vertraulichkeit niedrig eingestuft sein, bei Verfügbarkeit aber hohe Anforderungen haben, weil Manipulation oder Ausfall dem Vertrauen in das Unternehmen schaden.

Q: Welche Rolle spielt der Asset-Eigentümer?

Der Asset-Eigentümer verantwortet den geschäftlichen Wert, den Schutzbedarf und die korrekte Nutzung eines Assets. In der Praxis liegt diese Rolle häufig im Fachbereich, weil dort die Erfahrung mit den Daten, Prozessen und Risiken vorhanden ist. Die IT unterstützt technisch, während der Eigentümer über Klassifizierung, Zugriff und akzeptable Risiken mitentscheidet.

ISO 27001 Asset Management schafft die Grundlage, um schützenswerte Informationen, Systeme und Ressourcen im ISMS sauber zu erfassen. So entstehen klare Zuständigkeiten, nachvollziehbarer Schutzbedarf und eine bessere Basis für spätere Sicherheitsentscheidungen.

ISO 27001 Asset Management – Auf einen Blick

Was ist ISO 27001 Asset Management?

Mit ISO 27001 Asset Management erfassen, klassifizieren und steuern Unternehmen alle Werte, die für ihre Informationssicherheit relevant sind.

Warum ist Asset-Management im ISMS wichtig?

Ein belastbares Asset-Management zeigt im ISMS, welche Informationen, Systeme und Prozesse geschützt werden müssen.

Welche Assets müssen Unternehmen erfassen?

In das Asset Register gehören alle schützenswerten Werte im ISMS-Scope, darunter Daten, Anwendungen, Hardware, externe Services, physische Unterlagen und geschäftskritisches Wissen.

Wie stärkt Asset-Management Risikoanalyse und Audit?

Ein gepflegtes Asset-Register liefert die Basis für Risikoanalyse, Risikobewertung und Auditnachweise, weil Risiken dadurch konkreten Werten und Verantwortlichkeiten zugeordnet werden können.

Was bedeutet ISO 27001 Asset Management?

ISO 27001 Asset Management legt offen, welche Werte ein Unternehmen im Ernstfall kennen, schützen und nachweisen muss. Es ordnet kritische Informationen, Systeme und Prozesse einem Verantwortlichen, einem Schutzbedarf und einem Lebenszyklus zu.

Damit beantwortet Asset Management eine sehr praktische Frage: Welche Assets wären kritisch, wenn morgen ein System ausfällt, Kundendaten betroffen sind oder ein Auditor Nachweise sehen will? Erst mit dieser Übersicht werden Risiken greifbar. Im Informationssicherheits-Managementsystem (ISMS) verbindet Asset-Management Werte, Eigentümer, Kritikalität und Lebenszyklus zu einem steuerbaren Prozess.

Was ist ein Asset gemäß ISO 27001?

Ein Asset laut ISO 27001 ist jeder Vermögenswert, der für die Organisation und ihre Informationssicherheit relevant ist. Entscheidend ist der Wert für das Unternehmen, nicht die technische Form.

In der Praxis hilft die Trennung in zwei Gruppen:

Primär-Assets: Informationen und Prozesse mit direktem geschäftlichem Wert, etwa Kundendaten, Finanzdaten, Quellcode, Verträge oder Produktionswissen.
Unterstützende Assets: Ressourcen, die diese Informationswerte speichern, verarbeiten oder schützen, etwa Hardware, Software, Netzwerke, Cloud-Plattformen, Gebäude, Datenträger oder externe Services.

Ein kurzes Beispiel zeigt den Unterschied: Ein physischer Server ist für sich genommen selten kritisch. Kritisch wird er, wenn darauf eine ERP-Datenbank, ein Kundenportal oder Entwicklungswissen liegt. Erst durch diesen Bezug lassen sich Bedrohungen und Schwachstellen sinnvoll bewerten.

Welche Assets müssen Unternehmen erfassen?

Unternehmen müssen alle Werte erfassen, die im ISMS-Scope liegen und für Sicherheit, Compliance, Datenschutz oder Geschäftsprozesse relevant sind. Die größten Herausforderungen entstehen in der Praxis oft bei unscheinbaren Dingen wie Shadow IT, geteilten Cloud-Ordnern, Papierdokumenten oder dem exklusiven Wissen einzelner Personen.

Ein normkonformes Asset-Register bildet deshalb IT-Assets, IT-Ressourcen, Informationswerte, physische Ressourcen und externe Abhängigkeiten ab.

Dazu gehören folgende Asset-Typen:

Informationswerte: Datenbanken, Verträge, Backups, personenbezogene Daten, Patente, Systemdokumentationen
Software und Plattformen: Betriebssysteme, Fachanwendungen, SaaS-Lösungen, Cloud-Services, Schnittstellen
IT-Hardware: Server, Laptops, Smartphones, Router, Firewalls, USB-Medien, IoT-Geräte
Physische Ressourcen: Archive, Rechenzentrumsräume, Papierakten, Datenträger
Dienstleistungen: Cloud-Provider, Managed Services, Wartungspartner, externe Hoster
Personen und Know-how: Schlüsselmitarbeiter, externe Administratoren, Wissensträger in kritischen Prozessen

Beratung zur ISO 27001

Die Einführung eines ISMS gelingt deutlich besser, wenn von Anfang an klar ist, welche Werte geschützt und zugeordnet werden müssen. CSM Consulting unterstützt Sie dabei, Ihr Asset-Register so aufzubauen, dass ISO 27001 belastbar greift und im Audit nachgewiesen werden kann.

Was wurde aus A.8 in der ISO 27001:2022?

Mit der ISO/IEC 27001:2022 wurde der Anhang A neu strukturiert. Das frühere eigenständige Kapitel A.8 für Asset Management existiert in dieser Form nicht mehr. Die alte Kapitelstruktur wurde durch vier neue Themenbereiche ersetzt. Die Asset-Vorgaben finden sich heute vor allem im ISO-27001-Annex A, konkret in Annex A.5 Organisatorische Maßnahmen und teilweise in Annex A.8 Technologische Maßnahmen.

Asset-Management bleibt damit eine zentrale Querschnittsaufgabe im ISMS. Es begleitet Vermögenswerte über ihren gesamten Lebenszyklus hinweg, von der Erfassung bis zur sicheren Löschung.

Besonders relevant sind diese Controls:

A.5.9 Asset-Inventar: Informationen und zugehörige Assets müssen in einem Verzeichnis erfasst und gepflegt werden.
A.5.10 Zulässige Nutzung: Unternehmen legen fest, wie Assets genutzt werden dürfen.
A.5.11 Rückgabe von Assets: Laptops, Zugänge, Datenträger oder andere Werte müssen beim Austritt oder Rollenwechsel zurückgegeben werden.
A.5.12 Klassifizierung von Informationen: Daten und Informationswerte werden nach Schutzbedarf eingestuft.
A.5.13 Kennzeichnung von Informationen: Klassifizierte Informationen müssen nachvollziehbar gekennzeichnet werden.
A.8.10 Sicheres Löschen: Daten müssen so gelöscht werden, dass sie später nicht wiederhergestellt oder missbraucht werden können.

ISO 27001 Asset Management: Der Lebenszyklus in 5 Schritten

Asset-Management nach ISO 27001 folgt einem klaren Lebenszyklus. Ein Wert wird erfasst, einem Owner zugeordnet, klassifiziert, geregelt genutzt und am Ende sicher zurückgegeben, gelöscht oder entsorgt.

1. Asset-Inventar und Asset-Register aufbauen

Das Asset-Register zeigt, welche Werte im ISMS-Scope liegen, welche IT-Systeme, Daten, Prozesse und Ressourcen betroffen sind und wie sie mit den Geschäftsabläufen der Organisation zusammenhängen.

Ein belastbares Register sollte erfassen:

eindeutige Asset-ID
Bezeichnung und Asset-Typ
Standort, Cloud-Region oder verantwortlicher Bereich
Asset Owner
Schutzbedarf und Klassifizierung
relevante Risiken und Maßnahmen

Für kleine Unternehmen kann eine gepflegte Liste als Einstieg reichen. Mit wachsender Komplexität helfen CMDBs, ISMS-Tools oder Automatisierung, um IT-Systeme, Cloud-Ressourcen und Schatten-IT aktueller zu halten.

2. Asset Owner benennen und Verantwortung klären

Jedes Asset braucht eine verantwortliche Person. Dieser Asset-Owner kennt die fachliche Bedeutung des Assets und entscheidet mit, wie kritisch es für das Unternehmen ist. Diese Rolle liegt häufig im Fachbereich.

Üblicherweise gehört ein Payroll-System in den Personalbereich, ein CRM in den Vertrieb und ein Fertigungssystem in die Verantwortung der Produktion. Die IT unterstützt bei Betrieb, Sicherheit und technischen Kontrollen. Der Verantwortliche klärt Schutzbedarf, Zugriff, akzeptable Risiken und notwendige Sicherheitsmaßnahmen.

3. Klassifizierung und Bewertung der Assets

Beim Klassifizieren und Bewerten wird sichtbar, wie sensibel ein Asset für die Informationssicherheit ist und welcher Schaden bei Verlust, Manipulation oder Ausfall entstehen würde. Bewertet wird entlang der drei Schutzziele der Informationssicherheit: Vertraulichkeit, Integrität und Verfügbarkeit.

Typische Klassifizierungsstufen sind:

öffentlich
intern
vertraulich
streng vertraulich

4. Nutzung und Zugriff im Alltag regeln

Nach der Klassifizierung beginnt der Alltagstest. A.5.10 gibt den Rahmen für die zulässige Nutzung von Assets vor. Unternehmen sollten in ihrer Informationssicherheitsleitlinie estlegen, wie Assets verwendet, geteilt, gespeichert und geschützt werden.

Dazu gehören Zugriffskontrolle, Need-to-know-Prinzip, Verschlüsselung, Multi-Faktor-Authentifizierung und klare Regeln für externe Weitergabe. ISO 27002 kann helfen, diese Vorgaben in konkrete Sicherheitsmaßnahmen zu übersetzen. So wird aus dem Asset-Register ein praktisches Konzept für Sicherheit.

5. Rückgabe und Löschung sauber abschließen

Der Lebenszyklus endet kontrolliert, wenn Mitarbeiter das Unternehmen verlassen, Rollen wechseln, Verträge auslaufen oder Hardware ersetzt wird.

A.5.11 betrifft die Rückgabe von Assets wie Laptops, Smartphones, Token, Schlüsseln, Datenträgern und Zugriffsrechten. Besonders kritisch sind alte Accounts, geteilte Postfächer, lokale Kopien und externe Freigaben.

A.8.10 ergänzt die sichere Löschung von Informationen. Daten auf ausgemusterten Geräten, Speichermedien oder alten Systemen müssen nachvollziehbar gelöscht oder vernichtet werden.

Wie Asset-Management das Informationssicherheits-Managementsystem und Risikoanalysen stärkt

Asset-Management macht das Informationssicherheits-Managementsystem belastbarer, weil Risiken dadurch einen klaren Bezug bekommen. Sie betreffen konkrete Werte wie Kundendaten, Systeme, Prozesse, Verträge oder Know-how.

Für die Risikoanalyse liefert das Asset-Register deshalb die notwendige Basis. Erst wenn bekannt ist, welche Primär-Assets auf welchen unterstützenden Systemen laufen, lassen sich Gefahren und Schwachstellen aus dem Schwachstellenmanagement sinnvoll einordnen.

Auch die Risikobewertung wird präziser. Der Schutzbedarf eines Assets zeigt, welche Sicherheitsrisiken wirklich kritisch sind und welche Maßnahmen Priorität haben. So vermeidet das Unternehmen das Gießkannen-Prinzip.

Im ISO-27001-Audit wird dieser Zusammenhang schnell sichtbar. Auditoren prüfen stichprobenartig, ob einzelne Assets nachvollziehbar verantwortet, klassifiziert, geschützt und in die Risikoanalyse eingebunden sind. Ein gepflegtes Werteverzeichnis schafft Transparenz, verbessert die Effizienz im externen Audit und macht das ISMS deutlich belastbarer.

Häufige Fragen und Antworten

Was gehört in ein ISO-27001-Asset-Register?

Ein ISO-27001-Asset-Register gibt einen Überblick über alle relevanten Werte im ISMS-Scope. Neben ID, Typ und Standort sollten auch Asset-Owner, Klassifizierung, betroffene Geschäftsprozesse und relevante Sicherheitsmaßnahmen dokumentiert werden.

Wie erfolgt die Klassifizierung nach Vertraulichkeit, Integrität und Verfügbarkeit?

Die Klassifizierung bewertet jedes Asset entlang der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Eine Website kann zum Beispiel bei Vertraulichkeit niedrig eingestuft sein, bei Verfügbarkeit aber hohe Anforderungen haben, weil Manipulation oder Ausfall dem Vertrauen in das Unternehmen schaden.

Welche Rolle spielt der Asset-Eigentümer?

Der Asset-Eigentümer verantwortet den geschäftlichen Wert, den Schutzbedarf und die korrekte Nutzung eines Assets. In der Praxis liegt diese Rolle häufig im Fachbereich, weil dort die Erfahrung mit den Daten, Prozessen und Risiken vorhanden ist. Die IT unterstützt technisch, während der Eigentümer über Klassifizierung, Zugriff und akzeptable Risiken mitentscheidet.