Was ist ein Asset in ISO 27001?

Übersicht

Ein Asset in ISO 27001 ist alles, was für Ihre Organisation einen Wert darstellt und Schutz benötigt. Assets umfassen Informationen, Systeme, physische Ausrüstung, Dienstleistungen, Personen und den Ruf der Organisation, die Geschäftsprozesse unterstützen und Schutzmaßnahmen in Bezug auf Vertraulichkeit, Integrität oder Verfügbarkeit erfordern.

Was es in der Praxis bedeutet

Assets sind das, was Sie mit Ihrem ISMS schützen. Ihre Risikobewertung beginnt mit der Identifizierung von Assets, bestimmt dann, welche Bedrohungen ihnen schaden könnten, und welche Kontrollen für den Schutz erforderlich sind.

Arten von Assets

Informations-Assets

• Strukturierte Daten: Datenbanken, Tabellenkalkulationen, Aufzeichnungen
• Dokumente: Verträge, Richtlinien, Verfahren, Berichte
• Geistiges Eigentum: Quellcode, Patente, Geschäftsgeheimnisse, Designs
• Personenbezogene Daten: Kundeninformationen, Mitarbeiterakten (DSGVO-reguliert)
• Finanzdaten: Transaktionsaufzeichnungen, Bankdaten, Finanzberichte
• Kommunikation: E-Mails, Chat-Nachrichten, aufgezeichnete Anrufe

Physische Assets

• Hardware: Server, Arbeitsplatzrechner, Laptops, mobile Geräte
• Speichermedien: Festplatten, USB-Laufwerke, Backup-Bänder
• Infrastruktur: Netzwerkgeräte, Kabel, Stromsysteme
• Einrichtungen: Rechenzentren, Büros, Serverräume
• Papierdokumente: Gedruckte Aufzeichnungen, Verträge, vertrauliche Dateien

Software-Assets

• Anwendungen: Geschäftssoftware, CRM, ERP-Systeme
• Betriebssysteme: Server- und Arbeitsplatz-Betriebssysteme
• Entwicklungswerkzeuge: IDEs, Compiler, Build-Systeme
• Eigene Software: Intern entwickelte Anwendungen
• Lizenzen: Software-Berechtigungen und -Rechte

Dienstleistungen

• IT-Dienstleistungen: Cloud-Plattformen, SaaS-Anwendungen, Managed Services
• Versorgungsleistungen: Strom, Kühlung, Telekommunikation
• Support-Dienstleistungen: Wartungsverträge, Sicherheitsüberwachung
• Drittanbieter: Ausgelagerte Funktionen, Berater

Personen

• Spezialisierte Expertise: Fähigkeiten, die schwer zu ersetzen sind
• Schlüsselpersonen: Personen, die für den Betrieb kritisch sind
• Institutionelles Wissen: Nicht dokumentierte Prozesse, die nur bestimmten Personen bekannt sind

Immaterielle Assets

• Ruf: Markenwert, Kundenvertrauen
• Goodwill: Geschäftsbeziehungen, Marktposition
• Regulatorische Compliance: Lizenzen, Zertifizierungen

Asset-Inventar (A.5.9)

Warum ein Inventar verpflichtend ist

ISO 27001-Kontrolle A.5.9 verlangt ein „Inventar von Informationen und anderen zugehörigen Assets“. Sie können nicht schützen, was Sie nicht kennen. Das Asset-Inventar ist die Grundlage der Risikobewertung.

Was im Inventar enthalten sein sollte

Für jedes Asset dokumentieren Sie:

• Asset-ID: Eindeutiger Identifikator
• Asset-Name/Beschreibung: Klare Identifizierung
• Asset-Typ: Information, physisch, Software, Dienstleistung usw.
• Eigentümer: Verantwortliche Person für das Asset
• Standort: Physischer oder logischer Standort
• Klassifizierung: Sensitivitätsstufe (Öffentlich, Intern, Vertraulich usw.)
• Wert: Bedeutung für das Geschäft (optional, aber hilfreich)
• Abhängigkeiten: Andere Assets, von denen es abhängt oder die es unterstützt

Inventar-Formate

• Tabellenkalkulation: Einfach, geeignet für kleine Organisationen
• Datenbank: Besser für mittelgroße/große Organisationen mit vielen Assets
• GRC-Tool: Integriert mit Risikobewertung und Kontrollmanagement
• Konfigurationsmanagement-Datenbank (CMDB): Technische Assets, die in IT-Systemen verfolgt werden

Asset-Eigentümerschaft

Was Asset-Eigentümerschaft bedeutet

Der Asset-Eigentümer ist verantwortlich für:

• Festlegung der Klassifizierung und Schutzanforderungen
• Genehmigung des Zugriffs auf das Asset
• Sicherstellung, dass angemessene Kontrollen angewendet werden
• Regelmäßige Überprüfung der Asset-Sicherheit
• Genehmigung der Entsorgung oder Außerbetriebnahme des Assets

Eigentümer vs. Verwalter

• Eigentümer: Geschäftsrolle, die für das Asset verantwortlich ist (meist Manager oder Führungskraft)
• Verwalter: Technische Rolle, die das Asset im Tagesgeschäft verwaltet (oft IT-Team)

Beispiel: Der Vertriebsleiter könnte Eigentümer der Kundendatenbank sein (geschäftliche Verantwortung), während der Datenbankadministrator der Verwalter ist (technische Verwaltung).

Asset-Klassifizierung (A.5.12)

Warum Assets klassifiziert werden

Die Klassifizierung stellt sicher, dass Assets angemessenen Schutz erhalten, basierend auf ihrer Sensitivität und ihrem Wert. Nicht alle Daten benötigen den gleichen Schutz – die Klassifizierung ermöglicht eine proportionale Auswahl von Kontrollen.

Häufige Klassifizierungsschemata

Grundlegend (3 Stufen)

• Öffentlich: Kann frei offengelegt werden
• Intern: Für den internen Gebrauch, nicht öffentlich
• Vertraulich: Sensitiv, eingeschränkter Zugriff

Standard (4 Stufen)

• Öffentlich: Keine Vertraulichkeitsauswirkungen bei Offenlegung
• Intern: Geringe Auswirkungen bei Offenlegung
• Vertraulich: Mittel-hohe Auswirkungen bei Offenlegung
• Geheim/Eingeschränkt: Schwere Auswirkungen bei Offenlegung

Detailliert (5+ Stufen)

Einige Organisationen fügen Stufen wie „Eigentümlich“, „Sensitiv“ oder regulatorische Klassifizierungen (personenbezogene Daten, Gesundheitsdaten, PCI) hinzu.

Klassifizierungskriterien

Bestimmen Sie die Klassifizierung basierend auf den Auswirkungen auf die CIA bei Kompromittierung:

• Vertraulichkeit: Auswirkungen bei unbefugter Offenlegung
• Integrität: Auswirkungen bei unbefugter Änderung
• Verfügbarkeit: Auswirkungen bei Verlust oder Nichtverfügbarkeit

Berücksichtigen Sie außerdem:

• Rechtliche/regulatorische Anforderungen (DSGVO, HIPAA, PCI DSS)
• Vertragliche Verpflichtungen (Kunden-NDAs, Lieferantenverträge)
• Geschäftswert und Wettbewerbsempfindlichkeit

Asset-Bewertung

Warum Assets bewertet werden

Der Wert von Assets hilft, Schutzmaßnahmen zu priorisieren und Investitionen in Kontrollen zu rechtfertigen. Hochwertige Assets rechtfertigen stärkere (und teurere) Kontrollen.

Bewertungsansätze

Quantitativ (finanziell)

• Wiederbeschaffungskosten (Hardware, Softwarelizenzen)
• Umsatzeinbußen bei Nichtverfügbarkeit
• Mögliche Geldstrafen oder Bußgelder bei Kompromittierung
• Marktwert oder Wert des geistigen Eigentums

Qualitativ (geschäftliche Auswirkungen)

• Kritisch: Wesentlich für das Überleben des Unternehmens
• Hoch: Erhebliche geschäftliche Auswirkungen
• Mittel: Bemerkenswerte Auswirkungen, aber es gibt Alternativen
• Niedrig: Minimale Auswirkungen bei Verlust oder Kompromittierung

Faktoren, die den Asset-Wert beeinflussen

• Wiederbeschaffungskosten und -aufwand
• Zeit zur Wiederherstellung oder Neuerstellung
• Umsatzabhängigkeit
• Regulatorische Bedeutung
• Wettbewerbsvorteil
• Reputationsschaden bei Kompromittierung

Asset-Lebenszyklusmanagement

Beschaffung

• Zum Asset-Inventar hinzufügen, wenn erworben
• Eigentümer zuweisen und klassifizieren
• Angemessene Kontrollen basierend auf der Klassifizierung anwenden

Nutzung

• Innerhalb akzeptabler Nutzungsrichtlinien betreiben (A.5.10)
• Kontrollen während des gesamten Lebenszyklus aufrechterhalten
• Zugriffsberechtigungen regelmäßig überprüfen

Änderung

• Inventar aktualisieren, wenn sich Assets ändern
• Klassifizierung neu bewerten, wenn sich Nutzung oder Sensitivität ändern
• Change-Management-Prozesse befolgen (A.8.32)

Übertragung

• Vertraulichkeit während der Übertragung wahren (A.5.14)
• Eigentümerschaft im Inventar aktualisieren
• Sicherstellen, dass Kontrollen bestehen bleiben

Entsorgung

• Informationen sicher löschen (A.8.10)
• Physische Zerstörung, falls erforderlich
• Aus dem Inventar entfernen
• Gemietete/lizenzierte Assets zurückgeben (A.5.11)

Assets und Risikobewertung

Asset-zentrierte Risikobewertung

Häufiger Ansatz zur Risikobewertung:

1. Assets identifizieren
2. Asset-Wert/Klassifizierung bestimmen
3. Bedrohungen für jedes Asset identifizieren
4. Schwachstellen identifizieren, die Bedrohungen ausnutzen könnten
5. Auswirkungen bewerten, wenn eine Bedrohung die Schwachstelle ausnutzt
6. Eintrittswahrscheinlichkeit bewerten
7. Risikostufe berechnen (Auswirkung × Wahrscheinlichkeit)
8. Kontrollen auswählen, um das Risiko zu reduzieren

Asset-Abhängigkeiten

Berücksichtigen Sie Abhängigkeiten in der Risikobewertung. Wenn Asset A von Asset B abhängt, bedrohen Risiken für Asset B auch Asset A.

Beispiel: Ihre kundenorientierte Webanwendung ist von dem Datenbankserver abhängig. Risiken für die Datenbank werden indirekt zu Risiken für die Anwendung.

Verwandte Konzepte

• Risikobewertung - Bewertung von Bedrohungen für Assets
• Informationsklassifizierung - Kategorisierung von Assets nach Sensitivität
• CIA-Triade - Schutzziele für Assets
• Kontrolle - Maßnahmen zum Schutz von Assets
• Wie man eine ISO 27001-Risikobewertung mit KI durchführt

Hilfe erhalten

Nutzen Sie ISMS Copilot, um Asset-Inventarvorlagen zu generieren, Klassifizierungsschemata zu erstellen, die zu Ihrem Unternehmen passen, und Assets effizient mit Risikobewertungen zu verknüpfen.