IKT-Assetmanagement: Warum jede Risikoanalyse mit einer belastbaren Datengrundlage beginnt

IKT-Assetmanagement schafft die belastbare Datengrundlage, um kritische Geschäftsservices, Informationen, Anwendungen, IKT-Assets, Dienstleister und ihre Abhängigkeiten vollständig und konsistent in einem Informationsverbund abzubilden. Erst die systematische Beschreibung dieser Beziehungen macht Auswirkungen auf kritische Geschäftsfunktionen, Single Points of Failure, Konzentrationsrisiken und Kaskadeneffekte sichtbar und ermöglicht eine fundierte Bewertung sowie Priorisierung von Risiken.

Ein Unternehmen stuft den Zahlungsverkehr als kritischen Geschäftsservice ein. Anwendungen, Server und Netzwerke sind dokumentiert, Risiken werden regelmäßig bewertet. Die entscheidende Frage bleibt trotzdem oft offen: Welche Auswirkungen hätte der Ausfall eines zentralen Authentifizierungsdienstes tatsächlich auf den Zahlungsverkehr und welche weiteren Geschäftsservices wären gleichzeitig betroffen. An dieser Stelle zeigt sich, ob ein Unternehmen über ein belastbares Risikobild verfügt oder ob Risikoanalysen noch auf isolierten Informationen einzelner Bereiche beruhen.

Die größte Schwäche vieler Risikoanalysen liegt nicht in ihrer Bewertungsmethodik. Sie beginnt deutlich früher, bei der Datengrundlage. Ein belastbares IKT-Assetmanagement dokumentiert nicht nur technische Ressourcen. Es schafft die Voraussetzung dafür, kritische Geschäftsservices, unterstützende Informationen, Anwendungen, IKT-Assets und deren Abhängigkeiten vollständig und konsistent abzubilden. Erst auf dieser Grundlage entsteht ein Informationsverbund, aus dem sich Auswirkungen, Schwachstellen und Risiken belastbar ableiten lassen.

IKT-Assetmanagement: belastbare Datengrundlage für Informationsverbund

Im Zahlungsverkehr umfasst die relevante Datengrundlage nicht nur Anwendungen oder Server. Hinzu kommen Geschäftsprozesse, Informationswerte, Datenbanken, Authentifizierungsdienste, Netzwerkkomponenten sowie interne und externe Dienstleister. Jedes dieser Objekte besitzt für sich einen Informationswert. Für eine belastbare Risikoanalyse reicht diese isolierte Sicht jedoch nicht aus.

DORA verlangt deshalb nicht nur ein Inventar der IKT-Assets. Die Verordnung fordert, kritische oder wichtige Funktionen, Informationswerte, unterstützende IKT-Ressourcen sowie deren Verknüpfungen und Abhängigkeiten systematisch zu identifizieren, zu dokumentieren und aktuell zu halten. Ziel ist eine belastbare Datengrundlage, auf deren Basis Auswirkungen auf kritische Geschäftsservices nachvollziehbar bewertet werden können. Ein belastbares IKT-Assetmanagement liefert damit nicht das Risikobild selbst, sondern das Fundament, auf dem es später entsteht.

IKT-Assetmanagement: Erst der Informationsverbund macht Abhängigkeiten sichtbar

Der Informationsverbund entsteht nicht durch die Inventarisierung einzelner Assets. Er entsteht durch die systematische Beschreibung ihrer Beziehungen. Erst wenn bekannt ist, welche Anwendungen welche Informationen verarbeiten, welche IKT-Assets diese Anwendungen unterstützen, welche Geschäftsservices davon abhängen und welche externen Dienstleister in die Leistungserbringung eingebunden sind, werden die tatsächlichen Zusammenhänge sichtbar.

Der Informationsverbund beantwortet damit nicht die Frage, welche Ressourcen vorhanden sind. Er zeigt, wovon u.a. kritische Geschäftsfunktionen tatsächlich abhängen. Erst dadurch wird sichtbar, welche Auswirkungen der Ausfall einzelner Komponenten auf den exemplarischen Zahlungsverkehr haben kann. Ohne diese Transparenz bleiben Abhängigkeiten verborgen und das Risikobild zwangsläufig unvollständig.

IKT-Assetmanagement: Aus Abhängigkeiten entstehen Komplexität und Parallelität

Mit jeder zusätzlichen Anwendung, jedem Dienstleister und jeder weiteren Infrastrukturkomponente wächst die Zahl der Beziehungen innerhalb des Informationsverbunds. Daraus entsteht die Komplexität. Sie beschreibt nicht die Anzahl vorhandener IKT-Assets, sondern die Vielzahl ihrer gegenseitigen Abhängigkeiten.

Fällt im Beispiel des Zahlungsverkehrs der zentrale Authentifizierungsdienst aus, betrifft dies nicht nur eine technische Komponente. Es können gleichzeitig Benutzeranmeldungen, Zahlungsfreigaben, weitere Geschäftsservices und Kommunikationsprozesse beeinträchtigt werden. Aus bekannten Abhängigkeiten entstehen damit mehrere gleichzeitige Auswirkungen. Genau diese Parallelität moderner Krisen wurde bereits im Beitrag „Parallelität in Krisen“ beschrieben (Zum Artikel). Ob sie beherrschbar bleibt, entscheidet sich jedoch lange vor dem eigentlichen Ereignis – mit der Qualität des Informationsverbunds.

IKT-Assetmanagement: Erst jetzt wird ein belastbares Risikobild möglich

Single Points of Failure, Konzentrationsrisiken oder Kaskadeneffekte werden nicht auf der Ebene einzelner Assets sichtbar. Sie entstehen entlang der Abhängigkeiten des Informationsverbunds. Erst wenn diese Zusammenhänge vollständig beschrieben sind, lassen sich Auswirkungen auf kritische Geschäftsfunktionen nachvollziehbar bewerten und Risiken belastbar priorisieren.

Ein belastbares Risikobild entsteht nicht durch die Risikoanalyse selbst. Die Risikoanalyse bewertet Risiken auf Basis der verfügbaren Informationen. Ein belastbares IKT-Assetmanagement liefert die Datengrundlage. Daraus entsteht der Informationsverbund. Der Informationsverbund macht Abhängigkeiten sichtbar. Aus den Abhängigkeiten werden Komplexität und Parallelität verständlich. Erst auf dieser Grundlage lassen sich Schwachstellen erkennen und Risiken fundiert bewerten.

Wo steht Ihr IKT-Assetmanagement heute?

Verfügt Ihr Unternehmen bereits über eine Datengrundlage, aus der ein vollständiger Informationsverbund für alle und besonders die kritische Geschäftsfunktionen entsteht?

Eine strukturierte Reifegradanalyse macht sichtbar, ob Ihr IKT-Assetmanagement bereits die notwendige Datengrundlage für einen belastbaren Informationsverbund liefert oder ob strukturelle Informationslücken die Transparenz über Abhängigkeiten und damit die Qualität Ihres Risikobilds begrenzen.

---

FAQs ▼

Was ist IKT-Assetmanagement?

Es erfasst und dokumentiert technische Ressourcen und deren Beziehungen zu Informationen, Anwendungen, Geschäftsprozessen sowie Dienstleistern. Entscheidend ist eine konsistente Datengrundlage, aus der dann ein vollständiger Informationsverbund entsteht.

Welche Anforderungen stellt DORA an IKT-Assets?

DORA fordert nicht nur ein Inventar der IKT-Assets. Unternehmen müssen zudem kritische oder wichtige Funktionen, Informationswerte, unterstützende IKT-Ressourcen sowie deren Verknüpfungen und Abhängigkeiten systematisch identifizieren, dokumentieren und aktuell halten. 

Wie macht IKT-Assetmanagement Abhängigkeiten sichtbar?

Indem es die Beziehungen zwischen Geschäftsservices, Informationen, Anwendungen, technischen Ressourcen und Dienstleistern dokumentiert. Dadurch lässt sich nachvollziehen, welche Komponenten gemeinsam an der Erbringung eines Geschäftsservices beteiligt sind.

Was ist ein Informationsverbund?

Ein Informationsverbund bildet Informationen, Prozesse, Anwendungen, IKT-Assets, Infrastruktur sowie interne und externe Dienstleister einschließlich ihrer Beziehungen ab. Er zeigt aber nicht nur, welche Ressourcen vorhanden sind, sondern auch wovon kritische Geschäftsfunktionen tatsächlich abhängig sind.

Wie entsteht ein vollständiger Informationsverbund?

Eine reine Inventarisierung einzelner Assets genügt für einen vollständigen Informationsverbund nicht. Er entsteht durch die systematische Beschreibung der Beziehungen zwischen den erfassten Objekten. Dazu muss bekannt sein, welche Anwendungen bestimmte Informationen verarbeiten, welche IKT-Assets diese Anwendungen unterstützen, welche Geschäftsservices davon abhängen und welche externen Dienstleister an der Leistungserbringung beteiligt sind.

Was zeigt eine Reifegradanalyse im IKT-Assetmanagement?

Sie macht sichtbar, ob das vorhandene IKT-Assetmanagement bereits die notwendige Datengrundlage für einen belastbaren Informationsverbund liefert. Zu dem werden strukturelle Informationslücken erkannt, die die Transparenz über Abhängigkeiten und damit die Qualität des Risikobilds begrenzen.