Dieser Leitfaden zeigt, welche Angaben zählen, wie Sie erheben, ohne die Produktion zu stören, und wie das Inventar aktuell bleibt. Die Beispiele sind erfunden.
Warum das Inventar die Grundlage ist
- Risikobewertung: IEC 62443-3-2 beginnt mit dem betrachteten System. Das setzt voraus, dass Sie seine Teile kennen.
- Zonen und Conduits: Jedes Asset gehört in genau eine Zone. Ohne Liste gibt es keine belastbare Zonierung.
- Herstellerhinweise: Ein Hinweis zu einer Firmware nützt nur, wenn Sie wissen, wo diese Firmware läuft.
- Vorfälle: Wer im Notfall nachschlagen kann, entscheidet schneller.
Auch Regelwerke fordern den Überblick. § 30 Abs. 2 Nr. 9 BSIG nennt Konzepte für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. ISO/IEC 27001 führt in Anhang A 5.9 ein Inventar der Informationen und zugehörigen Werte als Maßnahme. IEC 62443-2-4 nennt für Dienstleister ein Inventarregister (SP.06.02), IEC 62443-3-3 ein Komponenteninventar (SR 7.8).
Eine gute Anleitung gibt es kostenlos: „Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators“, im August 2025 unter Führung der US-Behörde CISA veröffentlicht, mit dem BSI als Mitherausgeber.
Die sechs Schritte
- Umfang festlegen. Bestimmen Sie Standort, Anlagen und Verantwortliche. Beginnen Sie mit einer wichtigen Linie statt mit dem ganzen Werk.
- Vorhandenes sammeln. Netzpläne, Stromlaufpläne, Hardwarekonfigurationen aus dem Engineering-Werkzeug, Lieferantenunterlagen und Wartungsberichte liefern oft den größten Teil.
- Passiv erheben. Ein Mitschnitt am Spiegelport eines Switches oder ein OT-Monitoring zeigt Geräte und Verbindungen, ohne die Anlage zu belasten.
- Vor Ort prüfen. Gehen Sie durch die Anlage, lesen Sie Typenschilder ab und erfassen Sie, was im Netz nicht auftaucht: Servicelaptops, Funkstrecken, Modems, nicht vernetzte Geräte.
- Einordnen. Ordnen Sie jedem Asset Typ, Kritikalität und Zone zu und halten Sie Abhängigkeiten fest.
- Pflege festlegen. Jede Änderung an der Anlage aktualisiert das Inventar, auch nach einer Notfallreparatur.
Drei Wege der Erhebung im Vergleich
| Weg | Was Sie erhalten | Grenzen | Risiko für den Betrieb |
|---|---|---|---|
| Unterlagen | Soll-Stand, Bezeichnungen, Lieferanten | Oft veraltet | Keines |
| Passive Analyse | Geräte, Adressen, Protokolle und Verbindungen | Sieht nur, was während des Mitschnitts spricht | Gering, Einbau mit dem Betrieb abstimmen |
| Begehung | Typenschilder, nicht vernetzte Geräte, Fernzugänge | Zeitaufwand | Gering |
Vorsicht bei aktiven Scans: Ein Netzscan kann ältere Steuerungen oder Feldbuskoppler stören. Setzen Sie aktive Methoden nur in Absprache mit dem Betrieb ein, am besten in einem Stillstandsfenster und mit schonenden Einstellungen.
Welche Angaben Sie brauchen
Beginnen Sie klein und vollständig. Eine kurze Liste, die stimmt, hilft mehr als eine lange mit Lücken. Die Felder folgen unserem Modul zu IEC 62443 und der genannten CISA-Anleitung.
| Feld | Beispiel | Wozu |
|---|---|---|
| Bezeichnung | PLC-FL1-01 | Eindeutig ansprechen |
| Typ | Steuerung, HMI, Switch, Engineering-Station | Einordnen |
| Hersteller und Modell | Beispielhersteller, Modell 3000 | Herstellerhinweise zuordnen |
| Firmware oder Software | 2.3.0 | Schwachstellen abgleichen |
| Adresse und Netz | 10.20.1.15, VLAN 120 | Zonen und Verbindungen |
| Standort | Halle 3, Linie 1, Schrank 4 | Im Notfall finden |
| Protokolle | PROFINET, OPC UA | Conduits planen |
| Kritikalität | Hoch | Prioritäten setzen |
| Zuständig | Instandhaltung Linie 1 | Rückfragen und Pflege |
Vergessen Sie die Software nicht: Leitsystem, Datenbanken, Betriebssysteme der Bedienstationen und Lizenzen gehören dazu.
Das Inventar enthält genau die Angaben, die ein gezielter Angriff braucht. Stufen Sie es deshalb als vertraulich ein und regeln Sie, wer es sehen darf.
Beispiel aus der Produktion
Das Beispiel ist erfunden. Ein Getränkeabfüller beginnt mit der Linie 1. In den Plänen stehen 38 Geräte. Der Mitschnitt zeigt 46. Die Begehung findet ein Mobilfunkmodem eines Maschinenlieferanten, das niemand mehr auf dem Zettel hatte.
- Ergebnis: 47 Assets, je mit Zone und Zuständigkeit.
- Sofort sichtbar: ein Fernzugang ohne Freigabe und zwei Bedienstationen ohne Herstellerunterstützung.
- Danach: Der Änderungsantrag enthält ein Pflichtfeld „Inventar aktualisiert“.
Wie das Inventar aktuell bleibt
- Fest im Änderungsprozess: Keine Änderung gilt als abgeschlossen, bevor das Inventar stimmt.
- Eine verantwortliche Stelle: Meist Steuerungstechnik oder OT-Security, nicht „alle“.
- Regelmäßiger Abgleich: Vergleichen Sie neue Mitschnitte mit dem Inventar, und klären Sie jedes unbekannte Gerät.
- Bestätigter Stand: Halten Sie fest, wann das Inventar zuletzt vollständig geprüft wurde.
Checkliste
- Umfang und Verantwortliche sind festgelegt.
- Vorhandene Unterlagen sind ausgewertet.
- Passive Erhebung ist mit dem Betrieb abgestimmt.
- Aktive Scans sind geregelt oder ausgeschlossen.
- Die Begehung hat nicht vernetzte Geräte und Fernzugänge erfasst.
- Jedes Asset hat Typ, Zone, Kritikalität und Zuständigkeit.
- Software und Firmwarestände sind erfasst.
- Änderungen aktualisieren das Inventar verbindlich.
- Zugriff auf das Inventar ist geregelt.
Das Inventar in Complass
Eine Excel-Liste veraltet leise, und niemand sieht, welche Zeile noch stimmt. In Complass arbeitet das Inventar für Sie:
- Importieren: Sie übernehmen Excel und CSV, Ergebnisse aus Zeek und Nmap und CSV-Exporte gängiger OT-Monitoring-Werkzeuge.
- Mitschnitte: PCAP- und PCAPNG-Dateien wertet Ihr Browser aus. Die Datei verlässt Ihren Rechner nicht.
- Keine Dubletten: Alle Importwege gleichen zentral ab. Unklare Fälle erscheinen als „Mögliches Duplikat: prüfen“.
- Entdeckte Geräte: Neue Geräte erscheinen als Kandidaten und werden nie automatisch zum Asset.
- Zonen: Assets ordnen Sie Zonen nach IEC 62443-3-2 zu und sehen sie im Netzplan.
- Herstellerhinweise: Hinweise im Format CSAF 2.0 werden mit Hersteller, Modell und Version Ihrer Assets abgeglichen.
Häufige Fragen
Können wir mit Excel anfangen?
Ja, für den Einstieg reicht das. Schwierig wird es bei Pflege, Dubletten und dem Abgleich mit Herstellerhinweisen. Eine sauber gepflegte Tabelle lässt sich später übernehmen.
Wie vollständig muss das Inventar sein?
Keine der genannten Quellen nennt eine Prozentzahl. Wichtig ist, dass Sie den Umfang festlegen und ihn dann vollständig erfassen. Lücken halten Sie offen fest, statt sie zu verschweigen.
Dürfen wir in der Produktion scannen?
Das entscheidet der Betrieb gemeinsam mit Ihnen. Beginnen Sie passiv. Aktive Abfragen setzen Sie nur abgestimmt und möglichst in einem Stillstandsfenster ein.
Wer sollte das Inventar verantworten?
Meist die Steuerungstechnik oder die OT-Security, weil dort das Wissen über die Anlage liegt. Die IT unterstützt bei Netz und Werkzeugen.
Gehören Maschinen von Lieferanten dazu?
Ja, soweit sie in Ihrer Anlage laufen. Halten Sie auch fest, wer aus der Ferne darauf zugreift.
In einer Demo zeigen wir Ihnen an der Demo-Firma, wie aus einer Excel-Liste ein Inventar mit Zonen und Herstellerhinweisen wird.
Weiterlesen
- Leitfaden „Zonen und Conduits nach IEC 62443 erklärt“
- Leitfaden „IEC 62443-3-2: Risikobewertung in sieben Schritten“
- Whitepaper zu Assets, SBOM und Schwachstellen
- Asset-Management: Inventar, Zonen und Herstellerhinweise
- IEC 62443 in Complass
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich sind der aktuelle Wortlaut des BSIG und Ihre lizenzierten Ausgaben der Normen. Stand: November 2026.