Hardware-Gerät

Der Begriff umfasst alles, was ein IT-Team benennen und physisch in der Hand halten kann, locker nach Funktion gruppiert. Interne Komponenten lassen sich austauschen oder aufrüsten und können unabhängig von dem Gerät ausfallen, in dem sie stecken.

Ein Gerät wird erst dann zu einem verwaltbaren Datensatz, wenn es sich von jedem anderen Gerät desselben Typs unterscheiden lässt. Inventarsysteme kombinieren deshalb meist mehrere Merkmale, statt sich auf eines zu verlassen.

Hersteller und Modell benennen, was das Gerät ist. Eine Seriennummer soll für ein einzelnes physisches Gerät eindeutig sein. Eine Inventarnummer wird intern vergeben, sodass eine Organisation ein Gerät auch dann verfolgen kann, wenn der Hersteller es neu kennzeichnet. Netzwerkfähige Geräte haben eigene Kennungen: eine MAC-Adresse für eine Netzwerkschnittstelle oder ein Paar aus Hersteller- und Produkt-ID bei einem USB-Gerät. Diese Kennungen beschreiben eher eine Klasse von Hardware als ein einzelnes Gerät. Am wichtigsten sind sie, wenn Zugriffsregeln ein Gerät automatisch erkennen müssen, statt dass eine Person ein Etikett liest.

Ein Gerät ist selten nur eine statische Zeile in einer Tabelle. Es durchläuft Phasen, die ein Inventareintrag abbilden soll:

1. 1

   Beschaffung und Aufnahme ins Register

   Das Gerät wird gekauft und mit seinen Kennungen im Asset-Register erfasst. Es existiert als Datensatz, bevor es mit dem Netzwerk verbunden wird.

2. 2

   Bereitstellung

   Das Gerät wird einer Person, einer Abteilung und einem Arbeitsplatz zugeordnet. Seine erwartete Konfiguration, also welche Komponenten zu ihm gehören, wird als Basislinie festgelegt.

3. 3

   Nutzung im Betrieb

   Das Gerät wird auf Statusänderungen, Ressourcenverbrauch und darauf überwacht, ob es noch der erfassten Konfiguration entspricht.

4. 4

   Wartung und Änderungen

   Komponenten werden ergänzt, ersetzt oder entfernt, und das Gerät kann den Arbeitsplatz wechseln. Sein Status ändert sich bei Reparatur oder vorübergehender Außerbetriebnahme.

5. 5

   Aussonderung und Entsorgung

   Das Gerät wird abgeschrieben und seine Daten werden sicher gelöscht. Der Datensatz wird geschlossen, ohne die Historie zu entfernen, damit ein Prüfer weiterhin nachvollziehen kann, wohin das Gerät ging.

Ein Hardware-Gerät, das eine Organisation nicht sehen kann, kann sie auch nicht schützen. Geräte, die nie ins Inventar aufgenommen wurden, etwa ein privater USB-Stick von zu Hause oder ein ohne Freigabe installiertes Netzwerkgerät, bleiben außerhalb von Patching, Überwachung und Richtliniendurchsetzung. Nicht erfasste Hardware gehört zu den häufigsten blinden Flecken, die Sicherheitsteams melden.

Das umgekehrte Problem ist ebenso real. Ein Gerät, das auf dem Papier abgeschrieben, aber nie physisch entfernt wurde, oder eine Komponente, die unbemerkt gegen eine billigere getauscht wurde, kann monatelang unentdeckt bleiben, solange niemand vergleicht, was angeschlossen ist, mit dem, was das Register vorgibt. Deshalb ist Hardware-Tracking ebenso eine Sicherheitsmaßnahme wie eine betriebliche.

Anexet-Agenten erkennen die Hardware, die an jedem Computer angeschlossen ist, und zeigen sie in der Geräteübersicht an.

Hardware-Inventare lassen sich auf zwei Arten aufbauen, und die meisten ausgereiften Programme kombinieren beide.

Die manuelle Erfassung, meist eine Tabelle, die IT-Mitarbeitende beim Einkauf ausfüllen, hält Eigentum und geschäftlichen Kontext gut fest. Sie veraltet jedoch, sobald ein Gerät den Besitzer wechselt, ohne dass der Eintrag geändert wird. Die automatisierte Erkennung, bei der Softwareagenten die gesehene Hardware melden, hält die technischen Fakten aktuell: was angeschlossen ist, Seriennummer und Ressourcennutzung. Trotzdem braucht es eine Person, die Eigentum und geschäftlichen Kontext ergänzt, denn das kann ein Erkennungswerkzeug nicht selbst ableiten. Erkannte Hardware ohne Eintrag wird in der Regel separat angezeigt, damit sie geprüft und importiert oder untersucht werden kann, statt stillschweigend hinzugefügt oder ignoriert zu werden.