Welche Geräte hängen eigentlich in deinem Firmennetz und wie du dauerhaft den Überblick behältst

Die Zahl der Geräte ist meistens größer als gedacht

Auf die Frage, wie viele Geräte sich im Firmennetz befinden, gibt es zunächst eine scheinbar einfache Antwort: die Computer der Mitarbeiter, ein Server, einige Drucker und vielleicht noch die Telefonanlage.

Bei einer tatsächlichen Bestandsaufnahme wird die Liste häufig deutlich länger.

Hinzu kommen Switches, WLAN-Zugangspunkte, Firewalls, Kameras, Datenspeicher, Telefone, Zeiterfassung, Gebäudeautomation, Maschinensteuerungen, Industrie-PCs, Wechselrichter, Fernwartungsgeräte und zahlreiche kleinere Netzwerkkomponenten, die im Alltag kaum als klassische IT wahrgenommen werden.

In einem über Jahre gewachsenen Unternehmen können außerdem Geräte aktiv sein, deren genaue Aufgabe niemand spontan erklären kann.

Das ist zunächst kein Beweis für eine schlechte Infrastruktur. Es zeigt aber, warum eine vollständige Übersicht nicht allein aus einer Inventarliste der gekauften Computer entstehen kann.

Wer beurteilen möchte, wie die eigene IT aufgebaut ist, muss wissen, was tatsächlich im Netzwerk vorhanden ist.

Eine Inventarliste und die Realität sind zwei verschiedene Dinge

Viele Unternehmen besitzen bereits irgendeine Form von Geräteliste. Darin stehen die angeschafften PCs, Server und vielleicht einige Netzwerkgeräte.

Solche Listen sind sinnvoll, bilden aber häufig nur den geplanten Bestand ab.

Ein Techniker hat möglicherweise vor drei Jahren einen zusätzlichen Switch installiert, der nie in die Inventarliste aufgenommen wurde. Ein Maschinenhersteller brachte einen eigenen kleinen Industrie-PC mit, eine Kamera wurde nachgerüstet oder ein Mitarbeiter schloss ein weiteres Gerät an, um ein kurzfristiges Problem zu lösen.

Die Infrastruktur verändert sich dadurch schneller als die Dokumentation.

Bei einer technischen Bestandsaufnahme wird deshalb nicht ausschließlich nach vorhandenen Unterlagen gearbeitet. Das Netzwerk selbst wird untersucht, um festzustellen, welche Geräte tatsächlich erreichbar sind und welche Informationen sich über sie ermitteln lassen.

Die Unterschiede zwischen Dokumentation und Realität sind dabei häufig besonders interessant.

Automatische Erkennung liefert einen ersten Überblick

Viele Geräte lassen sich im Netzwerk automatisiert erkennen. Dabei kann untersucht werden, welche IP-Adressen aktiv sind, welche Hersteller sich anhand der Netzwerkschnittstellen zuordnen lassen und welche Dienste ein Gerät anbietet.

Je nach Gerät können zusätzlich Informationen wie Gerätename, Betriebssystem, Modell oder Softwareversion ermittelt werden.

Das ermöglicht einen wesentlich breiteren Überblick als eine manuell gepflegte Excel-Liste.

Ein Scan kann beispielsweise einen Drucker finden, der seit Jahren in einem Nebenraum steht, mehrere bisher nicht dokumentierte Netzwerk-Switches erkennen oder auf einen Rechner aufmerksam machen, dessen Betriebssystem längst nicht mehr unterstützt wird.

Solche technischen Werkzeuge sind ein wichtiger Bestandteil einer IT-Infrastrukturanalyse, weil sie die tatsächliche Umgebung sichtbar machen und nicht nur den Zustand, von dem man bisher ausgegangen ist.

Die automatische Erkennung ist allerdings erst der Anfang.

Ein gefundenes Gerät muss anschließend verstanden werden

Eine IP-Adresse und ein Herstellername beantworten noch nicht die wichtigste Frage: Wofür ist dieses Gerät da?

Gerade bei Netzwerkkomponenten und Produktionssystemen lässt sich die Funktion nicht immer automatisch erkennen.

Ein Gerät eines bestimmten Herstellers könnte Teil einer Maschine, ein Medienkonverter oder eine eigenständige Steuerung sein. Ein kleiner Rechner kann eine nebensächliche Anzeige steuern oder für einen wichtigen Produktionsprozess unverzichtbar sein.

Deshalb müssen technische Funde mit dem Wissen vor Ort zusammengeführt werden.

Wo befindet sich das Gerät?

Wer arbeitet damit?

Welche Aufgabe erfüllt es?

Was passiert, wenn es ausfällt?

Welche anderen Systeme benötigen es?

Gerade in der Produktion sind Gespräche mit Mitarbeitern häufig genauso wertvoll wie technische Scans, weil dort Zusammenhänge bekannt sind, die sich aus Netzwerkdaten allein nicht ableiten lassen.

Aus einer Liste erreichbarer IP-Adressen wird erst durch diese Zuordnung eine brauchbare Infrastrukturübersicht.

Unbekannte Geräte sollten untersucht und nicht sofort abgeschaltet werden

Taucht während einer Bestandsaufnahme ein unbekanntes Gerät auf, ist das zunächst eine offene Frage und kein Grund, sofort den Netzwerkanschluss zu trennen.

Vielleicht handelt es sich um eine längst vergessene Altlast. Es kann aber genauso ein wichtiger Bestandteil einer Maschine sein, der nur deshalb niemandem bekannt vorkommt, weil er seit Jahren störungsfrei arbeitet.

Deshalb wird zunächst untersucht, wo das Gerät angeschlossen ist, welche Kommunikation stattfindet und ob sich ein betrieblicher Zweck zuordnen lässt.

Ein Managed Switch kann dabei helfen, weil sich nachvollziehen lässt, an welchem Anschluss eine bestimmte Netzwerkadresse auftaucht. Von dort kann die Verbindung gegebenenfalls bis zum tatsächlichen Standort verfolgt werden.

Auch vorhandene Dokumentationen, Beschriftungen und die Kenntnisse der Mitarbeiter helfen bei der Zuordnung.

Erst wenn sicher geklärt ist, dass ein System nicht mehr benötigt wird, sollte über seine Entfernung entschieden werden.

Dieses vorsichtige Vorgehen ist besonders bei gewachsenen Netzwerken wichtig, in denen technische Abhängigkeiten über Jahre entstanden sein können.

Nicht jedes Gerät braucht dieselbe Detailtiefe

Eine vollständige Inventarisierung kann schnell ausufern, wenn für jedes Netzwerkgerät sämtliche technisch verfügbaren Informationen gespeichert werden sollen.

Das ist selten notwendig.

Bei einem normalen Arbeitsplatzcomputer interessieren möglicherweise Benutzer, Betriebssystem, Modell, Alter und Supportstatus. Bei einem zentralen Switch sind Standort, Modell, Verwaltungszugang, Firmwarestand und seine Rolle im Netzwerk relevanter.

Für einen Produktionsrechner kann dagegen wichtig sein, welche Maschine er steuert, welche Spezialsoftware läuft, welche Hardware benötigt wird und ob ein vollständiges Systemabbild vorhanden ist.

Die Dokumentation sollte sich deshalb nach der Bedeutung des Geräts richten.

Ein austauschbarer kleiner Drucker benötigt keine zehnseitige technische Beschreibung. Bei dem einzigen Rechner, der eine zentrale Maschine steuert, kann eine deutlich ausführlichere Dokumentation gerechtfertigt sein.

Der Wert einer Inventarisierung entsteht nicht durch möglichst viele Felder, sondern durch die Informationen, die bei Wartung, Ausfall und Planung tatsächlich benötigt werden.

Betriebssysteme und Softwarestände machen Risiken sichtbar

Bei Computern und Servern gehört der Softwarestand zu den wichtigsten Informationen.

Ein Rechner kann technisch vollkommen zuverlässig laufen und trotzdem ein Betriebssystem verwenden, das vom Hersteller keine Sicherheitsupdates mehr erhält. In einer Produktionsumgebung muss daraus nicht automatisch ein sofortiger Austausch folgen, die Situation sollte aber bekannt sein.

Eine Bestandsaufnahme zeigt deshalb, wo solche Systeme existieren und in welchem Zusammenhang sie betrieben werden.

Ein altes Windows-System in der Produktion kann beispielsweise weiterhin sinnvoll eingesetzt werden, wenn seine Netzwerkzugriffe begrenzt, seine Wiederherstellung vorbereitet und seine betriebliche Bedeutung dokumentiert sind.

Bei normalen Büroarbeitsplätzen gibt es dagegen häufig weniger Gründe, ein längst nicht mehr unterstütztes System weiterzubetreiben.

Erst die Kombination aus technischem Zustand und tatsächlicher Aufgabe ermöglicht eine vernünftige Bewertung.

Netzwerkgeräte gehören genauso ins Inventar wie Computer

Firewalls, Switches und WLAN-Zugangspunkte werden in Inventarlisten erstaunlich häufig schlechter gepflegt als Arbeitsplatzrechner, obwohl von ihnen große Teile des Unternehmens abhängen können.

Dabei sollte zumindest bekannt sein, welches Gerät wo eingesetzt wird, welche Aufgabe es erfüllt und wie es administriert werden kann.

Bei zentralen Netzwerkkomponenten sind zusätzlich Firmwarestand und vorhandene Konfigurationssicherungen relevant.

Wenn ein wichtiger Switch ausfällt, hilft es wenig, erst dann herauszufinden, welches Modell dort verbaut war und welche VLANs auf seinen Ports eingerichtet werden müssen.

Auch die Verkettung der Geräte ist wichtig. Wenn ein gesamter Gebäudeteil über einen einzigen Switch mit der Zentrale verbunden ist, besitzt dieses Gerät eine andere Bedeutung als ein kleiner Switch an einem einzelnen Schreibtisch.

Genau solche Abhängigkeiten werden in einer reinen Einkaufsliste nicht sichtbar.

Auch Geräte außerhalb der klassischen IT müssen berücksichtigt werden

In Produktionsunternehmen verschwimmt die Grenze zwischen IT und anderer Technik zunehmend.

Eine Maschine besitzt einen Netzwerkanschluss, eine Solaranlage sendet Daten an ein Portal, die Zutrittskontrolle kommuniziert über IP und Kameras übertragen ihre Bilder über das gleiche physische Netzwerk wie normale Bürocomputer.

Diese Geräte müssen nicht zwangsläufig vom klassischen IT-Dienstleister vollständig betreut werden. Sie beeinflussen das Netzwerk trotzdem und sollten deshalb zumindest bekannt sein.

Das gilt besonders dann, wenn sie auf interne Systeme zugreifen, aus dem Internet erreichbar sind oder nicht regelmäßig aktualisiert werden können.

Eine vernünftige Netzwerksegmentierung lässt sich nur aufbauen, wenn bekannt ist, welche Geräte vorhanden sind und welche Kommunikation sie tatsächlich benötigen.

Ohne diese Übersicht bleibt die Netztrennung zwangsläufig unvollständig.

Eine einmalige Inventur veraltet schneller als gedacht

Eine Bestandsaufnahme liefert einen Momentzustand. Schon wenige Wochen später kann eine neue Maschine hinzukommen, ein Rechner ersetzt oder ein weiterer WLAN-Zugangspunkt installiert werden.

Deshalb sollte die Inventarisierung nach der ersten Erfassung weiter gepflegt werden.

Ein neuer wichtiger Netzwerkbestandteil wird bei seiner Installation aufgenommen, ausgemusterte Geräte werden entfernt und wesentliche Änderungen aktualisiert.

Zusätzlich kann eine regelmäßige automatische Erkennung helfen, Abweichungen sichtbar zu machen. Wenn plötzlich ein neues Gerät im Netzwerk auftaucht, lässt sich prüfen, ob es zu einer geplanten Änderung gehört oder näher untersucht werden sollte.

Damit wird aus der einmaligen Inventur ein dauerhaftes Instrument für den Betrieb.

Die IT-Dokumentation bleibt dadurch wesentlich näher an der tatsächlichen Umgebung, als wenn sie nur alle paar Jahre vor einer größeren Prüfung vollständig neu erstellt wird.

Automatisierung kann Veränderungen früh sichtbar machen

Bei einer größeren Zahl von Geräten ist eine rein manuelle Pflege auf Dauer aufwendig. Deshalb kann es sinnvoll sein, technische Informationen regelmäßig automatisch zu erfassen.

Ein System kann beispielsweise erkennen, welche Geräte im Netzwerk aktiv sind, wann sie zuletzt gesehen wurden und ob sich grundlegende Eigenschaften verändert haben.

Solche Daten ersetzen nicht die Bewertung durch einen Menschen. Das System kann feststellen, dass ein neues Gerät vorhanden ist, weiß aber nicht automatisch, ob es sich um eine neue Produktionsmaschine, ein privates Notebook oder einen temporären Technikerrechner handelt.

Die Kombination ist deshalb besonders wertvoll: Automatisierung entdeckt Veränderungen, während ein Techniker die Bedeutung bewertet und die relevanten Informationen in die Dokumentation übernimmt.

Gerade bei einer regelmäßigen Betreuung der Infrastruktur lässt sich so schneller erkennen, was sich zwischen zwei Vor-Ort-Terminen verändert hat.

Der Geschäftsführer braucht keine Liste mit hundert IP-Adressen

Das Ergebnis einer Inventarisierung sollte für unterschiedliche Zielgruppen unterschiedlich nutzbar sein.

Ein Techniker braucht detaillierte Informationen über Geräte, Netzwerkadressen, Softwarestände und Verbindungen. Für die Geschäftsführung sind andere Fragen wichtiger.

Wie viele geschäftskritische Systeme gibt es?

Welche davon sind veraltet oder schwer ersetzbar?

Wo bestehen einzelne Ausfallpunkte?

Welche unbekannten oder nicht mehr zugeordneten Geräte wurden gefunden?

Welche Systeme erhalten keine Sicherheitsupdates mehr?

Bei welchen Geräten fehlen Sicherung, Dokumentation oder klare Zuständigkeiten?

Damit wird die technische Bestandsaufnahme zu einer Entscheidungsgrundlage und nicht zu einer langen Gerätetabelle, die nach der Erstellung niemand mehr ansieht.

Eine gute Übersicht beantwortet deshalb zwei unterschiedliche Fragen gleichzeitig: Die IT weiß detailliert, was im Netzwerk vorhanden ist, während die Geschäftsführung erkennen kann, welche dieser Geräte für das Unternehmen relevant sind und wo daraus Handlungsbedarf entsteht.