IT regelmäßig prüfen: Was eine sinnvolle technische Bestandsaufnahme umfassen sollte

Die IT von heute ist nicht mehr die IT, die vor drei Jahren eingerichtet wurde

Ein Unternehmen kann seine Infrastruktur sorgfältig planen, dokumentieren und technisch sauber aufbauen, trotzdem beginnt sich dieser Zustand bereits mit der nächsten Änderung wieder zu verändern. Ein neuer Mitarbeiter bekommt einen Arbeitsplatz, eine Maschine wird angeschlossen, ein zusätzlicher Cloud-Dienst eingeführt oder ein Hersteller richtet einen Fernwartungszugang ein.

Jede einzelne Änderung ist zunächst überschaubar, in ihrer Summe entsteht jedoch nach einigen Jahren häufig eine Umgebung, die deutlich vom ursprünglich geplanten Zustand abweicht.

Genau deshalb reicht es nicht, eine IT einmal sauber aufzubauen und anschließend nur noch auf Störungen zu reagieren. In regelmäßigen Abständen sollte geprüft werden, was sich verändert hat, welche bekannten Risiken noch bestehen und ob die vorhandenen Schutz- und Sicherungsmaßnahmen weiterhin zu den tatsächlichen Anforderungen des Unternehmens passen.

Eine solche Prüfung muss keine vollständige Neuplanung der Infrastruktur sein. Viel wichtiger ist ein wiederkehrender Blick auf die Bereiche, bei denen Veränderungen unbemerkt zu größeren Abhängigkeiten oder Risiken führen können.

Die Bestandsaufnahme beginnt mit der Frage, was tatsächlich vorhanden ist

Der erste Schritt ist ein Abgleich zwischen Dokumentation und Realität.

Welche Server, Computer, Switches, WLAN-Zugangspunkte, Datenspeicher, Drucker, Kameras und Produktionssysteme sind aktuell vorhanden? Welche Geräte sind neu hinzugekommen, welche wurden ersetzt und welche sollten eigentlich längst außer Betrieb sein?

Eine technische Erfassung der Geräte im Firmennetz kann dabei viele Informationen automatisiert liefern. Sie zeigt beispielsweise neue Systeme, geänderte Netzwerkadressen oder Geräte, die bisher nicht dokumentiert wurden.

Trotzdem bleibt der Blick vor Ort wichtig, weil längst nicht jede technische Veränderung aus einem Netzwerkscan hervorgeht. Ein zusätzlicher Switch unter einem Arbeitsplatz, ein neuer Rechner an einer Maschine oder ein umgebauter Serverschrank können betriebliche Bedeutung haben, ohne dass ihre Funktion automatisch erkennbar ist.

Die regelmäßige Bestandsaufnahme verbindet deshalb technische Erkennung mit der Frage, welche Rolle die gefundenen Systeme tatsächlich spielen.

Kritische Abhängigkeiten können sich unbemerkt verändern

Ein System, das ursprünglich nebensächlich war, kann mit der Zeit immer wichtiger werden.

Auf einem kleinen Server läuft zunächst nur eine interne Anwendung, später kommen weitere Dienste hinzu und irgendwann hängt ein erheblicher Teil des Betriebs von diesem Gerät ab. Ein Switch versorgt zunächst zwei Arbeitsplätze und nach mehreren Erweiterungen plötzlich eine ganze Produktionshalle.

Solche Veränderungen werden im Alltag häufig nicht bewusst wahrgenommen.

Bei der regelmäßigen Prüfung sollte deshalb betrachtet werden, welche einzelnen Systeme inzwischen zu kritischen Ausfallpunkten geworden sind.

Die Frage wie abhängig das Unternehmen von einzelnen Servern oder anderen Komponenten ist sollte nicht nur einmal gestellt werden. Mit jeder Erweiterung kann sich die Antwort verändern.

Daraus folgt nicht automatisch, dass jede wichtige Komponente redundant vorhanden sein muss. Es sollte aber bekannt sein, welche Folgen ihr Ausfall hätte und wie schnell ein Ersatz oder eine Wiederherstellung möglich wäre.

Die Datensicherung muss regelmäßig neu bewertet werden

Auch ein gut geplantes Backup kann mit der Zeit unvollständig werden.

Ein neuer Server wird eingerichtet, eine Anwendung wandert auf einen anderen Speicherort oder wichtige Daten werden plötzlich in einem Cloud-Dienst abgelegt. Wenn das Sicherungskonzept nicht entsprechend angepasst wird, kann eine Lücke entstehen, obwohl die vorhandene Backup-Software weiterhin jeden Morgen „erfolgreich“ meldet.

Bei einer regelmäßigen Prüfung sollte deshalb nicht nur kontrolliert werden, ob Sicherungsläufe technisch erfolgreich waren.

Ebenso wichtig ist die Frage, ob weiterhin alle geschäftskritischen Systeme enthalten sind, ob die Aufbewahrungszeiten passen und ob mindestens eine Sicherung einen größeren lokalen Schaden überstehen würde.

Ein belastbares Backup-Konzept verändert sich mit der Infrastruktur und muss deshalb gelegentlich gemeinsam mit ihr überprüft werden.

Besonders aussagekräftig bleibt der praktische Wiederherstellungstest, weil er zeigt, ob die vorhandenen Sicherungen tatsächlich nutzbar sind und wie lange der Weg zurück zu einem funktionsfähigen System dauert.

Administratorrechte und Zugänge wachsen mit der Zeit

Berechtigungen werden häufig hinzugefügt, aber deutlich seltener wieder entfernt.

Ein Mitarbeiter übernimmt eine zusätzliche Aufgabe, ein externer Techniker bekommt Zugriff für ein Projekt und ein Maschinenhersteller erhält einen Fernwartungszugang. Sobald der unmittelbare Anlass vorbei ist, bleiben die Zugänge oft bestehen, weil sie im Alltag nicht stören.

Nach einigen Jahren können dadurch deutlich mehr Benutzer und externe Stellen weitreichende Rechte besitzen, als eigentlich notwendig wären.

Eine regelmäßige Prüfung sollte deshalb auch die Administratorrechte im Unternehmen betrachten. Wer besitzt aktuell privilegierte Konten, wofür werden sie benötigt und gehören die jeweiligen Personen überhaupt noch zu den Berechtigten?

Das gleiche gilt für externe Fernwartung und VPN-Zugänge.

Ein früherer Mitarbeiter oder ein Dienstleister, mit dem seit Jahren nicht mehr zusammengearbeitet wird, sollte keinen Zugang allein deshalb behalten, weil niemand an dessen Konto gedacht hat.

Firewallregeln und Portfreigaben veralten ebenfalls

Firewallkonfigurationen wachsen ähnlich wie Benutzerrechte.

Eine Anwendung benötigt eine zusätzliche Verbindung, ein Hersteller verlangt Zugriff für eine Wartung und für ein Projekt wird kurzfristig ein interner Dienst von außen erreichbar gemacht.

Solche Regeln funktionieren anschließend häufig jahrelang, auch wenn der ursprüngliche Anlass längst weggefallen ist.

Bei der regelmäßigen Kontrolle sollten deshalb insbesondere Portfreigaben und externe Fernzugriffe überprüft werden.

Für jede wichtige Freigabe sollte sich erklären lassen, welchem Zweck sie heute noch dient und welches System dahintersteht.

Wenn niemand mehr weiß, warum ein bestimmter Dienst aus dem Internet erreichbar ist, ist das ein guter Anlass, die ursprüngliche Abhängigkeit zu untersuchen.

Dabei sollte eine unbekannte Regel nicht unüberlegt gelöscht werden. Gerade in Produktionsumgebungen können alte Verbindungen noch immer relevant sein. Zuerst wird geklärt, anschließend entschieden.

Auch die Netzwerkstruktur verändert sich

Neue Geräte werden häufig dort angeschlossen, wo gerade ein freier Port vorhanden ist. Dadurch kann eine ursprünglich saubere Trennung zwischen Büro, Produktion und anderen Systemen langsam wieder aufgeweicht werden.

Eine Kamera landet im normalen Büronetz, weil dort eine Netzwerkdose frei war. Eine neue Maschine wird angeschlossen, ohne dass geprüft wird, welcher Netzwerkbereich dafür vorgesehen ist. Ein kleiner zusätzlicher Switch verbindet Geräte, die ursprünglich getrennt betrieben werden sollten.

Die regelmäßige Kontrolle sollte deshalb prüfen, ob die Netzwerksegmentierung weiterhin dem tatsächlichen Aufbau entspricht.

Dabei geht es nicht darum, jedes Gerät ständig neu zu bewerten. Interessant sind vor allem Veränderungen und Ausnahmen.

Wenn ein System bewusst außerhalb der üblichen Struktur betrieben wird, sollte bekannt sein, warum.

Veraltete Systeme müssen sichtbar bleiben

Betriebssysteme, Netzwerkgeräte und Anwendungen erreichen irgendwann das Ende ihres Herstellersupports.

Eine regelmäßige Bestandsaufnahme sollte deshalb erkennen lassen, welche Systeme keine Sicherheitsaktualisierungen mehr erhalten oder deren Herstellerunterstützung in absehbarer Zeit endet.

Daraus folgt nicht automatisch ein Austausch.

Ein normaler Büro-PC mit einem nicht mehr unterstützten Betriebssystem lässt sich häufig vergleichsweise einfach modernisieren. Bei einer alten Windows-Steuerung in der Produktion kann dagegen eine Isolation und vorbereitete Wiederherstellung wirtschaftlich sinnvoller sein.

Entscheidend ist, dass solche Systeme bekannt bleiben und ihre ursprüngliche Bewertung gelegentlich erneut betrachtet wird.

Vielleicht war ein Austausch vor drei Jahren unverhältnismäßig teuer, während der Hersteller inzwischen eine modernisierte Steuerung anbietet. Genauso kann ein zunächst unkritischer Alt-PC inzwischen durch zusätzliche Netzwerkverbindungen wesentlich relevanter geworden sein.

Der Serverraum gehört ebenfalls zur regelmäßigen Prüfung

Nicht alle Veränderungen finden in Software statt.

Im Serverraum werden Kartons abgestellt, eine USV zeigt seit Monaten eine Warnmeldung oder ein neuer Serverschrank erzeugt zusätzliche Wärme. Vielleicht wurde bei einem Umbau eine Wasserleitung in der Nähe verlegt oder eine Tür bleibt inzwischen dauerhaft offen, weil der Raum zu warm wird.

Solche Entwicklungen sind aus einer Fernwartung heraus kaum sichtbar.

Deshalb gehört auch der physische Zustand des Serverraums zur regelmäßigen Prüfung.

Temperatur, Stromversorgung, Zustand der USV, Zugänglichkeit, Verkabelung und die unmittelbare Umgebung lassen sich bei einem kurzen Rundgang beurteilen und liefern oft Hinweise auf Probleme, die in keinem Monitoring erscheinen.

Genau deshalb ist die Kombination aus automatischer Überwachung und regelmäßiger Vor-Ort-Betreuung sinnvoll.

Die Dokumentation muss mit der Realität Schritt halten

Eine Netzwerkzeichnung oder Serverübersicht ist nur so wertvoll wie ihre Aktualität.

Wenn mehrere Jahre lang Änderungen vorgenommen wurden, ohne die Dokumentation anzupassen, entsteht irgendwann eine zweite Version der Infrastruktur: die auf Papier und die tatsächlich vorhandene.

Bei jeder regelmäßigen Prüfung sollte deshalb zumindest stichprobenartig kontrolliert werden, ob die IT-Dokumentation noch zum realen Zustand passt.

Dabei fallen häufig nicht nur veraltete Einträge auf, sondern auch fehlende Informationen über Systeme, die irgendwann nebenbei hinzugekommen sind.

Es ist wesentlich einfacher, solche Abweichungen regelmäßig in kleinen Schritten zu korrigieren, als nach fünf Jahren die komplette Infrastruktur neu dokumentieren zu müssen.

Nicht jede Prüfung muss gleich umfangreich sein

Eine regelmäßige Kontrolle bedeutet nicht, jedes Quartal eine vollständige Infrastrukturanalyse von Grund auf durchzuführen.

Viele Bereiche können automatisch überwacht werden, während andere bei regelmäßigen Vor-Ort-Terminen betrachtet werden. Eine ausführlichere Bestandsaufnahme kann dann in größeren Abständen oder nach wesentlichen Veränderungen erfolgen.

Wie oft welcher Bereich geprüft werden sollte, hängt von der jeweiligen Umgebung ab.

Ein Produktionsunternehmen mit mehreren Maschinen, Servern und häufigen Änderungen benötigt einen anderen Rhythmus als ein kleines Büro mit zehn weitgehend unveränderten Arbeitsplätzen.

Wichtig ist, dass es überhaupt einen geplanten Rhythmus gibt und die Prüfung nicht erst stattfindet, wenn bereits ein größerer Ausfall eingetreten ist.

Aus Auffälligkeiten müssen nachvollziehbare Entscheidungen entstehen

Eine technische Prüfung sollte nicht jedes Mal eine neue Liste mit zwanzig offenen Punkten erzeugen, die anschließend niemand weiterverfolgt.

Gefundene Auffälligkeiten müssen bewertet werden.

Ein fehlgeschlagenes Backup kann sofortige Maßnahmen erfordern. Eine nicht mehr benötigte Portfreigabe lässt sich vielleicht kurzfristig entfernen. Ein alter Switch kann noch mehrere Jahre weiterlaufen, während seine Ablösung bei einer ohnehin geplanten Netzwerkerweiterung berücksichtigt wird.

Die Priorisierung solcher Maßnahmen sorgt dafür, dass nicht jede technische Unschönheit zur dringenden Investition erklärt wird.

Ebenso wichtig ist, bereits bekannte und bewusst akzeptierte Risiken nicht bei jeder Prüfung erneut als überraschende Entdeckung zu behandeln. Wenn eine alte Maschinensteuerung dokumentiert, isoliert und abgesichert ist, kann ihr weiterer Betrieb eine bewusste Entscheidung sein.

Regelmäßige Prüfungen verhindern vor allem Überraschungen

Der eigentliche Wert einer wiederkehrenden Bestandsaufnahme liegt weniger darin, ständig neue Probleme zu finden.

Sie sorgt dafür, dass Veränderungen sichtbar bleiben, bevor aus ihnen unbekannte Abhängigkeiten entstehen.

Ein neues Gerät wird dokumentiert, ein alter Fernzugang fällt auf, eine Datensicherung wird an eine neue Anwendung angepasst und ein Server, dessen Bedeutung inzwischen deutlich gestiegen ist, bekommt einen passenden Ausfallplan.

Dadurch bleibt die IT nicht automatisch perfekt, aber sie bleibt beherrschbar.

Für die Geschäftsführung ist das die entscheidende Wirkung: Sie muss nicht selbst wissen, worauf bei Servern, Backups, Netzwerksegmentierung oder Administratorrechten zu achten ist. Sie sollte sich darauf verlassen können, dass diese Bereiche regelmäßig betrachtet werden und relevante Veränderungen nicht erst auffallen, wenn sie bereits den Geschäftsbetrieb beeinträchtigen.