Hardware Asset Management: Geräteinventar als Grundlage für Kontrolle und Nachweise

Hardware Asset Management (HAM) ist die kontrollierte Führung aller physischen IT-Geräte einer Organisation über ihren Lebenszyklus, mit eindeutiger Kennung, verantwortlicher Stelle, Standort, Status und lückenloser Historie von der Beschaffung bis zur nachgewiesenen Löschung und Entsorgung. Dazu zählen Endgeräte ebenso wie Server, Speichersysteme, Netzwerk- und Sicherheitskomponenten.

Aus Governance-Sicht ist das Inventar mehr als eine Verwaltungsliste. Es ist die Voraussetzung dafür, Sicherheitsmassnahmen gezielt anzuwenden und gegenüber Revision, Aufsicht oder Kunden zu belegen, dass kein Gerät mit schützenswerten Daten unkontrolliert im Umlauf ist. Die FINMA etwa verlangt von Banken ein Inventar der IKT-Bestandteile, das zeitnah verfügbar ist und regelmässig auf Vollständigkeit und Richtigkeit geprüft wird.

Das Wichtigste in Kürze

• Verantwortung: Jedes Gerät hat eine verantwortliche Stelle und eine nutzende Person. Ohne diese Zuordnung lassen sich weder Rückgabe noch Löschung durchsetzen.
• Nachvollziehbarkeit: Statuswechsel, Übergaben und Ausmusterungen sind mit Zeitpunkt, Person und Anlass dokumentiert.
• Rechtsrahmen: DSG und Datenschutzverordnung (Datenträgerkontrolle), FINMA-RS 2023/1 für Banken, ISO/IEC 27001 Anhang A und die VREG für die Rückgabe von Altgeräten.
• Kritischer Moment: das Lebensende eines Geräts. Löschung und Übergabe an den Entsorger brauchen einen Nachweis je Seriennummer.

Stand: November 2026 · Fachlich abgeglichen mit FINMA-RS 2023/1, DSG, DSV und VREG (Fedlex) sowie NIST SP 800-88 Rev. 2 (Quellen am Ende des Artikels)

Datenmodell, Verantwortung und Historie

Ein prüffähiges Hardwareinventar beantwortet zu jedem Gerät drei Fragen: Was ist es, wer ist dafür verantwortlich, und was ist seit der Beschaffung damit geschehen? Daraus leitet sich das Datenmodell ab.

Pflichtangaben je Gerät

• Identität: Inventarnummer, Seriennummer, Modell, Gerätetyp. Die Inventarnummer ist die führende Kennung, die auch in Buchhaltung und Verträgen verwendet wird.
• Verantwortung: Asset-Owner, meist eine Organisationseinheit, dazu nutzende Person und Kostenstelle.
• Ort: Standort, bei Servern zusätzlich Rechenzentrum und Rack, bei externen Dienstleistern deren Lager oder Werkstatt.
• Schutzbedarf: ob das Gerät Personendaten oder vertrauliche Geschäftsdaten speichert und ob es verschlüsselt ist.
• Status und Historie: aktueller Status sowie jede Änderung mit Zeitpunkt, Person und Anlass, etwa der Ticket- oder Change-Nummer.

Wer welche Angaben pflegen darf

Für die Nachvollziehbarkeit ist entscheidend, dass nicht jede Person jedes Feld ändern kann. Kaufmännische Angaben verantwortet der Einkauf, technische Daten stammen aus Inventarisierungs- oder Geräteverwaltungswerkzeugen, Zuordnungen entstehen bei Übergabe und Rücknahme. Ein Rollenkonzept, das diese Zuständigkeiten abbildet, verhindert stille Korrekturen und macht Abweichungen sichtbar.

Ein Gerät im Status «ausgemustert» sollte zudem nur über einen definierten Ablauf in den Status «entsorgt» wechseln können, also mit Löschnachweis und Freigabe.

Anforderungen aus Recht und Normen

Ein eigenes Gesetz für das Hardware Asset Management gibt es in der Schweiz nicht. Mehrere Regelwerke setzen ein verlässliches Geräteinventar aber voraus oder verlangen es ausdrücklich. Welche davon gelten, hängt von Branche, Datenarten und Zertifizierungen ab.

Die FINMA-Vorgabe ist die konkreteste: Das Inventar umfasst Hardware- und Software-Komponenten sowie Ablageorte kritischer Daten und berücksichtigt Abhängigkeiten innerhalb des Instituts und Schnittstellen zu wesentlichen externen Dienstleistern. Auch Organisationen ausserhalb der Finanzbranche können diese Formulierung als Massstab nutzen, wenn sie ihr Inventar gegenüber Kunden oder Prüfern begründen müssen.

Art. 3 Abs. 2 Bst. a DSV verlangt Massnahmen, damit unbefugte Personen Datenträger nicht lesen, kopieren, verändern, verschieben, löschen oder vernichten können. Wer nicht weiss, wo sich seine Datenträger befinden, kann diese Kontrolle kaum belegen.

HAM im Verhältnis zu SAM und CMDB

Das Hardwareinventar ist eine von drei Sichten. Das Software Asset Management weist die Lizenzkonformität nach, die CMDB die Abhängigkeiten zwischen Komponenten und Services. Für Prüfungen ist wichtig, dass alle drei Bestände über dieselbe Kennung verbunden sind. Nur so lässt sich etwa zeigen, auf welchem Server eine kritische Anwendung läuft und wann dieser Server zuletzt gewartet wurde.

Kontrollen im Lebenszyklus

Jede Phase im Leben eines Geräts braucht einen Kontrollpunkt. Fehlt er, entstehen Lücken, die bei einer Prüfung meist erst rückwirkend auffallen.

• Beschaffung: Freigabe nach Kompetenzordnung, Erfassung mit Seriennummer schon beim Wareneingang und nicht erst bei der Ausgabe.
• Übergabe: dokumentierte Zuordnung zur nutzenden Person, bei Geräten mit vertraulichen Daten mit Bestätigung der Nutzungsregeln.
• Betrieb: Verschlüsselung und Geräteverwaltung als Voraussetzung für den Status «im Einsatz». Verlust oder Diebstahl wird als Sicherheitsvorfall behandelt.
• Rücknahme: fester Schritt im Austrittsprozess, mit Abgleich gegen die Liste der zugeordneten Geräte.
• Ausmusterung: Freigabe nach dem Vier-Augen-Prinzip, Löschung nach festgelegtem Verfahren, Nachweis je Seriennummer.
• Entsorgung: Rückgabe an Händler, Hersteller oder Entsorgungsunternehmen gemäss VREG, mit Übergabeprotokoll.

Beispiel: Ausmusterung bei einer Regionalbank

Angenommen, eine Regionalbank ersetzt in ihren Geschäftsstellen 120 Arbeitsplatzrechner. Die alten Geräte gehen an einen externen Entsorger. Die Interne Revision möchte später belegt sehen, dass kein Gerät mit Kundendaten das Haus ungelöscht verlassen hat.

Belegen lässt sich das nur mit einer geschlossenen Kette: Die Liste der auszumusternden Seriennummern stammt aus dem Inventar, die Ausmusterung ist von zwei Personen freigegeben, die Löschung ist je Gerät protokolliert, und das Übergabeprotokoll des Entsorgers nennt dieselben Seriennummern. Fehlt ein Gerät auf dem Protokoll, ist das ein Befund, der sofort geklärt werden muss und nicht erst bei der Jahresprüfung.

Bearbeitet der Entsorger dabei Personendaten, etwa bei der Vernichtung von Datenträgern, gelten die Regeln zur Bearbeitung durch Auftragsbearbeiter nach Art. 9 DSG. Löschverfahren, Nachweispflicht und Kontrollrechte gehören deshalb in den Vertrag.

Wo ky2help^® die Kontrollen stützt

Der Funktionsumfang von ky2help^® weist automatische Historisierung, ein integriertes Daten-Audit und revisionssichere Dokumentation aus. Rücknahme- und Ausmusterungsabläufe lassen sich im Prozessdesigner ohne Programmierung als Workflow abbilden. Betrieben wird ky2help^® als SaaS mit eigener Instanz in einem Schweizer Rechenzentrum oder On-Premises.

Lösungen für Banken

Risiken und Massnahmen nach Priorität

Nicht jede Lücke im Inventar wiegt gleich schwer. Für die Planung hilft eine Reihenfolge nach Auswirkung auf Vertraulichkeit und Nachweisbarkeit.

1. Datentragende Geräte ohne Zuordnung: Notebooks, Smartphones und Wechseldatenträger, deren nutzende Person unbekannt ist. Massnahme: Abgleich mit der Geräteverwaltung und gezielte Nachforschung.
2. Ausmusterung ohne Löschnachweis: Geräte im Lager oder beim Entsorger, deren Löschung nicht dokumentiert ist. Massnahme: Status «entsorgt» nur mit Nachweis. NIST SP 800-88 Rev. 2 unterscheidet dafür die Methoden Clear, Purge und Destroy und empfiehlt eine Bestätigung je Datenträger.
3. Offene Rückgaben nach Austritten: Massnahme: Rücknahme als Pflichtschritt im Austrittsprozess, Eskalation nach festgelegter Frist.
4. Geräte ohne Herstellersupport: Hardware oder Betriebssysteme ohne Sicherheitsupdates. Massnahme: Lebenszyklusdaten im Inventar und Ersatzplanung vor dem Supportende.
5. Abweichungen zwischen Inventar und Buchhaltung: Massnahme: Abstimmung über die Inventarnummer, mindestens einmal im Jahr.

Datenhaltung des Inventars

Das Inventar selbst enthält Personendaten wie Namen, Arbeitsorte und teilweise Telefonnummern und fällt damit unter das DSG. Wo die Daten gespeichert sind, wer darauf zugreift und wie lange Historien aufbewahrt werden, sollte im Rollenkonzept und, soweit eine Pflicht besteht, im Verzeichnis der Bearbeitungstätigkeiten nach Art. 12 DSG festgehalten sein. Wer das Inventar in der Cloud betreibt, sollte den Speicherort kennen. Die Abwägung beschreibt der Beitrag Cloud oder On-Premises.

Kennzahlen für Revision und Geschäftsleitung

• Anteil der Geräte mit vollständigen Pflichtangaben
• Abweichungsquote bei der Stichprobeninventur
• Anzahl offener Rückgaben über der festgelegten Frist
• Anteil ausgemusterter Geräte mit Löschnachweis

Häufige Fragen zum Hardware Asset Management

Was ist Hardware Asset Management?

Hardware Asset Management (HAM) ist die kontrollierte Führung aller physischen IT-Geräte einer Organisation über ihren Lebenszyklus. Zu jedem Gerät sind Kennung, verantwortliche Stelle, Standort, Status und die Historie von der Beschaffung bis zur nachgewiesenen Löschung und Entsorgung dokumentiert.

Verlangt die FINMA ein Hardwareinventar?

Ja, für Banken und die weiteren Adressaten des FINMA-Rundschreibens 2023/1. Es verlangt ein oder mehrere Inventare der IKT-Bestandteile mit Hardware- und Software-Komponenten sowie Ablageorten kritischer Daten. Das Inventar muss zeitnah verfügbar sein und regelmässig auf Vollständigkeit und Richtigkeit überprüft werden.

Was hat das Datenschutzgesetz mit dem Geräteinventar zu tun?

Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Die Datenschutzverordnung nennt dazu unter anderem die Datenträgerkontrolle: Unbefugte dürfen Datenträger weder lesen noch kopieren, verändern, verschieben, löschen oder vernichten können. Ohne Inventar lässt sich diese Kontrolle kaum nachweisen.

Wie werden Daten auf ausgemusterten Geräten sicher gelöscht?

Nach einem festgelegten Verfahren, das zum Datenträger und zum Schutzbedarf passt. NIST SP 800-88 Rev. 2 unterscheidet Clear, Purge und Destroy. Bei verschlüsselten Datenträgern kann unter bestimmten Voraussetzungen das Vernichten der Schlüssel genügen. Für jedes Gerät sollte ein Nachweis mit Seriennummer vorliegen.

Wohin gehören Altgeräte in der Schweiz?

Nach Art. 5 VREG muss, wer sich eines Geräts entledigen will, es einem Händler, einem Hersteller oder einem Entsorgungsunternehmen zurückgeben. Zulässig ist auch die Rückgabe an öffentliche Sammelstellen, die diese Dienstleistung anbieten. Vor der Übergabe sind die Daten nachweislich zu löschen.

Wie unterstützt ky2help® ein nachvollziehbares Hardwareinventar?

ky2help^® umfasst Asset- und Configuration Management, automatische Historisierung und ein integriertes Daten-Audit. Abläufe für Übergabe, Rücknahme und Ausmusterung lassen sich im Prozessdesigner ohne Programmierung abbilden. Der Betrieb ist als SaaS in einem Schweizer Rechenzentrum oder On-Premises möglich. Mehr dazu in einer Live-Demo.

Quellen und weiterführende Artikel

Quellen

• FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» (Abschnitt IKT-Betrieb, Inventar)
• Fedlex: Bundesgesetz über den Datenschutz (DSG), Art. 8, 9 und 12
• Fedlex: Datenschutzverordnung (DSV), Art. 3
• Fedlex: Verordnung über die Rückgabe, die Rücknahme und die Entsorgung elektrischer und elektronischer Geräte (VREG), Art. 5
• NIST: SP 800-88 Rev. 2, Guidelines for Media Sanitization
• PeopleCert: ITIL^® 4 Foundation (Practice IT Asset Management)
• KYBERNA: Funktionsumfang von ky2help^® (Historisierung, Daten-Audit, Revisionssicherheit)

Weiterlesen im Glossar und in der Wissenswelt

• ISO 27001 und CMDB
• Software Asset Management und IT-Asset-Management (ITAM)
• Change Management
• ky2help^® für Finanzdienstleistungen und Banken
• Cloud oder On-Premises