Lifecycle Management von IT-Assets: Vom Onboarding bis zum sicheren Offboarding

Die Verwaltung von IT-Assets wird oft auf eine einzige, statische Frage reduziert: “Was haben wir gerade im Einsatz?” Dieser Blickwinkel ignoriert jedoch eine fundamentale Wahrheit der Informationstechnologie: Assets sind nicht statisch. Sie haben einen Lebenszyklus. Sie werden geboren (Onboarding), sie leben, verändern sich, werden aktualisiert, und irgendwann sterben sie (Offboarding).

Ein professionelles IT-Asset-Management (ITAM) muss diesen gesamten Lebenszyklus – vom ersten Tag der Beschaffung bis zur endgültigen Außerbetriebnahme – lückenlos überwachen. Besonders das letzte Kapitel, das Offboarding, wird in der Praxis sträflich vernachlässigt und entwickelt sich zunehmend zu einem der größten Sicherheits- und Compliance-Risiken in modernen Unternehmen.

In diesem Beitrag betrachten wir den Lebenszyklus eines Assets und zeigen, wie eine automatisierte CMDB (Configuration Management Database) das Lifecycle Management revolutioniert.

Phase 1: Procurement & Onboarding (Die Geburt)

Der Lebenszyklus beginnt oft schon, bevor das Asset physisch (oder virtuell) im Netzwerk auftaucht. Beim Onboarding muss sichergestellt werden, dass ein neues System vom ersten Tag an sauber inventarisiert und mit dem richtigen Kontext versehen wird.

• Wem gehört dieser neue Server? (Asset Owner)
• Welchen Geschäftsprozess unterstützt er?
• Ist das System in das Backup-Konzept integriert?
• Wird es vom zentralen Vulnerability-Scanner erfasst?

In einer Welt ohne automatisierte CMDB fallen Assets in dieser Phase oft durchs Raster. Ein Entwickler fährt eine Datenbank in AWS hoch, beginnt sofort mit der Programmierung, und das Security-Team erfährt erst Monate später von der Existenz dieses Systems – oft erst dann, wenn eine Schwachstelle gefunden wird (Shadow IT).

Eine integrierte Plattform wie Qbilon ändert das Spiel: Durch die API-Anbindung an die Cloud-Plattform erkennt das System den neuen Server im Moment seiner Entstehung, legt einen Datensatz an und kann via automatisierten Richtlinien sofort Alarm schlagen, wenn beispielsweise essenzielle Security-Agenten (EDR) auf dem neuen System fehlen.

Phase 2: Operations & Maintenance (Das Leben)

Dies ist die längste und dynamischste Phase. Das Asset verrichtet seine Arbeit. Es erhält Betriebssystem-Updates, die IP-Adresse ändert sich, es wird in eine andere Netzwerkzone verschoben oder es bekommt mehr Arbeitsspeicher zugewiesen.

Für die Einhaltung von Sicherheitsstandards (wie ISO 27001 oder BSI IT-Grundschutz) und Regularien wie NIS-2 ist es entscheidend, dass jede einzelne dieser Veränderungen historisiert wird. Ein Auditor wird nicht nur fragen, ob der Server heute gepatcht ist, sondern ob er im letzten Jahr zeitnah gepatcht wurde, als eine kritische Zero-Day-Schwachstelle (wie damals in der Log4j-Bibliothek) bekannt wurde.

Das manuelle Pflegen dieser Phase in Excel ist ein aussichtsloser Kampf gegen Windmühlen. Nur eine “Time Machine”-Funktion, die den Zustand der IT-Landschaft kontinuierlich fotografiert und speichert, kann das Leben eines Assets verlässlich dokumentieren.

Phase 3: Offboarding & Decommissioning (Der riskante Tod)

Hier passieren in der Praxis die schwerwiegendsten Fehler. Ein Server wird nicht mehr benötigt. Der Administrator fährt das Betriebssystem herunter oder löscht die virtuelle Maschine im Hypervisor. Damit ist der Fall aus technischer Sicht oft erledigt. Aus Sicht des Asset-Managements und der Cybersicherheit fangen die Probleme jetzt jedoch erst an.

Wenn ein Asset nicht sauber und dokumentiert “offboarded” wird, entstehen sogenannte Orphaned Assets oder “Zombie-Ressourcen”.

• Finanzielles Risiko: Die virtuelle Maschine wurde gelöscht, aber zugehörige Cloud-Speicher (z. B. zusätzliche “EBS Volumes” oder “Snapshots” in AWS) wurden nicht bereinigt. Das Unternehmen zahlt weiter für ungenutzten Speicherplatz.
• Sicherheitsrisiko: Eine Firewall-Regel, die den (nun gelöschten) Server berechtigt hat, durch das Netzwerk zu kommunizieren, bleibt bestehen. Die IP-Adresse wird an einen neuen, vielleicht weniger geschützten Dienst vergeben – und plötzlich erbt dieser Dienst ungewollt weitreichende Netzwerkprivilegien.
• Compliance-Risiko: Bei Audits fehlen die Nachweise darüber, wer veranlasst hat, dass ein System mit sensiblen Kundendaten gelöscht wurde, und ob die Daten DSGVO-konform vernichtet (“gewiped”) wurden.

Automatisierung schließt den Kreis

Ein ganzheitliches Lifecycle Management ist ohne eine zentrale, automatisierte Datenplattform schlichtweg nicht realisierbar. Die Plattform orchestriert nicht nur das Onboarding und dokumentiert die operative Phase, sie ist vor allem beim Offboarding der entscheidende Sicherheitsgurt.

Wenn ein Asset aus der Infrastruktur entfernt wird, erkennt die automatisierte CMDB das sofort. Sie kann Workflows anstoßen: Sie weist das Netzwerkteam an, die alten Firewall-Regeln zu bereinigen, erinnert das FinOps-Team daran, die Software-Lizenzen freizugeben und dokumentiert für den nächsten Auditor zeitgestempelt, dass das System am 12. Mai um 14:00 Uhr offiziell und nach allen Regeln der Kunst außer Betrieb genommen wurde.

Nur wer den gesamten Lebenszyklus seiner IT-Assets – von der Wiege bis zur Bahre – transparent und automatisiert steuert, hat seine Infrastruktur wirklich im Griff.