Configuration Management Databases (CMDB) wurden entwickelt, um die Konfiguration der IT-Infrastruktur zu verwalten: um zu verstehen, wie Assets voneinander abhängen, Änderungen zu planen und Systeme in großem Maßstab zu verwalten. Jahrelang galten sie in erster Linie als IT-Tool. Heute jedoch hat die CMDB eine strategischere Rolle eingenommen: Sie ist zu einer aktuellen Karte der Risiken geworden, denen das Unternehmen täglich ausgesetzt ist.
Wenn Konfigurationsdaten unvollständig oder veraltet sind, entstehen sogenannte „blinde Flecken“ – Bereiche der Infrastruktur, die weder die IT noch die Sicherheitsverantwortlichen einsehen können –, die bei einem Cyberangriff ausgenutzt werden können. Dies ist ein Thema, das sowohl IT-Verantwortliche als auch Cybersicherheits-Verantwortliche unmittelbar betrifft, die es gewohnt sind, dieselbe Infrastruktur mit unterschiedlichen Tools und auf Basis verschiedener Daten zu beobachten.
Von einem IT-Tool zu einer echten Risikokarte
In seiner traditionellen Funktion ist eine CMDB die einzige und verlässliche Informationsquelle über die IT-Infrastruktur.
Sie erfasst jede Komponente, die für die Erbringung eines Dienstes verwaltet werden muss – den sogenannten Configuration Item (CI) – Server, Anwendungen, Geräte, Dienste, Verträge – und bildet vor allem deren Beziehungen und Abhängigkeiten ab. Es ist diese relationale Intelligenz, mehr als die bloße Auflistung von Ressourcen, die eine CMDB von einem statischen Inventar unterscheidet: Wenn eine Komponente ausfällt oder sich ändert, zeigt das System sofort, welche Dienste von dem Ausfall oder der Änderung betroffen sind.
Es sei daran erinnert, dass die CMDB nicht mit dem IT Asset Management gleichzusetzen ist: Es handelt sich um zwei komplementäre, aber unterschiedliche Disziplinen. Deren Unterschiede vollständig zu verstehen, ist die Voraussetzung für den Aufbau einer wirklich zuverlässigen CMDB. Dieselben Daten, welche die Planung einer Änderung ermöglichen, erlauben es Sicherheitsteams, zu identifizieren, welche Assets exponiert sind, wo sie sich befinden und mit welchem Kritikalitätsgrad dies einhergeht.
Hier gilt ein elementares Prinzip der Informationssicherheit: Man kann nicht schützen, was man nicht kennt. Eine genaue CMDB liefert jene Sichtbarkeit auf die Assets, die jede nachfolgende Schutzmaßnahme wirksam macht.
Die blinden Flecken: Wenn die CMDB die Realität nicht widerspiegelt
Das Problem besteht darin, dass nur wenige CMDBs wirklich vollständig sind. Jede fehlende oder nicht aktualisierte Information in der CMDB kann früher oder später zu einem Sicherheitsrisiko werden. Einige konkrete Szenarien zeigen, wie ein fehlender Datensatz in der CMDB zu einem Sicherheitsrisiko werden kann.
Lücken, die zu Risiken werden
- Das erste Szenario betrifft nicht erfasste Endpoints. Ein Gerät, das nicht in der CMDB erscheint, erhält keine Patches, wird nicht überwacht und bleibt außerhalb jeder Sicherheitskontrolle: Für das Unternehmen existiert es schlicht nicht, stellt aber einen unbewachten Zugangspunkt zum Unternehmensnetzwerk dar.
- Das zweite betrifft nicht autorisierte Software: Anwendungen, die außerhalb der offiziellen Verfahren und ohne Wissen der IT installiert wurden, die niemand aktualisiert und die die Anzahl der Punkte erhöhen, über die ein System angegriffen werden kann.
- Das dritte betrifft nicht dokumentierte Integrationen: Verbindungen zwischen Systemen, die aus der Not heraus entstanden sind und nie erfasst wurden. Diese können genutzt werden, um einen Einbruch nach dem Überwinden der Perimeter-Abwehr von einem System auf ein anderes auszubreiten (die sogenannte „Lateral Movement“).
Ein emblematischer Fall betrifft die dringende Anwendung eines Sicherheits-Patches. Eine Analystin identifiziert eine kritische Schwachstelle in einem Softwarepaket, ermittelt die betroffenen Assets und übermittelt die Liste an das IT-Team zur Behebung. Wenn die Daten in der CMDB jedoch nicht der Realität entsprechen, weiß die IT nicht mit Sicherheit, wo sich diese Systeme befinden.
So stockt der Arbeitsablauf genau in dem kritischsten Zeitfenster: jenem, in dem die Schwachstelle bereits bekannt, aber noch nicht behoben ist. Eine aktualisierte CMDB beschleunigt und ordnet diesen Eingriff, während eine veraltete CMDB ihn zu einem Engpass macht.
Warum die Daten unvollständig bleiben
Die beschriebenen Informationslücken haben eine wiederkehrende Ursache: eine starre oder nur in periodischen Abständen durchgeführte Discovery. Mit der Verbreitung der Cloud, mobiler Geräte und dem Internet of Things reicht eine nur gelegentlich aktualisierte Liste nicht mehr aus.
Das Risiko besteht darin, dass Assets außerhalb der CMDB bleiben: im Internet exponierte Assets, die von Fusionen und Tochtergesellschaften übernommen wurden, persönliche Geräte, die sich mit dem Netzwerk verbinden, sowie IoT- und OT-Geräte – die operativen Technologien industrieller Anlagen, auf denen die für das Monitoring erforderlichen Software-Agenten nicht installiert werden können.
Hinzu kommt das Phänomen der Schatten-IT, insbesondere des Schatten-SaaS: Cloud-Dienste, die von einzelnen Abteilungen ohne jegliche Aufsicht abonniert werden und Schattenbereiche schaffen, die schwer zu identifizieren und noch schwerer abzusichern sind. In all diesen Fällen fehlt es in erster Linie an der Sichtbarkeit der Assets und damit an der Möglichkeit, sie überhaupt zu schützen.
Was nicht verwaltete Assets kosten
Die Zahlen bestätigen das Ausmaß des Problems. Eine von Sapio Research für Trend Micro durchgeführte Studie ergab, dass 74 % der mehr als 2.000 befragten IT- und Sicherheitsverantwortlichen Vorfälle erlitten haben, die durch unbekannte oder nicht verwaltete Assets verursacht wurden. Was die Auswirkungen betrifft: Der „Cost of a Data Breach”-Report von IBM stellte fest, dass mehr als ein Drittel der Datenschutzverletzungen „Schatten-Daten“ betrifft, also Daten, die in nicht verwalteten Systemen gespeichert sind. Solche Verstöße sind langsamer zu erkennen und einzudämmen und im Durchschnitt teurer.
Schließlich erinnert die TeamViewer-Umfrage zum Digital Friction daran, wie häufig die Bedingungen sind, die diese Risiken begünstigen: 66 % der Beschäftigten hatten im vergangenen Jahr mit erzwungenen Updates oder echten Cyberangriffen wie Malware und Ransomware zu tun.Was braucht eine sicherheitsorientierte CMDB?
Damit die CMDB zur Sicherheit des Unternehmens beitragen kann, müssen bestimmte operative Anforderungen erfüllt sein – dieselben, die eine zuverlässige CMDB von einer einfachen statischen Liste unterscheiden.
Die technischen Anforderungen
Die erste Anforderung liegt in einer kontinuierlichen Discovery. Es muss eine ständige Überprüfung der IT-Umgebung erfolgen, durch die neue Geräte, Software und Konfigurationsänderungen nahezu in Echtzeit erkannt werden können. Dies ist der einzige Weg, um mit einer sich ständig verändernden Infrastruktur Schritt zu halten und eine Asset Visibility aufrechtzuerhalten, die der tatsächlichen Situation wirklich entspricht.
Die zweite ist die automatisierte Abstimmung. Was die Discovery erkennt, muss kontinuierlich mit dem abgeglichen werden, was die CMDB erfasst hat, wobei jede Abweichung gemeldet wird. Ohne diesen systematischen Abgleich häufen sich die Abweichungen zwischen dem, was tatsächlich in der Infrastruktur vorhanden ist, und dem, was die CMDB erfasst hat, im Zeitverlauf immer mehr.
Die dritte ist die Integration mit dem Vulnerability Management. Die Verknüpfung der CMDB mit den Tools zur Erkennung von Schwachstellen ermöglicht es, sofort zu wissen, welche Assets tatsächlich betroffen sind. So lässt sich zuverlässig darüber entscheiden, was zuerst behoben werden soll – nicht auf Basis eines abstrakten technischen Scores, sondern der tatsächlichen Bedeutung des jeweiligen Assets: wie relevant es für den Betrieb ist, wer dafür verantwortlich ist und welche Dienste davon abhängen. Hier hört die CMDB auf, ein einfaches IT-Archiv zu sein, und wird zu einem operativen Cybersecurity-Tool.
Im vierten Szenario, das am meisten vernachlässigt wird, muss eine klare Verantwortung für die Dateneigentümerschaft zugewiesen werden. Jedem Typ von Configuration Item muss ein Verantwortlicher zugeordnet werden, der dessen Qualität im Laufe der Zeit sicherstellt.
Eine gemeinsame Investition für IT und Sicherheit
Die Modernisierung des ITSM – insbesondere der CMDB – bedeutet gleichzeitig, ein Projekt zur operativen Effizienz zu entwickeln und direkt in die Sicherheit des Unternehmens zu investieren. Es ist ein Thema, das IT-Verantwortliche und Cybersicherheits-Verantwortliche gleichermaßen betrifft, da beide aus demselben Datenbestand Nutzen ziehen.
Wenn sich die IT und die Sicherheit auf die gleiche Datenquelle berufen, hören sie auf damit, mit unterschiedlichen Darstellungen derselben Infrastruktur zu arbeiten. Das Sicherheitsteam verfügt so über den notwendigen Kontext (welche Assets existieren, wie kritisch sie sind, wer für sie verantwortlich ist), um Risiken effektiv zu bewerten und Prioritäten zu setzen. Die IT ihrerseits greift mit Sicherheit in die tatsächlich betroffenen Systeme ein. In beiden Fällen werden die nicht überwachten Bereiche reduziert, in denen sich Vorfälle unbemerkt entwickeln können.
Zusammenfassend lässt sich sagen: Die Genauigkeit der CMDB ist ein konkretes Maß für die Reife der Cybersicherheit. Eine aktualisierte und vollständige CMDB verbessert nicht nur die Diensterbringung: Sie zeigt, wie gut ein Unternehmen alle Geräte, Anwendungen und Verbindungen kennt, die Ziel eines möglichen Angriffs sein könnten.
Die durch eine gute CMDB gewährleistete Asset-Sichtbarkeit bleibt eine der am meisten unterschätzten Schutzmaßnahmen. Sie als bloße technische Pflichterfüllung zu behandeln bedeutet, auf eine Schutzfähigkeit zu verzichten, die bereits zu einem großen Teil innerhalb des Unternehmens vorhanden ist: eine Fähigkeit, die immer genauer, kontinuierlicher und gemeinsam genutzt werden muss.
FAQ
1. Warum ist eine CMDB für die Cybersicherheit relevant?
Weil sie die aktuelle Karte aller Assets und ihrer Abhängigkeiten liefert. Ohne diese Sichtbarkeit können Sicherheitsteams nicht mit Sicherheit wissen, was sie schützen oder wo sie Patches anwenden sollen. Nicht erfasste Assets bleiben letztlich exponiert.
2. Welche CMDB-Lücken schaffen Sicherheitsrisiken?
Vor allem nicht erfasste Endpoints, nicht autorisierte Software und nicht dokumentierte Integrationen. Jedes Element, das in der CMDB fehlt, entgeht der Überwachung sowie Updates und Kontrollen. Auf diese Weise vergrößert sich still und leise die Angriffsfläche.
3. Was unterscheidet eine CMDB auf „Security-Niveau“?
Vier Anforderungen:
- kontinuierliche statt periodische Discovery
- ein automatisierter Abgleich zwischen erkanntem Zustand und erfassten Daten
- die Integration mit dem Vulnerability Management
- eine klare Verantwortung für die Daten-Eigentümerschaft
4. CMDB und Asset Visibility: Welche Beziehung besteht zwischen beiden?
Asset Visibility ist die Fähigkeit zu wissen, welche Assets existieren und in welchem Zustand sie sich befinden. Eine genaue und kontinuierlich aktualisierte CMDB ist das Tool, das Asset Visibility ermöglicht, und daher ein Grundpfeiler sowohl des ITSM als auch der Cybersicherheit.
