Was gilt als „Netzwerk-Asset“ unter EN 18031?

24. Juli 2026 · Lesedauer: 8-10 Minuten

Sobald Hersteller das Wort „Asset“ hören, denken viele zuerst an Daten: an gespeicherte Nutzerinformationen, an Passwörter, an Firmware. Unter EN 18031 ist der Begriff Netzwerk-Asset aber deutlich enger und zugleich überraschend anders gefasst. Wer ihn falsch versteht, dokumentiert entweder die falschen Dinge oder übersieht genau das, worauf die Norm eigentlich zielt. Dieser Beitrag klärt, was ein Netzwerk-Asset ist, was es nicht ist und warum die saubere Identifikation am Anfang jeder Bewertung steht.

Kurz gesagt

Ein Netzwerk-Asset ist nach EN 18031-1 keine gespeicherte Datei und keine Nutzerinformation, sondern eine der folgenden drei Dinge (Definition 3.23):

• eine Netzwerkfunktion des Geräts
  also die Fähigkeit, Netzwerkressourcen selbst bereitzustellen oder zu nutzen,
• eine sensitive Netzwerkfunktions-Konfiguration
  Konfigurationsdaten, deren Manipulation dem Netz oder seiner Funktion schaden kann,
• eine confidential Netzwerkfunktions-Konfiguration
  Konfigurationsdaten, deren Offenlegung dem Netz oder seiner Funktion schaden kann.

Anders gesagt: Ein Netzwerk-Asset ist die Netzwerkfähigkeit Ihres Geräts selbst sowie die Konfiguration, die diese Fähigkeit steuert. Es geht um Funktionen und ihre Einstellungen, nicht in erster Linie um die Daten, die durch das Gerät fließen.

Die drei Bausteine im Detail

Um das Konzept zu greifen, hilft ein Blick auf die zugrunde liegenden Definitionen der Norm.

Eine Netzwerkfunktion (3.25) ist die Fähigkeit des Geräts, Netzwerkressourcen selbstständig bereitzustellen oder zu nutzen. Die Norm nennt als Beispiele einen Netzwerk-Stack wie eine TCP/IP-Implementierung sowie einen DNS-Dienst, der anderen Geräten die Namensauflösung anbietet. Das ist der Kern: eine funktionierende, aktive Fähigkeit des Geräts im Netz.

Eine Netzwerkfunktions-Konfiguration (3.26) sind die Daten, die das Verhalten dieser Netzwerkfunktion festlegen. Man kann sich das als die Stellschrauben einer Funktion vorstellen: Firewall-Regeln, Routing-Einträge, Portfreigaben, DHCP- oder DNS-Einstellungen. Diese Konfiguration wird dann zum schützenswerten Asset, wenn eines von zwei Dingen zutrifft:

• sensitiv, wenn ihre Veränderung Schaden anrichten kann (Integrität),
• confidential, wenn ihre Preisgabe Schaden anrichten kann (Vertraulichkeit).

Der Unterschied zwischen „sensitiv“ und „confidential“ ist deshalb keine Feinheit, sondern bestimmt, gegen welchen Angriff die Konfiguration überhaupt geschützt werden muss. Eine Firewall-Regel, die sich unbefugt umschreiben lässt, ist ein Integritätsproblem (sensitiv). Ein hinterlegtes Netzwerk-Credential, dessen Auslesen den Zugang öffnet, ist ein Vertraulichkeitsproblem (confidential). Manche Konfigurationen sind beides.

Netzwerk-Asset vs. Security-Asset

In der Praxis werden Netzwerk-Assets und Security-Assets am häufigsten verwechselt. Beide sind Ziele, gegen die die Anforderungen der Norm angewendet werden, sie zielen aber auf Unterschiedliches:

• Ein Netzwerk-Asset ist die Netzwerkfähigkeit und ihre Konfiguration, also das, was geschützt werden soll.
• Ein Security-Asset (3.35) ist das schützende Werkzeug: ein confidential oder sensitiver Sicherheitsparameter (etwa ein kryptografischer Schlüssel, ein Passwort, ein Zugriffsrecht) oder eine Sicherheitsfunktion selbst.

Die Norm bringt es in Anhang A auf den Punkt: Eine Sicherheitsfunktion, zum Beispiel ein Access-Control-Mechanismus, dient dazu, Netzwerk-Assets oder andere Security-Assets zu schützen. Das Access-Control-System ist also das Security-Asset, die Netzwerkfunktion dahinter ist das Netzwerk-Asset. Wer diese Rollen vertauscht, ordnet Schutzmechanismus und Schutzziel falsch zu und baut die spätere Argumentation im Entscheidungsbaum auf einer schiefen Grundlage auf.

Geltungsbereich: nur EN 18031-1

Der Begriff Netzwerk-Asset ist an das Schutzziel Netzwerkschutz gebunden und damit an EN 18031-1 (RED Artikel 3.3 (d)). Die Normenreihe kennt insgesamt vier Asset-Typen, die den drei Teilen zugeordnet sind:

• Security-Asset: in allen drei Teilen (-1, -2, -3)
• Netzwerk-Asset: in EN 18031-1 (Netzwerkschutz)
• Privacy-Asset: in EN 18031-2 (Datenschutz)
• Financial-Asset: in EN 18031-3 (Betrugsschutz)

Diese Zuordnung erklärt auch, warum Nutzerdaten kein Netzwerk-Asset sind. Personenbezogene Daten, Standort- oder Verkehrsdaten fallen unter den Privacy-Asset-Begriff von Teil 2, Geld- und Geldwertdaten unter den Financial-Asset-Begriff von Teil 3. Teil 1 interessiert sich nicht dafür, ob Ihr Gerät sensible Nutzerdaten hält, sondern dafür, ob es dem Netz und seiner Funktion schaden könnte. Genau deshalb ist das Netzwerk-Asset auf Funktionen und Konfigurationen zugeschnitten, nicht auf Inhalte.

Praktische Bedeutung für Hersteller

Die Asset-Identifikation ist kein Vokabeltest, sondern der erste operative Schritt der Bewertung. In der Zugriffskontrolle (ACM) verlangt EN 18031-1 ausdrücklich, dass Hersteller jedes Netzwerk-Asset dokumentieren, das für Entitäten zugänglich ist (Anforderung [E.Info.ACM-1.NetworkAsset]). Dazu gehören:

• die möglichen Zugriffe von Entitäten auf das Netzwerk-Asset,
• ob eine öffentliche Zugänglichkeit gewollte Funktionalität ist,
• welche Access-Control-Mechanismen den Zugriff verwalten.

Erst auf Basis dieser dokumentierten Assets wird der Entscheidungsbaum der Norm durchlaufen, der für jedes Asset festlegt, welche Anforderungen greifen und wie sie zu begründen sind. Vergessen Sie ein Netzwerk-Asset in dieser Aufstellung, fehlt es in der gesamten nachgelagerten Nachweiskette. Das Prüfteam sucht in der funktionalen Bewertung aktiv nach Netzwerk-Assets, die im Gerät existieren, aber nicht dokumentiert sind. Eine Lücke hier ist nicht nur eine Formalie, sie kann die Konformitätsargumentation kippen.

Praktisch bedeutet das: Gehen Sie systematisch durch die Netzwerkfähigkeiten Ihres Geräts. Welche Dienste stellt es bereit (DNS, DHCP, ein Webinterface, eine API)? Welche Protokoll-Stacks laufen? Welche Konfiguration steuert dieses Verhalten, und was passiert, wenn sie verändert oder ausgelesen wird? Aus diesen Antworten ergibt sich die Liste Ihrer Netzwerk-Assets.

Häufige Fragen

Was ist ein Netzwerk-Asset nach EN 18031? Eine Netzwerkfunktion des Geräts oder deren Konfiguration, sofern die Manipulation (sensitiv) oder Offenlegung (confidential) dieser Konfiguration dem Netz oder seiner Funktion schaden kann. Beispiele für Netzwerkfunktionen sind ein TCP/IP-Stack oder ein DNS-Dienst.

Sind Nutzerdaten ein Netzwerk-Asset? Nein. Personenbezogene Daten gehören zum Privacy-Asset-Begriff der EN 18031-2, Geldwertdaten zum Financial-Asset-Begriff der EN 18031-3. Das Netzwerk-Asset der EN 18031-1 zielt auf Funktionen und Konfigurationen, nicht auf Inhalte.

Ist ein Netzwerk-Asset dasselbe wie ein Security-Asset? Nein. Das Netzwerk-Asset ist das Schutzziel (die Netzwerkfähigkeit und ihre Konfiguration), das Security-Asset ist das schützende Werkzeug (Schlüssel, Passwörter, Zugriffsrechte, Sicherheitsfunktionen). Ein Access-Control-Mechanismus ist ein Security-Asset, das Netzwerk-Assets schützt.

Gilt der Begriff Netzwerk-Asset auch für EN 18031-2 und -3? Der Asset-Typ Netzwerk-Asset ist dem Netzwerkschutz (Artikel 3.3 (d)) und damit EN 18031-1 zugeordnet. Security-Assets ziehen sich durch alle drei Teile, Privacy- und Financial-Assets sind Teil 2 beziehungsweise Teil 3 vorbehalten.

Muss ich jedes Netzwerk-Asset dokumentieren? Ja. EN 18031-1 verlangt in der Zugriffskontrolle eine Beschreibung jedes zugänglichen Netzwerk-Assets samt möglicher Zugriffe und der zugehörigen Access-Control-Mechanismen. Diese Dokumentation ist die Grundlage für den Entscheidungsbaum und Teil des Nachweises.

Fazit

Das Netzwerk-Asset ist einer der zentralen Begriffe der EN 18031-1, und er meint etwas anderes, als die Intuition zunächst nahelegt. Es geht nicht um Daten, sondern um die Netzwerkfunktionen Ihres Geräts und die Konfiguration, die sie steuert, geschützt gegen Manipulation und unbefugte Offenlegung. Wer diese Assets sauber identifiziert und vom Security-Asset abgrenzt, legt die Grundlage für eine belastbare Bewertung. Wer sie übersieht, hinterlässt Lücken genau dort, wo die Marktüberwachung genauer hinschaut. Wie man diese Identifikation strukturiert durchführt, ist Thema eines späteren Beitrags dieser Serie.

Unsicher, welche Netzwerk-Assets in Ihrem Produkt stecken? Der RED-DA-Scope-Check von uwuWARE ordnet Ihr Gerät ein und zeigt, wo die relevanten Netzwerkfunktionen und Konfigurationen liegen, bevor aus einer Lücke ein Marktzugangsrisiko wird.

Wenn Sie die Asset-Identifikation lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch klären wir Produkt, Netzwerkfunktionen und Nachweisführung. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Beitrag gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie des Normteils DIN EN 18031-1.