Assets richtig identifizieren: Die Grundlage jeder DIN-EN-18031-Bewertung

July 31, 2026 · Reading Time: 10-13 minutes

Jede DIN-EN-18031-Bewertung beginnt mit derselben Frage: Was genau soll eigentlich geschützt werden? Die Norm arbeitet nicht mit einer pauschalen Checkliste, die für alle Geräte gleich ausfällt, sondern wendet ihre Mechanismen gezielt auf einzelne Assets an. Deshalb entscheidet die Qualität der Asset-Liste über die Qualität der gesamten Nachweisführung. Wer ein Asset übersieht, hinterlässt eine Lücke in jeder nachgelagerten Prüfung. Wer die falschen Dinge als Asset führt, produziert Aufwand ohne Nutzen. In diesem Guide beleuchten wir, wie Sie Ihre Assets nach DIN EN 18031 systematisch identifizieren, den Entitäten und Schnittstellen zuordnen und so dokumentieren, dass das Ergebnis der Marktüberwachung standhält. Sie wünschen tatkräftige Unterstützung? Als Partner für KMU begleiten wir Sie durch den gesamten Compliance-Prozess.

Kurz gesagt

Asset-Identifikation heißt: Strukturiert feststellen, welche schützenswerten Elemente Ihr Gerät enthält, über welche Schnittstellen und durch welche Entitäten sie erreichbar sind. Für DIN EN 18031-1 sind zwei Asset-Typen als Ausgangspunkt relevant.

Ein Security-Asset ist ein schützendes Element: Ein sensitiver oder confidential Sicherheitsparameter oder eine Sicherheitsfunktion. Ein Sicherheitsparameter ist dabei ein Datum, das das Verhalten einer Sicherheitsfunktion bestimmt, etwa ein kryptografischer Schlüssel, ein Passwort oder ein Zugriffsrecht. Eine Sicherheitsfunktion ist die schützende Funktionalität selbst, zum Beispiel der Access-Control- oder Authentifizierungsmechanismus.

Ein Netzwerk-Asset ist ein zu schützendes Element auf Netzwerkebene: Eine Netzwerkfunktion, also die Fähigkeit des Geräts, Netzwerkressourcen bereitzustellen oder zu nutzen, oder deren Konfiguration, sofern deren Manipulation oder Offenlegung dem Netz schaden kann. Was ein Netzwerk-Asset genau ist und wie es sich vom Security-Asset abgrenzt, haben wir in der letzten Woche im Detail erklärt.

Kommen DIN EN 18031-2 oder -3 hinzu, erweitert sich das Bild um Privacy-Assets (Teil 2) und Financial-Assets (Teil 3). Der Prozess bleibt dabei jedoch identisch.

Der wichtigste Denkfehler an dieser Stelle: Assets sind selten Nutzerdaten. Teil 1 interessiert sich nicht dafür, welche Inhalte durch Ihr Gerät fließen, sondern dafür, welche Funktionen und Parameter das Gerät schützen muss, damit es dem Netz nicht schaden kann.

Die Asset-Identifikation ist das Fundament der Nachweisführung

DIN EN 18031 wendet ihre Anforderungen nicht einmal pauschal auf „das Gerät" an, sondern pro Element. Die Norm formuliert das in Abschnitt 5 unmissverständlich: Die Entscheidung, ob eine Anforderung erfüllt werden muss, wird für jedes betroffene Element einzeln getroffen, etwa für jede externe Schnittstelle und für jedes Asset unabhängig. Das heißt im Umkehrschluss: Alles, was nicht auf der Asset-Liste steht, wird auch nicht bewertet und taucht in keinem Entscheidungsbaum, keiner Begründung und keinem Nachweis auf.

Genau hier setzt die Prüfung an. In der sogenannten funktionalen Vollständigkeitsprüfung untersucht ein Prüfteam nicht nur, ob Ihre Dokumentation in sich schlüssig ist, sondern testet aktiv, ob sie vollständig ist. Dazu werden häufig u. a. Netzwerk-Scanner eingesetzt, um zu verifizieren, dass wirklich alle externen Schnittstellen identifiziert, dokumentiert und bewertet wurden. Schnittstellen wie z. B. UART dürfen dabei nicht vergessen werden.

Eine externe Schnittstelle ist jede Schnittstelle, die von außerhalb des Geräts erreichbar ist. Dabei werden Maschinen-, Netzwerk- und Benutzerschnittstellen als spezifische Ausprägungen unterschieden. Externe Schnittstellen sind die Wege, über die Entitäten Assets erreichen, und damit die zweite Achse jeder Asset-Aufnahme. Als Entität gilt dabei ein Nutzer, ein Gerät (device), eine Funkanlage (equipment) oder ein Dienst (service). Der Begriff ist bewusst weit gefasst, denn er beschreibt, wer oder was überhaupt auf ein Asset zugreifen kann. Ein Asset ohne zugeordnete Entitäten ist nur die halbe Wahrheit.

Zusätzlich ist es wichtig zu evaluieren, welcher Schutzbedarf auf ein Asset zutrifft. Sensitiv heißt, dass die Manipulation des Elements Schaden anrichten kann, es geht also um Integrität. Confidential heißt, dass die Offenlegung Schaden anrichten kann, es geht also um Vertraulichkeit. Auf manche Assets treffen beide Betrachtungen zu.

Die Asset-Identifikation ist deshalb kein schnell abzuarbeitender Vorbereitungsschritt, sondern das Fundament, auf dem die Konformitätsargumentation steht oder fällt. Als externer Partner prüfen wir Ihre Asset-Liste und decken mögliche Lücken auf.

Schritt für Schritt: So identifizieren Sie Ihre Assets

In der Praxis hat es sich bewährt, strukturiert mit einer Grob-Betrachtung zu beginnen und dann schrittweise zu verfeinern. Dadurch gelangen Sie von der greifbaren Hardware zur abstrakten Bewertung und lassen dabei keine Lücken.

1. Externe Schnittstellen vollständig erfassen.
   Alle Netzwerk-, Maschinen- und Benutzerschnittstellen auflisten, drahtgebunden wie drahtlos, sichtbar wie versteckt. Auch UART, Debug-Ports und interne APIs gehören dazu.
2. Netzwerkfunktionen und ihre Konfiguration bestimmen.
   Welche Dienste stellt das Gerät bereit oder nutzt es (Netzwerk-Stack, DNS, DHCP, Webinterface)? Welche Konfiguration steuert dieses Verhalten? Daraus ergeben sich die Netzwerk-Assets.
3. Sicherheitsparameter und Sicherheitsfunktionen bestimmen.
   Schlüssel, Passwörter, Zertifikate, Zugriffsrechte sowie die schützenden Funktionen selbst. Daraus ergeben sich die Security-Assets.
4. Entitäten und Zugriffe zuordnen.
   Für jedes Asset festhalten, welche Nutzer, Geräte, Anlagen oder Dienste über welche Schnittstelle darauf zugreifen können.
5. Schutzbedarf je Asset einstufen.
   Ist das Asset sensitiv (Schutz vor Manipulation), confidential (Schutz vor Offenlegung) oder beides? Diese Einstufung entscheidet über die anwendbaren Anforderungen.
6. Öffentliche Zugänglichkeit als bewusste Entscheidung dokumentieren.
   Wo ein Asset absichtlich ohne Zugriffskontrolle zugänglich ist, muss dies als gewollte Funktionalität begründet werden, nicht stillschweigend übergangen.
7. Pro Asset den Entscheidungsbaum durchlaufen.
   Erst jetzt greift der ACM-Entscheidungsbaum, der für jedes Asset mit Zugriffspfad festlegt, welche Anforderung anwendbar ist.

Die Asset-Identifikation ist ein iterativer Prozess und muss regelmäßig neu evaluiert und aktuell gehalten werden. Jede neue Schnittstelle kann neue Assets ans Licht bringen, jedes neue Asset neue Entitäten. Gern unterstützen wir Sie dabei.

Häufige Fehler bei der Asset-Identifikation

Die immer gleichen Muster führen in der Prüfung zu Beanstandungen:

• Nur an Daten gedacht. Wer Assets mit gespeicherten Dateien gleichsetzt, übersieht Netzwerkfunktionen und Konfigurationen, also genau das, worauf Teil 1 zielt.
• Interne und versteckte Schnittstellen ausgeblendet. UART, JTAG, Debug-Konsolen und interne APIs sind externe Schnittstellen im Sinne der Norm, wenn sie von außerhalb des Geräts erreichbar sind.
• Security-Asset und Netzwerk-Asset verwechselt. Der schützende Mechanismus (Security-Asset) und das Schutzziel (Netzwerk-Asset) werden vertauscht, was die spätere Argumentation auf eine schiefe Grundlage stellt.
• Zugriffe nicht zugeordnet. Ein Asset ohne dokumentierte Entitäten und Zugriffspfade lässt sich im Entscheidungsbaum nicht sauber bewerten.
• Öffentliche Zugänglichkeit unbegründet gelassen. „Da ist keine Zugriffskontrolle" ist keine Aussage, „diese öffentliche Zugänglichkeit ist gewollte Funktionalität, weil …" ist eine.

Die geforderte Dokumentation der Asset-Liste

Die Asset-Liste lebt nicht in einer Nebendatei, sondern ist Teil der geforderten Dokumentation der Zugriffskontrolle. DIN EN 18031-1 verlangt für jedes zugängliche Asset eine strukturierte Beschreibung:

• [E.Info.ACM-1.SecurityAsset] und [E.Info.ACM-1.NetworkAsset]: Beschreibung jedes zugänglichen Security- beziehungsweise Netzwerk-Assets, einschließlich der möglichen Zugriffe von Entitäten, der Begründung bei gewollter öffentlicher Zugänglichkeit, etwaiger Umgebungsmaßnahmen und der zuständigen Access-Control-Mechanismen.
• [E.Info.DT.ACM-1]: Die Beschreibung des gewählten Pfads durch den Entscheidungsbaum für jedes Asset mit Zugriffspfad.
• [E.Just.DT.ACM-1]: Die Begründung für den jeweils gewählten Pfad.

Die Norm schreibt dabei nicht vor, dass jedes dieser Elemente ein eigenes Dokument sein muss. Entscheidend ist, dass die Information vorhanden, vollständig und nachvollziehbar ist. Genau darauf zielt die spätere Vollständigkeitsprüfung ab.

Häufige Fragen

Was bedeutet Asset-Identifikation nach DIN EN 18031? Das systematische Feststellen aller schützenswerten Elemente eines Geräts, für DIN EN 18031-1 also aller Security-Assets und Netzwerk-Assets, samt der Entitäten und Schnittstellen, über die sie zugänglich sind. Diese Liste ist der Ausgangspunkt jedes Entscheidungsbaums der Norm.

Welche Asset-Typen kennt DIN EN 18031? Teil 1 kennt Security-Assets und Netzwerk-Assets. In DIN EN 18031-2 kommen Privacy-Assets (Datenschutz) hinzu, in DIN EN 18031-3 Financial-Assets (Betrugsschutz). Security-Assets ziehen sich durch alle drei Teile.

Was ist der Unterschied zwischen sensitiv und confidential? Ein Asset ist sensitiv, wenn seine Manipulation Schaden anrichten kann (Integrität), und confidential, wenn seine Offenlegung Schaden anrichten kann (Vertraulichkeit). Manche Assets sind beides. Die Einstufung bestimmt, gegen welchen Angriff geschützt werden muss.

Zählt eine Debug- oder UART-Schnittstelle als Asset-Zugang? Ja, sofern sie von außerhalb des Geräts erreichbar ist, ist sie eine externe Schnittstelle im Sinne der Norm und damit ein möglicher Zugriffspfad auf Assets. Sie muss bei der Identifikation berücksichtigt werden.

Muss ich auch öffentlich zugängliche Assets dokumentieren? Ja. Fehlt eine Zugriffskontrolle, weil die öffentliche Zugänglichkeit gewollte Funktionalität ist, verlangt die Norm eine entsprechende Beschreibung und Begründung. Die Abwesenheit von Schutz muss aktiv dokumentiert sein, nicht bloß vorhanden.

Fazit

Die Asset-Identifikation ist der erste operative Schritt jeder DIN-EN-18031-Bewertung und zugleich der, an dem sich später alles entscheidet. Wer seine Security- und Netzwerk-Assets systematisch erfasst, den Entitäten und Schnittstellen zuordnet, den Schutzbedarf sauber einstuft und die öffentliche Zugänglichkeit bewusst begründet, legt eine belastbare Grundlage für die Entscheidungsbäume und die technische Dokumentation. Wer hier abkürzt, riskiert genau die Lücken, nach denen die funktionale Vollständigkeitsprüfung aktiv sucht.

Unsere Asset-Inventar-Vorlage führt Sie strukturiert durch alle Felder, die DIN EN 18031 für die Asset-Beschreibung verlangt, von der Schnittstelle über die Entität bis zur Schutzbedarfseinstufung, sodass Sie nichts übersehen und Ihre Liste von Anfang an prüffähig aufbauen.

Wenn Sie die Asset-Identifikation lieber direkt mit uns durchgehen möchten: In einem kostenfreien Erstgespräch erfassen wir gemeinsam Schnittstellen, Funktionen und Zugriffe Ihres Geräts und ordnen sie den Anforderungen der Norm zu. Mehr dazu auf unserer Seite zur RED-DA-Beratung.

---

Dieser Beitrag gibt einen strukturierten Überblick und ersetzt keine Einzelfallbewertung. Maßgeblich sind der Wortlaut der Funkanlagenrichtlinie 2014/53/EU, der Delegierten Verordnung (EU) 2022/30 sowie des Normteils DIN EN 18031-1.