IT-Infrastrukturanalyse: den Softwarebestand belastbar erfassen
Was eine IT-Infrastrukturanalyse leistet
Eine IT-Infrastrukturanalyse erhebt den tatsächlichen Zustand einer IT-Landschaft und bewertet ihn fachlich. Wie weit die Wirklichkeit von der Annahme abweicht, zeigt der State of ITAM Report 2026, nach dem nur 36 Prozent der befragten Organisationen vollständige Sichtbarkeit über ihre IT-Assets haben. Die übrigen arbeiten mit einem unvollständigen Bild ihrer eigenen Systeme.
Die IT-Infrastrukturanalyse ist die strukturierte Erhebung und Bewertung aller technischen und organisatorischen Bestandteile einer IT-Landschaft. Erfasst werden Anwendungen, Systeme, Schnittstellen, Lizenzen und deren Abhängigkeiten untereinander. Das Ergebnis ist ein dokumentierter Ist-Zustand mit Risikobewertung, der als Grundlage für Investitionsentscheidungen, Modernisierungsvorhaben und regulatorische Nachweise dient.
Warum die Erhebung vor der Planung steht
Die strategische Planung der IT-Infrastruktur setzt einen erhobenen Bestand voraus, ebenso jede Priorisierung einzelner Maßnahmen. Ohne belastbare IT-Bestandsaufnahme bleibt eine Roadmap eine Sammlung plausibler Vermutungen. Die IT-Infrastrukturanalyse liefert die Faktenbasis, nicht die Lösung. Häufig steht sie am Beginn einer Betriebsübernahme, wenn ein externer Partner den Softwarebetrieb und die Wartung fortführt und den Bestand zunächst kennenlernen muss.
Wie unterscheidet sich eine IT-Infrastrukturanalyse von einem IT-Audit?
Der Unterschied liegt im Maßstab. Ein IT-Infrastruktur-Audit prüft gegen ein festgelegtes Regelwerk, etwa ISO 27001 oder den BSI-Grundschutz, und endet mit einem Urteil über die Konformität. Eine IT-Infrastrukturanalyse erhebt zunächst nur, was vorhanden ist, und ordnet es fachlich ein. Am Ende steht ein Befund, keine Bewertungsnote. Das macht die Analyse der IT-Infrastruktur für Häuser brauchbar, die noch keinen Zielstandard festgelegt haben. In der Anbieterlandschaft trägt dieselbe IT-Analyse teils das Kürzel ISA.
Ist-Analyse der IT-Infrastruktur statt laufender Überwachung
Beide Verfahren betrachten dieselbe Landschaft zu unterschiedlichen Zwecken. Das IT-Infrastruktur-Monitoring beobachtet dauerhaft Systeme, die bereits bekannt und eingerichtet sind. Eine Ist-Analyse der IT-Infrastruktur sucht dagegen nach dem, was in keiner Überwachung auftaucht. Nicht erfasste Systeme lassen sich auch nicht überwachen, weshalb die IT-Infrastrukturanalyse der Einrichtung von Monitoring in aller Regel vorausgeht. Der Befund beschreibt allerdings nur einen Zeitpunkt. Damit er nicht innerhalb weniger Monate veraltet, geht die Erhebung in eine laufend fortgeschriebene IT-Infrastruktur-Dokumentation über, die mit jeder Änderung nachgezogen wird.
Was die Analyse der IT-Infrastruktur auf der Softwareseite erfasst
Der Erhebungsumfang bestimmt den Wert des Ergebnisses. Hardware lässt sich leicht zählen, weil sie physisch vorhanden ist. Die Softwareseite entzieht sich der Zählung, sobald Dienste ohne Beteiligung der IT beschafft wurden oder Schnittstellen über Jahre gewachsen sind. Eine Analyse der IT-Infrastruktur bleibt oberflächlich, wenn sie beim Geräteinventar endet. Die folgende Aufstellung dient als Checkliste für die Analyse der IT-Infrastruktur:
- Fachanwendungen und Eigenentwicklungen samt Versionsstand
- Schnittstellen zwischen den Anwendungen und deren Datenrichtung
- Datenbanken, Datenbestände und ihre Aufbewahrungsfristen
- Cloud-Dienste und SaaS-Abonnements mit Vertragslaufzeit
- Lizenzen, Wartungsverträge und Supportfristen
- Authentifizierung, Berechtigungen und technische Konten
- Sicherungsverfahren und vereinbarte Wiederherstellungszeiten
- Fachliche und technische Ansprechpartner je Anwendung
Abhängigkeiten sichtbar machen
Erst die Abhängigkeiten machen aus einer Liste eine Landkarte. Welche Anwendung welche Datenquelle benötigt, hält das CMDB Mapping fest, und genau diese Beziehungen macht die Analyse der IT-Infrastruktur sichtbar. Ein Ausfall wird erst dann kalkulierbar, wenn die abhängigen Verfahren bekannt sind. Aufgeschrieben findet sich das selten, es ergibt sich aus dem Abgleich von Fund und Gespräch. Dabei zeigt sich auch, welche Anwendungen in eine Ablösung von Altsystemen gehören.
Welche Software-Bestandteile werden bei einer IT-Infrastrukturanalyse regelmäßig übersehen?
Übersehen wird selten das Große, sondern das Beiläufige. Fachanwendungen stehen in jeder Liste. Was fehlt, sind Dienste, die niemand offiziell bestellt hat, und Skripte, die seit Jahren still ihre Arbeit tun. Wie eng solche Bausteine mit dem Kerngeschäft verwoben sein können, zeigt die Individualsoftware für eine KRITIS-Behörde, bei der ein Fachverfahren im Einsatzfall ohne Verzögerung bereitstehen muss.
Eigenbeschaffte Dienste und Schatten-IT
Fachbereiche buchen Werkzeuge selbst, wenn der reguläre Weg zu lange dauert. Aus einem einzelnen Abonnement wird über Jahre ein Verfahren, in dem echte Vorgangsdaten liegen. Solche Dienste tauchen in keiner Beschaffungsakte auf, wohl aber in der Kostenstelle. Eine IT-Infrastrukturanalyse gleicht technische Funde deshalb mit Rechnungs- und Vertragsdaten ab, weil sich eigenbeschaffte Software so zuverlässiger findet als über einen Netzwerkscan.
Eigenentwicklungen ohne benannte Zuständigkeit
In fast jedem gewachsenen Haus laufen Programme, die einmal für einen konkreten Zweck geschrieben wurden. Solange sie funktionieren, fragt niemand nach. Ohne benannten Verantwortlichen entsteht ein Risiko, das erst beim Ausfall sichtbar wird. Für Betreiber kritischer Anlagen gehört diese Zuordnung zur IT-Compliance. Die Erhebung hält deshalb je Anwendung fest, wer sie fachlich verantwortet und wer sie technisch pflegen kann.
Ablauf einer IT-Infrastrukturanalyse im laufenden Betrieb
Die Analyse der IT-Infrastruktur folgt in der Praxis fünf Schritten, die aufeinander aufbauen. Umfang und Tiefe richten sich nach der Frage, die am Ende beantwortet sein soll. Eine Erhebung ohne festgelegten Zweck wächst unbegrenzt und endet ohne Ergebnis. Das erklärt, warum sich Ablauf und Dauer einer IT-Infrastrukturanalyse nicht pauschal angeben lassen:
- Zielklärung mit Auftraggeber und Fachbereichen
- Technische Aufnahme über Scans, Exporte und Konfigurationsdaten
- Validierung der Funde mit den Verfahrensverantwortlichen
- Bewertung nach Kritikalität, Wartungsstand und Abhängigkeit
- Berichterstellung und Übergabe an die Leitungsebene
Ist-Analyse der IT-Infrastruktur ohne Rückwirkung auf kritische Systeme
Bei Betreibern kritischer Anlagen entscheidet die Methode über die Zulässigkeit. Aktive Scans erzeugen Last und können Steuerungssysteme aus dem Tritt bringen. Eine Ist-Analyse der IT-Infrastruktur arbeitet in solchen Umgebungen bevorzugt mit passiven Verfahren und Auswertungen aus dem laufenden Betrieb. Rückwirkungsfreiheit ist keine Komfortfrage, sondern Voraussetzung für die Freigabe. Alles, was sich nur aktiv erheben lässt, gehört in ein abgestimmtes Wartungsfenster. So lässt sich die IT-Infrastruktur analysieren, ohne den Fachbetrieb zu unterbrechen.
Was vor der Erhebung geklärt sein muss
Eine IT-Bestandsanalyse scheitert selten an der Technik, meist an fehlenden Zugängen. Die folgenden Punkte eignen sich als Vorlage für die Ist-Analyse der IT-Infrastruktur:
- Zweck der Erhebung und Empfänger des Ergebnisses
- Abgrenzung der einbezogenen Standorte und Netzsegmente
- Lesende Zugänge zu Systemen, Verzeichnisdiensten und Konsolen
- Ansprechpartner je Fachverfahren mit verbindlicher Zeitzusage
- Abgestimmte Zeitfenster für aktive Prüfungen
- Umgang mit personenbezogenen Daten in Protokolldateien
- Ablage und Schutzbedarf der Erhebungsergebnisse selbst
Warum der Bericht selbst schutzbedürftig ist
Der letzte Punkt wird am häufigsten unterschätzt. Eine vollständige IT-Infrastruktur-Übersicht mit Systemen, Versionen und Zugangswegen ist für Angreifer wertvoller als jedes Einzelsystem. Der Erhebungsbericht gehört deshalb in dieselbe Schutzklasse wie das IT-Infrastruktur-Notfallkonzept. Wird die Ist-Analyse der IT-Infrastruktur extern vergeben, gehören Aufbewahrung und Löschung der Rohdaten in den Vertrag.
Vom Ergebnis zur Entscheidungsgrundlage
Der Wert einer IT-Bestandsanalyse entsteht erst bei der Übergabe. Ein technisch vollständiger Datensatz, den die Amtsleitung oder Geschäftsführung nicht lesen kann, ändert nichts an der Ausgangslage. Der Bericht muss in zwei Sprachen funktionieren, fachlich für die Umsetzung und knapp für die Entscheidung.
Was gehört in den Ergebnisbericht einer IT-Infrastrukturanalyse?
Der Bericht einer Analyse der IT-Infrastruktur hält den Befund fest und benennt, was offen geblieben ist. Er ersetzt keine laufende Dokumentation, sondern beschreibt einen Zeitpunkt. Bewährt haben sich vier Bestandteile, die zugleich als IT-Bestandsaufnahme-Checkliste für die Abnahme taugen:
- Kurzfassung für die Leitungsebene mit den wichtigsten Befunden
- Bestandsverzeichnis aller erfassten Anwendungen und Dienste
- Risikokatalog mit Einstufung nach Kritikalität
- Liste der offenen Fragen und nicht erhebbaren Bereiche
Das Bestandsverzeichnis als Nachweis nach dem BSIG
Für Betreiber kritischer Anlagen ist das Bestandsverzeichnis zugleich ein Nachweis. § 30 Absatz 2 BSIG verlangt Konzepte für die Zugriffskontrolle und für das Management von Anlagen, und diese Pflicht gilt seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes im Dezember 2025. Ohne vollständige Erfassung der eigenen Anlagen lässt sich ein solches Konzept nicht belegen. Eine IT-Infrastrukturanalyse für KRITIS-Betreiber erzeugt genau diese Grundlage, ersetzt aber nicht deren laufende Pflege. Bei einem späteren IT-Infrastruktur-Audit dient das Verzeichnis als Ausgangspunkt.
Wenn aus dem Befund eine Reihenfolge wird
Mit der Übergabe endet die IT-Infrastrukturanalyse und beginnt die Auswahl. Welche Befunde zuerst bearbeitet werden und wie sich die Wirkung belegen lässt, behandelt der Leitfaden zur IT-Infrastruktur-Optimierung. Ablauf und Dauer einer IT-Infrastrukturanalyse gehören deshalb ebenso in die Beauftragung wie der Termin für die Auswertung. Erst danach lässt sich benennen, welche Anforderungen an die IT-Infrastruktur zu ermitteln sind.
