--- title: ITAM vs. OTAM im Betrieb canonical: https://www.secnostic.com/de/resources/it-vs-ot-asset-management language: de dateModified: 2026-07-17 alternate-en: https://www.secnostic.com/en/resources/it-vs-ot-asset-management --- # ITAM vs. OTAM im Betrieb - URL: https://www.secnostic.com/de/resources/it-vs-ot-asset-management - Type: Leitfaden - Published: 2026-07-17 - Updated: 2026-07-17 - Topics: ITAM, OTAM, OT-Asset-Inventar, OT Security, KRITIS, Asset Discovery ITAM und OTAM brauchen ein gemeinsames Datenmodell, aber unterschiedliche Erfassungs- und Betriebsregeln. CISA strukturiert OTAM als gepflegtes Asset-Inventar plus Taxonomie für Funktion, Kritikalität, Kommunikationswege und Abhängigkeiten. Der BSI-Anforderungskatalog ergänzt für KRITIS-Betreiber Anforderungen an Vollständigkeit, Richtigkeit, Aktualität, Konsistenz, Verantwortlichkeit und nachvollziehbare Änderungen. ## Was unterscheidet ITAM und OTAM im Betrieb? Die folgende Abgrenzung ist ein Arbeitsmodell für Security und Betrieb, keine normative Definition. ITAM konsolidiert den technischen und organisatorischen Kontext von IT-Assets. OTAM erweitert ihn um den physischen Prozess. [CISA verlangt für OT deshalb neben dem Inventar eine Taxonomie nach Funktion oder Kritikalität sowie dokumentierte Kommunikationswege und Abhängigkeiten.](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators) - Scope - ITAM: IT-Systeme, Endgeräte, Anwendungen, Identitäten, Cloud- und Netzwerkressourcen - OTAM: Steuerungen, HMI, Sensoren, Maschinen, Engineering-Systeme und industrielle Netzkomponenten - Betriebskontext - ITAM: Dienst, Standort, Verantwortlichkeit, technischer Zustand und Beziehungen zu anderen IT-Assets - OTAM: Funktion, Kritikalität, Zone, Kommunikationsweg, Prozessabhängigkeit und physischer Standort - Erfassung - ITAM: Abgleich digitaler Systemquellen und technischer Beobachtungen - OTAM: Physische Inspektion, logische Bestandsaufnahme, Netzwerkdaten und vorhandene Betriebsdokumentation - Lebenszyklus - ITAM: Inventaränderungen werden mit den IT-Betriebsprozessen abgeglichen - OTAM: Beschaffung, Bereitstellung, Inbetriebnahme, Wartung und Außerbetriebnahme werden im Inventar abgebildet - Gemeinsamer Kern - ITAM: Identität, Quelle, Verantwortlichkeit, Klassifikation, Historie und Datenqualität - OTAM: Identität, Quelle, Verantwortlichkeit, Klassifikation, Historie und Datenqualität ## Welche Daten gehören in ein belastbares OT-Asset-Inventar? [CISA priorisiert für jedes OT-Asset 14 Attribute, darunter Kritikalität, Rolle oder Typ, Hersteller, Modell, Betriebssystem, Hostname, IP- und MAC-Adresse, Standort, Protokolle, Ports und Dienste, Benutzerkonten sowie Logging.](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators) Diese Felder bilden den technischen Kern. Für den Betrieb müssen Herkunft, Beziehungen und Verantwortlichkeit hinzukommen. - Identität: eindeutige Asset-Nummer, Hersteller, Modell, Hostname sowie IP- und MAC-Adresse - Technischer Zustand: Betriebssystem, Firmware oder Software, aktive Protokolle, Ports und Dienste - Betriebskontext: Rolle oder Typ, physischer Standort, Zone, Kommunikationswege und Prozessabhängigkeiten - Security-Kontext: Kritikalität, Logging, Benutzerkonten und vorhandene technische Kontrollen - Verantwortung: zuständige Person, technischer Betreiber, Instandhaltung und beteiligte Dienstleister - Evidenz: Datenquelle, Erfassungszeitpunkt, Änderungsverlauf und Status der Validierung [Der BSI-Anforderungskatalog ergänzt für relevante KRITIS-Assets eine eindeutige Verantwortungszuweisung über den gesamten Lebenszyklus und eine einheitliche, risikobasierte Klassifikation.](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/Konkretisierung_Anforderungen_Massnahmen_KRITIS.pdf?__blob=publicationFile&v=3) Ein gemeinsames IT-/OT-Modell sollte diese organisatorischen Felder deshalb genauso belastbar behandeln wie technische Merkmale. ## Wie wird ein OT-Asset-Inventar nach CISA aufgebaut? [CISA beschreibt einen fünfstufigen Prozess vom festgelegten Scope bis zum Lebenszyklusmanagement.](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators) Das Ergebnis ist kein einmaliger Scan, sondern ein gepflegtes Inventar mit validierter Taxonomie. - Scope und Ziele definieren: Governance, Rollen und Programmgrenzen werden festgelegt. Zonen, Standorte und Systeme gehören ebenso zum Scope wie eine klare Definition, was als Asset gilt. - Assets und Attribute erfassen: Physische Inspektion und logische Bestandsaufnahme werden mit digitalen und netzwerkbasierten Informationen kombiniert. Auch dokumentierte Assets und Infrastrukturabhängigkeiten werden einbezogen. - Taxonomie und Beziehungen aufbauen: Assets werden nach Funktion oder Kritikalität klassifiziert. Kommunikationswege, Zonen, Prozessabhängigkeiten, Namenskonventionen sowie Rollen von Betreibern und Dienstleistern werden dokumentiert. - Daten validieren und verwalten: Inventardaten werden auf Richtigkeit und Vollständigkeit geprüft, Beziehungen visualisiert und durch Herstellerunterlagen, Wartungsdaten, Konfigurationen und Betriebsdaten ergänzt. - Lebenszyklus integrieren: [Beschaffung, Bereitstellung, Inbetriebnahme, Wartung und Außerbetriebnahme werden mit dem Inventar verknüpft. Hinzugefügte oder entfernte Geräte müssen auch bei Notfalländerungen zu einem Inventar-Update führen.](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators) ## Welche Anforderungen ergänzt der BSI-Katalog für KRITIS? [Der BSI-Katalog konkretisiert die Kriterien des § 8a Absatz 1 und 1a BSIG für KRITIS-Betreiber und dient als Orientierung bei der Auswahl geeigneter Prüfmaßstäbe. Das BSI weist zugleich darauf hin, dass die einzelnen Kriterien nicht automatisch verbindlich sind. Ihre Angemessenheit ist im jeweiligen Betreiberkontext zu bewerten.](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/Konkretisierung_Anforderungen_Massnahmen_KRITIS.pdf?__blob=publicationFile&v=3) - Inventarqualität (AM-01): vollständig, richtig, aktuell und konsistent, Änderungen nachvollziehbar historisieren und fehlende Automatisierung durch regelmäßige manuelle Prüfungen ausgleichen - Verantwortlichkeit (AM-02): jedes relevante Asset einer verantwortlichen Person auf Betreiberseite zuweisen und über den gesamten Lebenszyklus korrekt inventarisieren und klassifizieren - Klassifikation (AM-05): Informationen und Assets einheitlich auf Basis von Risikoanalyse und Folgeabschätzung klassifizieren - Netztopologie (KOS-06): Architektur aktuell und nachvollziehbar dokumentieren, einschließlich unterschiedlicher Umgebungen, Netzsegmente und Datenflüsse - Änderungsmanagement (BEI-03 bis BEI-10): Risiken bewerten, Änderungen kategorisieren und priorisieren, Tests und Freigaben dokumentieren, Rollback ermöglichen und Notfalländerungen nachvollziehen Was daraus für Nicht-KRITIS-Organisationen folgt: Der BSI-Katalog ist hier kein pauschaler Pflichtenkatalog. Seine Qualitätsmerkmale eignen sich aber als überprüfbare Leitplanken: Ist der Bestand vollständig und aktuell, sind Verantwortungen klar, ist die Klassifikation nachvollziehbar und aktualisiert das Änderungsmanagement auch das Inventar? ## Wie werden ITAM und OTAM praktisch zusammengeführt? Ein gemeinsames Modell vereinheitlicht Identität, Evidenz und Qualitätsregeln. IT und OT behalten jedoch ihre eigenen Erfassungswege, Freigaben und Betriebsgrenzen. - Mit einem belastbaren Scope beginnen: Einen kritischen Dienst, Standort, eine Zone oder Produktionslinie auswählen, den Asset-Begriff festlegen und Verantwortliche benennen. - Quellen getrennt erfassen: IT-Systemquellen, physische Bestandsaufnahme, Netzwerkdaten, Engineering-Unterlagen und Wartungsdaten liefern Beobachtungen mit Herkunft und Zeitpunkt. - Identitäten und Beziehungen abgleichen: Dubletten und Widersprüche werden aufgelöst. Zonen, Kommunikationswege, Dienste und Prozessabhängigkeiten bleiben als Beziehungen erhalten. - Verantwortung und Klassifikation ergänzen: Jedes relevante Asset erhält eine zuständige Person, eine betriebliche Rolle und eine nachvollziehbare Kritikalitäts- oder Risikoklassifikation. - Änderungen zu Inventarereignissen machen: Inbetriebnahme, Wartung, Austausch und Außerbetriebnahme aktualisieren das Inventar. Regelmäßige Validierung prüft Vollständigkeit, Richtigkeit, Aktualität und Konsistenz. ## Quellen - [CISA OT Asset Inventory Guidance](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators): Gemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. - [BSI KRITIS-Anforderungskatalog](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/Konkretisierung_Anforderungen_Massnahmen_KRITIS.pdf?__blob=publicationFile&v=3): BSI-Anforderungskatalog vom 10. September 2024 zur Konkretisierung der Kriterien nach § 8a Absatz 1 und 1a BSIG, einschließlich Asset-Inventar, Klassifikation, Netztopologie und Änderungsmanagement.