Welche Versionen laufen eigentlich? Software-Inventar in einer Stunde erstellen
Wer in Ihrem Unternehmen weiß, welche PHP-Version auf dem Server läuft? Welche Datenbank-Version die Buchhaltungssoftware braucht? Bei den meisten Geschäftsführern und IT-Leitern kommt an dieser Stelle ein Achselzucken. Ein Software-Inventar schafft hier Klarheit. Es ist eine einfache Liste, die zeigt, welche Software mit welcher Version bei Ihnen im Einsatz ist. Ohne diese Liste lässt sich kein Stichtag planen, kein End of Life rechtzeitig erkennen und keine Sicherheitslücke gezielt schließen. Dieser Artikel zeigt, wie Sie das in etwa einer Stunde schaffen. Auch ohne tiefes technisches Wissen, gemeinsam mit Ihrem Hoster oder Dienstleister.
Warum ein Software-Inventar heute Pflicht ist
Früher war eine fehlende Liste ärgerlich, aber folgenlos. Das hat sich geändert. Zwei europäische Regelungen machen die Bestandsaufnahme zur Pflichtübung.
Die NIS2-Richtlinie (Network and Information Security 2) verlangt von vielen Unternehmen, ihre IT-Risiken zu kennen und zu dokumentieren. Wer nicht weiß, welche Software im Einsatz ist, kann diese Pflicht nicht erfüllen. Der Cyber Resilience Act (CRA) geht noch weiter. Er verlangt von Herstellern und Betreibern vernetzter Produkte, Sicherheitslücken über den gesamten Lebenszyklus der Software zu verfolgen. Beide Regelungen betreffen längst nicht nur Konzerne. Auch mittelständische Betriebe mit eigener Website oder Branchensoftware fallen häufig darunter, sobald sie kritische Dienstleistungen erbringen oder vernetzte Produkte verkaufen.
Beide Regelungen setzen voraus, dass Sie überhaupt wissen, was Sie betreiben. Die Liste der eingesetzten Versionen ist die Grundlage, auf der jede weitere Pflicht aufbaut. Ohne sie bleibt jede Risikobewertung Spekulation.
Was passiert, wenn niemand den Überblick hat
In den meisten Unternehmen wächst die IT-Landschaft über Jahre. Ein Entwickler installiert eine Bibliothek, ein anderer tauscht den Server, ein Dienstleister wechselt. Jeder kennt sein eigenes Stück. Niemand kennt das Ganze.
Das rächt sich an mehreren Stellen. Sicherheitslücken bleiben unentdeckt, weil niemand prüft, ob die betroffene Version überhaupt im Einsatz ist. End-of-Life-Termine werden verpasst, weil niemand sie im Kalender hat. Updates verzögern sich, weil erst geklärt werden muss, was eigentlich aktualisiert werden soll.
Am teuersten wird es im Ernstfall. Nach einem Sicherheitsvorfall fragt die erste Analyse immer: Welche Version lief zum Zeitpunkt des Angriffs? Ohne Liste beginnt die Antwort mit tagelanger Spurensuche statt mit einem Blick in eine Tabelle. Diese Spurensuche kostet Zeit, die im Ernstfall fehlt, und sie verzögert jede Meldung an Kunden oder Behörden.
So erstellen Sie ein Software-Inventar in einer Stunde
Ein vollständiges Inventar für ein komplexes System kann Wochen dauern. Ein brauchbares erstes Inventar entsteht in einer Stunde, wenn Sie strukturiert vorgehen.
Schritt 1: Systeme auflisten
Schreiben Sie alle Anwendungen auf, die Ihr Unternehmen betreibt. Die Website, die Warenwirtschaft, das CRM, interne Tools, auch kleinere Hilfsanwendungen, die nur eine Abteilung nutzt. Für jedes System reicht zunächst der Name und wer dafür zuständig ist, intern oder extern. Fragen Sie auch in den Fachabteilungen nach. Marketing, Buchhaltung und Vertrieb nutzen oft eigene Tools, die der IT-Leitung gar nicht bekannt sind.
Schritt 2: Versionen abfragen
Fragen Sie bei Ihrem Hoster oder Dienstleister die konkreten Versionen ab: PHP-Version, Datenbank-Version, Betriebssystem, Framework. Seriöse Dienstleister können diese Angaben innerhalb weniger Minuten liefern, oft direkt aus der Serverkonfiguration. Wenn Sie keine Antwort bekommen oder die Antwort ausweichend bleibt, ist das selbst schon ein Warnsignal. Ein Dienstleister, der seine eigene Infrastruktur nicht kennt, kann sie auch nicht absichern.
Schritt 3: Abhängigkeiten nicht vergessen
Jede Anwendung bringt eigene Abhängigkeiten mit. Das sind externe Bibliotheken und Komponenten, auf die der Code zugreift. Was genau ein Dependency ist, erklären wir in einem separaten Artikel. Dort lesen Sie auch, warum veraltete Abhängigkeiten ein eigenes Risiko darstellen. Für das Inventar reicht an dieser Stelle die grobe Liste der wichtigsten Komponenten.
Schritt 4: End-of-Life-Daten eintragen
Zu jeder Version gehört ein Enddatum, ab dem der Hersteller keine Sicherheits-Updates mehr liefert. Diese Daten stehen meist öffentlich beim jeweiligen Projekt. Tragen Sie sie direkt neben die Version ein. So wird aus der Liste ein Frühwarnsystem.
Schritt 5: Tabelle anlegen und Verantwortliche benennen
Eine einfache Tabelle reicht: System, Version, End-of-Life-Datum, Verantwortlicher. Mehr braucht es für den Anfang nicht. Eine Tabellenkalkulation genügt völlig, ein teures Werkzeug ist nicht nötig. Wichtig ist, dass jemand die Tabelle pflegt und mindestens einmal im Quartal aktualisiert. Legen Sie gleich einen Termin dafür fest, sonst verstaubt die Tabelle wie jede andere gute Absicht.
Was mit den Ergebnissen passiert
Die fertige Liste ist der Anfang, nicht das Ziel. Sie dient als Grundlage für zwei weitere Schritte.
Erstens zeigt sie, wo Handlungsbedarf besteht. Systeme mit abgelaufenem oder nahendem End of Life lassen sich priorisieren, statt überall gleichzeitig anzupacken. Wie ein solcher Prozess strukturiert abläuft, beschreiben wir im Artikel zum EOL-Prozess.
Zweitens wird das Inventar zur Basis für ein laufendes IT-Lifecycle-Management. Einmal prüfen reicht nicht. Sie behalten dauerhaft im Blick, welche Systeme sich dem Ende ihrer Lebenszeit nähern. Wie Sie das systematisch aufziehen, zeigt unser Artikel zum IT-Lifecycle-Management.
Manche Unternehmen entdecken an dieser Stelle, wie viel sich über die Jahre angesammelt hat, ohne dass es jemand gemerkt hat. Das ist kein Grund zur Panik. Es ist der erste Schritt, bevor man anfängt zu sanieren. Wer die Liste einmal vor sich hat, sieht meist sofort, wo das größte Risiko liegt. Dort setzen Sie zuerst an, statt überall gleichzeitig.
Fazit: Ohne Liste kein Plan
Eine solche Liste klingt nach Verwaltungsaufwand. Tatsächlich ist sie das Gegenteil. Sie spart Zeit, weil niemand mehr raten muss, was läuft. Sie spart Geld, weil Updates geplant statt im Notfall nachgeholt werden. Und sie liefert die Grundlage für NIS2 und CRA, ohne dass Sie dafür ein eigenes Compliance-Team brauchen.
Eine Stunde reicht für den Einstieg. Den Rest, also die laufende Pflege und die Priorisierung der Risiken, übernehmen wir gern gemeinsam mit Ihnen. Viele unserer Kunden starten genau an diesem Punkt. Mit einer ersten Liste, die zeigt, wo es wirklich brennt. Und einem Plan, der festlegt, was zuerst drankommt.
Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns Ihr System an und sagen Ihnen ehrlich, welche Versionen wirklich kritisch sind und was als Erstes ansteht. Mehr zur laufenden Betreuung danach lesen Sie in unserem Überblick zur Software-Wartung.
