Verzeichnis der Assets

Das Verzeichnis der Assets bildet das Fundament Ihres gesamten DPMS-Setups. Alle anderen Compliance-Workflows – Verarbeitungstätigkeiten (ROPAs), Risikoszenarien, technische und organisatorische Maßnahmen (TOMs), Bewertungen, Lieferantenbeziehungen und Löschaufgaben – müssen auf ein konkretes Asset bezogen werden, bevor sie sinnvoll bewertet und gesteuert werden können. Stellen Sie sich diesen Bereich als die Grundschicht vor, auf der Ihr gesamtes Datenschutzprogramm aufgebaut wird.

Das Verzeichnis der Assets besteht aus zwei eng verbundenen Ansichten: der Indexseite, auf der Sie Ihre gesamte Asset-Liste durchsuchen, filtern und verwalten, und der Detailansicht, in der Sie ein einzelnes Asset vertiefen und alles damit Verknüpfte über mehrere Registerkarten hinweg steuern. Dieser Artikel behandelt beide Ansichten.

So öffnen Sie das Verzeichnis

Erweitern Sie in der linken Hauptnavigation den Bereich Risikomanagement und klicken Sie auf Verzeichnis der Assets. Die Indexseite lädt sofort mit allen Assets Ihrer Organisation.

Sie benötigen mindestens Lesezugriff auf Assets, um den Menüpunkt zu sehen. Für das Erstellen und Bearbeiten ist Schreibzugriff erforderlich. Die Schaltfläche Importieren erfordert eine eigene zusätzliche Berechtigung – wenn Sie sie nicht sehen, wenden Sie sich an Ihren DPMS-Administrator.

Wenn der Menüpunkt gar nicht angezeigt wird, hat Ihr Konto noch keinen Lesezugriff auf Assets. Kontaktieren Sie Ihren Administrator.

Was Sie auf dem Bildschirm sehen

Wenn die Indexseite geladen ist, gliedert sich der Bildschirm in drei horizontale Bereiche. Ganz oben befindet sich die Seitenüberschrift – links „Verzeichnis der Assets" und rechts die Schaltfläche Erstellen sowie, je nach Berechtigung, die Schaltfläche Importieren. Darunter folgt eine Reihe von Statusfilter-Tabs: Alle, Aktiv, Entwurf, Inaktiv und Überprüfung. Diese fünf Tabs entsprechen den Lebenszykluszuständen, in denen sich ein Asset befinden kann. Ein Klick auf einen Tab schränkt die Liste sofort auf Assets in diesem Zustand ein.

Unterhalb der Tabs erstreckt sich die Such- und Filterleiste über die gesamte Seitenbreite. Sie können direkt nach Namen suchen oder den strukturierten Filter-Builder öffnen, um mehrere Bedingungen zu kombinieren – zum Beispiel „Verantwortliche Person gleich Maria Schmidt UND Typ gleich Cloud-Dienst". Der Hauptbereich darunter zeigt eine Datentabelle, in der jede Zeile ein Asset darstellt. Die Spalten enthalten den Asset-Namen, Typ-Tags, verantwortliche Person(en), ein farbiges Status-Badge, den Risikowert (sofern ein Risikostandard verknüpft ist), Gruppenzugehörigkeit und das Datum der letzten Änderung.

Oben rechts über der Tabelle befindet sich ein Umschalter Asset-Ansicht / Gruppen-Ansicht. Wenn Sie auf „Gruppen-Ansicht" wechseln, wird die Liste neu organisiert und zeigt Asset-Gruppen statt einzelner Assets – nützlich für Risikomanager, die das aggregierte Risikobild einer Sammlung verwandter Assets sehen möchten.

Die Detailansicht verwendet ein anderes Layout. Auf der linken Seite befindet sich ein ein- und ausklappbares Tab-Menü mit allen verfügbaren Bereichen (Allgemein, Risiko, Bewertungen, Externe Empfänger und mehr). Der Hauptbereich rechts zeigt den Inhalt des aktuell ausgewählten Tabs. Ganz oben verläuft ein Brotkrumenpfad – zum Beispiel Assets › Workday HRIS › Allgemein – mit kleinen Pfeil-Schaltflächen, um ohne Rückkehr zur Liste zum vorherigen oder nächsten Asset zu navigieren.

So arbeiten Sie mit diesem Bereich

Ein Asset zum ersten Mal erfassen

Der häufigste Ausgangspunkt ist, wenn Ihre Organisation ein neues System einführt – etwa ein neues HR-SaaS-Tool – und Sie es erfassen müssen, bevor Sie es mit einer ROPA oder einer Risikobewertung verknüpfen können.

• Klicken Sie auf der Indexseite auf Erstellen und wählen Sie im kleinen Dropdown Asset erstellen.
• Das Erstellungsformular öffnet sich. Weisen Sie zunächst eine Verantwortliche Person zu – die Mitarbeiterin oder den Mitarbeiter, die bzw. der für dieses Asset täglich verantwortlich ist. Suchen Sie die Person über das Personensuchfeld.
• Legen Sie den Status fest. Wenn das Tool in Ihrer Organisation bereits im Einsatz ist, wählen Sie Aktiv. Wenn Sie es noch einrichten, ist Entwurf die richtige Wahl – Sie können es später aktivieren.
• Geben Sie einen aussagekräftigen Namen ein – zum Beispiel „Workday HRIS" oder „HR-Datenbank (On-Premises)". Dieser Name erscheint in Brotkrumenpfaden aller verknüpften ROPAs, Bewertungen und Berichte – er sollte eindeutig sein.
• Wählen Sie einen oder mehrere Typ-Tags (z. B. „Cloud-Dienst", „Softwareanwendung"). Diese steuern die Filter- und Berichtsoptionen in anderen Teilen von DPMS.
• Schreiben Sie eine Beschreibung, die erklärt, welche personenbezogenen Daten das Asset verarbeitet und wofür es verwendet wird.
• Füllen Sie das Feld Standort aus – zum Beispiel „AWS EU-West-1" oder „Serverraum, Gebäude A". Dies ist relevant für die Analyse grenzüberschreitender Datenübermittlungen.
• Wählen Sie das Land aus dem Dropdown.
• Wenn Ihr IT-Asset-Management-System eine eigene Referenznummer für dieses Tool hat, tragen Sie sie im Feld ID ein. Wenn es eine Anbieter-Homepage oder eine interne Wiki-Seite gibt, fügen Sie den Link im Feld URL ein.
• Weisen Sie im Bereich Risikoverantwortliche Person die Person zu, die für das Risikomanagement dieses Assets verantwortlich ist – oft der CISO oder eine leitende Führungskraft. Wenn diese Person im Auftrag einer anderen handelt (z. B. ein Manager im Auftrag eines Abteilungsleiters), nutzen Sie das Feld Im Auftrag von darunter. Hinweis: Die Person „Im Auftrag von" darf nicht dieselbe sein wie die Risikoverantwortliche Person – das Formular leert das Feld automatisch, wenn Sie versehentlich dieselbe Person zweimal auswählen.
• Klicken Sie auf Speichern. DPMS erstellt das Asset und leitet Sie direkt zur Detailansicht weiter.

Entwurfs-Assets vor einer Prüfung überprüfen und aktivieren

Vor einer DSGVO-Prüfung muss ein DSB in der Regel sicherstellen, dass alle wichtigen Assets vollständig, aktuell und im Status Aktiv sind. Die Statusfilter-Tabs und die Vorwärts-/Rückwärts-Navigation machen das deutlich effizienter als das einzelne Öffnen von Assets aus einer langen Liste.

• Klicken Sie auf der Indexseite auf den Tab Entwurf. Die Tabelle zeigt nun nur noch Assets, die noch nicht aktiviert wurden.
• Klicken Sie auf eine beliebige Zeile, um die Detailansicht dieses Assets zu öffnen.
• Prüfen Sie die Verantwortliche Person oben rechts im Detail-Header. Wenn dort ein ausgeschiedener Mitarbeiter steht, klicken Sie direkt auf das Personenauswahlfeld im Header – ohne das vollständige Bearbeitungsformular zu öffnen – und weisen Sie das Asset dem aktuellen Verantwortlichen zu. Die Änderung wird sofort gespeichert.
• Überprüfen Sie den Tab Allgemein. Wenn die Beschreibung veraltet ist, klicken Sie direkt auf den Beschreibungstext. Er wird zu einem Inline-Rich-Text-Editor. Nehmen Sie Ihre Korrekturen vor und klicken Sie auf das kleine Speichern-Symbol, das erscheint. Dieses einzelne Feld wird sofort gespeichert.
• Ändern Sie im Status-Dropdown im Detail-Header Entwurf zu Aktiv. Auch diese Änderung wird sofort gespeichert – kein zusätzlicher Speichern-Button erforderlich.
• Nutzen Sie die ◂ ▸ Pfeilschaltflächen im Brotkrumenpfad, um direkt zum nächsten Entwurfs-Asset in der Liste zu wechseln, und wiederholen Sie den Vorgang.

Tipp: Die Vorwärts-/Rückwärts-Pfeile berücksichtigen den auf der Indexseite aktiven Filter. Wenn Sie nach Entwurfs-Assets gefiltert haben, springen die Pfeile nur zwischen Entwurfs-Assets – Sie können also alle Entwurfs-Assets der Reihe nach bearbeiten, ohne jemals zur Liste zurückzukehren.

Einen Risikostandard verknüpfen und das Risikomanagement einrichten

Ein neu erstelltes Asset hat noch keine Risikokonfiguration. Solange kein Risikostandard verknüpft ist, bleibt der Tab „Risiko" leer und die Bereiche für Schwellenwert, Risikoszenarien und Behandlungsplan stehen nicht zur Verfügung. So richten Sie sie ein:

• Öffnen Sie die Detailansicht des Assets und klicken Sie im linken Tab-Menü auf Risiko.
• Klicken Sie in der Risiko-Übersichtskarte auf die Schaltfläche Bearbeiten. Dies führt Sie zum Bearbeitungsformular auf dem Tab „Standards".
• Wählen Sie im Mehrfachauswahlfeld Standards das Risikomodell, das für dieses Asset gilt – zum Beispiel „ISO 27001 Risikomodell". Wenn dieses Asset zu einer Gruppe verwandter Assets gehört, weisen Sie es auch einer Asset-Gruppe zu.
• Wenn dieses Asset eine eigene, unabhängige Risikoberechnung benötigt, anstatt die Einstellungen der Gruppe zu übernehmen, aktivieren Sie den Schalter Asset-spezifisches Risikomanagement.
• Klicken Sie auf Speichern und kehren Sie zur Detailansicht zurück. Der Tab „Risiko" zeigt nun für jeden verknüpften Standard einen eigenen Untertab. Klicken Sie auf den Untertab des Standards.
• Der Bereich Schwellenwert erscheint oben. Klicken Sie neben der Schwellenwert-Überschrift auf Bearbeiten und ziehen Sie den Schieberegler auf den gewünschten Wert – den Risikowert, ab dem ein Szenario als behandlungspflichtig gilt. Speichern Sie die Änderung.
• Ab jetzt stehen in diesem Untertab Risikoszenarien, implementierte TOMs und der Behandlungsplan zur Verfügung.

Nachvollziehen, wer ein Asset wann geändert hat

Wenn Sie bemerken, dass sich der Status eines Assets unerwartet geändert hat – zum Beispiel wurde ein kritisches System von „Aktiv" auf „Inaktiv" gesetzt – liefert das Aktivitätsprotokoll eine vollständige, zeitgestempelte Aufzeichnung aller Feldänderungen an diesem Asset.

• Öffnen Sie die Detailansicht des Assets.
• Suchen Sie das Uhr-Symbol (↺) oben rechts im Inhaltsbereich und klicken Sie darauf.
• Das Aktivitätsprotokoll-Seitenpanel öffnet sich von rechts.
• Blättern Sie durch die Liste der Änderungsereignisse. Jeder Eintrag zeigt Datum und Uhrzeit, den Namen der Person, die die Änderung vorgenommen hat, welches Feld geändert wurde und den Vorher-/Nachher-Wert – zum Beispiel „Status: aktiv → inaktiv".
• Klicken Sie irgendwo außerhalb des Panels oder auf die Schließen-Schaltfläche, um es auszublenden und weiterzuarbeiten.

Bitte beachten: Das Uhr-Symbol ist nur sichtbar, wenn Sie Lesezugriff auf das Asset haben und es zur eigenen Organisation gehört. Wenn Sie ein Asset anzeigen, das aus einem externen Portal in Ihre Organisation geteilt wurde, erscheint das Uhr-Symbol nicht – das ist eine bewusste Zugriffskontrolle und kein Softwarefehler.

Feldreferenz

Die folgenden Felder erscheinen im Erstellungs- und Bearbeitungsformular. Als erforderlich markierte Felder müssen ausgefüllt sein, bevor Sie speichern können.

• Name — Der Anzeigename des Assets. Erscheint in Brotkrumenpfaden und allen verknüpften Objekten. Pflichtfeld. Wählen Sie einen Namen, der in Ihrem gesamten Asset-Inventar eindeutig ist.
• Typ — Ein oder mehrere Kategorie-Tags (z. B. „Softwareanwendung", „Datenbank", „Physisches Gerät"). Nicht zwingend, aber dringend empfohlen – diese Tags steuern die Filterfunktionen in der Asset-Liste und in verknüpften Tabellen in ROPAs. Die verfügbaren Werte stammen aus der Asset-Typ-Taxonomie in den Compliance-Einstellungen.
• Verantwortliche Person(en) — Die DPMS-Nutzer(innen), die für die laufende Verwaltung dieses Assets verantwortlich sind. Kann direkt im Detail-Header geändert werden, ohne das Bearbeitungsformular zu öffnen.
• Status — Der Lebenszykluszustand: Entwurf, Aktiv, Inaktiv oder Überprüfung (plus ggf. benutzerdefinierte Status, die Ihr Administrator konfiguriert hat). Pflichtfeld. Standardmäßig der für Ihre Organisation konfigurierte Standardstatus (meist Entwurf).
• Beschreibung — Freitextbeschreibung des Assets und der verarbeiteten personenbezogenen Daten. Unterstützt Rich-Text. Kann in der Detailansicht direkt inline bearbeitet werden.
• Standort — Physischer oder logischer Standort des Assets (z. B. „AWS Frankfurt", „Serverraum B"). Relevant für Transfer-Folgenabschätzungen.
• Land — Das Land, in dem das Asset hauptsächlich betrieben wird. Wird für die Analyse grenzüberschreitender Datenübermittlungen verwendet.
• ID — Die interne Referenznummer Ihrer Organisation für dieses Asset (z. B. aus einem IT-Asset-Management-System). Optional, aber nützlich für die Nachverfolgbarkeit.
• URL — Ein Link zur Website des Anbieters, einer internen Wiki-Seite oder einem Systemportal. Erscheint in der Detailansicht als klickbarer, kopierbarer Link.
• Risikoverantwortliche Person — Die Person, die speziell für die Risikosteuerung dieses Assets verantwortlich ist. Kann sich von der verantwortlichen Person unterscheiden.
• Im Auftrag von — Wenn die risikoverantwortliche Person im Auftrag einer anderen handelt (z. B. als Stellvertretung), wird diese Person hier eingetragen. Darf nicht dieselbe Person wie die risikoverantwortliche Person sein – das Formular leert das Feld automatisch, wenn beide übereinstimmen.

Wie dieser Bereich mit dem Rest von DPMS zusammenhängt

Das Verzeichnis der Assets ist der zentrale Knotenpunkt Ihres DPMS-Datenmodells. Sobald ein Asset existiert, kann jedes andere Modul darauf verweisen:

• ROPAs (Verarbeitungstätigkeiten): Wenn Sie Assets zu einer ROPA hinzufügen, identifizieren Sie, welche Systeme diese Verarbeitungstätigkeit unterstützen. Ohne erfasste Assets können Sie Ihre ROPA nicht vollständig abbilden.
• Risikoszenarien und Risiko-Dashboard: Risikoszenarien werden gegen Assets berechnet. Das Risiko-Dashboard bleibt leer, bis Assets mit Risikostandards verknüpft sind.
• TOMs (Technische und organisatorische Maßnahmen): TOMs werden mit Assets verknüpft, um zu zeigen, welche Kontrollen welche Systeme schützen.
• Bewertungen und DPIAs: Assets, die mit ROPAs verknüpft sind, bestimmen, welche Verarbeitungstätigkeiten einer DSFA-Risikobewertung unterzogen werden.
• Lieferanten (Externe Empfänger): Der Tab „Externe Empfänger" eines Assets zeigt, welche Lieferanten Daten im Auftrag dieses Systems verarbeiten, und verlinkt direkt zu den jeweiligen Lieferantendetails.
• Löschaufgaben: Der Tab „Datenlöschaufgaben" verknüpft Aufbewahrungsfristen und Löschaufgaben direkt mit dem Asset.

Nach dem Einrichten Ihrer Assets sind die logischen nächsten Schritte: Verknüpfen Sie sie mit Ihren bestehenden ROPAs, weisen Sie im Tab „Risiko" Risikostandards zu und konfigurieren Sie Schwellenwerte, und stellen Sie sicher, dass jedes Asset eine verantwortliche Person und eine aussagekräftige Beschreibung hat.

Tipps & häufige Stolperfallen

Bitte beachten: Wenn der Tab „Risiko" beim ersten Öffnen leer aussieht, ist das normal – Sie müssen zunächst im Bearbeitungsformular unter dem Tab „Standards" mindestens einen Risikostandard verknüpfen, bevor die Bereiche für Schwellenwert, Risikoszenarien und Behandlungsplan verfügbar werden. Viele Nutzer:innen vermuten einen Fehler; tatsächlich wurde die Konfiguration schlicht noch nicht vorgenommen.

Tipp: Sie können Status, verantwortliche Person und Priorität eines Assets direkt im Detail-Header ändern, ohne das vollständige Bearbeitungsformular zu öffnen. Diese drei Felder werden sofort beim Ändern gespeichert – es ist kein separater Speichern-Button erforderlich.

• Das Feld „Im Auftrag von" wird still zurückgesetzt. Wenn Sie dieselbe Person sowohl als risikoverantwortliche Person als auch als „Im Auftrag von" eintragen, leert das Formular das zweite Feld automatisch. Gleiches passiert, wenn Sie später die risikoverantwortliche Person zu der Person ändern, die Sie als „Im Auftrag von" eingetragen hatten. Achten Sie darauf, wenn Ihre Risikogovernance-Struktur komplex ist.
• Die Vorwärts-/Rückwärts-Navigation zeigt nur Assets, die zum aktiven Filter passen. Wenn Sie nach „Status = Entwurf" gefiltert haben und dann mit den Pfeilen durch Assets navigieren, sehen Sie ausschließlich Entwurfs-Assets. Wenn eine andere Person den Status eines Assets ändert, während Sie in der Detailansicht sind, kann dieses Asset lautlos aus Ihrer navigierbaren Folge verschwinden.
• Asset-spezifisches Risikomanagement ist für Assets in Gruppen standardmäßig deaktiviert. Wenn ein Asset einer Gruppe angehört, übernimmt es die Risikokonfiguration der Gruppe, sofern Sie den Schalter „Asset-spezifisches Risikomanagement" im Bearbeitungsformular nicht ausdrücklich aktivieren. Ohne diese Aktivierung wirken sich Änderungen an den individuellen Risikoszenarien des Assets nicht auf dessen eigenen Risikowert aus.
• Inline gespeicherte Beschreibungen werden sofort und unabhängig übernommen. Wenn Sie in der Detailansicht auf den Beschreibungstext klicken und ihn inline bearbeiten, wird die Änderung in dem Moment in der Datenbank gespeichert, in dem Sie auf das Speichern-Symbol klicken – auch wenn Sie gerade dabei sind, ein anderes Formular auf derselben Seite abzubrechen. Es gibt keine „Rückgängig"-Funktion in der Oberfläche; nutzen Sie das Aktivitätsprotokoll, um nachzuverfolgen, was geändert wurde.
• Die Schaltfläche „Importieren" akzeptiert ausschließlich .json-Dateien. Wenn Sie Asset-Daten aus einer Tabellenkalkulation importieren möchten, müssen Sie diese zunächst in das DPMS-JSON-Exportformat umwandeln. Ein guter Ausgangspunkt ist der Export eines bestehenden Assets aus einer anderen DPMS-Instanz, um die korrekte Struktur zu erhalten.