Asset anlegen

Asset anlegen

Der Bereich Asset anlegen ist der Ort, an dem Sie jedes System, jede Datenbank, jede Anwendung, jedes physische Gerät oder jeden Dienst, der personenbezogene oder sensible Daten verarbeitet, speichert oder überträgt, formell in DPMS registrieren. Stellen Sie sich diesen Vorgang wie das Anlegen einer Akte für jede relevante Ressource in Ihrem Datenschutzinventar vor. Sobald ein Asset existiert, können alle nachgelagerten Funktionen von DPMS — Risikoszenarien, Behandlungspläne, TOMs, RoPA-Verknüpfungen und Datenschutz-Folgeabschätzungen — damit verbunden werden. Ohne einen vollständigen Asset-Datensatz haben diese Funktionen schlicht keinen Bezugspunkt.

So öffnen Sie diese Ansicht

Klicken Sie in der linken Seitenleiste auf Assets und dann oben rechts in der Asset-Übersicht auf die Schaltfläche Erstellen. Wenn Sie direkt aus einem Bewertungs-Portal (z. B. einer laufenden DSFA) hierher weitergeleitet werden und ein Asset kurzfristig anlegen müssen, führt DPMS Sie nach dem Speichern automatisch zur Ausgangsseite zurück.

Sie benötigen die Berechtigung zum Erstellen von Assets, damit die Schaltfläche Erstellen angezeigt wird. Ist sie nicht sichtbar, wenden Sie sich an Ihre DPMS-Administration.

Aufbau der Ansicht

Die Seite öffnet sich mit der Überschrift „Allgemein" — das ist der erste Tab des Asset-Datensatzes, den Sie gerade anlegen. Eine Karte mit einem blauen linken Rand füllt den Hauptbereich; dieses visuelle Merkmal zeigt in DPMS an, dass Sie sich in einer Dateneingabe-Ansicht befinden und nicht in einer Leseansicht.

Im oberen Bereich der Karte befindet sich eine schmale Aktionsleiste mit der Auswahl für Verantwortliche Personen und dem Status-Dropdown — diese bleiben beim Scrollen immer sichtbar. Darunter folgen die Felder in logischer Reihenfolge: Name, Typ, Beschreibung, Standorte, Land, ID, URL und schließlich der Bereich Risikoverantwortliche(r) mit dem Unterfeld Im Auftrag von. Oben rechts in der Karte befindet sich die Schaltfläche Speichern.

So arbeiten Sie mit dieser Ansicht

Ein neues Asset von Grund auf anlegen

Beginnen Sie damit, den Namen des Assets in das Feld Name einzugeben — etwas Klares und Suchefreundliches wie „CRM-System – Salesforce" oder „EU-Kundendatenbank". Dieser Name erscheint in allen Dropdown-Listen, Übersichten und Berichten in DPMS; wählen Sie ihn daher aussagekräftig.

Klicken Sie anschließend auf den Typ-Selektor und wählen Sie die passende Kategorie oder mehrere Kategorien (z. B. „Software" oder „Datenbank"). Diese Tags stammen aus der Tag-Bibliothek Ihrer Organisation. Wenn die Liste leer erscheint, muss Ihre Administration zunächst Asset-Typ-Tags unter Compliance-Einstellungen → Tags → Asset-Typ anlegen. Das Asset kann auch ohne Typ gespeichert werden, aber eine Filterung nach Typ in Berichten ist dann nicht möglich.

Tragen Sie im Feld Beschreibung einen kurzen Text ein, der erklärt, was dieses Asset tut und warum es für Ihre Datenschutzaktivitäten relevant ist. Das Textfeld wächst beim Tippen automatisch mit.

Füllen Sie das Feld Standorte aus, sofern Sie wissen, wo das Asset gehostet wird — z. B. „Rechenzentrum Frankfurt" oder „AWS EU-West-1". Diese Information fließt in Analysen zu grenzüberschreitenden Datentransfers und in die Eingrenzung meldepflichtiger Datenpannen ein.

Wählen Sie aus dem Dropdown das primäre Land aus. Dieses wird für die Zuordnung von Rechtsvorschriften und anwendbaren Regulierungen genutzt.

Wenn Ihre Organisation Assets in einem IT-Inventarsystem oder einer CMDB erfasst, tragen Sie die externe Referenznummer in das Feld ID ein. Dieses Freitext-Feld dient der Nachverfolgung zwischen DPMS und externen Systemen; eine Eindeutigkeitsprüfung findet nicht statt. Falls das Asset eine Webadresse hat (z. B. eine interne Admin-Oberfläche oder die Produktseite eines Anbieters), tragen Sie diese in das Feld URL ein. Nach dem Speichern wird sie in der Detailansicht als klickbarer Link mit einer Kopierfunktion angezeigt.

Öffnen Sie in der Aktionsleiste oben die Auswahl für Verantwortliche Personen und wählen Sie alle Personen aus, die für die Aktualität dieses Datensatzes verantwortlich sind. Setzen Sie dann den Status — standardmäßig ist Entwurf voreingestellt. Wenn Ihr Workflow verlangt, dass Assets direkt beim Anlegen auf Aktiv gesetzt werden, nehmen Sie diese Änderung jetzt vor.

Scrollen Sie schließlich zum Abschnitt Risikoverantwortliche(r) und wählen Sie die Person aus, die formal für das Risikomanagement dieses Assets zuständig ist. Diese Person erscheint in Risikoberichten, Genehmigungen von Behandlungsplänen und Prüfprotokollen.

Wenn alle Angaben stimmen, klicken Sie auf Speichern. DPMS legt den Datensatz an und leitet Sie zur Detailansicht des neuen Assets weiter, wo Sie es einer Asset-Gruppe zuordnen und Risikostandards verknüpfen können.

Eine Delegationskette für die Risikoverantwortung einrichten

In vielen größeren Organisationen übernimmt die als Risikoverantwortliche(r) eingetragene Person diese Rolle stellvertretend für eine andere Person — zum Beispiel eine Führungskraft, die formal das Risiko trägt, während der eigentliche Datensteuerer einer anderen Einheit angehört.

Nachdem Sie eine risikoverantwortliche Person ausgewählt haben, erscheint darunter das Feld Im Auftrag von. Wählen Sie dort die Person aus, in deren Namen gehandelt wird. DPMS zeigt diese Beziehung in der Detailansicht als „Risikoverantwortliche(r) (im Auftrag von [Name])" an — eine transparente Delegationskette für Audits.

Eine wichtige Einschränkung: Dieselbe Person kann nicht gleichzeitig als Risikoverantwortliche(r) und als die Person eingetragen werden, in deren Auftrag gehandelt wird. DPMS blockiert eine solche Auswahl ohne Fehlermeldung. Wenn Sie nachträglich die risikoverantwortliche Person auf jemanden ändern, der bereits im Feld Im Auftrag von steht, wird dieses Feld automatisch geleert. Prüfen Sie daher beide Felder nach jeder Änderung.

Wenn keine Delegation vorliegt, lassen Sie Im Auftrag von einfach leer.

Einen Platzhalter-Datensatz mit Daten befüllen

DPMS erstellt manchmal automatisch Platzhalter-Assets — bei Massenimporten oder wenn ein Bewertungs-Workflow ein verknüpftes Asset generiert. Diese Datensätze können einen provisorischen Namen haben und sonst keine Metadaten.

Öffnen Sie den Platzhalter aus der Asset-Übersicht. In der Detailansicht finden Sie im Abschnitt „Allgemein" eine Schaltfläche Bearbeiten; ein Klick darauf öffnet dasselbe Formular wie beim Erstellen, jedoch vorausgefüllt mit den vorhandenen Daten. Aktualisieren Sie den Namen, wählen Sie einen Typ, ergänzen Sie Beschreibung und Land und weisen Sie eine Verantwortliche Person sowie eine Risikoverantwortliche(r) zu. Da der Datensatz bereits existiert, führt ein Klick auf Speichern zur Aktualisierung — Sie werden anschließend zur Detailansicht zurückgeleitet.

Ein Asset während einer laufenden Bewertung anlegen

Während einer DSFA oder einer anderen Bewertung kann es vorkommen, dass ein datenverarbeitendes System noch nicht in DPMS registriert ist. Wenn DPMS im Bewertungsportal einen Shortcut „Asset erstellen" anbietet, klicken Sie darauf. Das Formular öffnet sich. Füllen Sie mindestens den Namen aus und weisen Sie eine Verantwortliche Person zu, dann klicken Sie auf Speichern. Da Sie aus dem Portal gekommen sind, merkt sich DPMS Ihren Ursprungsort und leitet Sie direkt dorthin zurück — das neue Asset steht sofort zur Auswahl bereit.

Feldreferenz

• Name — Der Anzeigename des Assets in ganz DPMS. Unterstützt automatische Übersetzung in alle aktiven Sprachen. Praktisch gesehen erforderlich (das Formular speichert auch ohne Namen, aber der Datensatz erscheint dann überall als leere Zeile).
• Typ — Ein oder mehrere Klassifikations-Tags (z. B. „Software", „Datenbank", „Physisch"). Tags müssen zuvor unter Compliance-Einstellungen → Tags → Asset-Typ angelegt werden. Optional, aber notwendig für die Filterung.
• Beschreibung — Freitext zur Erläuterung des Assets. Optional; kein Zeichenlimit.
• Standorte — Physischer oder logischer Aufenthaltsort des Assets. Optional; wird in der Asset-Übersicht als Spalte angezeigt und für Transferanalysen verwendet.
• Land — Primäres Betriebsland. Aus einer Standardliste wählbar. Optional; wird für den Regulierungsabgleich genutzt.
• ID — Externe Kennzeichnung für die Verknüpfung mit CMDB, IT-Inventar oder Tabellenkalkulation. Freitext ohne Eindeutigkeitsprüfung. Optional.
• URL — Eine Webadresse für das Asset. Jede Zeichenkette wird akzeptiert (keine Formatprüfung) — Tippfehler werden erst in der Detailansicht sichtbar, wenn der Link nicht funktioniert. Optional.
• Verantwortliche Personen — DPMS-Nutzer(innen), die für die Aktualität des Datensatzes verantwortlich sind. Dringend empfohlen; ohne Zuweisung fehlen Benachrichtigungen und Prüfpfade.
• Status — Lebenszyklusphase des Assets (z. B. Entwurf, Aktiv, In Überprüfung). Standardmäßig Entwurf. Ändern Sie diesen Wert auf Aktiv, wenn Ihr Workflow es erfordert.
• Risikoverantwortliche(r) — Person, die formal für Risikoentscheidungen zu diesem Asset verantwortlich ist. Bei der Erstellung optional, aber dringend empfohlen für Risikoberichte und Genehmigungen.
• Im Auftrag von — Person, in deren Namen die risikoverantwortliche Person handelt. Nur sinnvoll, wenn ein(e) Risikoverantwortliche(r) eingetragen ist. Darf nicht dieselbe Person wie der/die Risikoverantwortliche sein.

Verbindung zu anderen Bereichen von DPMS

Das Anlegen eines Assets ist der Ausgangspunkt für eine Vielzahl nachgelagerter Aktivitäten. Ohne einen bestehenden Asset-Datensatz ist keine der folgenden Funktionen nutzbar:

• Asset-Gruppen und Risikostandards — Nach dem Speichern öffnen Sie die Detailansicht und wechseln zum Tab „Gruppen & Standards", um das Asset einer Asset-Gruppe hinzuzufügen und einen Risikostandard (z. B. ISO 27001 oder DSGVO) zu verknüpfen. Risikobewertungen können erst dann berechnet werden.
• Risikoszenarien und Behandlungspläne — Die Tabs für Risikoanalysen (Aktuelles Asset-Risiko, Behandlungsoptionen, Behandlungsplan, Schwellenwert) werden erst verfügbar, wenn mindestens ein Risikostandard verknüpft ist.
• Bewertungen (DSFAs, Lieferantenbewertungen) — Bewertungen, die dieses Asset referenzieren, erscheinen nach dem Speichern im Tab „Bewertungen" der Detailansicht.
• TOMs (Technische und organisatorische Maßnahmen) — Umgesetzte Sicherheitsmaßnahmen können erst nach Anlage des Assets damit verknüpft werden.
• RoPA-Einträge — Verarbeitungstätigkeiten können das Asset referenzieren; verknüpfte RoPA-Einträge und anwendbare Vorschriften erscheinen im Tab „Allgemein" der Detailansicht.
• Asset-Auswahllisten in ganz DPMS — Unmittelbar nach dem Speichern erscheint das neue Asset in allen „Asset verknüpfen"-Auswahlfeldern, da der Speichervorgang die globale Asset-Liste aktualisiert.

Nach dem Anlegen des Assets ist der nächste logische Schritt, die Detailansicht zu öffnen, das Asset einer Asset-Gruppe zuzuweisen und mindestens einen Risikostandard zu verknüpfen, damit Risikoszenarien und -bewertungen starten können.

Tipps und häufige Fehler

Achtung: Das Formular verhindert nicht das Speichern ohne Namen. Ein namenloses Asset erscheint als leere Zeile in jeder Übersicht und ist kaum auffindbar. Füllen Sie immer das Feld Name aus, bevor Sie auf Speichern klicken.

Achtung: Wenn Sie das Formular verlassen, ohne zu speichern, gehen alle eingegebenen Daten verloren. DPMS zeigt keine „Änderungen verwerfen?"-Abfrage. Wenn Sie zwischendurch etwas nachschlagen müssen, öffnen Sie lieber einen neuen Browser-Tab.

• Verantwortliche Person vs. Risikoverantwortliche(r) — Das sind zwei verschiedene Rollen. Die Verantwortliche Person ist für die Pflege des DPMS-Datensatzes zuständig (Aktualität, Reaktion auf Systembenachrichtigungen). Der/die Risikoverantwortliche trägt die formale Verantwortung für die mit dem Asset verbundenen Risiken. In kleinen Teams kann es dieselbe Person sein; in größeren Organisationen sind es meist unterschiedliche Personen. Eine korrekte Zuweisung von Anfang an verhindert Verwirrung in Risikoberichten.
• Das Feld „Im Auftrag von" wird lautlos zurückgesetzt — Wenn Sie zuerst eine Person im Feld Im Auftrag von eingetragen haben und dann den/die Risikoverantwortliche(r) auf genau diese Person ändern, löscht DPMS das Feld Im Auftrag von automatisch. Das ist beabsichtigt (eine Person kann nicht im Auftrag ihrer selbst handeln), kann aber überraschen. Überprüfen Sie beide Felder nach jeder Änderung des/der Risikoverantwortlichen.
• Asset-Typen müssen vorab konfiguriert sein — Das Dropdown Typ ist nur befüllt, wenn Ihre Administration zuvor Tags unter Compliance-Einstellungen → Tags → Asset-Typ angelegt hat. Ist die Liste leer, kann das Asset zwar trotzdem gespeichert werden, aber eine Filterung nach Typ ist erst möglich, sobald die Tags angelegt und der Datensatz aktualisiert wurde.
• Das URL-Feld prüft das Format nicht — Jede Zeichenkette wird ohne Fehlermeldung gespeichert. Eine URL mit einem Tippfehler ergibt in der Detailansicht nur einen defekten Link. Prüfen Sie die Adresse vor dem Speichern sorgfältig.
• Status ist standardmäßig „Entwurf" — Wenn Ihre Organisation Assets direkt bei der Anlage auf Aktiv setzen soll, denken Sie daran, das Status-Dropdown vor dem Klick auf Speichern zu ändern. Diese Einstellung wird leicht vergessen.