Geräte aus Intune, Jamf oder einem Netzwerkscan übernehmen

Was Geräteverwaltung, Netzwerkscan und Inventar jeweils wissen

Ein Inventar entsteht aus Belegen und Vorgängen. Eine Geräteverwaltung wie Microsoft Intune oder Jamf Pro kennt die Geräte, die sich bei ihr melden. Ein Netzwerkscan kennt alles, was im Netz antwortet. Jede Quelle sieht einen anderen Ausschnitt, und der Abgleich macht die Unterschiede sichtbar. Wie sich diese Quellen zu einer CMDB verhalten, beschreibt der Leitfaden CMDB und Asset-Management.

Welches System bei welchem Feld maßgeblich ist, legt Schnittstellen im IT-Asset-Management fest. Für den Dateiabgleich gilt dieselbe Regel. Technische Angaben kommen aus der Geräteverwaltung. Ort, Verantwortung und Kosten bleiben im Inventar.

Der Geräteexport aus Microsoft Intune

Im Microsoft Intune Admin Center liegt der Export unter „Geräte“, „Alle Geräte“, „Exportieren“. Die Oberfläche fragt, ob nur die eingeblendeten Spalten oder alle Inventardaten in die Datei sollen. Das Ergebnis kommt als ZIP-Archiv mit einer CSV-Datei. Aus Sicht des Datenschutzes ist die erste Wahl die bessere. Wer vorher nur die nötigen Spalten einblendet, hat weniger personenbezogene Daten in einer Datei, die danach im Download-Ordner liegt.

Zwei Einschränkungen gehören zur Datei. Intune aktualisiert die Hardware- und Softwareinventur nach Angabe von Microsoft alle sieben Tage ab dem Registrierungsdatum. Technische Angaben können also eine Woche alt sein. Bei persönlichen Geräten fehlen Kennungen: Mit der kontogesteuerten Benutzerregistrierung von Apple erhebt Intune keine Seriennummer, und bei persönlichen Android-Geräten mit Arbeitsprofil ab Android 12 kann sie fehlen.

Wer den Export regelmäßig braucht, ruft denselben Bericht über die Graph-Schnittstelle als Exportauftrag DevicesWithInventory ab. Microsoft rät, die Spalten dabei ausdrücklich auszuwählen und keine Automatisierung auf die Standardspalten eines Berichts zu stützen.

Der Inventarexport aus Jamf Pro

Jamf Pro exportiert aus jeder Inventarsuche. Nach einer einfachen Suche unter „Computers“, „Search Inventory“ steht die Schaltfläche „Export“ unter der Ergebnisliste. Eine erweiterte Suche legt unter „Criteria“ und „Display“ fest, welche Geräte und Felder in den Bericht kommen. Heruntergeladen wird er im Reiter „Reports“ als CSV, TSV oder XML. Mobilgeräte haben eine eigene Suche mit demselben Aufbau.

Zwei Eigenschaften machen Jamf für den Abgleich nützlich. Das Feld Asset Tag kann die eigene Inventarnummer aufnehmen. Dann gelingt der Abgleich auch über diese Nummer. Über Inventory Preload lässt sich eine CSV-Datei mit Seriennummer, Asset Tag und Einkaufsdaten hochladen, bevor die Geräte registriert sind. Jamf ordnet die Angaben beim nächsten Inventarlauf über die Seriennummer zu.

Zwei Fallen gehören dazu. Building und Room beschreiben in Jamf den Standort der Person und werden auf Wunsch aus dem Verzeichnisdienst befüllt. Über den Ort des Geräts sagen sie nichts Verlässliches. Außerdem verlangt Inventory Preload Kommas als Trennzeichen. Excel speichert CSV mit dem Listentrennzeichen der Regionaleinstellungen. Bei deutschen Einstellungen ist das meist ein Semikolon, und eine solche Datei lehnt der Upload ab. Wie Seriennummern Excel unbeschadet überstehen, zeigt Inventarnummern in Excel.

Der Netzwerkscan als dritte Quelle

Ein Netzwerkscan fragt einen Adressbereich ab und listet alles, was antwortet. Damit findet er auch Geräte, die weder im Inventar noch in einer Geräteverwaltung stehen: Drucker, Kameras, Konferenztechnik und private Geräte im Firmennetz.

Ein verbreitetes freies Werkzeug dafür ist nmap. Es erkennt Adressen, offene Dienste und oft das Betriebssystem. MAC-Adresse und Hersteller der Netzwerkkarte sieht es nur im eigenen lokalen Netzsegment. Eine Seriennummer liefert ein solcher Scan nicht. Als Datei schreibt nmap unter anderem XML, das vor dem Abgleich in eine Tabelle umgewandelt wird.

Scanner mit Zugangsdaten melden sich über WMI, SSH oder SNMP am Gerät an und lesen dabei die Seriennummer aus. Ihre Zugangsdaten sind ein eigenes Sicherheitsthema. Ein Scan ohne Anmeldung lässt sich nur über Gerätename oder MAC-Adresse zuordnen, und beide sind unsichere Schlüssel. Namen ändern sich, und Telefone verwenden im WLAN je Netz eigene private MAC-Adressen. Ein solcher Scan beantwortet deshalb vor allem die Frage, was im Netz läuft.

Die Seriennummer als Abgleichschlüssel und ihre Tücken

Die Seriennummer ist der einzige Schlüssel, den Inventar, Geräteverwaltung und Hersteller gemeinsam kennen. Fünf Tücken erzeugen trotzdem Abweichungen, die keine sind.

1. Schreibweise und Leerzeichen weichen ab. Vor dem Vergleich entfernt der Abgleich auf beiden Seiten alle Leerzeichen und bringt die Buchstaben auf eine einheitliche Schreibweise.
2. Der Scan liefert zusätzliche Zeichen. Der Scan einer Apple-Verpackung ergibt ein vorangestelltes S, das nach Angabe von Apple nicht zur Seriennummer gehört.
3. Virtuelle Maschinen haben erzeugte Seriennummern. Der Hypervisor vergibt sie, und geklonte Maschinen können dieselbe Nummer haben. Sie werden vorher über Hersteller und Modell herausgefiltert.
4. Ein Tausch der Hauptplatine kann die Nummer löschen. Der Techniker muss sie in die neue Platine schreiben. Unterbleibt das, meldet das Gerät eine leere Nummer oder einen Platzhalter wie Default string. Bei Windows Autopilot braucht das Gerät nach Angabe von Microsoft in jedem Fall eine neue Registrierung. Wie solche Eingriffe festgehalten werden, beschreibt Reparatur und Wartung von IT-Geräten dokumentieren.
5. Platzhalter und Dubletten täuschen Treffer vor. Jede Seriennummer, die mehr als einmal in einer Datei steht, geht als Befund in eine eigene Liste.

Wo die Seriennummer versagt, hilft ein zweiter Schlüssel. In Jamf ist das der Asset Tag mit der Inventarnummer. In Intune ist es die Kennung des Geräts, die bis zur nächsten Registrierung gilt.

Der dreiteilige Abgleich und was jede Menge bedeutet

Ein Abgleich zweier Listen hat drei Ergebnisse, und jedes verlangt eine andere Handlung. Wer nur Treffer und Neuzugänge meldet, verschweigt die dritte Menge und meldet Vollständigkeit, wo eine Lücke ist.

Die dritte Menge verdient den meisten Aufwand. In ihr stehen Geräte, für die niemand Updates, Verschlüsselung und Sperre im Verlustfall steuert. Wer Nachweise nach ISO 27001 oder NIS2 führt, braucht diese Liste. Sie zeigt, welcher Teil des Bestands außerhalb der technischen Kontrolle liegt.

Wie oft abgeglichen wird

Weil Intune die Hardwareinventur alle sieben Tage aktualisiert, bringt ein täglicher Abgleich für technische Angaben wenig. Vor einer IT-Inventur spart er Wege, weil verlorene und ausgesonderte Geräte vorher aus der Erwartungsliste fallen. Welche Listen ein Versicherer sehen will, behandelt Cyberversicherung: welche Nachweise der Versicherer verlangt.

Den Hauptbenutzer übernehmen, ohne zu viel zu übernehmen

Die Geräteverwaltung führt zu jedem Gerät einen Hauptbenutzer mit Anmeldename, E-Mail-Adresse und Anzeigename. Wer diese Spalten übernimmt, verarbeitet Daten von Beschäftigten in einem zweiten System. Dafür gelten Zweckbindung und Datenminimierung aus Artikel 5 DSGVO.

• Der Hauptbenutzer ist ein Hinweis. Intune setzt ihn nach Angabe von Microsoft je nach Registrierungsweg auf die registrierende Person oder auf die erste Person, die sich anmeldet. Hat die IT das Gerät eingerichtet, steht dort unter Umständen jemand aus der IT.
• Die verbindliche Zuordnung entsteht mit dem Ausgabeprotokoll. Der Hauptbenutzer aus der Datei ist deshalb ein Vorschlag, der erst nach Prüfung übernommen wird.
• Eine Kennung der Person genügt. Telefonnummer, IMEI und Zeitstempel je Person bleiben in der Geräteverwaltung. Der letzte Kontakt zusammen mit einem Namen zeigt, wann jemand gearbeitet hat.
• Die Exportdatei wird nach dem Abgleich gelöscht. Ein Archiv solcher Dateien wäre eine zweite Sammlung personenbezogener Daten ohne Zweck.

Wo ein Betriebsrat besteht, kann die Übernahme das Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG berühren. Das Bundesarbeitsgericht legt „bestimmt“ weit aus: Es genügt, dass eine Einrichtung objektiv zur Überwachung geeignet ist. Die Grundzüge beschreibt Mitbestimmung bei Umbau, Umzug und Desk Sharing. Wie ein Asset-Inventar im Verzeichnis nach Artikel 30 DSGVO erscheint, behandelt Verzeichnis von Verarbeitungstätigkeiten und Asset-Inventar.

Dateiabgleich und laufende Synchronisation

Ein Dateiabgleich ist eine Momentaufnahme, die ein Mensch auslöst. Eine laufende Synchronisation hält zwei Systeme dauerhaft gleich und braucht dafür Betrieb.

Die Grenze des Dateiabgleichs liegt in der Aktualität. Eine neue Schwachstelle trifft auf Daten, die einen Monat alt sein können. Die App dieser Website bietet heute den Dateiabgleich: Er vergleicht einen CSV-Export aus Intune, Jamf, Lansweeper oder nmap dreiteilig und schreibt erst nach einer Vorschau. Die Schnittstellentabelle zum IT-Asset-Management nennt für jeden Weg die Grenze und führt die laufende Synchronisation als geplant.

Wie sich 480 Geräte im Inventar und 455 in der Geräteverwaltung auflösen

Ein Haus mit rund 400 Beschäftigten führt 480 Geräte mit Betriebssystem im Inventar. Monitore und Zubehör sind vorher herausgefiltert, weil keine Geräteverwaltung sie kennt. Die Geräteverwaltung liefert 455 Einträge. Die Differenz von 25 wirkt klein. Der erste Lauf zeigt 62 Geräte nur im Inventar und 37 nur in der Datei.

Die 30 Geräte, die im zweiten Lauf nur im Inventar stehen, sind erklärt. 22 liegen im Lager, darunter die 6 wiedergefundenen, und 8 sind dokumentierte Ausnahmen wie Laborrechner. Eine erklärte Restmenge ist das Ziel eines Abgleichs.

Was in der Praxis schiefgeht

• Der Abgleich läuft gegen das ganze Inventar. Monitore und Headsets landen dann in der Menge nur im Inventar und verdecken die echten Befunde.
• Die Datei geht vorher durch Excel. Führende Nullen und lange Nummern gehen beim Speichern verloren, und genau diese Geräte fehlen im Abgleich.
• Der Hauptbenutzer überschreibt die Ausgabe. Nach einem ungeprüften Import stehen Geräte bei der Person aus der IT, die sie eingerichtet hat.
• Ein Gerät wird gelöscht und neu registriert. Es bekommt eine neue Kennung, und ein Abgleich über diese Kennung meldet ein neues Gerät.
• Befunde bleiben liegen. Beim nächsten Abgleich stehen dieselben Geräte in der Liste, und niemand weiß, welche geklärt sind. Jeder geklärte Befund bekommt deshalb einen datierten Vermerk am Gerät.

Häufige Fragen