Complass – Navigate compliance Complass – Navigate compliance

Funktionen inklusive ab Professional: Asset-Management, Pakete vergleichen

Asset-Management

Ihr Asset-Inventar als gemeinsame Grundlage für Compliance und Sicherheit: IT und OT auf einer zentralen Plattform, agentless erfasst, mit SBOM, Herstellerhinweisen und Zusammenhängen.

Standbild aus dem Kurzfilm „Asset-Management in 20 Sekunden“
Asset-Management in 20 Sekunden Import, Netzwerkmitschnitt, Inventar, Zonen und Conduits. Beispieldaten der Demo-Firma.
?>

Wer seine Anlagen nicht kennt, kann sie nicht schützen, und oft liegt das Wissen verteilt in Excel-Listen, Tool-Exporten und Köpfen.

Agentless erfassen

  • Sammelskripte statt Agent

    Lesbare Skripte für Windows (PowerShell, cmd für ältere Systeme) und Linux. Sie lesen nur, installieren nichts und schreiben je System eine Datei.

  • Signiert, verschlüsselt, geprüft

    Die Dateien der PowerShell- und Linux-Skripte sind signiert und verschlüsselt. Veränderte, fremde oder doppelte Dateien lehnt Complass ab. Die Übernahme erfolgt gesammelt mit Vorschau, auch als ZIP.

  • Vorhandenes übernehmen

    Import aus der Excel/CSV-Vorlage, aus Zeek und Nmap sowie aus CSV-Exporten gängiger OT-Monitoring-Werkzeuge. Netzwerkmitschnitte (PCAP, PCAPNG) werden in Ihrem Browser ausgewertet; die Datei verlässt Ihren Rechner nicht.

  • Keine Dubletten

    Alle Importwege gleichen zentral ab: Seriennummer mit Hersteller, MAC-Adresse, System-UUID, Hostname mit Domäne. Unklare Fälle erscheinen als „Mögliches Duplikat: prüfen“ und werden nie automatisch angelegt.

  • Entdeckte Geräte und Hersteller

    Die Nachbartabelle der Systeme liefert weitere Geräte als Kandidaten, nie direkt als Asset. Fehlt der Hersteller, schlägt Complass ihn aus dem öffentlichen IEEE-Register vor, gekennzeichnet als „vermutet (MAC)“.

  • Aus Ihren Werkzeugen

    Asset-Konnektoren lesen Inventar aus NetBox, Snipe-IT, Intune, Lansweeper und OT-Werkzeugen ein.

  • Verteilung per Gruppenrichtlinie

    Vorlage für die Aufgabenplanung unter Windows, dazu Anleitungen für Gruppenrichtlinie, systemd-Timer und cron.

Gesetzlicher und normativer Bezug

  • IEC 62443-3-2
  • IEC 62443-2-1
  • ISO/IEC 27001:2022, A.5.9
  • ISO/IEC 27001:2022, A.8.9
  • § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  • Anhang I Teil II CRAAnhang I Teil II CRA Anforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
Asset-Inventar der Demo-Firma mit Typ, Adressen, Zone, Zuständigkeit und Schutzbedarf
Asset-Inventar mit Zone, Zuständigkeit und Schutzbedarf.

Drei Betriebsarten für die Sammelskripte

Sie legen in Complass fest, wie die Datei zu Ihnen kommt. Die Betriebsart steht im Skript fest und lässt sich beim Aufruf nicht ändern.

Nur lokal

Keinerlei Netzverbindung. Die Datei bleibt auf dem System, Sie laden sie selbst hoch.

Push auf Freigabe

Nur eine Kopie auf eine Freigabe in Ihrem Netz, ohne Token und ohne Adresse. Sie laden die Dateien gesammelt als ZIP hoch.

Push an Complass

Die Datei geht per HTTPS mit einem Sammel-Token direkt an Complass. Ist das Ziel nicht erreichbar, bleibt sie lokal.

Assets aus einem Netzwerkmitschnitt

Standbild aus dem Kurzfilm „Assets aus einem Netzwerkmitschnitt“
Assets aus einem Netzwerkmitschnitt PCAP-Datei im Browser auswerten: Die Datei bleibt auf Ihrem Rechner, übertragen wird nur das Ergebnis. Beispieldaten der Demo-Firma.

Verstehen, was läuft

Die Asset-Seite bündelt Übersicht, Technik, Netzwerk, Sicherheit, Verträge, Beziehungen, Prozesse, Nachweise und Verlauf in Reitern.

  • Technische Details je Asset

    Hardware, BIOS/UEFI, CPU, RAM, Datenträger, Betriebssystem mit Build, Netzwerkadapter und installierte Software, optional lauschende Ports und Dienste. Die Software wird zur SBOM.

  • Sicherheitsstand aus dem System

    Virenschutz, Firewall und Laufwerksverschlüsselung (BitLocker) aus der Sammlung. Hinweise wie „Firewall aus“ stehen am Asset.

  • Verlauf mit Herkunft

    Änderungen seit der letzten Sammlung stehen im Verlauf, mit Herkunft (manuell, Import, Sammelskript), filterbar und als Excel/CSV exportierbar.

  • Zertifikate und Kryptografie

    Zertifikate mit Warnung 30, 14 und 7 Tage vor Ablauf, Import aus PEM, nmap und testssl; ein Schlüsselinventar zeigt, was für Post-Quanten-Kryptografie umgestellt werden muss.

  • Brücken zwischen Zonen

    Systeme in mehreren Netzen erkennt Complass und bewertet sie: mittel, hoch mit IP-Weiterleitung, kritisch, wenn sie Zonen ohne Conduit verbinden. Die Zonenübersicht zeigt sie als „Brücke“.

SBOM für Produkte und Anlagen

Der Cyber Resilience Act verlangt von Herstellern eine Software-Stückliste ihrer Produkte. Betreiber finden mit ihr betroffene Anlagen, sobald eine neue Schwachstelle bekannt wird.

  • SBOM je Asset und Produkt

    Komponenten mit Version, Lieferant, Typ, purl, CPE, Lizenz, Prüfsumme und übergeordneter Komponente. Offene Schwachstellen erscheinen direkt an der Komponente.

  • Vorlage, Import oder Sammelskript

    Excel/CSV-Vorlage, vorhandene Dateien in CycloneDX 1.4–1.6 und SPDX 2.2/2.3 oder die Software aus dem Sammelskript, jeweils mit Vorschau.

  • Stände und Vergleich

    „Stand speichern“ hält die SBOM unveränderlich fest, z. B. je Firmware-Version. Der Vergleich zeigt hinzugekommene, entfernte und geänderte Komponenten.

  • Export für Kunden und Behörden

    CycloneDX 1.6 (JSON, XML) und SPDX 2.3, vor der Ausgabe gegen die Pflichtangaben geprüft, dazu VEX mit dem Status bekannter Schwachstellen.

  • Lizenzübersicht

    Lizenzen als permissiv, schwaches oder starkes Copyleft, proprietär oder unbekannt. Bei eigenen Produkten Hinweise wie „Pflichten prüfen“ oder „Lizenz klären“; keine Rechtsberatung.

Berichte und Exporte: Asset-Sicherheitsbericht als PDF, Complass-Austauschformat, CSV für CMDB- und Ticketsysteme, CycloneDX und Excel. Direkte Anbindungen stehen auf der Seite Integrationen →

Risiken erkennen und begründet priorisieren

  • Priorität mit Begründung

    Ist ein Dienst der betroffenen Komponente im Netz erreichbar, steigt die Priorität der Schwachstelle; nur lokal erreichbare Dienste sinken. Firewall aus, Virenschutz aus und unverschlüsselte Laufwerke fließen ein, jeweils mit Begründung.

  • Ende der Herstellerunterstützung

    Complass zeigt je Asset, wann der Hersteller für Betriebssystem oder Software keine Sicherheitsupdates mehr liefert, mit Regel und Quelle. Filter, Anzahl je Zone und eine Dashboard-Kachel.

  • Bewusst betrieben, kompensiert

    Für Altsysteme in der OT dokumentieren Sie Segmentierung, Allowlisting oder Überwachung mit Begründung und Überprüfungsdatum. Die Priorität der Schwachstellen berücksichtigt das.

  • Herstellerhinweise (CSAF)

    Sicherheitshinweise aus offiziellen Quellen werden mit Hersteller, Modell und Firmware-Version Ihrer Assets abgeglichen. Signatur und Prüfsumme werden geprüft; schlägt die Prüfung fehl, wird der Hinweis nicht verwendet. Ihre Administratoren schalten Quellen je Unternehmen ab.

  • Risiko oder Aufgabe mit einem Klick

    Aus einem Hinweis am Asset legen Sie ein vorbelegtes Risiko oder eine Aufgabe an, etwa für Migration, Ersatz oder eine kompensierende Maßnahme.

Herstellerhinweise aus offiziellen Quellen

Öffentliche CSAF-Feeds, täglich abgerufen und je Unternehmen abschaltbar. Eigene CSAF-Dateien laden Sie zusätzlich hoch, einzeln oder als ZIP.

  • Siemens ProductCERT
  • Schneider Electric
  • Phoenix Contact
  • CERT@VDE
  • ABB PSIRT
  • BSI (CERT-Bund)
  • CISA (ICS-Advisories)

Zusammenhänge, Verträge und Zonen

Die Beziehungen und Zuständigkeiten, die Compliance und Business Continuity brauchen, ohne ein vollständiges ITIL-CMDB einzuführen.

  • Beziehungen mit Karte

    „hängt ab von“, „läuft auf“, „verbunden mit“, „Teil von“, „sichert/überwacht“. Die Gegenrichtung erscheint beim anderen Asset, die Karte zeigt die Umgebung bis zur zweiten Ebene.

  • Geschäftsprozesse

    Abläufe wie „Montage Linie 2“ mit Eigner, Kritikalität, RTO und RPO und den Assets, die sie unterstützen, auf Wunsch über alle Abhängigkeiten.

  • Verträge und Fernwartung

    Gewährleistung, Wartungsvertrag mit SLA und Kosten, Fernwartung durch Hersteller oder Dienstleister mit Zugangsweg und Freigabe. 90 und 30 Tage vor Ablauf erinnert Complass die Zuständigen per E-Mail.

  • Tags, eigene Felder, Standortbaum

    Inventarnummer, farbige Tags, eigene Felder (Text, Zahl, Datum, Auswahl, Ja/Nein) und Standort, Gebäude, Halle, Raum – in Liste, Filter, Import und Export.

  • Sicherheitsstatus je Asset

    Härtung mit Referenz, Virenschutz/EDR, Patchstand, Backup und Konfigurationssicherung mit Datum und letzte Prüfung. Lücken sehen Sie als Zahl und Filter.

Verträge und Lizenzen

Zum Inventar gehört auch, was Sie nutzen dürfen, wie viel davon Sie nutzen und bis wann. Das Register ist im Baustein Asset-Management enthalten, ohne Aufpreis.

  • Ein Register für Lizenzen und Verträge

    Software-Lizenzen, Cloud-Abonnements, Wartungs- und Dienstleistungsverträge mit Hersteller, Produkt, Lizenzmodell, Anzahl, Laufzeit und Kündigungsfrist, dazu Verantwortliche und Vertretung.

  • Fristen mit Erinnerung

    Kündigungsdatum oder Vertragsende stehen unter Fristen, im Kalender-Abo und als Kachel im Dashboard. Complass erinnert 90, 30 und 7 Tage vorher, ohne Vertragsdetails in der E-Mail.

  • Mit Assets und Nachweisen

    Verknüpfen Sie die Assets, auf denen eine Lizenz läuft, und hinterlegen Sie Vertrag, Rechnung oder Lizenzzertifikat. Import aus einer Tabelle mit Vorschau, Audit-Nachweis als PDF oder Excel.

  • Lizenziert und genutzt

    Complass vergleicht die lizenzierte Anzahl mit der genutzten: aus verknüpften Assets, Installationen laut Inventar, Konten eines Systems, einer Handeingabe oder aus Microsoft 365. Der Status steht in der Liste, als Filter und auf einer Kachel. Bei neuer Unterlizenzierung erhalten die Verantwortlichen höchstens einmal pro Woche einen Hinweis.

  • Software ohne Vertrag

    Eine Liste zeigt Anwendungen und Betriebssysteme aus dem Inventar, die keinem aktiven Vertrag zugeordnet sind. Mit einem Klick legen Sie den Vertrag an oder markieren die Software mit Begründung als „Kein Vertrag nötig“.

  • Bewusst schlank

    Lizenzschlüssel speichert Complass nicht, nur ihren Ablageort. Kosten sind optional und nur für Administratoren und Personen mit eigenem Recht sichtbar. Der Abgleich ist eine Zählung und ersetzt keine Lizenzprüfung nach den Regeln des Herstellers.

Microsoft 365: Über eine eigene App-Registrierung mit ausschließlich lesender Berechtigung liest Complass die Zahl gekaufter und zugewiesener Lizenzen je Produkt, keine Namen von Personen. ab Professional: Microsoft-365-Lizenzen, Pakete vergleichen

Unterstützt Nachweise zu ISO/IEC 27001:2022 A.5.9 und A.5.32 sowie die Angaben für das Informationsregister nach Art. 28 DORA, ohne Export im Meldeformat.

Zonen und Conduits nach IEC 62443-3-2

  • Zonen und Conduits

    Zonen und Kommunikationswege nach IEC 62443-3-2 mit Übersicht Zone × Zone und Plan.

  • Zonenvorschlag aus Netzdaten

    Complass schlägt Zonen aus Subnetzen, VLANs und beobachteten Verbindungen vor und nennt für gesammelte Systeme die passende Zone. Sie entscheiden, was übernommen wird.

  • Offene Ports und Brücken je Zone

    Die Zonenübersicht zeigt die offenen Ports je Zone, Systeme ohne Herstellerunterstützung und mehrfach verbundene Systeme.

Zonen und Conduits der Demo-Firma als Plan
Zonen und Conduits nach IEC 62443-3-2.

Rechte und Sicherheit: Lesen und Schreiben je Bereich, auf Wunsch nur eigene Assets; Exporte im Protokoll; Exporte ab dem Abo. Details auf der Seite Sicherheit und Datenschutz →

Identitäten und Zugriffe

Der Auditor fragt nicht nur, welche Systeme Sie haben, sondern wer sich wie anmeldet. Complass zeigt das je System an einer Stelle.

  • Anmeldung je System

    SSO, Verzeichnis oder lokale Konten, MFA allgemein und für privilegierte Konten, PAM und Notfallzugang (Break-Glass).

  • Konten direkt oder per Import

    Direkt aus Microsoft Entra ID oder Ihrer GitHub-Organisation, regelmäßig und nur lesend, oder per Import aus Active Directory und CSV. Privilegierte, geteilte und Dienstkonten werden markiert.

  • Berechtigungs-Reviews (Access Reviews)

    Kampagnen zur Rezertifizierung der Rechte. Auf Wunsch prüfen die Besitzer ihre Gruppen, einzelne Rechte kreuzen Sie zum Entzug an, und der nächste Abgleich zeigt, ob der Entzug umgesetzt ist. Am Ende steht ein versiegelter Nachweis. inklusive ab Professional: Berechtigungs-Reviews, Pakete vergleichen

  • Ein- und Austritte

    Checklisten für neue, wechselnde und ausscheidende Beschäftigte; beim Austritt zeigt Complass die Konten, die noch bestehen.

Gesetzlicher und normativer Bezug

  • ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
  • § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗

Häufige Fragen

Braucht es einen Agenten?

Nein. Die Sammelskripte für Windows und Linux sind lesbar, installieren nichts und laufen nur, wenn Sie oder die Aufgabenplanung sie starten. Ohne gültige Sammlung aus Complass starten sie nicht.

Was passiert in Netzen ohne Internetzugang?

In der Betriebsart „Push auf Freigabe“ kopiert das Skript seine Datei nur auf eine Freigabe in Ihrem Netz, ohne Token und ohne Verbindung zu Complass. Sie laden die Dateien anschließend gesammelt als ZIP hoch.

Werden Steuerungen (SPS) gescannt?

Nein, Complass scannt keine Geräte. Für Steuerungen werten Sie passiv einen Netzwerkmitschnitt (PCAP) oder Zeek-Protokolle aus. Nmap-Ergebnisse können Sie übernehmen; aktive Scans auf Steuerungen sollten nur mit Freigabe des Anlagenverantwortlichen und außerhalb der Produktion laufen.

Wie werden Duplikate vermieden?

Alle Importwege nutzen denselben Abgleich über Seriennummer mit Hersteller, MAC-Adresse, System-UUID und Hostname mit Domäne; die IP-Adresse ist nur ein Hinweis. Unklare Fälle legen Sie selbst fest.

Welche Formate gibt es für Fremdsysteme?

JSON im Complass-Austauschformat, CSV mit englischen Spalten, CSV für CMDB- und Ticketsysteme wie ServiceNow oder GLPI, CycloneDX 1.6 mit VEX und CSAF 2.0 VEX. Eine Feldreferenz steht im Portal.

Verlässt der Netzwerkmitschnitt meinen Rechner?

Nein. Die Auswertung läuft im Browser; an das Portal geht nur die Liste der erkannten Geräte und Verbindungen, die Sie vor der Übernahme prüfen.

Ersetzt Complass ein Werkzeug für Software Asset Management?

Nein. Das Register „Verträge und Lizenzen“ führt Lizenzen, Verträge, Fristen und Nachweise und zählt, wie viele Lizenzen Sie haben und wie viele genutzt werden. Eine Lizenzbilanz nach den Lizenzregeln der Hersteller ersetzt das nicht.

Kostet das Register „Verträge und Lizenzen“ extra?

Nein, es ist im Baustein Asset-Management enthalten. Mit dem Lieferantenmanagement sehen Sie die Verträge zusätzlich beim jeweiligen Lieferanten.

Ist das Asset-Management ein eigenes Modul?

Ja, es ist als Baustein buchbar und bildet die Grundlage für Vulnerability-, Risk- und Incident-Management sowie das Zonenmodell.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.