Funktionen inklusive ab Professional: Asset-Management, Pakete vergleichen
Asset-Management
Ihr Asset-Inventar als gemeinsame Grundlage für Compliance und Sicherheit: IT und OT auf einer zentralen Plattform, agentless erfasst, mit SBOM, Herstellerhinweisen und Zusammenhängen.
- Erfassen
- Verstehen
- SBOM
- Risiken
- Zusammenhänge
- Verträge und Lizenzen
- Zonen
- Identitäten
- Berichte und Austausch
- Rechte
- FAQ
Wer seine Anlagen nicht kennt, kann sie nicht schützen, und oft liegt das Wissen verteilt in Excel-Listen, Tool-Exporten und Köpfen.
Agentless erfassen
Sammelskripte statt Agent
Lesbare Skripte für Windows (PowerShell, cmd für ältere Systeme) und Linux. Sie lesen nur, installieren nichts und schreiben je System eine Datei.
Signiert, verschlüsselt, geprüft
Die Dateien der PowerShell- und Linux-Skripte sind signiert und verschlüsselt. Veränderte, fremde oder doppelte Dateien lehnt Complass ab. Die Übernahme erfolgt gesammelt mit Vorschau, auch als ZIP.
Vorhandenes übernehmen
Import aus der Excel/CSV-Vorlage, aus Zeek und Nmap sowie aus CSV-Exporten gängiger OT-Monitoring-Werkzeuge. Netzwerkmitschnitte (PCAP, PCAPNG) werden in Ihrem Browser ausgewertet; die Datei verlässt Ihren Rechner nicht.
Keine Dubletten
Alle Importwege gleichen zentral ab: Seriennummer mit Hersteller, MAC-Adresse, System-UUID, Hostname mit Domäne. Unklare Fälle erscheinen als „Mögliches Duplikat: prüfen“ und werden nie automatisch angelegt.
Entdeckte Geräte und Hersteller
Die Nachbartabelle der Systeme liefert weitere Geräte als Kandidaten, nie direkt als Asset. Fehlt der Hersteller, schlägt Complass ihn aus dem öffentlichen IEEE-Register vor, gekennzeichnet als „vermutet (MAC)“.
Aus Ihren Werkzeugen
Asset-Konnektoren lesen Inventar aus NetBox, Snipe-IT, Intune, Lansweeper und OT-Werkzeugen ein.
Verteilung per Gruppenrichtlinie
Vorlage für die Aufgabenplanung unter Windows, dazu Anleitungen für Gruppenrichtlinie, systemd-Timer und cron.
Gesetzlicher und normativer Bezug
- IEC 62443-3-2
- IEC 62443-2-1
- ISO/IEC 27001:2022, A.5.9
- ISO/IEC 27001:2022, A.8.9
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Original öffnen (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnhang I Teil II CRA Anforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗

Drei Betriebsarten für die Sammelskripte
Sie legen in Complass fest, wie die Datei zu Ihnen kommt. Die Betriebsart steht im Skript fest und lässt sich beim Aufruf nicht ändern.
Nur lokal
Keinerlei Netzverbindung. Die Datei bleibt auf dem System, Sie laden sie selbst hoch.
Push auf Freigabe
Nur eine Kopie auf eine Freigabe in Ihrem Netz, ohne Token und ohne Adresse. Sie laden die Dateien gesammelt als ZIP hoch.
Push an Complass
Die Datei geht per HTTPS mit einem Sammel-Token direkt an Complass. Ist das Ziel nicht erreichbar, bleibt sie lokal.
Assets aus einem Netzwerkmitschnitt
Verstehen, was läuft
Die Asset-Seite bündelt Übersicht, Technik, Netzwerk, Sicherheit, Verträge, Beziehungen, Prozesse, Nachweise und Verlauf in Reitern.
Technische Details je Asset
Hardware, BIOS/UEFI, CPU, RAM, Datenträger, Betriebssystem mit Build, Netzwerkadapter und installierte Software, optional lauschende Ports und Dienste. Die Software wird zur SBOM.
Sicherheitsstand aus dem System
Virenschutz, Firewall und Laufwerksverschlüsselung (BitLocker) aus der Sammlung. Hinweise wie „Firewall aus“ stehen am Asset.
Verlauf mit Herkunft
Änderungen seit der letzten Sammlung stehen im Verlauf, mit Herkunft (manuell, Import, Sammelskript), filterbar und als Excel/CSV exportierbar.
Zertifikate und Kryptografie
Zertifikate mit Warnung 30, 14 und 7 Tage vor Ablauf, Import aus PEM, nmap und testssl; ein Schlüsselinventar zeigt, was für Post-Quanten-Kryptografie umgestellt werden muss.
Brücken zwischen Zonen
Systeme in mehreren Netzen erkennt Complass und bewertet sie: mittel, hoch mit IP-Weiterleitung, kritisch, wenn sie Zonen ohne Conduit verbinden. Die Zonenübersicht zeigt sie als „Brücke“.
SBOM für Produkte und Anlagen
Der Cyber Resilience Act verlangt von Herstellern eine Software-Stückliste ihrer Produkte. Betreiber finden mit ihr betroffene Anlagen, sobald eine neue Schwachstelle bekannt wird.
SBOM je Asset und Produkt
Komponenten mit Version, Lieferant, Typ, purl, CPE, Lizenz, Prüfsumme und übergeordneter Komponente. Offene Schwachstellen erscheinen direkt an der Komponente.
Vorlage, Import oder Sammelskript
Excel/CSV-Vorlage, vorhandene Dateien in CycloneDX 1.4–1.6 und SPDX 2.2/2.3 oder die Software aus dem Sammelskript, jeweils mit Vorschau.
Stände und Vergleich
„Stand speichern“ hält die SBOM unveränderlich fest, z. B. je Firmware-Version. Der Vergleich zeigt hinzugekommene, entfernte und geänderte Komponenten.
Export für Kunden und Behörden
CycloneDX 1.6 (JSON, XML) und SPDX 2.3, vor der Ausgabe gegen die Pflichtangaben geprüft, dazu VEX mit dem Status bekannter Schwachstellen.
Lizenzübersicht
Lizenzen als permissiv, schwaches oder starkes Copyleft, proprietär oder unbekannt. Bei eigenen Produkten Hinweise wie „Pflichten prüfen“ oder „Lizenz klären“; keine Rechtsberatung.
Berichte und Exporte: Asset-Sicherheitsbericht als PDF, Complass-Austauschformat, CSV für CMDB- und Ticketsysteme, CycloneDX und Excel. Direkte Anbindungen stehen auf der Seite Integrationen →
Risiken erkennen und begründet priorisieren
Priorität mit Begründung
Ist ein Dienst der betroffenen Komponente im Netz erreichbar, steigt die Priorität der Schwachstelle; nur lokal erreichbare Dienste sinken. Firewall aus, Virenschutz aus und unverschlüsselte Laufwerke fließen ein, jeweils mit Begründung.
Ende der Herstellerunterstützung
Complass zeigt je Asset, wann der Hersteller für Betriebssystem oder Software keine Sicherheitsupdates mehr liefert, mit Regel und Quelle. Filter, Anzahl je Zone und eine Dashboard-Kachel.
Bewusst betrieben, kompensiert
Für Altsysteme in der OT dokumentieren Sie Segmentierung, Allowlisting oder Überwachung mit Begründung und Überprüfungsdatum. Die Priorität der Schwachstellen berücksichtigt das.
Herstellerhinweise (CSAF)
Sicherheitshinweise aus offiziellen Quellen werden mit Hersteller, Modell und Firmware-Version Ihrer Assets abgeglichen. Signatur und Prüfsumme werden geprüft; schlägt die Prüfung fehl, wird der Hinweis nicht verwendet. Ihre Administratoren schalten Quellen je Unternehmen ab.
Risiko oder Aufgabe mit einem Klick
Aus einem Hinweis am Asset legen Sie ein vorbelegtes Risiko oder eine Aufgabe an, etwa für Migration, Ersatz oder eine kompensierende Maßnahme.
Herstellerhinweise aus offiziellen Quellen
Öffentliche CSAF-Feeds, täglich abgerufen und je Unternehmen abschaltbar. Eigene CSAF-Dateien laden Sie zusätzlich hoch, einzeln oder als ZIP.
- Siemens ProductCERT
- Schneider Electric
- Phoenix Contact
- CERT@VDE
- ABB PSIRT
- BSI (CERT-Bund)
- CISA (ICS-Advisories)
Zusammenhänge, Verträge und Zonen
Die Beziehungen und Zuständigkeiten, die Compliance und Business Continuity brauchen, ohne ein vollständiges ITIL-CMDB einzuführen.
Beziehungen mit Karte
„hängt ab von“, „läuft auf“, „verbunden mit“, „Teil von“, „sichert/überwacht“. Die Gegenrichtung erscheint beim anderen Asset, die Karte zeigt die Umgebung bis zur zweiten Ebene.
Geschäftsprozesse
Abläufe wie „Montage Linie 2“ mit Eigner, Kritikalität, RTO und RPO und den Assets, die sie unterstützen, auf Wunsch über alle Abhängigkeiten.
Verträge und Fernwartung
Gewährleistung, Wartungsvertrag mit SLA und Kosten, Fernwartung durch Hersteller oder Dienstleister mit Zugangsweg und Freigabe. 90 und 30 Tage vor Ablauf erinnert Complass die Zuständigen per E-Mail.
Tags, eigene Felder, Standortbaum
Inventarnummer, farbige Tags, eigene Felder (Text, Zahl, Datum, Auswahl, Ja/Nein) und Standort, Gebäude, Halle, Raum – in Liste, Filter, Import und Export.
Sicherheitsstatus je Asset
Härtung mit Referenz, Virenschutz/EDR, Patchstand, Backup und Konfigurationssicherung mit Datum und letzte Prüfung. Lücken sehen Sie als Zahl und Filter.
Verträge und Lizenzen
Zum Inventar gehört auch, was Sie nutzen dürfen, wie viel davon Sie nutzen und bis wann. Das Register ist im Baustein Asset-Management enthalten, ohne Aufpreis.
Ein Register für Lizenzen und Verträge
Software-Lizenzen, Cloud-Abonnements, Wartungs- und Dienstleistungsverträge mit Hersteller, Produkt, Lizenzmodell, Anzahl, Laufzeit und Kündigungsfrist, dazu Verantwortliche und Vertretung.
Fristen mit Erinnerung
Kündigungsdatum oder Vertragsende stehen unter Fristen, im Kalender-Abo und als Kachel im Dashboard. Complass erinnert 90, 30 und 7 Tage vorher, ohne Vertragsdetails in der E-Mail.
Mit Assets und Nachweisen
Verknüpfen Sie die Assets, auf denen eine Lizenz läuft, und hinterlegen Sie Vertrag, Rechnung oder Lizenzzertifikat. Import aus einer Tabelle mit Vorschau, Audit-Nachweis als PDF oder Excel.
Lizenziert und genutzt
Complass vergleicht die lizenzierte Anzahl mit der genutzten: aus verknüpften Assets, Installationen laut Inventar, Konten eines Systems, einer Handeingabe oder aus Microsoft 365. Der Status steht in der Liste, als Filter und auf einer Kachel. Bei neuer Unterlizenzierung erhalten die Verantwortlichen höchstens einmal pro Woche einen Hinweis.
Software ohne Vertrag
Eine Liste zeigt Anwendungen und Betriebssysteme aus dem Inventar, die keinem aktiven Vertrag zugeordnet sind. Mit einem Klick legen Sie den Vertrag an oder markieren die Software mit Begründung als „Kein Vertrag nötig“.
Bewusst schlank
Lizenzschlüssel speichert Complass nicht, nur ihren Ablageort. Kosten sind optional und nur für Administratoren und Personen mit eigenem Recht sichtbar. Der Abgleich ist eine Zählung und ersetzt keine Lizenzprüfung nach den Regeln des Herstellers.
Microsoft 365: Über eine eigene App-Registrierung mit ausschließlich lesender Berechtigung liest Complass die Zahl gekaufter und zugewiesener Lizenzen je Produkt, keine Namen von Personen. ab Professional: Microsoft-365-Lizenzen, Pakete vergleichen
Unterstützt Nachweise zu ISO/IEC 27001:2022 A.5.9 und A.5.32 sowie die Angaben für das Informationsregister nach Art. 28 DORA, ohne Export im Meldeformat.
Zonen und Conduits nach IEC 62443-3-2
Zonen und Conduits
Zonen und Kommunikationswege nach IEC 62443-3-2 mit Übersicht Zone × Zone und Plan.
Zonenvorschlag aus Netzdaten
Complass schlägt Zonen aus Subnetzen, VLANs und beobachteten Verbindungen vor und nennt für gesammelte Systeme die passende Zone. Sie entscheiden, was übernommen wird.
Offene Ports und Brücken je Zone
Die Zonenübersicht zeigt die offenen Ports je Zone, Systeme ohne Herstellerunterstützung und mehrfach verbundene Systeme.

Rechte und Sicherheit: Lesen und Schreiben je Bereich, auf Wunsch nur eigene Assets; Exporte im Protokoll; Exporte ab dem Abo. Details auf der Seite Sicherheit und Datenschutz →
Identitäten und Zugriffe
Der Auditor fragt nicht nur, welche Systeme Sie haben, sondern wer sich wie anmeldet. Complass zeigt das je System an einer Stelle.
Anmeldung je System
SSO, Verzeichnis oder lokale Konten, MFA allgemein und für privilegierte Konten, PAM und Notfallzugang (Break-Glass).
Konten direkt oder per Import
Direkt aus Microsoft Entra ID oder Ihrer GitHub-Organisation, regelmäßig und nur lesend, oder per Import aus Active Directory und CSV. Privilegierte, geteilte und Dienstkonten werden markiert.
Berechtigungs-Reviews (Access Reviews)
Kampagnen zur Rezertifizierung der Rechte. Auf Wunsch prüfen die Besitzer ihre Gruppen, einzelne Rechte kreuzen Sie zum Entzug an, und der nächste Abgleich zeigt, ob der Entzug umgesetzt ist. Am Ende steht ein versiegelter Nachweis. inklusive ab Professional: Berechtigungs-Reviews, Pakete vergleichen
Ein- und Austritte
Checklisten für neue, wechselnde und ausscheidende Beschäftigte; beim Austritt zeigt Complass die Konten, die noch bestehen.
Gesetzlicher und normativer Bezug
- ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
- § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Original öffnen (gesetze-im-internet.de) ↗
Häufige Fragen
Braucht es einen Agenten?
Nein. Die Sammelskripte für Windows und Linux sind lesbar, installieren nichts und laufen nur, wenn Sie oder die Aufgabenplanung sie starten. Ohne gültige Sammlung aus Complass starten sie nicht.
Was passiert in Netzen ohne Internetzugang?
In der Betriebsart „Push auf Freigabe“ kopiert das Skript seine Datei nur auf eine Freigabe in Ihrem Netz, ohne Token und ohne Verbindung zu Complass. Sie laden die Dateien anschließend gesammelt als ZIP hoch.
Werden Steuerungen (SPS) gescannt?
Nein, Complass scannt keine Geräte. Für Steuerungen werten Sie passiv einen Netzwerkmitschnitt (PCAP) oder Zeek-Protokolle aus. Nmap-Ergebnisse können Sie übernehmen; aktive Scans auf Steuerungen sollten nur mit Freigabe des Anlagenverantwortlichen und außerhalb der Produktion laufen.
Wie werden Duplikate vermieden?
Alle Importwege nutzen denselben Abgleich über Seriennummer mit Hersteller, MAC-Adresse, System-UUID und Hostname mit Domäne; die IP-Adresse ist nur ein Hinweis. Unklare Fälle legen Sie selbst fest.
Welche Formate gibt es für Fremdsysteme?
JSON im Complass-Austauschformat, CSV mit englischen Spalten, CSV für CMDB- und Ticketsysteme wie ServiceNow oder GLPI, CycloneDX 1.6 mit VEX und CSAF 2.0 VEX. Eine Feldreferenz steht im Portal.
Verlässt der Netzwerkmitschnitt meinen Rechner?
Nein. Die Auswertung läuft im Browser; an das Portal geht nur die Liste der erkannten Geräte und Verbindungen, die Sie vor der Übernahme prüfen.
Ersetzt Complass ein Werkzeug für Software Asset Management?
Nein. Das Register „Verträge und Lizenzen“ führt Lizenzen, Verträge, Fristen und Nachweise und zählt, wie viele Lizenzen Sie haben und wie viele genutzt werden. Eine Lizenzbilanz nach den Lizenzregeln der Hersteller ersetzt das nicht.
Kostet das Register „Verträge und Lizenzen“ extra?
Nein, es ist im Baustein Asset-Management enthalten. Mit dem Lieferantenmanagement sehen Sie die Verträge zusätzlich beim jeweiligen Lieferanten.
Ist das Asset-Management ein eigenes Modul?
Ja, es ist als Baustein buchbar und bildet die Grundlage für Vulnerability-, Risk- und Incident-Management sowie das Zonenmodell.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.