Incident Governance einführen

Ziel

Wenn Incidents auftreten, zählt jede Minute. Ohne klare Governance werden Vorfälle zu Chaos: unklare Zuständigkeiten, fehlende Kommunikation und wiederkehrende Probleme. Dieses Playbook hilft dir, ein strukturiertes Incident Management aufzubauen, das schnelle Reaktion, transparente Kommunikation und nachhaltige Verbesserung sicherstellt.

Schritte über die Wochen

1. Woche 1Etwa 3 Arbeitstage

   1

   Severity-Klassifikation erstellen

   Definiere ein klares Severity-Schema (z. B. SEV1 bis SEV4) mit eindeutigen Kriterien, Beispielen und Reaktionszeiten. Jeder im Team muss in der Lage sein, einen Incident selbstständig korrekt einzustufen. Stimme die Klassifikation mit allen betroffenen Teams ab.

   Ergebnisse

   • Severity-Matrix mit Kriterien und Beispielen
   • Reaktionszeiten und SLAs pro Severity-Level
   • Entscheidungshilfe zur Einstufung (Decision Tree)
   • Abgestimmte Definition mit allen Teams

   Tipps

   • Nutze konkrete Beispiele aus der Vergangenheit für jedes Severity-Level.
   • Definiere maximal 4 Stufen, um Überklassifikation zu vermeiden.
   • Mach die Severity-Matrix für alle Teams leicht auffindbar.

2. Woche 1 bis 2Etwa 3 Arbeitstage

   2

   Eskalationspfade definieren

   Leg fest, wer bei welchem Severity-Level informiert wird und wer Entscheidungen trifft. Definiere On-Call-Rotationen, Erreichbarkeiten und Vertretungsregelungen. Stell sicher, dass die Eskalationspfade auch nachts und am Wochenende funktionieren.

   Ergebnisse

   • Eskalationsmatrix pro Severity-Level
   • On-Call-Rotationsplan
   • Kontaktliste mit Erreichbarkeiten
   • Vertretungsregelungen

   Tipps

   • Teste die Eskalationspfade mit einer Übung, bevor der nächste Incident kommt.
   • Halte die Kontaktlisten mit einem automatisierten Reminder aktuell.
   • Leg eine Zeitgrenze fest: Kommt nach X Minuten keine Reaktion, wird automatisch eskaliert.

   Tools

   • RACI-Builder

3. Woche 2Etwa 3 Arbeitstage

   3

   Kommunikationsplan aufstellen

   Definiere, wie während eines Incidents intern und extern kommuniziert wird. Wer informiert Kunden? Wer aktualisiert den Status? In welchen Intervallen? Erstelle Templates für Status-Updates, damit unter Druck niemand über Formulierungen nachdenken muss.

   Ergebnisse

   • Kommunikationsmatrix (wer kommuniziert was an wen)
   • Status-Update-Templates (intern und extern)
   • Status-Page-Setup oder Kommunikationskanal
   • Eskalations-Kommunikation an die Führungsebene

   Tipps

   • Schreib Status-Update-Templates vorab, wenn der Kopf klar ist.
   • Benenne eine dedizierte Kommunikations-Rolle während SEV1/SEV2-Incidents.
   • Kommuniziere lieber zu viel als zu wenig und gib auch Updates, wenn es nichts Neues gibt.

4. Woche 2 bis 3Etwa 5 Arbeitstage

   4

   Post-Mortem-Prozess etablieren

   Führe blameless Post-Mortems nach jedem signifikanten Incident ein. Fokussiere dich auf Systemversagen, nicht auf Schuldzuweisungen. Dokumentiere Timeline, Root Cause, Impact und konkrete Verbesserungsmaßnahmen mit Verantwortlichen und Fristen.

   Ergebnisse

   • Post-Mortem-Template
   • Definierter Prozess (Wann, Wer, Wie)
   • Action-Item-Tracking mit Fristen und Ownern
   • Post-Mortem-Archiv für den Wissensaufbau

   Tipps

   • Führe das Post-Mortem innerhalb von 48 Stunden durch, solange die Erinnerung frisch ist.
   • Starte immer mit der Timeline-Rekonstruktion, bevor du über Ursachen sprichst.
   • Veröffentliche Post-Mortems intern, um organisationsweites Lernen zu fördern.

   Beiträge

   • Risikomanagement in agilen Projekten: Ein Leitfaden

5. Woche 3 bis 5Etwa 7 Arbeitstage

   5

   Tooling und Monitoring einrichten

   Richte die technische Infrastruktur für dein Incident Management ein: Alerting, On-Call-Management-Tool, Incident-Tracking und Kommunikationskanäle. Integriere Monitoring-Systeme, um Incidents möglichst früh zu erkennen.

   Ergebnisse

   • Konfiguriertes On-Call-Management-Tool
   • Alerting-Setup mit Schwellenwerten
   • Incident-Tracking im Ticketsystem
   • Integriertes Monitoring-Dashboard

   Tipps

   • Starte mit wenigen, hochwertigen Alerts statt vieler, die zu Alert Fatigue führen.
   • Automatisiere die Incident-Erstellung aus Alerts, wo möglich.
   • Plan eine regelmäßige Alert-Review ein, um Rauschen zu reduzieren.

   Beiträge

   • Cybersecurity in repetitiven Operations-Prozessen