Incident Managementund On-Call.
Diese Werkzeuge routen Alarme an die verantwortliche Person, koordinieren die Bearbeitung und bewahren eine Timeline für die Nacharbeit. Sie führen Security Incidents mit, ersetzen aber weder SIEM noch Forensik oder SOAR.
Die richtige Person,
zur richtigen Zeit.
Bereitschaft, Eskalation und Koordination entscheiden, ob ein relevantes Signal bei einem verantwortlichen Team ankommt. Der Blick liegt auf Betriebsfähigkeit und Serviceauswirkung.
Security Operations untersucht die Angriffshypothese und führt technische Containment-Schritte aus. On-Call und Incident Management steuert Erreichbarkeit, Rollen, Ablauf und Kommunikation.
Elf Plattformen.
| Plattform | Abdeckung | Typischer Schwerpunkt | Im Pilot klären |
|---|---|---|---|
| PagerDuty Operations Cloud | On-Call, Incident, AIOps, Status | Digital Operations und Enterprise | Escalation Policies, Integrationen und Kostenmodell |
| incident.io | Alerts, On-Call, Status, Post-Incident | Engineering und SRE | Chat- und Ticket-Integration |
| FireHydrant | Incident, Runbooks, Retrospektiven | Engineering Operations | Servicekatalog und bestehendes Alerting |
| Rootly | Incident, Chat, Status, Retrospektiven | Chat-basierte Koordination | Teams- oder Slack-Betriebsmodell |
| Squadcast | Alert Routing, Schedules, Status | On-Call und Eskalation | Integrationen und Rollenmodell |
| Grafana Cloud IRM | On-Call, Incident, Observability | Grafana- und Observability-Teams | Cloud-Angebot versus archiviertes OnCall OSS |
| Better Stack Incident Management | On-Call, Incident, Monitoring, Status | Integrierter Betrieb | Benötigte ITSM- und CMDB-Integration |
| xMatters | Alarmierung, Workflow, Critical Communications | Enterprise Automation | Einbindung in die breitere Everbridge-Suite |
| Splunk On-Call | Routing, Schedules, Mobile Response | DevOps und Operations | Zusammenspiel mit Splunk Security und Observability |
| Xurrent IMR | On-Call, Incident, Remediation | SaaS-Service-Management | Verbindung zu Xurrent ITSM und Status Pages |
| Jira Service Management | Incident, Alerting, Change, Statuspage-Integration | Jira-nahe Teams | Opsgenie-Migrationspfad bis 2027 |
Erreichbar
und belastbar.
- Den Servicekatalog als Grundlage nehmen: Jeder Dienst hat ein verantwortliches Team, einen Dienstplan und eine Eskalationskette mit mindestens zwei Stufen.
- Schweregrade mit messbaren Kriterien definieren (betroffene Kunden, Funktion, Dauer) und je Schweregrad festlegen, wann Incident Commander, Kommunikation und Geschäftsleitung dazukommen.
- Sicherheitsrelevante Incidents kennzeichnen und gesetzliche Meldefristen ab Kenntnisnahme automatisch als Termine im Incident führen.
- Die Alarmlast je Bereitschaft auswerten und nicht handlungsrelevante Alarme an der Quelle abschalten, statt sie nur zu unterdrücken.
- Zeit von Alarm bis bestätigter Übernahme je Schweregrad
- Alarme ausserhalb der Arbeitszeit pro Bereitschaftsperson und Woche, davon ohne Handlungsbedarf
- Anteil Major Incidents mit abgeschlossener Nachbesprechung und umgesetzten Massnahmen
Service-Owner verantworten Dienstpläne und Erreichbarkeit ihres Teams; ein Prozess-Owner, oft im IT-Betrieb, pflegt Schweregrade und Eskalationsregeln. Bei Verdacht auf einen Sicherheitsvorfall zieht der Incident Commander Security Operations bei.
NIS2 Art. 23 Abs. 4 setzt Fristen ab Kenntnisnahme eines erheblichen Vorfalls: Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, Abschlussbericht spätestens einen Monat nach dieser Meldung. In der Schweiz müssen Betreiber kritischer Infrastrukturen bestimmte Cyberangriffe seit 1. April 2025 innert 24 Stunden dem BACS melden (ISG).
DORA Art. 17 verlangt einen Prozess zur Erkennung, Behandlung und Meldung IKT-bezogener Vorfälle; ISO/IEC 27001:2022 Annex A 5.24 bis 5.27 decken Planung, Bewertung, Reaktion und Lernen aus Vorfällen ab.
Mehr Alarme bedeuten nicht mehr Sicherheit. Bereitschaften mit vielen nicht handlungsrelevanten Alarmen übersehen eher den einen, der zählt.
Mit einem echten Alarm.
- Alarmweg: Eine echte Quelle bis zur bestätigten Übernahme durch die Bereitschaft testen.
- Eskalation: Ausfall, Nichtreaktion und Übergabe zwischen Teams durchspielen.
- Nacharbeit: Timeline, Aufgaben, Statusmeldung und Lessons Learned müssen zusammenpassen.
SIEM und SOAR liefern oder bearbeiten Sicherheitsfälle. Statuskommunikation behandelt die externe oder interne Lageinformation.
Security Tool Navigator · Gebiet 14
Im Gebiet Service Operations und Workflow einordnen.
Diese Werkzeugklasse gehört zum Gebiet Service Operations und Workflow. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.