Manchmal lohnt es sich, zu den Grundlagen zurückzukehren. Zum Beispiel, indem wir uns den eigentlichen Zweck von Incident Response (IR) vor Augen führen. Die Antwort ist einfach: den Geschäftsbetrieb aufrechtzuerhalten. Doch diese scheinbare Einfachheit täuscht. Die Verantwortung ist enorm – insbesondere dann, wenn bei der Bewältigung eines Major Incidents etwas schiefläuft. Laut Gartner kostet jede Minute eines Systemausfalls durchschnittlich 5.600 $. Das summiert sich auf mehr als 300.000 US-Dollar pro Stunde. Entsprechend hoch sind die finanziellen Auswirkungen und der Druck auf die Verantwortlichen.
Bei Kepner-Tregoe haben wir sieben Best Practices zusammengestellt, die den Erfolg Ihres Incident-Response-Programms nachhaltig unterstützen. Sie umfassen operative, technische und organisatorische Maßnahmen, die gemeinsam den Aufbau eines leistungsstarken IR-Teams ermöglichen.
Warum Incident Response wichtig ist
ITIL definiert einen Incident als jede Unterbrechung oder Beeinträchtigung des normalen IT-Betriebs. Bezogen auf Ihr Unternehmen bedeutet das: Ein Incident liegt immer dann vor, wenn ein Systemverhalten Ihre Kunden oder Geschäftsprozesse negativ beeinflusst. Dabei muss es sich nicht zwangsläufig um einen vollständigen Systemausfall handeln. Nehmen wir beispielsweise ein langsames E-Mail-System. Handelt es sich dabei um einen Incident? Nach unserer Definition eindeutig ja. Verzögerte E-Mails führen zu längeren Reaktionszeiten im Kundenservice, verzögern die Bearbeitung von Ausschreibungen (RFPs), bremsen die Produktentwicklung und beeinträchtigen letztlich nahezu jede wertschöpfende Aktivität im Unternehmen.
Incident Response beschreibt den Prozess, mit dem auf solche Vorfälle reagiert wird. Dabei unterscheiden sich Incidents von Problemen („Problems“) – auf diesen Unterschied gehen wir später noch ein. Eine erfolgreiche Incident Response, die sowohl schnell als auch wirksam ist, steigert die Effizienz von Mitarbeitern und Prozessen, erhöht die Produktivität und trägt letztlich zu höheren Umsätzen bei. Incident Response ist damit eine geschäftskritische Disziplin.
7 Best Practices für eine erfolgreiche Incident Response
Hier sind sieben Best Practices, mit denen Sie Ihr IR-Team auf Höchstleistung trimmen können.
1. Kommunizieren, kommunizieren, kommunizieren
Zwischen der IT und dem Rest der Organisation – insbesondere den Endanwendern – besteht häufig eine Kommunikationslücke. Das erschwert eine effektive Incident Response erheblich, denn viele Incidents werden zunächst von den Nutzern bemerkt und gemeldet.
Deshalb müssen Anwender Vorfälle möglichst einfach melden können. Je früher Ihr Team von einem Incident erfährt, desto schneller kann es reagieren. Gleichzeitig sollten die Betroffenen während der gesamten Bearbeitung regelmäßig über den aktuellen Stand informiert werden. Nur so entsteht das notwendige Vertrauen für eine enge Zusammenarbeit bei zukünftigen Vorfällen.
Bieten Sie daher mehrere Meldewege an, beispielsweise per E-Mail, Chat, Serviceportal oder über interne Kollaborationsplattformen. Ergänzend dazu sollten Self-Service-Angebote eingerichtet werden, mit denen Anwender einfache Probleme selbst lösen können. Sorgen Sie dafür, dass diese Angebote leicht zugänglich sind, und vermitteln Sie den Nutzen von Wissensdatenbanken und Selbsthilfeoptionen.
Während der Bearbeitung eines Incidents ist eine transparente Kommunikation entscheidend. Zwei Informationen sollten jederzeit leicht verfügbar sein: der aktuelle Bearbeitungsstatus einschließlich einer geschätzten Lösungszeit, und die Priorität des Incidents im Verhältnis zu anderen Vorfällen.
Automatisierte Benachrichtigungen können dabei unterstützen, alle Beteiligten über den gesamten Lebenszyklus eines Major Incidents hinweg auf dem Laufenden zu halten. Klare Statusmeldungen reduzieren zudem die Zahl doppelter Ticketmeldungen und entlasten den Service Desk.
Selbst wenn es keine neuen Erkenntnisse gibt, sollten Stakeholder regelmäßig informiert werden – beispielsweise stündlich oder alle 30 Minuten. Für Major Incidents empfiehlt sich außerdem eine dedizierte Kommunikationslinie, über die Betroffene schnell Unterstützung erhalten.
2. DevOps-Prinzipien etablieren
Bevor DevOps zum Standard wurde, arbeiteten Incident-Response-Teams häufig isoliert. Sie waren für die Behebung von Störungen verantwortlich, während die Entwickler, die die Systeme erstellt hatten, nur begrenzt eingebunden waren.
Rückmeldungen über wiederkehrende Probleme gelangten oft nicht zu den Entwicklungsteams. Zwischen denjenigen, die Systeme entwickelten, und denjenigen, die sie im Fehlerfall betreuten, bestand nur wenig Austausch. Genau diese Silos sollte DevOps aufbrechen.
Angesichts der zunehmenden Komplexität moderner IT-Landschaften ist das heute wichtiger denn je. Systeme sind eng miteinander vernetzt, und Änderungen oder Störungen in einem Bereich wirken sich häufig auf andere Bereiche aus.
Eine funktionierende DevOps-Kultur führt dazu, dass Entwickler ihre Systeme nachhaltiger und wartungsfreundlicher gestalten, weil sie auch Verantwortung für den laufenden Betrieb übernehmen. Probleme werden nicht einfach an andere Teams weitergereicht. Gleichzeitig profitieren Incident-Response-Teams von einer besseren Zusammenarbeit, klareren Dokumentation und direkter Unterstützung durch die Systemexperten.
3. Wissen, wann „Swarming“ sinnvoll ist
Viele Unternehmen arbeiten bei der Incident-Bearbeitung mit einem mehrstufigen Supportmodell: Tier 1 übernimmt der Service Desk, Tier 2 die Anwendungsspezialisten und Tier 3 die Systemexperten oder Entwickler.
Für Major Incidents sollte dieses Modell jedoch nicht starr angewendet werden. Geben Sie Ihren Teams die Möglichkeit, bei Bedarf auf „Swarming“ umzuschalten.
Swarming eignet sich insbesondere dann, wenn ein Vorfall erhebliche Auswirkungen auf das Geschäft hat. In solchen Fällen sollten Sie von den normalen gestuften IR-Prozessen abweichen. Swarming ersetzt diese Struktur durch ein Modell der vernetzten Zusammenarbeit. Das Konzept wurde ursprünglich von Cisco entwickelt, das 2008 im Whitepaper „Digital Swarming“ darüber schrieb. Das Konzept wurde später vom Consortium for Service Innovation übernommen und als „Intelligent Swarming“ weitergeführt.
Die Grundidee besteht darin, die kollektive Expertise aller Beteiligten gleichzeitig zu nutzen. Durch gemeinsames Brainstorming, schnellen Wissensaustausch und direkte Zusammenarbeit lassen sich komplexe Probleme oft deutlich schneller lösen.
Zu den zentralen Prinzipien des Swarming gehören:
- Die Support-Stufen („Tiers“) werden aufgehoben.
- Es gibt keine Eskalation von einer Gruppe zur nächsten – alle benötigten Teammitglieder sind von Anfang an dabei.
- Der Incident wird direkt den am besten geeigneten Experten zugewiesen.
- Die verantwortliche Person begleitet den Fall bis zur endgültigen Lösung.
4. Eine „Nie-wieder“-Mentalität etablieren
Ein gutes Incident-Management sollte nicht nur Symptome bekämpfen, sondern Wiederholungen vermeiden. Dafür ist es wichtig, den Unterschied zwischen Incident Management und Problem Management zu verstehen. Incident Management konzentriert sich darauf, den Normalbetrieb möglichst schnell wiederherzustellen – notfalls auch mit einer temporären Lösung.
Problem Management setzt anschließend an und untersucht die eigentliche Ursache, um diese dauerhaft zu beseitigen. Natürlich lassen sich Incidents nie vollständig verhindern. Mit konsequentem Problem Management können Sie jedoch vermeiden, dieselben Probleme immer wieder lösen zu müssen.
5. Probleme präzise beschreiben und richtig priorisieren
Eine der wichtigsten Voraussetzungen für eine erfolgreiche Incident Response ist das genaue Verständnis des Problems. Dieser Schritt wird als Incident-Klassifizierung bezeichnet. Dabei müssen Sie über die Einordnung in eine Basiskategorie hinausgehen und die Problembeschreibung extrem genau und präzise spezifizieren. Dies sollte Parameter umfassen wie die betroffenen Systeme, den geografischen Standort, die Anzahl der betroffenen internen Nutzer und die konkreten Auswirkungen auf den Geschäftsbetrieb.
Erst wenn Sie eine klare Problembeschreibung haben, können Sie Prioritäten setzen. Eine korrekte Klassifizierung hilft bei der Fehlersuche und verkürzt die Lösungszeit. Die Priorisierung sorgt dafür, dass die geschäftskritischsten Vorfälle zuerst bearbeitet werden.
6. Eine „No-Blame“-Kultur fördern
Eine konstruktive Fehlerkultur ist für erfolgreiche Incident Response unverzichtbar. Anstatt nach Schuldigen zu suchen, sollten sich alle Beteiligten auf die Lösung des Problems und die Ermittlung der tatsächlichen Ursache konzentrieren. Eine Kultur des gegenseitigen Beschuldigens hilft niemandem – im Gegenteil: Sie kann die Reaktionsgeschwindigkeit erheblich beeinträchtigen. Mitarbeitende, die Angst vor Schuldzuweisungen haben, melden Fehler oft später oder kommunizieren weniger offen. Eine No-Blame-Kultur schafft dagegen Vertrauen, fördert Transparenz und unterstützt nachhaltige Verbesserungen.
7. Die richtigen KPIs definieren und kontinuierlich verbessern
Key Performance Indicators (KPIs) sind unverzichtbar, um die Leistung Ihres Incident-Managements objektiv zu bewerten und Verbesserungen messbar zu machen. Seien Sie jedoch vorsichtig bei der Auswahl Ihrer KPIs. Manche vermitteln ein falsches Bild von der Leistung Ihres IR-Teams und können dazu führen, dass Sie die falschen Prioritäten setzen. Ein Beispiel ist die First Call Resolution (FCR), die misst, wie viele Incidents bereits beim ersten Kontakt gelöst werden. Wird diese Kennzahl überbewertet, kann sie zu vorschnellen Entscheidungen führen, obwohl die Qualität der Lösung wichtiger wäre.
Definieren Sie daher aussagekräftige Kennzahlen und nutzen Sie diese gezielt zur kontinuierlichen Verbesserung. Empfehlenswerte KPIs sind beispielsweise:
- Incident-Volumen (nach Kategorie, Priorität, Status, Anforderer usw.)
- Mittlere Zeit bis zur Lösung (Mean Time to Resolution)
- Mittlere Zeit bis zur Reaktion (Mean Time to Respond)
- SLA-Quote in %
- Ohne Eskalation gelöste Incidents
- Durchschnittliche Kosten pro Incident
- Wiedereröffnungsrate von Incidents
Fazit: Die Vorteile eines effektiven Incident Managements
Die Folgen eines mangelhaften Incident Managements sind offensichtlich: Geschäftsprozesse werden gestört, Produktivität geht verloren und die Kundenzufriedenheit leidet.
Ein professionell aufgestelltes Incident-Management schafft dagegen die Grundlage für stabile und effiziente Geschäftsabläufe. Es erhöht die Produktivität innerhalb der IT und im gesamten Unternehmen, verbessert die Einhaltung von Service-Level-Agreements und steigert die Zufriedenheit der Nutzer.
Mit zunehmender Reife Ihrer Incident-Response-Prozesse werden Sie außerdem in der Lage sein, potenzielle Major Incidents frühzeitig zu erkennen und präventiv gegenzusteuern – oft noch bevor Nutzer oder Kunden die Auswirkungen bemerken.
Davon profitieren alle Beteiligten.
Über Kepner-Tregoe
Kepner-Tregoe unterstützt Unternehmen seit mehr als 60 Jahren dabei, ihre Fähigkeiten in den Bereichen Problemlösung, Service Excellence sowie Incident- und Problem-Management weiterzuentwickeln.
Mit bewährten Methoden, praxisnahen Trainings und fundierter Beratung helfen die Experten von Kepner-Tregoe dabei, leistungsstarke Service-Management-Teams aufzubauen, die auch bei kritischen Vorfällen souverän handeln und nachhaltige Lösungen schaffen.
