FAQ Incident- und Krisenmanagement

Grundlagen: Incident, Krise und Management

Was ist ein Incident?

Ein Incident ist ein Vorfall, der den normalen Geschäftsbetrieb stört oder gefährden kann und deshalb bewertet, dokumentiert und bearbeitet werden muss. Dazu zählen beispielsweise IT-Störungen, Sicherheitsereignisse, Datenschutzvorfälle, Unfälle, Compliance-Hinweise oder kritische Meldungen aus Standorten und Lieferketten.

Entscheidend ist nicht nur der bereits entstandene Schaden: Auch ein Ereignis mit relevantem Risiko für Mitarbeitende, Kunden, Informationen, Sachwerte, Betrieb oder Reputation ist ein Incident. Ein klarer Incident-Prozess hilft, Meldungen zu priorisieren, Verantwortlichkeiten festzulegen und aus abgeschlossenen Fällen zu lernen.

Mehr dazu: Definition Incident Management

Was ist eine Krise?

Eine Krise ist eine außergewöhnliche Lage, die mit der regulären Organisation nicht mehr ausreichend gesteuert werden kann. Sie bedroht oder beeinträchtigt die Handlungsfähigkeit, Kontinuität, Reputation oder Sicherheit einer Organisation so stark, dass ein Krisenstab, eine besondere Aufbauorganisation oder vergleichbare Eskalationsstrukturen erforderlich werden können.

Krisen können etwa durch Cyberangriffe, längere IT-Ausfälle, Sicherheitslagen, Unfälle, Lieferkettenunterbrechungen, Reputationsereignisse oder Naturereignisse entstehen. Typisch sind hoher Zeitdruck, Unsicherheit und viele voneinander abhängige Entscheidungen.

Die Begriffsdefinition des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe finden Sie im BBK-Glossar.

Was ist der Unterschied zwischen einem Incident und einer Krise?

Ein Incident ist ein melde- und bearbeitungswürdiger Vorfall. Dieses Kriterium ist in der Regel immer erfüllt, wenn aufgrund dieses Vorfalls ein potentieller Schaden eintreten könnte. Eine Krise ist eine eskalierte Lage mit weitreichenden Auswirkungen, die eine besondere Führungs- und Koordinationsstruktur erfordern kann.

Nicht jeder Incident wird zur Krise. Ein Incident kann jedoch eskalieren, wenn Auswirkungen, Unsicherheit, Zeitdruck oder Kommunikationsbedarf deutlich zunehmen. Deshalb braucht eine Organisation nachvollziehbare Kriterien für Bewertung, Eskalation und Übergabe an den Krisenstab.

Was ist Incident Management?

Incident Management ist der strukturierte Prozess, mit dem Organisationen Vorfälle erfassen, bewerten, priorisieren, bearbeiten, dokumentieren und auswerten. Ziel ist es, Auswirkungen zu begrenzen, Verantwortliche schnell handlungsfähig zu machen und Wiederholungen möglichst zu vermeiden.

Ein wirksamer Prozess verbindet Menschen, klare Rollen, Informationen und Werkzeuge. Er schafft eine belastbare Datengrundlage für Analysen, Kennzahlen und Präventionsmaßnahmen – nicht nur in der IT, sondern auch in Corporate Security, BCM, Compliance, Datenschutz, Safety und weiteren Unternehmensbereichen.

Mehr dazu: Definition Incident Management

Was ist Krisenmanagement?

Krisenmanagement umfasst die Vorbereitung auf, die Führung während und die Nachbereitung von Krisen. Es hilft Organisationen, in einer außergewöhnlichen Lage schnell zu entscheiden, Maßnahmen nachzuverfolgen, Informationen sicher zu teilen und die Kommunikation zu koordinieren.

Gutes Krisenmanagement beginnt vor dem Ernstfall: mit Risiko- und Szenariobetrachtung, Rollen, Krisenstabsstrukturen, Alarmierungswegen, Plänen, Übungen und einer verlässlichen Informationslage. Nach einer Krise werden Erfahrungen ausgewertet und Verbesserungen in Prozesse und Vorsorge überführt.

Mehr dazu: Definition Krisenmanagement

Prozesse und Organisation

Wie organisiert man Incident Management im Unternehmen?

Ein praxistauglicher Incident-Management-Prozess besteht mindestens aus sechs Schritten:

1. Melden und erfassen: Vorfälle einfach und vollständig aufnehmen.
2. Bewerten und priorisieren: Auswirkung, Dringlichkeit, Risiko und Zuständigkeit einschätzen.
3. Zuweisen und bearbeiten: Aufgaben, Maßnahmen und Verantwortlichkeiten klar steuern.
4. Eskalieren: Bei definierten Schwellen die passende Führungs- oder Krisenstruktur aktivieren.
5. Dokumentieren und kommunizieren: Entscheidungen, Fakten und den aktuellen Status nachvollziehbar festhalten.
6. Auswerten und verbessern: Ursachen, Muster und Maßnahmen nach Abschluss analysieren.

Wichtig sind einheitliche Incident-Typen, eindeutige Rollen, verbindliche Eskalationskriterien und eine zentrale, aktuelle Informationsquelle. So können auch mehrere Bereiche abgestimmt arbeiten.

Wie organisiert man Krisenmanagement?

Krisenmanagement wird als fortlaufender Kreislauf organisiert: Prävention, Vorbereitung, Bewältigung und Nachbereitung.

• Prävention: Risiken erkennen und Schwachstellen reduzieren.
• Vorbereitung: Krisenstab, Rollen, Alarmierungswege, Pläne und Übungen festlegen.
• Bewältigung: Lagebild führen, Entscheidungen treffen, Maßnahmen steuern und Kommunikation koordinieren.
• Nachbereitung: Verlauf auswerten, Verbesserungen beschließen und die Vorsorge aktualisieren.

Für die Praxis brauchen Krisenstäbe insbesondere ein gemeinsames Lagebild, klare Entscheidungswege, eine dokumentierte Maßnahmensteuerung sowie belastbare Kommunikations- und Alarmierungswege. Unsere Checkliste für Krisenmanagement unterstützt bei der Bestandsaufnahme.

Wann sollte ein Incident an den Krisenstab eskaliert werden?

Ein Incident sollte eskaliert werden, wenn die regulären Verantwortlichen die Lage nicht mehr ausreichend steuern können oder wenn erhebliche Auswirkungen zu erwarten sind. Typische Auslöser sind Gefährdungen von Personen, längere oder kritische Betriebsunterbrechungen, ein hoher Koordinationsbedarf über mehrere Bereiche hinweg, erheblicher Kommunikationsdruck oder eine dynamische, unsichere Lage.

Die konkreten Schwellenwerte legt jede Organisation passend zu ihrem Risiko, ihrer Branche und ihrer Krisenorganisation fest. Entscheidend ist, dass sie vorab definiert, im Ernstfall bekannt und nachvollziehbar angewendet werden.

Für welche Bereiche und Rollen ist PREVISEC geeignet?

Für welche Zielgruppen ist PREVISEC gemacht?

PREVISEC richtet sich an Organisationen, die Incidents, Notfälle und Krisen strukturiert steuern möchten. Dazu zählen insbesondere Verantwortliche und Teams in:

• Corporate Security und Unternehmenssicherheit
• IT-Notfallmanagement und Cyber Incident Response
• Business Continuity Management (BCM)
• Krisenmanagement und Krisenstabsarbeit
• Datenschutz und Privacy Incident Management
• Compliance und Hinweismanagement
• Safety, Arbeitsschutz und Standortmanagement
• Unternehmensleitung sowie weitere leitende Funktionen

Die Plattform unterstützt eine gemeinsame Arbeitsgrundlage über Fachbereiche hinweg. So bleiben Meldungen, Entscheidungen, Maßnahmen und Statusinformationen für die jeweils berechtigten Beteiligten nachvollziehbar.

Eignet sich PREVISEC nur für die IT?

Nein. Incident Management ist nicht auf IT-Störungen beschränkt. PREVISEC kann bereichsübergreifend für sicherheitsrelevante, betriebliche und regulatorische Vorfälle eingesetzt werden – zum Beispiel in Corporate Security, BCM, Compliance, Datenschutz, Safety oder Krisenmanagement.

Die konkrete Ausgestaltung orientiert sich an Ihren Incident-Typen, Rollen, Eskalationswegen und Prozessen. Dadurch kann eine Organisation verschiedene Fachbereiche auf einer gemeinsamen Plattform koordinieren, ohne ihre jeweiligen Anforderungen zu vermischen.

Wie unterstützt PREVISEC Krisenstäbe und leitende Funktionen?

PREVISEC unterstützt die strukturierte Zusammenarbeit in Incident- und Krisenlagen. Dazu gehören insbesondere eine aktuelle Informationsbasis, nachvollziehbare Dokumentation, die Koordination von Maßnahmen sowie Alarmierungs- und Kommunikationsprozesse.

Für Krisenstab und Management bedeutet das: Entscheidungen, Verantwortlichkeiten und der Stand kritischer Maßnahmen bleiben auch bei hoher Dynamik transparent. Welche Funktionen und Prozesse sinnvoll sind, hängt von Ihrer Organisation und dem konkreten Einsatzbereich ab.

Betrieb, Zugang und Support

Wo und wie kann PREVISEC betrieben werden?

PREVISEC kann je nach Lizenz- und Betriebsmodell selbst betrieben oder bei einem Cloudanbieter Ihrer Wahl betrieben werden. Im SaaS- und Managed-Service-Angebot wird die Plattform für Kunden mit einem Partner betrieben.

Anforderungen an Sicherheit, Datenschutz, Datenstandort, Betrieb und vertragliche Leistungen werden im jeweiligen Projekt abgestimmt. So wählen Organisationen ein Betriebsmodell, das zu ihrer IT-Architektur, ihren Compliance-Anforderungen und ihrem Sicherheitskonzept passt.

Unterstützt PREVISEC SSO und MFA – auch für den Notfall?

Ja. PREVISEC kann über Single Sign-on (SSO) in bestehende Authentifizierungs- und MFA-Vorgaben eingebunden werden. Für die native Authentifizierung stehen Varianten der Zwei- beziehungsweise Mehrfaktor-Authentifizierung zur Verfügung, beispielsweise mit Authenticator-App oder SMS.

Für Notfallszenarien ist immer ein nativer Anmeldeweg vorgesehen werden, der unabhängig vom angebundenen Identity Provider ist. Dadurch bleibt der Zugang für kritische Rollen planbar, wenn ein zentraler Identitätsdienst beeinträchtigt ist.

Welche Verfügbarkeit und welchen Support bietet PREVISEC?

Verfügbarkeit, Supportzeiten, Prioritäten und Reaktionszeiten richten sich nach dem gewählten Lizenz-, Hosting- und Betriebsmodell. Verbindlich sind ausschließlich die im jeweiligen Vertrag oder Service-Level-Agreement festgelegten Leistungen.

Bei Anforderungen an eine Rund-um-die-Uhr-Erreichbarkeit sollten technische Rufbereitschaft oder interne Eskalationswege zu unserem Support abgestimmt und implementiert werden.

Integration, Tickets und relevante Kontextdaten

Kann PREVISEC Daten, Tickets und Assets aus anderen Systemen integrieren?

Ja. PREVISEC ist als Plattform mit Schnittstellenkonzept ausgelegt. Relevante Daten zu Incidents, Lagen, Tickets oder Assets können aus bestehenden Fachsystemen eingebunden werden, sofern Datenquelle, Berechtigungen und gewünschter Informationsfluss technisch und fachlich geeignet sind.

So können beispielsweise kritische Tickets aus einem Service-Management-System mit einem Incident verknüpft oder Asset-Daten aus einem BCM-Tool regelmäßig übernommen werden. Welches System für welche Daten führend bleibt und ob Daten nur referenziert, übernommen oder zurückgespielt werden, wird im Integrationskonzept festgelegt.

Mehr dazu: Plattform für Incident- und Krisenmanagement

Gehören alle IT-Service-Requests in PREVISEC?

Nein. Routineanfragen bleiben in der Regel im zuständigen Service-Management-System. Sicherheitsrelevante oder kritische Tickets können jedoch über Kennzeichnungen oder Abgleichregeln in einen Incident-Prozess überführt und mit dem Ursprungsticket verknüpft werden.

Damit bleibt die Verantwortlichkeit und Arbeitsgrundlage im Fachsystem erhalten, während Security, IT, BCM oder Krisenmanagement die sicherheitsrelevanten Auswirkungen und Maßnahmen gemeinsam steuern können.

Welche Standort- und Asset-Informationen lassen sich hinterlegen?

Standort- und Asset-Informationen können an den jeweiligen Einsatzbereich angepasst werden. Dazu gehören beispielsweise Beschäftigtenzahlen, Sicherheitsdienste, Gebäudetypen, Stockwerke, Produktions- oder Lagerfunktionen, Gefahrstoffe, kritische Produkte sowie BCM-relevante Werte wie Recovery Time Objective (RTO) oder maximal tolerierbare Ausfallzeit.

Ziel ist nicht, eine führende Stammdatenverwaltung zu ersetzen. Die Informationen sollen im Incident oder in der Krise schnell ein belastbares Lagebild unterstützen und Verantwortlichen helfen, geeignete Maßnahmen zu planen.

Alarmierung und Krisenstab

Können Alarmierungen bestätigt und bei Bedarf eskaliert werden?

Ja. Alarmierungen können so konfiguriert werden, dass Empfängerinnen und Empfänger ihre Erreichbarkeit bzw. Teilnahme bestätigen.

Für ausbleibende oder ablehnende Rückmeldungen lassen sich Eskalationsregeln definieren. So können Ersatzpersonen nachalarmiert oder mehrere geeignete Personen parallel angesprochen werden. Die konkrete Logik richtet sich nach Krisenorganisation, Szenario und Bereitschaftsmodell.

Lassen sich Alarmvorlagen, Verteiler und Empfänger flexibel anpassen?

Ja. Alarmvorlagen können an Rollen, Szenarien und Organisationsstrukturen angepasst werden. Dynamische, fallbezogene Informationen lassen sich in den Alarmierungsinhalt übernehmen, damit Empfängerinnen und Empfänger unmittelbar die relevanten Angaben erhalten.

Neben vorbereiteten Verteilern können berechtigte Personen bei Bedarf einzelne zusätzliche Empfänger auswählen. So lassen sich ein Kernkrisenstab oder feste Bereitschaftsgruppen gezielt durch Fachpersonen aus Security, IT, Safety, Kommunikation oder dem betroffenen Standort ergänzen.

Wie wird ein Krisenstab aktiviert und wer darf alarmieren?

Das Eröffnen eines Krisenraums und die Alarmierung des Krisenstabs können als getrennte Schritte gestaltet werden. Nach der Eskalation entscheiden berechtigte Personen, ob, wann und welche Rollen, Verteiler oder zusätzlichen Expertinnen und Experten alarmiert werden.

Die Berechtigung zur Alarmierung ist an die Rechte für Krisenräume gekoppelt. Vor der Einführung sollte daher verbindlich festgelegt werden, welche Rollen Krisenräume eröffnen, bearbeiten und Alarmierungen auslösen dürfen.

Melden, Triage und Incident Management

Wer meldet und bearbeitet Incidents mit PREVISEC?

Das Organisationsmodell ist flexibel: Mitarbeitende können Vorfälle direkt melden, während die fachliche Bearbeitung und Steuerung durch zuständige Rollen wie Dispatcher, Security-, BCM- oder Fachverantwortliche erfolgt.

Meldungen können auch über alternative Kanäle wie Intranet-Formulare, E-Mail oder API-Anbindungen in den Incident-Management-Prozess überführt werden. Das ist besonders hilfreich, wenn nicht alle Mitarbeitenden einen eigenen Account oder regelmäßigen Zugriff auf Unternehmens-IT haben.

Kann PREVISEC als zentrale Arbeits- und Dokumentationsgrundlage dienen?

Ja. PREVISEC kann relevante Meldungen, Bewertungen, Maßnahmen, Rückfragen und Entscheidungen zu sicherheitsrelevanten Incidents und Krisen zentral zusammenführen und nachvollziehbar bearbeiten.

Die Plattform ersetzt dabei nicht zwangsläufig jedes Fachsystem. Sie schafft jedoch eine gemeinsame Arbeitsgrundlage für die Informationen, welche Maßnahmen und Entscheidungen in Security, Notfall- und Krisenmanagement betreffen.

Lässt sich die Triage an den eigenen Prozess anpassen?

Ja. Kriterien wie Auswirkung, Dringlichkeit, Risiko oder möglicher Krisenbezug können über Fragen, Formulare, Bewertungen und Szenarien abgebildet werden. Eine Meldung kann zunächst bewusst allgemein erfasst und anschließend von zuständigen Fachpersonen qualifiziert werden.

So bleibt die Meldehürde niedrig und die Bewertung dennoch einheitlich und nachvollziehbar – auch wenn meldende Personen noch wenig Erfahrung mit Incident-Kategorien haben.

Szenarien und Berechtigungen

Was sind Szenarien und wie detailliert sollten sie aufgebaut sein?

Szenarien sind wiederverwendbare Arbeitsvorlagen für typische Ereignisarten oder Abläufe. Sie können festlegen, welche Informationen abgefragt, welche Bewertungen durchgeführt, welche Aufgaben angelegt und welche Alarmierungen vorgenommen werden.

Sie können von einer einfachen Sicherheitsmeldung bis zu einem umfassenden Ablauf reichen. Für den Einstieg sind wenige, verständliche Einstiegsszenarien oft sinnvoller als eine sehr kleinteilige Struktur. Die fachliche Einordnung kann anschließend durch qualifizierte Personen erfolgen.

Lassen sich Szenarien für Incident Management und Alarmierung getrennt gestalten?

Ja. Organisationen können Szenarien für die vollständige Incident-Bearbeitung ebenso anlegen wie schlankere Szenarien, bei denen eine Alarmierung oder ein kurzer Abstimmungsprozess im Vordergrund steht.

Dadurch lassen sich unterschiedliche Prozesse sinnvoll abbilden – von der allgemeinen Sicherheitsmeldung über einen komplexen Incident Prozess bis zur schnellen Aktivierung eines definierten Bereitschaftskreises.

Können Berechtigungen und Benachrichtigungen zentral gesteuert werden?

Ja. Berechtigungen und Benachrichtigungen können auf einer übergeordneten Kategorie festgelegt und auf untergeordnete Kategorien oder Szenarien übertragen werden. Das reduziert Pflegeaufwand und sorgt für einheitliche Grundregeln.

Bei Bedarf lassen sich für einzelne Szenarien zusätzliche Gruppen oder abweichende Berechtigungen ergänzen, etwa wenn Safety und Corporate Security gemeinsam eingebunden werden müssen.

Safety, Hinweismanagement und Krisenräume

Können Safety-Meldungen mit PREVISEC abgebildet werden?

Ja. Safety-relevante Incidents können mit passenden Meldeformularen, Kategorien, Bewertungen und Verantwortlichkeiten strukturiert erfasst und bearbeitet werden – beispielsweise für Arbeitsunfälle, Beinaheereignisse oder standortbezogene Sicherheitsmeldungen.

Meldepflichten gegenüber Behörden oder Unfallversicherungsträgern bleiben organisatorische und rechtliche Verantwortung der jeweiligen Organisation. Eine mögliche technische Anbindung muss separat fachlich und technisch geprüft werden, wird jedoch regelmäßig von PREVISEC unterstützt.

Eignet sich PREVISEC für ein Hinweisgebersystem?

Für ein Hinweisgebersystem mit Anonymitäts- und Verfahrensanforderungen sollte vorab geprüft werden, ob das gewünschte Betriebsmodell alle rechtlichen, organisatorischen und technischen Anforderungen erfüllt. Anonymisierte Meldungen können über zusätzliche, passende Meldewege angebunden werden.

Wenn ein formalisiertes Hinweisgebersystem benötigt wird, empfehlen wir eine individuelle Prüfung des Zielprozesses, der Anonymisierung, der Zugriffsrechte und der Aufbewahrungsvorgaben.

Kann ein Krisenraum aus einem Incident heraus oder direkt eröffnet werden?

Ja. Ein Incident kann in das Krisenmanagement eskaliert und in einen Krisenraum überführt werden. Berechtigte Personen können einen Krisenraum auch direkt eröffnen, wenn eine Lage dies erfordert oder bereits ein relevantes externes Ereignis bekannt ist.

Die Eskalation sollte an zuvor festgelegte Kriterien wie erhebliche Auswirkungen, Zeitkritikalität, hohen Abstimmungsbedarf oder besonderen Kommunikationsbedarf geknüpft sein.

Können Aufgaben aus dem Krisenraum außerhalb des Krisenstabs bearbeitet werden?

Ja. Aufgaben können an berechtigte Nutzerinnen und Nutzer außerhalb des Kernkrisenstabs delegiert werden. Diese Personen erhalten die für ihre Aufgabe erforderlichen Informationen und können Rückmeldungen geben.

Externe oder nicht im System angelegte Personen können nicht direkt zugewiesen werden. In diesem Fall sollte eine interne verantwortliche Person die Beauftragung und Rückmeldung nachhalten.

Dokumente und Einführung

Wie werden Dokumente im Incident oder Krisenraum bereitgestellt?

Dokumente können im System hinterlegt und im jeweiligen Incident-, Krisenraum-, SOP- oder Aufgabenkontext verlinkt werden. So sind Notfallhandbücher, Lagepläne oder Arbeitsanweisungen dort erreichbar, wo sie benötigt werden – auch mobil für berechtigte Nutzerinnen und Nutzer.

Die Dokumentenerstellung selbst erfolgt in der jeweiligen Fachanwendung. Welche Dateiformate zugelassen sind, kann im Betriebskonzept definiert werden. Im Ernstfall sollten relevante Dokumente aktuell, schnell auffindbar und auf mobilen Endgeräten gut lesbar sein.

Wie lange dauert die Einführung von PREVISEC?

Der Einführungsaufwand hängt unter anderem von Organisationsgröße, Standorten, vorhandenen Daten, Szenarien, Integrationen, Rollen und Schulungsbedarf ab. Ein klar abgegrenzter Start mit priorisierten Use Cases ermöglicht frühe praktische Erfahrungen und beschleunigt die Einführung.

Für eine belastbare Planung werden Ziele, Betriebsmodell, Verantwortlichkeiten, Datenquellen und gewünschte Funktionen gemeinsam betrachtet. Daraus entsteht ein realistischer Projektplan statt einer pauschalen Zeitangabe. Eines kann man festhalten: Team PREVISEC ist schnell!

Wird PREVISEC für Incident Management, Krisenmanagement oder beides genutzt?

PREVISEC kann für Incident Management, Krisenmanagement oder beide Bereiche gemeinsam eingesetzt werden. Incidents werden strukturiert erfasst und bewertet; bei einer Eskalation kann die Krisenorganisation gezielt aktiviert werden.

Welche Bereiche zuerst eingeführt werden, richtet sich nach Ausgangslage und Prioritäten der Organisation. Möglich sind ein schrittweiser Start ebenso wie ein gemeinsames Zielbild für Security, IT-Notfallmanagement, BCM und Krisenmanagement.