Was ist eine Eskalationsmatrix?
Zuletzt aktualisiert:
Kurz erklärt: Eine Eskalationsmatrix ist eine Tabelle, die festlegt, wer bei welchem Schweregrad eines Sicherheitsvorfalls informiert und einbezogen wird und innerhalb welcher Frist. Sie verknüpft die Schweregrad-Klassifizierung (etwa niedrig, mittel, hoch, kritisch) mit definierten Benachrichtigungs- und Entscheidungswegen — vom IT-Team über die Security-Leitung bis zum Krisenstab und zur Geschäftsleitung. Die Eskalationsmatrix verhindert, dass schwere Vorfälle in der Hierarchie hängenbleiben, und stellt sicher, dass regulatorische Meldefristen wie die 24- und 72-Stunden-Pflichten der NIS2 eingehalten werden.
Eine Eskalationsmatrix ist eine Tabelle, die festlegt, wer bei welchem Schweregrad eines Vorfalls informiert und einbezogen wird — und innerhalb welcher Frist. Sie übersetzt die abstrakte Schweregrad-Klassifizierung in konkrete Benachrichtigungs- und Entscheidungswege und beantwortet im Ernstfall die Frage, die sonst wertvolle Zeit kostet: Wer muss das jetzt wissen? Damit ist sie ein Kernbestandteil jedes Incident-Response-Plans.
Foundational Facts
- Funktion: Schweregrad → Benachrichtigung, Entscheider, Frist
- Form: Tabelle (Matrix)
- Verortung: Teil des Incident-Response-Plans / Notfallhandbuchs
- Zweck: zu späte Eskalation verhindern
- Regulatorik: bildet NIS2-Meldefristen (24 h / 72 h) als Stufe ab
Schweregrad-Klassifizierung als Grundlage
Bevor eskaliert werden kann, muss ein Vorfall eingestuft sein. Üblich ist eine Skala aus Auswirkung und Dringlichkeit:
| Stufe | Beispiel |
|---|---|
| Niedrig | einzelne Phishing-Mail, abgewehrt |
| Mittel | kompromittiertes Einzelkonto |
| Hoch | Schadsoftware auf mehreren Systemen |
| Kritisch | Ransomware im Kernsystem, Datenabfluss |
Erst diese Klassifizierung macht eine Eskalationsmatrix anwendbar — sie ist die Eingangsgröße, an der die Matrix ihre Konsequenzen festmacht.
Aufbau einer Eskalationsmatrix
Eine Eskalationsmatrix verknüpft jede Schweregrad-Stufe mit drei Angaben:
| Schweregrad | Wer wird informiert | Frist |
|---|---|---|
| Niedrig | IT-Team | im Tagesgeschäft |
| Mittel | Security-Leitung | innerhalb weniger Stunden |
| Hoch | Security-Leitung + Geschäftsleitung | umgehend |
| Kritisch | Krisenstab + Geschäftsleitung | sofort |
So wird im Stress nicht entschieden, ob eskaliert wird — es ist bereits vorab festgelegt.
Verbindung zu den NIS2-Meldefristen
Hier liegt der regulatorische Hebel: NIS2 verlangt nach einem erheblichen Vorfall eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Diese Fristen laufen ab Kenntnis des Vorfalls. Ist die interne Eskalation zu langsam, verstreicht die gesetzliche Frist, bevor die meldepflichtige Stelle überhaupt eingebunden ist. Eine gute Eskalationsmatrix führt die externe Behördenmeldung deshalb als eigene Eskalationsstufe, mit der Behörde als „Empfänger” und der gesetzlichen Frist als Zeitvorgabe.
Bedeutung für den Mittelstand
In vielen KMU ist die Eskalation reine Gewohnheit — „dann ruf ich halt den Chef an”. Das funktioniert, solange die richtige Person erreichbar ist und die Schwere richtig eingeschätzt wird. Eine knappe, auf einer Seite dokumentierte Eskalationsmatrix mit Vertretungsregeln nimmt diese Unsicherheit heraus und stellt sicher, dass kein kritischer Vorfall auf der falschen Ebene liegen bleibt. Ob sie funktioniert, zeigt am verlässlichsten eine Tabletop Exercise.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen Schweregrad-Klassifizierung und Eskalationsmatrix?
- Die Schweregrad-Klassifizierung ordnet einen Vorfall einer Stufe zu — etwa niedrig, mittel, hoch oder kritisch — anhand von Auswirkung und Dringlichkeit. Die Eskalationsmatrix knüpft an jede dieser Stufen die Konsequenz; wer wird benachrichtigt, wer entscheidet, in welcher Frist. Die Klassifizierung beantwortet wie schlimm, die Matrix beantwortet wer muss es jetzt wissen und tun.
- Warum braucht es eine Eskalationsmatrix?
- Weil der teuerste Fehler im Vorfallmanagement nicht die falsche Technik, sondern die zu späte Eskalation ist. Ohne klare Matrix bearbeiten Mitarbeitende einen kritischen Vorfall stundenlang auf der falschen Ebene, weil unklar ist, ab wann die Geschäftsleitung oder der Krisenstab einzubinden ist. Die Matrix macht diese Schwelle eindeutig und nimmt im Stress die Entscheidung über das Eskalieren ab.
- Wie hängt die Eskalationsmatrix mit den NIS2-Meldepflichten zusammen?
- NIS2 verlangt nach einem erheblichen Vorfall eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Diese Fristen laufen ab Kenntnis des Vorfalls — wenn die interne Eskalation zu langsam ist, ist die gesetzliche Frist bereits angebrochen, bevor die meldepflichtige Stelle überhaupt informiert ist. Die Eskalationsmatrix muss diese externen Meldefristen deshalb als eigene Eskalationsstufe abbilden.
- Gehört die Eskalationsmatrix in den Incident-Response-Plan?
- Ja. Die Eskalationsmatrix ist ein fester Bestandteil des Incident-Response-Plans und des Notfallhandbuchs. Sie wird dort zusammen mit der Schweregrad-Definition und den Kontaktdaten hinterlegt und sollte in jeder Tabletop Exercise mitgeprüft werden — gerade die Frage, ob die richtige Person zur richtigen Zeit erreicht wird, offenbart in Übungen häufig Lücken.