Anleitung

Eine Störung als DORA-Vorfall eskalieren: einordnen, Erstmeldung vorbereiten, Fristen im Blick behalten

Aus einer Störung heraus die zuständigen Personen alarmieren, den Vorgang im Reiter DORA einordnen lassen, die Erstmeldung mit den beteiligten IKT-Drittdienstleistern vorbereiten und die Frist im Vorgangskopf verfolgen.

8 min Lesezeit · Oktober 2026

Diese Anleitung zeigt den Weg vom ersten Verdacht bis zur laufenden Meldekette: Eine Störung, an der ein externer Dienstleister beteiligt ist, wird als DORA-Vorfall eskaliert, im Reiter DORA eingeordnet, und die Erstmeldung wird vorbereitet. Wie Sie danach die Meldungen führen und als eingereicht vermerken, steht in Meldekette am Vorgang führen. Die Fristen erklärt der Überblick.

Das brauchen Sie

Das Recht Bearbeiten im Modul Servicedesk und Zugang zum Vorgang. Der Knopf zum Eskalieren erscheint nur bei Störungen, nicht bei Zugängen von Dienstleistern und nicht bei untergeordneten Vorgängen. Diese laufen über den übergeordneten Vorgang.

Beispiel: Der Dienstleister Beispiel Hosting GmbH betreibt das Auftragsportal der Beispiel GmbH. Das Portal ist seit dem Morgen nicht erreichbar. Julia Beispiel bearbeitet die Störung und hält sie für meldepflichtig.

Schritt 1: Den Vorgang eskalieren

Öffnen Sie die Störung in der Vollansicht. Im Reiter Übersicht steht die Karte Major Incident und DORA. Solange am Vorgang noch nichts eingeordnet ist, finden Sie dort den Knopf Als DORA-Vorfall eskalieren. Klicken Sie darauf.

Störung mit der Karte Major Incident und DORA und dem Knopf Als DORA-Vorfall eskalieren — Die Karte steht im Reiter Übersicht rechts neben der Beschreibung.

Das Fenster nennt, was die Eskalation bewirkt:

Es geht keine Meldung an die Aufsicht. Die Einordnung folgt im Reiter DORA.
Die Einordnung als IKT-Vorfall braucht eine zweite Person (Vier-Augen-Prinzip).
Die Meldefristen laufen ab der Einstufung bzw. ab Kenntnis des Vorfalls, nicht ab der Eskalation.

Darunter steht der Hinweis, dass Ihre Begründung nur im internen Nachweis des Vorgangs steht und dass die Compliance-Rolle und der Incident Commander benachrichtigt werden. Tragen Sie unter Begründung (Pflicht) ein, warum Sie den Vorfall für DORA-relevant halten, und klicken Sie auf Eskalieren. Ohne Begründung bleibt der Knopf gesperrt. Die Begründung darf höchstens 2000 Zeichen lang sein.

Dialog Als DORA-Vorfall eskalieren mit den drei Wirkungshinweisen und ausgefüllter Begründung — Der Dialog nennt die Wirkung der Eskalation. Ohne Begründung bleibt Eskalieren gesperrt.

Beispiel: „Auftragsportal bei der Beispiel Hosting GmbH seit 07:30 Uhr gestört, alle Kundinnen und Kunden betroffen.“

Danach meldet knooing Der Vorgang wurde als DORA-Vorfall eskaliert. Bitte ordnen Sie ihn jetzt im Reiter DORA ein. und nennt, wie viele Personen benachrichtigt wurden ({Anzahl} zuständige Personen wurden benachrichtigt.) oder dass niemand zusätzlich benachrichtigt werden konnte. Die Ansicht wechselt in den Reiter DORA.

Kehren Sie in den Reiter Übersicht zurück, steht in der Karte statt des Knopfes der Zustand Bereits eskaliert am {Datum} mit Uhrzeit. Ein Klick darauf öffnet den Reiter DORA. Solange noch nichts eingeordnet ist, bleibt dieser Zustand stehen, eine zweite Eskalation ist an dieser Stelle nicht vorgesehen.

Karte Major Incident und DORA mit dem Zustand Bereits eskaliert am und der Anzeige Einordnung ausstehend — Nach der Eskalation zeigt die Karte, wann eskaliert wurde. Daneben steht noch Einordnung ausstehend.

Wer wird benachrichtigt? Die Personen mit Bearbeitungsrecht im Bereich Sicherheit & Compliance (die Compliance-Rolle) und die Einsatzleitung des Vorgangs (Incident Commander), sofern sie den Vorgang sehen und bearbeiten dürfen. Sie selbst erhalten keine Benachrichtigung. Die Benachrichtigung läuft wie alle anderen auch: Glocke immer, E-Mail je nach persönlicher Einstellung. Sie lässt sich nicht abbestellen.

Warum gibt es diesen Schritt? Wer einen Vorfall zuerst sieht, ist oft nicht die Person, die einordnet und meldet. Die Eskalation holt diese Personen früh dazu und hält fest, wer wann mit welcher Begründung eskaliert hat. Die Begründung steht nur im internen Verlauf des Vorgangs. Sie geht weder per E-Mail noch an ein Fremdsystem, und Meldende und Dienstleister sehen sie nicht.

Wo steht der Nachweis? Im Reiter Verlauf. Dort erscheint der Eintrag Als DORA-Vorfall eskaliert mit Ihrer Begründung, darüber Zustellung der DORA-Eskalation vermerkt. Weiter oben folgen die Einordnung (IKT-Vorfall eingestuft (DORA) mit dem Ergebnis) und die Freigabe erteilt mit der Freigabeart.

Reiter Verlauf mit den Einträgen IKT-Vorfall eingestuft (DORA), Freigabe erteilt und Als DORA-Vorfall eskaliert — Der Verlauf hält fest, wer wann mit welcher Begründung eskaliert hat.

Warum nur einmal pro Stunde? Sonst entstünde ein Dauerfeuer in einer Benachrichtigung, die niemand abstellen kann. Der Knopf verschwindet deshalb nach der Eskalation. Eskaliert jemand dieselbe Störung innerhalb einer Stunde trotzdem erneut, etwa in einem zweiten Fenster, lehnt knooing das ab: Dieser Vorgang wurde in der letzten Stunde bereits als DORA-Vorfall eskaliert. Die zuständigen Personen sind benachrichtigt. Die Einordnung folgt im Reiter DORA. Konnte die Benachrichtigung nicht zugestellt werden (Die Eskalation ist vermerkt, die Benachrichtigung konnte aber nicht zugestellt werden. Bitte informieren Sie die Compliance-Rolle direkt oder versuchen Sie es erneut.), bleibt der Knopf stehen, und Sie dürfen sofort erneut eskalieren.

Was die Eskalation nicht tut

Sie ordnet nicht ein, stuft nicht ein, kennzeichnet nichts als sicherheitsrelevant, sperrt keine Übergabe an Dienstleister und meldet nichts an die Aufsicht. Sie ist ein Alarm mit Nachweis, mehr nicht.

Liegt am Vorgang schon eine Einordnung, ein Antrag oder eine Einstufung vor, zeigt die Karte stattdessen den Knopf DORA-Stand: {Status}, zum Beispiel DORA-Stand: schwerwiegend. Er springt in den Reiter DORA.

Schritt 2: Im Reiter DORA einordnen

Im Reiter DORA steht oben die DORA-Wirkkette mit den Schritten Einordnung, Vorfallsprofil, Einstufung und Meldung. Der erste Schritt ist der Block Einordnung: IKT-Vorfall?. Klicken Sie auf Neu einordnen. Im Dialog stehen vier Einordnungen: IKT-Vorfall (beeinträchtigt Verfügbarkeit, Integrität oder Vertraulichkeit von IKT-Systemen), Operationeller Zahlungsvorfall, Erhebliche Cyberbedrohung und Kein IKT-Vorfall. Wählen Sie die passende, zum Beispiel IKT-Vorfall, und tragen Sie die Begründung ein. Die Begründung ist auch bei Kein IKT-Vorfall Pflicht: Ein „nein“ muss sich später genauso erklären lassen wie ein „ja“. Klicken Sie auf Zur Freigabe einreichen. Ohne Begründung bleibt der Knopf gesperrt.

Dialog Einordnung IKT-Vorfall mit gewählter Einordnung, Ankreuzfeld Sicherheitsrelevant und Begründung — Das Ankreuzfeld erscheint nur bei der Einordnung IKT-Vorfall. Hier bleibt es frei.

Danach zeigt der Block, dass der Antrag wartet: Antrag „IKT-Vorfall“ für Vorgang #{Nummer} wartet auf Freigabe. Darunter steht, ob Sie das Feld gesetzt haben (Sicherheitsrelevant: nein).

Block Einordnung mit dem Hinweis, dass der Antrag auf Freigabe wartet, und der Angabe Sicherheitsrelevant nein — Der Antrag steht unter Freigaben, bis eine zweite Person entschieden hat.

Die Einordnung gilt erst, wenn eine zweite Person sie unter Freigaben freigibt (Vier-Augen-Prinzip). Der Antrag wartet dort, und die zuständigen Personen werden benachrichtigt. Die Freigabe ist fristgebunden. Sprechen Sie die zweite Person bei knapper Zeit zusätzlich direkt an.

Die zweite Person öffnet im Menü Servicedesk den Punkt Freigaben. Im Reiter offen steht der Antrag Einordnung: IKT-Vorfall? mit der Markierung Einstufung als IKT-Vorfall. Unter Worüber entschieden wird sieht sie Begründung, Einordnung und die Zeile Sicherheitsrelevant. Mit Zustimmen öffnet sich das Fenster Freigabe erteilen. Eine Begründung (empfohlen) ist möglich, ein zweiter Klick auf Zustimmen erteilt die Freigabe (Freigabe erteilt.). Mit Ablehnen lehnt sie den Antrag ab.

Seite Freigaben mit dem offenen Antrag Einordnung IKT-Vorfall, aufgeklappten Einzelheiten und den Knöpfen Zustimmen und Ablehnen — Die zweite Person sieht die Einordnung samt Sicherheitsangabe, bevor sie zustimmt.

Danach übernehmen Sie die Einordnung im Reiter DORA mit Freigabe prüfen und übernehmen. knooing meldet Die freigegebene Einordnung wurde übernommen., und der Schritt Vorfallsprofil ist als Nächstes dran.

Warum zwei Personen? Ob ein Vorfall meldepflichtig ist, hat Folgen in beide Richtungen: eine versäumte Meldung ebenso wie eine unnötige. Eine zweite Sicht fängt Fehleinschätzungen ab.

Das Feld „Sicherheitsrelevant (Cyberangriff vermutet)“

Wählen Sie IKT-Vorfall, erscheint im Einordnungsdialog zusätzlich das Ankreuzfeld Sicherheitsrelevant (Cyberangriff vermutet). Der Dialog erklärt es selbst: Nur wenn Sie dieses Feld setzen, wird der Vorgang als Sicherheitsvorfall gekennzeichnet, vertraulich geführt und die Übergabe an Dienstleister gesperrt. Es entscheidet also, was mit dem Vorgang weiter geschieht:

Mit Haken wird der Vorgang nach der Freigabe als Sicherheitsvorfall gekennzeichnet und vertraulich geführt. Die Übergabe an Dienstleister ist gesperrt. Im Formular steht dazu: Sicherheitsrelevant: ja (Vorgang wird vertraulich, Übergabe an Dienstleister gesperrt).
Ohne Haken bleibt der Vorgang normal sichtbar, und die Übergabe an Dienstleister bleibt offen: Sicherheitsrelevant: nein. Das ist der Normalfall bei einem reinen Ausfall bei einem IKT-Dienstleister.

Bei Erhebliche Cyberbedrohung gibt es kein Ankreuzfeld: Der Vorgang wird dort immer als Sicherheitsvorfall gekennzeichnet und vertraulich geführt.

Warum ist das ein eigenes Feld? Eine DORA-Meldepflicht und ein Cyberangriff sind zwei verschiedene Dinge. Fällt der Dienstleister nur aus, muss der Vorgang weiter mit ihm bearbeitet werden können. Vermuten Sie dagegen einen Angriff, soll nichts mehr unkontrolliert nach außen gehen, solange die Lage unklar ist. Näheres zur Kennzeichnung steht in Vorgang als Sicherheitsvorfall kennzeichnen.

Beispiel: Beim Ausfall des Auftragsportals gibt es keinen Hinweis auf einen Angriff. Julia Beispiel lässt das Feld frei, und die Übergabe an die Beispiel Hosting GmbH funktioniert weiter. Hätte das Netzwerk-Team ungewöhnliche Anmeldeversuche gemeldet, hätte sie den Haken gesetzt.

Schritt 3: Einstufen und die Erstmeldung vorbereiten

Nach der Einordnung legen Sie im Reiter DORA mit Profil erfassen das Vorfallsprofil an (Art des Vorfalls, Wann ist es aufgetreten?, Wann wurde es erkannt?, Wann bestand Kenntnis?, Wodurch erkannt?) und stufen den Vorfall mit Einstufen ein. Die Einstufung braucht einen freigegebenen Regelkatalog: Fehlt er, meldet knooing Es liegt kein freigegebener Regelkatalog mit gültiger Wirksamkeit vor - die Einstufung ist gesperrt. Mehr dazu steht in Meldekette am Vorgang führen. Ist der Vorfall schwerwiegend, erscheint im Schritt Meldung der Knopf Erstmeldung anlegen. Klicken Sie darauf.

Einige Felder sind aus dem Vorgang vorbelegt. Neben jedem Vorschlag steht, woher er stammt (Vorgeschlagen aus …). Prüfen und ändern Sie ihn: Erst mit dem Speichern übernehmen Sie die Werte, und eingereicht wird nichts automatisch.

Zwei Felder sind für diesen Ablauf wichtig:

Beschreibung des Vorfalls wird aus Titel und Beschreibung des Vorgangs vorbelegt.
Beteiligte IKT-Drittdienstleister schlägt die Dienstleister vor, die am Vorgang beteiligt sind: zuerst die aktiven Dienstleister des Vorgangs (der primäre vor den mitwirkenden), dazu der Betreiber des verknüpften Ticketsystems, zum Beispiel bei einer ServiceNow-Verknüpfung. Jeder Eintrag zeigt Name und Rolle und ob der Dienstleister im Lieferantenstamm geführt oder nicht im Lieferantenstamm geführt wird. Weitere Dienstleister fügen Sie mit Name des Dienstleisters, optional Rolle (optional), zum Beispiel Betreiber des Ticketsystems und Hinzufügen hinzu. Ist kein Dienstleister beteiligt, lassen Sie das Feld leer (Kein Dienstleister beteiligt.).

Dialog Erstmeldung anlegen mit dem Feld Beteiligte IKT-Drittdienstleister und dem vorgeschlagenen Dienstleister — Der Dienstleister des Vorgangs ist vorgeschlagen. Weitere fügen Sie darüber hinzu.

Dasselbe Feld gibt es im Zwischen- und im Abschlussbericht.

Warum die Dienstleister angeben? Eine Meldung soll zeigen, welche Drittparteien beteiligt waren. Wer im Lieferantenstamm geführt wird, ist mit dem Vertrag und der Bewertung im Register verbunden. Ein frei eingetragener Name ist es nicht, und knooing kennzeichnet das ausdrücklich.

Beispiel: Vorgeschlagen wird Beispiel Hosting GmbH, im Lieferantenstamm geführt. Die Rolle lautet Dienstleister des Vorgangs (primär), wenn der Dienstleister über die Übergabe an den Lieferanten eingeschaltet wurde, und Mitwirkender Dienstleister, wenn er dem Vorgang als weiterer Dienstleister hinzugefügt wurde (so im Bild). Julia Beispiel ergänzt nichts und speichert mit Anlegen.

Danach steht die Erstmeldung als Karte im Schritt Meldung. Betroffene Services erscheinen mit ihrem Namen, und der Beginn des Ausfalls steht in Ihrer Ortszeit. Das Bild zeigt die Karte, nachdem die Erstmeldung bereits eingereicht war.

Karte der Erstmeldung im Schritt Meldung mit den betroffenen Services als Name und dem Beginn des Ausfalls — Die Karte der Erstmeldung nennt Services mit Namen und den Beginn des Ausfalls lokal formatiert.

Schritt 4: Die Frist im Vorgangskopf verfolgen

Sobald der Vorfall als schwerwiegend eingestuft ist und solange eine Meldung offen ist, zeigt der Kopf des Vorgangs rechts oben ein Abzeichen mit der nächsten Frist, zum Beispiel Erstmeldung fällig in 3 Std. oder Erstmeldung überfällig.

Vorgangskopf mit dem Abzeichen Erstmeldung fällig in 3 Std. — Das Abzeichen steht im Kopf, auch wenn Sie nicht im Reiter DORA sind.

Das Abzeichen nennt Stufe und Restzeit. Die Farbe folgt der Ampel: grau bei mehr als 24 Stunden, gelb bei weniger als 24 Stunden, rot nach Fristende. Ein Klick auf das Abzeichen öffnet den Reiter DORA. Ohne offene Meldung, nach dem Abschlussbericht und für Personen ohne das nötige Recht erscheint es nicht.

Warum im Kopf? Die Frist soll sichtbar sein, ohne dass jemand den Reiter öffnen muss. Wer an der Störung arbeitet, sieht so jederzeit, wie viel Zeit bleibt.

Schritt 5: Zwischen- und Abschlussbericht

Mit der Erstmeldung beginnt die nächste Stufe. Mit Zwischenbericht anlegen und später Abschlussbericht anlegen führen Sie die Kette fort. Das Vorgehen ist in Meldekette am Vorgang führen beschrieben. Die Erinnerungen an offene Fristen erklärt Erinnerungen an Meldefristen verstehen.

Eingereicht heißt nicht übermittelt

Als eingereicht vermerken hält nur fest, dass Sie die Meldung selbst bei der zuständigen Stelle abgegeben haben. knooing übermittelt nichts an die Aufsicht. Die Meldung geben Sie auf dem vorgeschriebenen Weg ab und vermerken das danach.

Wenn etwas nicht klappt

Ich sehe den Knopf Als DORA-Vorfall eskalieren nicht. Der Vorgang ist keine Störung, ist ein untergeordneter Vorgang, Ihnen fehlt das Recht Bearbeiten, Sie nutzen einen Dienstleister-Zugang, oder am Vorgang liegt schon eine Einordnung vor (dann steht dort DORA-Stand: {Status}) oder er wurde bereits eskaliert (dann steht dort Bereits eskaliert am {Datum}).
Eskalieren ist grau. Die Begründung fehlt.
Die Eskalation konnte nicht gespeichert werden. Die Eskalation konnte nicht gespeichert werden. oder Eine Eskalation als DORA-Vorfall braucht eine Begründung. Prüfen Sie die Begründung und versuchen Sie es erneut.
Niemand wurde benachrichtigt. Es gab keine Person, die zusätzlich benachrichtigt werden konnte. Es gibt dann keine Person mit Bearbeitungsrecht im Bereich Sicherheit & Compliance und keine Einsatzleitung, die den Vorgang sehen darf. Sprechen Sie die zuständigen Personen direkt an. Die Eskalation ist trotzdem festgehalten.
Die Einordnung konnte nicht eingereicht werden. Die Einordnung konnte nicht zur Freigabe eingereicht werden. Prüfen Sie, ob die Begründung ausgefüllt ist.
Die Einordnung konnte nicht übernommen werden. Die Einordnung konnte nicht übernommen werden - liegt bereits eine erteilte Freigabe vor? Die zweite Person muss unter Freigaben zuerst freigeben.
Die Übergabe an einen Dienstleister ist gesperrt. Der Vorgang ist als sicherheitsrelevant gekennzeichnet. Eine Eskalation allein sperrt nichts. Siehe ServiceNow: Anhänge mitsenden.