Guide

End a major incident and review it: stand-down, closing and sign-off by a second person

How to end the crisis organisation with the stand-down, close the incident afterwards, work on the automatically created review with actions and have a second person approve it.

10 min read · Oktober 2026

Krisenorganisation beenden und Störung schließen sind zwei Entscheidungen. Erst endet die besondere Koordination, dann wird der Vorgang regulär abgeschlossen. Andersherum liefen Rollen, Takt und Erinnerungen verwaist weiter. Danach folgt immer die Nachbetrachtung, damit derselbe Ausfall nicht wiederkehrt. Den Gesamtablauf zeigt der Überblick.

Das brauchen Sie

Einen ausgerufenen Major Incident (siehe Major Incident ausrufen) und das Recht, im Servicedesk Vorgänge zu bearbeiten. Für den Abschluss der Nachbetrachtung muss der Vorgang einem Team zugewiesen sein, bei dem unter Einstellungen, Nutzer & Rechte, Teams der Schalter Team darf Maßnahmen freigeben und abnehmen an ist. Freigeben kann nur ein anderes Mitglied genau dieses Teams mit Bearbeitungsrecht, nicht die Person, die die Freigabe beantragt hat.

Beispiel im Artikel: Um 12:35 Uhr läuft das Auftragsportal über den Ersatzserver, wiederhergestellt durch einen Workaround. Die Ursache, ein voller Speicher der Datenbank Auftragswesen, wird in einem Problem geklärt. Julia Beispiel führt den Vorgang, Tobias Beispiel gibt die Nachbetrachtung frei.

Schritt 1: Der Vorgang lässt sich vor dem Stand-down nicht schließen

Ein Vorgang wird in knooing zuerst gelöst. Klicken Sie oben am Vorgang auf Lösen, tragen Sie die Lösungsbeschreibung ein, wählen Sie die Ursachenklasse (zum Beispiel Konfigurationsfehler oder Ursache nicht ermittelbar) und klicken Sie auf Ausführen. Beides ist Pflicht, der Hinweis dazu lautet „Lösungsbeschreibung und Ursachenklasse sind Pflicht - ohne beides gibt es keinen Abschluss.“ Lösen geht auch, während der Major Incident noch läuft.

Klicken Sie danach auf Schließen, solange der Major Incident noch läuft, weist knooing das ab. Dasselbe gilt für das Abbrechen des Vorgangs.

Gelöster Vorgang mit der Schaltfläche Schließen und der Abweisung, zuerst die Krisenorganisation zu beenden — Ein Vorgang mit laufendem Major Incident lässt sich nicht schließen.

Warum? Wäre die Reihenfolge andersherum, liefen Rollen, Takt und Erinnerungen verwaist weiter. Die Abweisung lautet: „Für diesen Vorgang läuft ein Major Incident. Bitte zuerst die Krisenorganisation beenden (Stand-down), danach lässt sich der Vorgang schließen.“

Schritt 2: Die Krisenorganisation beenden (Stand-down)

Wechseln Sie in den Reiter Vorfall-Betrieb und klicken Sie im Abschnitt Stand-down auf Major Incident beenden. Der Vorgang selbst bleibt unberührt, nur die Krisenbehandlung endet. Das Formular fragt:

Wie endete der Vorfall? Schreiben Sie die Zusammenfassung. Sie schließt die Ausrufung ab.
Wiederhergestellt durch: Lösung, Workaround (Known Error), Nicht wiederhergestellt oder Nicht angegeben. Bei Lösung und Workaround (Known Error) erscheint Zeitpunkt der Wiederherstellung. Tragen Sie ihn ein, wenn er bekannt ist.
Hinweise, wenn noch etwas fehlt: Noch offene Notfalländerungen: … (eine Wiederherstellung soll nicht an Change Enablement vorbeilaufen) und, wenn kein Problem verknüpft ist, Es ist kein Problem verknüpft. Legen Sie eines an oder halten Sie hier fest, warum keines nötig ist. mit dem Feld Warum kein Problem? (optional).
Noch … offene Kommunikationspflichten mit der Liste der Pflichten: Setzen Sie den Haken bei Ich bestätige, dass diese Pflichten mit dem Stand-down entfallen. Meine Zusammenfassung oben geht in den Nachweis. Ohne Haken bleibt Beenden grau. Offene Pflichten fallen so bewusst weg, statt still unterzugehen. Bereits überfällige Pflichten bleiben als versäumt im Nachweis stehen.

Klicken Sie auf Beenden.

Formular zum Beenden des Major Incidents mit Zusammenfassung, Wiederhergestellt durch Workaround und bestätigten offenen Pflichten — Das Formular zum Stand-down. Es warnt vor offener Notfalländerung und offenen Pflichten.

Danach steht der Vorgang nicht mehr als ausgerufen da, und knooing meldet Die Nachbetrachtung wurde angelegt. Sie ist aus der Zeitachse vorbefüllt. Im Block Wiederherstellung und Folgeprozesse steht bei Nachbetrachtung jetzt Fällig bis …: Das ist der Stand-down plus fünf Tage. Wer schon informiert war, bekommt eine Entwarnung als Benachrichtigung. Hat Ihr Fahrplan eine Regel zum Stand-down, im Standardfahrplan Entwarnung an alle Informierten, entsteht daraus eine neue Pflicht. Für Personen ohne Konto quittieren Sie sie wie in Krisenkommunikation und Pflichten beschrieben.

Die Systempflichten (IKT-Relevanz einordnen und, wenn entstanden, Kunden informieren) stehen im Formular nicht in der Liste der entfallenden Pflichten. Sie bleiben nach dem Stand-down offen, bis Sie sie erledigt haben.

Warum? Beim Ende hält man fest, wie der Dienst wiederhergestellt wurde, und offene Pflichten werden bewusst bestätigt statt still fallen gelassen. Die Zusammenfassung geht in den Nachweis.

Beispiel: Zusammenfassung: „Die Datenbank wurde auf den Ersatzserver umgeschaltet, das Auftragsportal ist wieder erreichbar. Die Ursache wird im Problem geklärt.“ Wiederhergestellt durch Workaround (Known Error).

Schritt 3: Den Vorgang schließen

Ordnen Sie zuerst die IKT-Relevanz ein, wie in Krisenkommunikation und Pflichten beschrieben, und lassen Sie die Einordnung von einer zweiten Person freigeben. Ohne sie weist knooing das Schließen ab: „Für diesen Vorgang lief ein Major Incident, und die IKT-Relevanz ist noch nicht eingeordnet. Bitte ordnen Sie den Vorfall zuerst im Reiter DORA ein, danach lässt er sich schließen.“

Klicken Sie danach oben am Vorgang auf Schließen. Der Vorgang steht auf geschlossen. Bei einer Übung sperrt die fehlende Einordnung das Schließen nicht.

Warum? Wer einen schweren Vorfall schließt, soll vorher festgehalten haben, ob er meldepflichtig ist. Die Sperre verhindert, dass diese Frage offen bleibt.

Schritt 4: Die Nachbetrachtung ausfüllen

Öffnen Sie den Reiter Nachbetrachtung. Oben stehen der Stand (Entwurf), der Hinweis Die Abschnitte Erkennung, Eskalationsverlauf und Kommunikation sind aus der Zeitachse vorbefüllt. Bitte prüfen und ergänzen Sie sie., Fällig bis … und die Kennzahlen aus der Zeitachse, zum Beispiel Dauer der Ausrufung: 38 min. Die Zeile … von 5 Pflichtangaben ausgefüllt. zeigt den Fortschritt, im Bild 5 von 5 Pflichtangaben ausgefüllt.

Ergänzen Sie die Pflichtangaben:

Wurde nach dem vorgesehenen Verfahren gearbeitet?
Wie schnell wurde die Störung erkannt?, Wie verlief die Eskalation? und Wer wurde wann informiert?: schon aus der Zeitachse vorbefüllt, prüfen und ergänzen.
Warum ist es passiert? in fünf Schritten: Was ist passiert?, Was hat es unmittelbar ausgelöst?, Was hat es begünstigt?, Was ist die eigentliche Ursache? und Worauf stützt sich das?

Optional sind Wurden Spuren gesichert?, Was lief gut? und Was lief schlecht?. Klicken Sie auf Entwurf speichern.

Legen Sie unter Abnahme durch über Ändern die Person fest, die abgeschlossene Maßnahmen abnimmt und Nacharbeit verlangen kann, und klicken Sie auf Speichern.

Nachbetrachtung mit Kennzahlen, Abnahme durch, Pflichtfeldern, dem Block Warum ist es passiert und der Maßnahme — Die Nachbetrachtung nach dem Ausfall. Erkennung, Eskalation und Kommunikation sind vorbefüllt.

Warum? Ohne Nachbetrachtung wiederholt sich derselbe Ausfall. Sie entsteht automatisch, damit sie nicht vergessen wird, und ist aus der Zeitachse vorbefüllt.

Eine Maßnahme anlegen

Klicken Sie unter Was ändern wir daraus? auf Maßnahme daraus erstellen. Tragen Sie bei Was wird geändert? die Änderung ein, wählen Sie bei Wer setzt sie um? die verantwortliche Person und tragen Sie bei Bis wann? die Frist ein. Verantwortliche und Frist sind Pflicht, sonst ist es nur eine Notiz. Klicken Sie auf Erstellen.

Formular Maßnahme erstellen mit Änderung, verantwortlicher Person und Frist — Eine Maßnahme braucht eine verantwortliche Person und eine Frist.

Die Maßnahme steht danach mit Status offen und der Frist in der Nachbetrachtung, zum Beispiel bis 16.10.2026, und mit Wartet auf … bei der zuständigen Person. Dort sind Change verknüpfen, In Bearbeitung nehmen und verwerfen möglich.

Beispiel: Speicherüberwachung für die Datenbank Auftragswesen einrichten, verantwortlich Tobias Beispiel, fällig in 14 Tagen.

Warum? Eine Nachbetrachtung ohne Maßnahme ist eine Beschreibung und ändert nichts. Verantwortliche und Frist machen daraus Arbeit.

Schritt 5: Von einer zweiten Person freigeben lassen

Klicken Sie unter den Pflichtangaben auf Freigabe beantragen. Das geht erst, wenn alle Pflichtangaben ausgefüllt sind. Der Hinweis dazu lautet: „Abschließen darf nur, wer den Vorfall nicht bearbeitet hat. Beantragen Sie dafür eine Freigabe; die zweite Person sieht dabei, was Sie eingetragen haben.“ Der Stand der Nachbetrachtung steht danach auf in Freigabe, mit Freigabe beantragt am … und dem Team, das freigibt, zum Beispiel Die Freigabe erfolgt durch das Team Portal-Betrieb. Das ist das Team, dem der Vorgang zugewiesen ist.

Hinweis Freigabe beantragt mit dem zuständigen Team — Nach dem Antrag wartet die Nachbetrachtung auf eine zweite Person.

Die zweite Person, ein anderes Mitglied dieses Teams, öffnet in der Seitenleiste Servicedesk, Freigaben. Dort steht der Antrag mit dem Kennzeichen Abschluss einer Nachbetrachtung. Ist der Vorgang vertraulich, etwa nach einer Einordnung als IKT-Vorfall, lautet der Titel „Vertraulicher Vorgang“ mit der Nummer. Sie klickt auf Zustimmen, trägt im Fenster Freigabe erteilen eine Begründung ein (empfohlen) und klickt auf Zustimmen.

Freigaben mit dem Antrag Abschluss einer Nachbetrachtung — Der Antrag in der Liste Freigaben der zweiten Person.

Danach klicken Sie in der Nachbetrachtung auf Nachbetrachtung abschließen. Es erscheint Abgeschlossen und freigegeben - nicht mehr änderbar. Ohne erteilte Freigabe weist knooing den Abschluss ab.

Schaltfläche Nachbetrachtung abschließen — Nach der Zustimmung schließen Sie die Nachbetrachtung ab.

Warum? Niemand soll seine eigene Aufarbeitung freigeben. Darum braucht der Abschluss eine zweite Person, die sieht, was eingetragen wurde.

Schritt 6: Die Nachbetrachtungen im Überblick behalten

Öffnen Sie in der Seitenleiste Servicedesk, Major Incidents / DORA, Reiter Major Incidents, und wählen Sie darunter Nachbetrachtungen. Die Liste gliedert sich in Offen, Überfällig und Abgeschlossen, mit Vorgang, Fällig (bei abgeschlossenen das Abschlussdatum), Stand, Maßnahmen (zum Beispiel 1 offen von 1) und Abnahme. Eine offene Nachbetrachtung wechselt nach Ablauf der Frist zu Überfällig. Öffnen führt zur Nachbetrachtung.

Liste der Nachbetrachtungen mit einem abgeschlossenen Eintrag — Die Liste der Nachbetrachtungen, hier mit einer abgeschlossenen.

Wenn etwas nicht klappt

„Für diesen Vorgang läuft ein Major Incident. Bitte zuerst die Krisenorganisation beenden (Stand-down), danach lässt sich der Vorgang schließen.“ Beenden Sie zuerst den Major Incident (Schritt 2).
„Für diesen Vorgang lief ein Major Incident, und die IKT-Relevanz ist noch nicht eingeordnet. …“ Ordnen Sie im Reiter DORA ein und lassen Sie die Einordnung freigeben.
Lösen geht nicht. Lösungsbeschreibung und Ursachenklasse sind Pflicht. Füllen Sie beides aus.
„Der Stand-down konnte nicht gespeichert werden.“ Laden Sie die Seite neu und versuchen Sie es erneut.
„Der Wiederherstellungszeitpunkt liegt in der Zukunft.“ Tragen Sie einen Zeitpunkt ein, der höchstens fünf Minuten in der Zukunft liegt.
Die Freigabe der Nachbetrachtung geht nicht. Prüfen Sie, ob der Vorgang einem Team zugewiesen ist, bei dem Team darf Maßnahmen freigeben und abnehmen an ist, und ob dieses Team neben Ihnen ein Mitglied mit Bearbeitungsrecht hat. Fehlt ein solches Team ganz, weist die Seite Teams darauf hin, dass niemand eine Maßnahme aus der Nachbetrachtung freigeben kann.
„Für diese Nachbetrachtung liegt keine erteilte Freigabe vor. Beantragen Sie sie zuerst.“ Warten Sie auf die Zustimmung unter Freigaben, dann schließen Sie ab.