Ein erheblicher Vorfall ist keine Tatsache, sondern eine Entscheidung

Die meisten Ratschläge zum Incident Management unterstellen, der schwere Teil sei die Reaktion. Ist er nicht. Der schwere Teil ist der Satz, der zuerst ausgesprochen werden muss: Das ist ein schwerwiegender Vorfall. Dieser Satz startet Fristen, weckt Menschen, informiert Kunden und Aufsichtsbehörden und bindet Budget. Und er ist unvermeidlich jemandes Ermessen, kein Ablesen an einem Instrument.

Die Schwere ist keine Eigenschaft des Vorfalls. Sie ist eine Entscheidung über den Vorfall. Und Entscheidungen, die niemandem zugewiesen sind, fallen in aller Regel in die Richtung, die am wenigsten Handeln verlangt.

Eine aktuelle Prüfung der europäischen Vorfallsbewältigung belegt das in einem Maßstab, dem schwer zu widersprechen ist, und taugt deshalb als Spiegel auch für einen sehr viel kleineren Betrieb.

Der Fall

Im September 2025 traf Ransomware die Software zur Passagierabfertigung an Flughäfen. Mehrere große europäische Flughäfen wichen auf manuellen Betrieb aus, am stärksten betroffen waren Heathrow, Brüssel, Berlin Brandenburg und Dublin (Box 1).

Kein Mitgliedstaat bewertete das Ereignis als erheblichen oder groß angelegten grenzüberschreitenden Vorfall. Weil es nicht so eingestuft wurde, wurden weder die ENISA noch die übrigen Mitgliedstaaten informiert, das CSIRTs-Netzwerk alarmierte EU-CyCLONe nicht, und eine koordinierte Bewältigung fand nicht statt (Box 1).

Lesen Sie diese Abfolge genau, denn die Kausalität läuft in eine nicht naheliegende Richtung. Der Koordinationsmechanismus hat nicht bei der Arbeit versagt. Er wurde nie gestartet, und er wurde nie gestartet, weil eine Einstufungsentscheidung nicht getroffen wurde.

Das Muster

Ein Einzelfall war das nicht.

Seit 2016 hat kein Mitgliedstaat jemals einen Vorfall als groß angelegt bezeichnet. Das Eskalationsverfahren EU-CyCLONe wurde nie vollständig aktiviert (Ziffer 40). Zu dieser Menge an Nicht-Ereignissen gehören WannaCry 2017, NotPetya im selben Jahr und der weltweite Ausfall nach einem fehlerhaften CrowdStrike-Update im Juli 2024 (Figure 3).

Wenn eine Kategorie ein Jahrzehnt lang existiert und kein einziges Mal verwendet wird, beschreibt diese Kategorie nicht die Wirklichkeit. Entweder ist nichts geschehen, was hineingehört, was das vergangene Jahrzehnt unplausibel macht, oder das Einordnen in diese Kategorie ist schwerer als die Ereignisse, die hineingehören.

Warum es passiert

Die Prüfer benennen den Mechanismus, und er ist von enttäuschender Alltäglichkeit.

Das CSIRTs-Netzwerk und EU-CyCLONe haben sich nie auf eine gemeinsame Taxonomie der Schweregrade geeinigt, ebenso wenig auf gemeinsame Definitionen von Grundbegriffen wie Bedrohung, Vorfall und Auswirkung. Damit bleibt, wie der Bericht es nennt, Auslegungsspielraum, wann ein Vorfall erheblich oder groß angelegt ist. Alle drei während der Prüfung besuchten Mitgliedstaaten sprachen die fehlende Taxonomie unabhängig voneinander an (Ziffer 30).

Auslegungsspielraum klingt nach Flexibilität. In der Praxis ist es ein Vakuum, und Vakuen füllt derjenige, der unter dem geringsten Handlungsdruck steht.

Überlegen Sie, was die Ausrufung eines schwerwiegenden Vorfalls die ausrufende Person kostet. Sie ist sichtbar. Sie kann falsch liegen, und nach oben falsch zu liegen ist auf eine Weise peinlich, wie es nach unten falsch zu liegen nicht ist, denn niemand wird je aufgefordert, den Vorfall zu rechtfertigen, den er nicht eskaliert hat. Es erzeugt Arbeit für Kollegen, von denen einige geweckt werden. Und ohne eine niedergeschriebene Regel trägt das alles die ausrufende Person persönlich.

Und nun die Kosten des Nicht-Ausrufens. Im Moment null. Die Kosten kommen später, sind diffus, und dann haften sie am Ereignis, nicht an der Entscheidung.

Diese Asymmetrie ist die ganze Geschichte. Sie setzt niemandes Nachlässigkeit voraus, und in einem Unternehmen mit dreißig Beschäftigten reproduziert sie sich tadellos.

Welche Messlücke daraus entsteht

Die Meldezahlen zeigen, was das Vakuum mit Daten macht.

Gemeldete erhebliche grenzüberschreitende Vorfälle: 3 im Jahr 2022, 0 im Jahr 2023, 2 im Jahr 2024 und 14 im Jahr 2025 (Ziffer 38). Zum Vergleich: Die ENISA selbst fand in ihrem Threat Landscape 2024 allein aus offenen Quellen 322 Vorfälle, die auf zwei oder mehr Mitgliedstaaten zielten (Ziffer 38).

Der Abstand zwischen diesen Zahlen misst nicht, wie viel geschehen ist. Er misst, wie oft sich jemand entschieden hat zu melden. Es gibt zudem keine europäische Plattform, die Meldungen in Echtzeit entgegennimmt und nach Sektoren oder Kompromittierungsindikatoren korreliert (Ziffer 39), also setzt niemand das Bild von unten zusammen.

Die Lehre gilt allgemein. Vorfallsstatistiken messen Ihr Einstufungsverhalten mindestens so sehr wie Ihre Bedrohungslage. Wenn Ihre Zahl der P1 im letzten Quartal gesunken ist, lautet eine Erklärung, dass es besser geworden ist. Eine andere lautet, dass die Person, die P1 ausgerufen hat, die Stelle gewechselt hat.

Was das für Ihren eigenen Betrieb bedeutet

Hier kommt die unbequeme Übertragung. Die Organisationen in dieser Prüfung haben die Einstufungspflicht im Gesetz stehen, eigenes Personal und ständige Koordinationsstrukturen. Die Einstufung fand trotzdem nicht statt.

Ihr Team, freitags um fünf, mit einem mehrdeutigen Alert und ohne niedergeschriebene Regel, wird dasselbe tun. Nicht weil es schlechter wäre, sondern weil es derselben Asymmetrie mit weniger Rückhalt gegenübersteht.

Diese Asymmetrie beseitigt man nicht, indem man Menschen zu Mut ermahnt. Man beseitigt sie, indem man die Entscheidung billig, schnell und vorab autorisiert macht:

• Schreiben Sie die Schweregradmatrix, bevor Sie sie brauchen, mit durchgerechneten Beispielen statt Adjektiven. „Erheblich“ ist keine Definition. „Kundenseitiger Dienst länger als 30 Minuten beeinträchtigt, oder jeder Verdacht auf unbefugten Zugriff auf Produktivdaten“ ist eine.
• Definieren Sie das Vokabular. Bedrohung, Vorfall, Auswirkung, Ereignis. Wenn zwei Personen in einer Schalte unter Vorfall Verschiedenes verstehen, ist das Einstufungsgespräch nicht zu gewinnen. Die europäische Fassung genau dieses Problems beschreibt die Prüfung.
• Benennen Sie die Person, die entscheidet, mit Vertretung, und schreiben Sie den Namen dorthin, wo er um drei Uhr nachts zu sehen ist. Einstufung im Konsens heißt Einstufung durch denjenigen, der am wenigsten eskalieren will.
• Lassen Sie Mehrdeutigkeit standardmäßig nach oben eskalieren. Schreiben Sie die Regel auf: Ist unklar, ob dies ein P1 ist, dann ist es ein P1, bis jemand Ranghöheres herabstuft. Damit wird aus einem persönlichen Risiko ein prozedurales, und das ist die einzige Fassung, die jemand tatsächlich auf sich nimmt.
• Trennen Sie die Einstufung von den Folgen. Löst die Ausrufung automatisch ein Postmortem mit Publikum aus, werden Menschen das Ausrufen meiden. Entkoppeln Sie beides, zumindest für die erste Stunde.
• Prüfen Sie Herabstufungen, nicht nur Vorfälle. Die Entscheidungen, die eine Nachschau verdienen, sind die, bei denen etwas niedriger eingestuft wurde und sich als nicht klein herausstellte.

Taxonomie ist Infrastruktur

Der Instinkt behandelt Schweregraddefinitionen als Dokumentation: wert, geschrieben zu werden, irgendwo abgelegt, jährlich überprüft, wenn jemand daran denkt.

Die Prüfung ist eine zehn Jahre lange Vorführung, dass sie keine Dokumentation sind. Sie sind tragend. Alles Nachgelagerte - Meldung, Eskalation, Koordination und die Statistiken, die die nächste Entscheidungsrunde speisen - läuft über einen Einstufungsschritt, und wenn dieser Schritt undefiniert ist, führt sich die gesamte Kette darunter stillschweigend nicht aus. Nichts schlägt an. Für eine Entscheidung, die nie getroffen wurde, gibt es keinen Fehlerzustand.

Deshalb lohnt es sich, noch vor dem nächsten Vorfall zu prüfen, ob der Satz Das ist ein schwerwiegender Vorfall in Ihrer Organisation einen Verantwortlichen hat - oder ob er derzeit auf einen Freiwilligen wartet.

Quelle: Europäischer Rechnungshof, Sonderbericht 19/2026, „Detecting and responding to cybersecurity incidents“, angenommen am 16. Juni 2026. Verfügbar auf eca.europa.eu unter CC BY 4.0. Die Ziffern im Text verweisen in den Bericht, damit die Feststellungen überprüfbar sind.