Alarmierung und Rufbereitschaft

Kanäle

Push (native iOS-App und Apple Watch) und E-Mail gibt es in jedem Tarif. Persönliche SMS-Alarme beginnen mit Pulse, sind je Person Opt-in, nutzen eine verifizierte Nummer und brauchen keinen Bereitschaftsplan. Bereitschaftspläne beginnen mit Sentinel; ihre Eskalation kann von Push über SMS bis zum Anruf gehen, ebenfalls nur an verifizierte Nummern. Die vollständige Kanaltabelle steht unter Alarmierung und Integrationen.

Erfolgreich zugestellte persönliche und Rufbereitschafts-SMS sowie Telefonanrufe teilen sich die monatlichen und rollierenden 24-Stunden-Kontingente.

Die Live-Anzeige

Ein offener Incident legt eine mitlaufende Anzeige auf das Telefon, das er geweckt hat: auf den Sperrbildschirm, in die Dynamic Island, auf eine Apple Watch im Smart Stack und ins CarPlay-Dashboard. Legen Sie das Telefon quer ans Ladekabel, füllt sie den Bildschirm und ist quer durch den Raum lesbar.

Sie folgt der Lage, nicht dem Moment ihres Erscheinens: wie viele Incidents offen sind, wie schwer der schlimmste davon wiegt, welcher Dienst betroffen ist und wie lange das schon läuft. Sobald jemand einen Fall übernimmt, bietet die Anzeige auf allen anderen Telefonen das Übernehmen nicht mehr an.

Bei genau einem offenen Incident trägt sie Übernehmen, und der Fall wird direkt vom Sperrbildschirm aus übernommen, ohne zu entsperren. Bei mehreren offenen gibt es bewusst keinen Knopf: Nichts würde sagen, welchen Sie meinen. Auf der Uhr und in CarPlay gibt es ihn ebenfalls nicht, denn dort kann ein Knopf in einer laufenden Anzeige überhaupt keine Aktion auslösen, und ein Knopf, der nichts tut, ist genau dort am schlimmsten, wo sich jemand auf ihn verlässt.

Apple beendet eine solche Anzeige einige Stunden nach ihrem Beginn, was immer wir tun. Nichts an der Eskalation hängt daran: Die Anzeige ist die stille Sicht neben dem Alarm, nie ein Ersatz für ihn.

Quittieren per Sprache

Wer nachts geweckt wird, hat die Stöpsel im Ohr und das Telefon irgendwo im Raum. Das Quittieren ist die eine Handlung, die in dieser Minute zählt, denn sie stoppt die Kette, bevor sie den nächsten Kollegen weckt. Sie soll nicht daran hängen, dass jemand erst ein Gerät findet und entsperrt.

Sagen Sie „Quittiere den Incident in Perstat“ oder „Incident übernehmen in Perstat“. Ist genau ein Fall offen, wird er ohne Rückfrage übernommen. Sind mehrere offen, fragt Siri nach und nennt die Dienstnamen zur Auswahl: Den falschen Fall zu übernehmen wäre schlimmer als eine Rückfrage, weil es den richtigen unbeaufsichtigt lässt. Ist nichts offen, sagt Siri auch das.

Das Ergebnis wird angesagt, der Fehlschlag ebenso. Wer nachts „quittieren“ sagt, „übernommen“ hört und sich umdreht, verlässt sich auf dieses Wort.

Das geht ohne Entsperren, und zwar absichtlich: Genau daran soll es nicht scheitern. Wer physischen Zugriff auf ein Bereitschaftstelefon hat, kann damit eine laufende Eskalation stoppen. Schließt Ihre Richtlinie das aus, schalten Sie Siri am gesperrten Gerät ab (Einstellungen → Face ID & Code → „Siri“ bei gesperrtem Gerät).

Fest eingebaut sind die Phrasen auf Deutsch und Englisch. In der Kurzbefehle-App geben Sie der Aktion eine eigene Formulierung, in jeder Sprache, die Ihr Siri spricht.

Die Eskalationskette

Ein Incident erreicht die Rufbereitschaft zuerst per Push. Bleibt die Quittung aus, geht es weiter per SMS und dann per Anruf; die Zeiten je Stufe legen Sie im Bereitschaftsplan fest. Bei 2 Anrufen je Incident ist Schluss: Eine Eskalation soll einen Menschen wecken, keinen Akku leeren.

Die Kette selbst legen Sie fest, unter Bereitschaft im Abschnitt Eskalationskette. Jede Stufe hat einen Zeitpunkt (sofort oder nach X Minuten), ihre Empfänger und ihre Kanäle. Stufen lassen sich hinzufügen und entfernen; wer nie etwas ändert, behält die Kette, die vorher aus den zwei Zahlen entstand.

Eine Stufe erreicht mehrere Empfänger gleichzeitig. „Nach 15 Minuten die Inhaber und den Teamleiter und den Slack-Kanal“ ist eine Stufe mit drei Zielen, nicht drei Stufen. Ein Ziel ist die dienst habende Person, eine bestimmte Person, eine Rolle, Inhaber und Admins, oder ein Endpunkt: jeder Connector, den Sie unter Integrationen eingerichtet haben (Slack, Microsoft Teams, Discord, Google Chat, PagerDuty, Opsgenie oder ein eigener signierter Webhook).

Kanäle lassen sich je Empfänger setzen. Eine Stufe nennt die Kanäle, auf denen ihre Personen erreicht werden, und das ist die Einstellung, die die meisten Ketten je brauchen. Soll ein Empfänger anders erreicht werden, trägt die Karte der Stufe neben ihm einen kleinen Schalter wie Stufe: umgestellt, wird genau dieser Empfänger auf Ihrem Weg alarmiert, während alle anderen derselben Sprosse bei der Einstellung der Stufe bleiben. „Zur Minute 15 die dienst habende Person anrufen, die zweite Reihe aber nur schieben“ ist damit eine Stufe und nicht drei zu drei künstlich verschiedenen Minuten. Ein Endpunkt hat genau einen Weg hinein und ignoriert Kanäle vollständig, die der Stufe wie die eigenen.

Das Raster über den Stufen zeigt die Kanäle, die wirklich hinausgehen, nicht die Voreinstellung der Stufe: Überschreiben alle Empfänger einer Sprosse sie, zeigt die Sprosse, was diese Empfänger bekommen.

Weil eine Stufe schon mehrere Empfänger trägt, können zwei Stufen nicht dieselbe Minute belegen. Das Speichern wird abgelehnt, und das zu Recht: Es wäre ohnehin nur eine von beiden hinausgegangen.

Über den Stufen wird die Kette als Raster gezeichnet: oben der Auslöser, darunter die Stufen in der Reihenfolge der Zeit, und neben jeder Stufe ihr Fächer aus Empfängern. Es zeigt auf einen Blick, was eine Liste nicht zeigen kann, nämlich wie viele Menschen eine Stufe gleichzeitig weckt. Geändert wird in den Karten darunter; das Raster ist die Landkarte, nicht die Werkbank.

Ein Endpunkt, der stillgelegt ist oder bei der letzten Zustellung fehlschlug, wird direkt an der Stufe markiert, mit dem Grund. Eine Sprosse, die im Ernstfall leise nichts erreicht, ist wichtiger als ein aufgeräumtes Bild.

Ein Endpunkt, den eine Stufe alarmiert hat, bekommt auch die Entwarnung, selbst wenn er dieses Ereignis unter Integrationen nicht abonniert hat. Das zählt vor allem bei PagerDuty und Opsgenie: Wer einen Endpunkt in eine Stufe setzt, öffnet dort einen Alarm, und ein Alarm, der nie geschlossen wird, klingelt nach dem Ende des Incidents weiter. Was die Kette öffnet, schließt die Kette auch.

Zwei Regeln greifen unabhängig von Ihrer Kette: Ein Incident, der lange offen liegt, landet auf der spätesten fälligen Stufe statt die Kette von vorn abzulaufen, und hat niemand Dienst, greift sofort das Ende der Kette. Auf einen Timer zu warten, der niemanden erreicht, ist der eine Ausgang, den eine Eskalation nicht haben darf.

Verifizierung der Telefonnummer

Bevor über eine Nummer überhaupt alarmiert werden kann, muss sie verifiziert sein: ein 6-stelliger Einmalcode, 10 Minuten gültig, 60 Sekunden Sperre bis zum erneuten Senden, höchstens 5 Versuche. Alarme gehen ausschließlich an verifizierte Nummern.

Was eine Quittung bedeutet

Wer einen Incident quittiert, übernimmt ihn: Die Eskalation stoppt, alle anderen Geräte werden still, und Erinnerungen gehen nur noch an die Person, die übernommen hat, nicht mehr an das ganze Team. Die Quittung selbst steht mit Zeitstempel auf der Zeitleiste des Incidents, wie jedes andere Ereignis auch.

Schlummern

Schlummern ist die kleinere Geste, und es ist bewusst nicht dasselbe. Es stellt einen Incident für 15 Minuten und nur für Sie still. Niemand sonst wird leise, die Eskalation wird nicht gestoppt, der Incident bekommt keinen Verantwortlichen, und in der Zeitleiste landet nichts als Entscheidung.

Nehmen Sie es, wenn Sie längst Bescheid wissen und auf dem Weg zum Rechner sind, und quittieren Sie, wenn Sie die Person sind, die sich kümmert. Schlummern, wo Quittieren hingehört, lässt das Team im Glauben, der Incident sei herrenlos; Quittieren, wo Schlummern reicht, stoppt die Eskalation für alle.

Weil ein Schlummern immer nur die Person betrifft, die es auslöst, braucht es keine besondere Rolle: wer von einem Alarm geweckt werden kann, darf sein eigenes Telefon ruhigstellen.

Abhängige Alarme

Wenn ein Ausfall zehn nach sich zieht, wollen Sie einen Alarm und nicht zehn. Ein Monitor kann die Monitore benennen, von denen er abhängt, und solange einer dieser Ursprünge belegt unten ist, hält dieser Monitor seine Alarmkette zurück, statt zum Lärm beizutragen.

Eingestellt wird das an dem Monitor, für den geweckt würde, nicht am Ursprung. Die Regel besteht aus 1 bis 20 Ursprungs-Monitoren und einer Frist zwischen einer Minute und 24 Stunden.

Was gehalten wird und was nicht, ist der Teil, der zweimal gelesen gehört:

Gehalten	Die Alarmkette: Push, SMS, Anruf, die Eskalationsstufen
Nicht gehalten	Der Incident selbst, seine Startzeit, die Ausfallzeit, die SLA-Aufzeichnung, die Statusseite und deren Abonnenten

Der Incident entsteht genau so, wie er es sonst täte. Eine rote Ampel auf Ihrer öffentlichen Seite ohne begleitende Mail wäre die eine Ungereimtheit, die der Kunde Ihres Kunden bemerkt, deshalb läuft die Benachrichtigung nach außen weiter. Nur das Wecken im eigenen Team wartet.

Drei Eigenschaften verhindern, dass daraus der Ort wird, an dem Alarme verschwinden:

• Im Zweifel laut. Gehalten wird nur, wenn der Ausfall eines Ursprungs positiv belegt ist. Keine Regel, ein nicht erreichbarer Ursprung, eine gescheiterte Abfrage oder ein Ursprung, der läuft oder bloß unbekannt ist, bedeuten alle laut.
• Eine Frist, die immer existiert, gerechnet ab Beginn des Incidents und nicht ab jetzt. Ist sie abgelaufen, wird laut alarmiert, egal was der Ursprung gerade tut. Ab dem Beginn zu rechnen ist das, was einen flatternden Ursprung daran hindert, die Stille beliebig zu verlängern.
• Sichtbar, solange gehalten wird. Ein gehaltener Alarm steht in der Glocke, mit Halter und Frist. Ein gehaltener Alarm, den man nicht sehen kann, wäre von einem verlorenen nicht zu unterscheiden.

Ein Monitor, der sich selbst als Ursprung benennt, hält nichts zurück, sonst unterdrückte ein Dienst seinen eigenen Alarm.

Bereitschaftspläne

Rotationen mit Eskalationsstufen, dazu eine Warnung, sobald eine Lücke im Plan entsteht und niemand Dienst hat. Rufbereitschaft ist wie die Incident-Führung ab Sentinel enthalten; welcher Tarif was freischaltet, steht unter Tarife und Limits.

Was Alarmierung nicht ist

Keine Alarm-KI, keine Anomalie-Scores, die darüber befinden, ob Sie geweckt werden. Bei den 11 regionalen Probe-Typen bestätigt die konfigurierte Richtlinie den Ausfall; ihr Standardquorum beträgt 2 Regionen. Agent- und Heartbeat-Monitore nutzen weder Regionen noch Quorum und folgen ihren eigenen Eingangsregeln. Die Quorum-Regel erklärt den regionalen Mechanismus.