# Monitoring und Triage

> Nutzerwirkung, SLI-Signale und Hypothesentests in eine belastbare erste Diagnose überführen.

Track: [Classic IT Ops](https://physar.tech/learn/classic-itops)  
Kanonische Fassung: https://physar.tech/learn/classic-itops/monitoring-triage  
Stand: 2026-07-29  
Interaktiver Teil: 1 Check (nur im Browser)

## Ein Alarm braucht eine Handlungsfrage

### Die Betriebsfrage

Ein Alarm ist wertvoll, wenn er Nutzerwirkung, verantworteten Dienst und eine nächste Überprüfung verbindet. Ein einzelner Infrastrukturwert ohne Kontext erzeugt oft Aktionismus.

> **Lernziel:** Du kannst einen Alarm zuerst gegen Nutzerwirkung und Zeitfenster abgrenzen.

### Triage

Signal und Zeitfenster bestätigen → Nutzerwirkung und Serviceeigentümer ermitteln → Hypothese mit einem weiteren Signal prüfen → Eskalation oder Change mit Evidenz auslösen

## Quellen

- nist.gov/publications/nist-cybersecurity-framework-csf-20 — https://www.nist.gov/publications/nist-cybersecurity-framework-csf-20